“QQ钓鱼盗号生成器”这玩意儿，钓鱼盗号我最早是生成在一个游戏论坛的私信里见到的。发信人顶着默认头像，钓鱼盗号签名写着“全网最低价，生成包教包会”。钓鱼盗号他发来一个压缩包，生成解压后是钓鱼盗号个exe文件，界面粗糙得像2005年的生成共享软件——左边一排输入框，右边预览区，钓鱼盗号底部两个按钮：“生成页面”和“打包木马”。生成

这东西的钓鱼盗号工作原理简单得让人失望。你填上要仿冒的生成QQ登录页地址，再选一个收信邮箱，钓鱼盗号点生成。生成它会从某个服务器拉一份QQ登录页的钓鱼盗号HTML源码，把表单的action改成自己的PHP脚本地址，再套一层iframe伪装。生成的页面和真QQ登录页放在一起，不放大看地址栏，根本分不出来。收信脚本更粗暴，直接把账号密码用mail()函数发到你指定邮箱，连数据库都懒得用。

我拿到样本后没急着测，先扔进沙箱跑了一遍。网络请求指向一个香港IP，域名是随机字符串加“.xyz”。页面加载完，控制台报错——它引用的jQuery版本太老，和现代浏览器不兼容。这说明制作者压根没测试过Chrome 100以上的环境。一个连兼容性都搞不定的工具，居然在贴吧、QQ群、网盘里流转了好几年。

真正让我意外的是它的“配套服务”。生成器本身免费，但你要用他的收信服务器，得按月付费，20块一个月。付了钱，后台能看到所有通过你生成的钓鱼页提交的账号密码，还带IP和提交时间。有个买家在评价里写：“一天钓了三十多个，全是小学生。”配图是后台截图，密密麻麻的QQ号和密码，像菜市场价目表。

这些被盗的号去哪了？我跟踪过一个样本的收信邮箱。三天内收到47条记录，其中31个账号在24小时内被登录过。登录IP集中在河南和广东，登录后第一件事是改密码、绑手机，第二件事是给好友群发“在吗？帮我充个话费”。有个号甚至被用来发黄图，然后立刻被腾讯封停。从盗号到变现，整条链路不超过两小时。

制作者显然懂点心理学。生成页面时有个选项叫“模拟掉线”，勾上后，用户输入密码点登录，页面会显示“网络异常，请重新登录”，然后跳回真QQ空间。很多人以为只是卡了，再输一遍——第二遍才是真正提交。这个设计把误报率降到了最低，也把受害者的警惕性磨没了。

腾讯不是没管。2019年他们封了一批钓鱼域名，结果制作者把收信脚本改成Telegram Bot API，域名换成Cloudflare Workers，封一个换一个。现在最新版本甚至加了“防红”功能，用短链接跳转，微信里打开也不报警。道高一尺，魔高一丈，这话搁这儿特别合适。

写这些不是教人使坏。我拆过五个不同版本的“QQ钓鱼盗号生成器”，代码质量一个比一个烂，有的连SQL注入都没防——讽刺的是，钓鱼页自己反而能被注入。但烂归烂，它确实能骗到人。那些被盗号的孩子可能刚学会用QQ，连密保问题都设不明白。他们不会看地址栏，不会查HTTPS证书，甚至不知道QQ登录页长什么样。

工具本身没有善恶，但用它的人有。那个在论坛卖20块月费的家伙，后来被人扒出真实身份——一个职高辍学生，用盗来的号给自己王者荣耀充了三千多皮肤。他被抓的时候，电脑D盘里还存着三百多个未使用的钓鱼页模板。警察问他为什么干这个，他说：“来钱快，又不用出门。”

现在你再搜“QQ钓鱼盗号生成器”，大部分链接已经失效，剩下的要么是空壳，要么带挖矿木马。但我知道它没消失，只是换了个名字，藏在某个Telegram群或者暗网论坛里。下一个版本可能更精致，更隐蔽，更难防。而防御的方法其实没变：看地址栏，别乱点链接，输密码前先想想——这页面，真的是QQ吗？