深夜两点，制作我盯着终端里滚动的钓鱼字符流，按下回车。网站Apache服务启动，制作一个克隆的钓鱼GitHub登录页在8080端口静静等待猎物。三小时后，网站我的制作邮箱收到第一封通知：有人输入了用户名和密码——一串真实存在的凭据，来自一个刚在Twitter上骂过我的钓鱼杠精。

这不算什么高深技术。网站Kali预装的制作setoolkit，几行交互式命令，钓鱼就能把任意网站剥皮抽筋，网站换上自己的制作马甲。原理简单得令人发指：DNS欺骗或社会工程学让受害者访问你的钓鱼IP，你伪造的网站页面原样转发请求，后端记录一切输入。真正的难点从来不在技术，而在人性——你总得挑个受害者愿意输入密码的诱饵。

我试过克隆Instagram登录页，挂到校园Wi-Fi的钓鱼热点上，半小时收了7组账号。有人输错三次密码还坚持尝试，像极了在ATM前忘记银行卡密码的老人。那种时刻你会突然意识到，所谓网络安全，在人性弱点面前薄如蝉翼。

工具本身冷冰冰的。setoolkit菜单长得像老式电话亭，选1进入社会工程学攻击，选2网站攻击向量，选3 credential harvester method，再填IP和克隆URL。全程不到两分钟。但真正让过程变味的是细节：克隆页面需要手动调整CSS，因为原站用了动态加载；你得伪造SSL证书，否则浏览器会跳出红叉警告；更麻烦的是，现在主流浏览器都带智能防御，Chrome会直接拦截自签名证书的钓鱼页。

我用一个过期域名做了次实验，把克隆的Netflix登录页挂上去，用邮件群发“账户异常”通知。打开率不到3%，但点开的人里，五分之一都填了完整卡号。那个数字让我后背发凉——不是技术多高明，而是人们习惯性信任熟悉的界面，哪怕地址栏的域名拼错了一个字母。

最讽刺的是，Kali本身是安全工具，官方文档里写满“仅限授权测试”。但你我都清楚，工具没有道德属性，就像菜刀可以切菜也能伤人。我见过白帽黑客用它帮企业找漏洞，也见过灰产用同样的脚本批量收割账号。差别只在动机——但代码不会问动机。

写这篇东西不是教唆犯罪。恰恰相反，当你亲手搭过一个钓鱼页，才会对每条陌生链接保持警惕。我后来把所有攻击日志导出来，发现那些受害者大多是中年用户，他们不是愚蠢，只是没被提醒过。你会在某天突然明白：真正的防火墙不是软件，是怀疑精神。

现在关掉终端，清理掉所有日志和克隆文件。但那个深夜的体验像烧红的烙铁留在记忆里：你永远不知道下一个点开链接的人，会不会因为一次疏忽，把整个数字人生交出去。而这一切，只需要一个回车键的功夫。