网页木马生成器，网页听起来像黑客电影的木马必备道具，但真正见过的生成人不多。我见过一次，网页是木马在一个昏暗的网吧包间里。

那年我还在读大学，生成隔壁宿舍的网页老周靠这个赚过钱。他的木马“生成器”其实是个简陋的网页界面——黑底绿字，像极了老式终端。生成输入一个网址，网页选个漏洞类型，木马点“生成”，生成几秒后就能吐出一个加密的网页HTML文件。那是木马2012年，Windows XP还没死透，生成IE6的漏洞多得像筛子。
老周不写代码，他只会点鼠标。生成器把复杂的漏洞利用代码打包成了填空题，他只需要填上目标网站和诱导文案。最常用的招数是伪装成“Flash Player更新提示”——当年这招几乎百发百中。

这东西的核心逻辑并不神秘。它生成的不是病毒本身，而是一段“加载器”。HTML里藏着一串混淆过的JavaScript，当用户用有漏洞的浏览器打开时，脚本会静默下载一个可执行文件，然后利用系统权限漏洞运行它。整个过程像一场无声的入室盗窃——门锁是浏览器漏洞，开锁工具是脚本，而生成器就是那个万能钥匙的模具。

老周靠这个月入三千，在当时够活得很滋润。他接的单子五花八门：有偷游戏账号的，有刷流量点击的，最离谱的一次，有人花五百块让他生成一个专门弹赌博广告的木马。他从不问用途，只管收钱交货。后来他告诉我，有一次生成的木马在一个小时内感染了四千台机器，后台面板上密密麻麻的IP地址像一片发光的星图——他盯着看了半宿，觉得自己像个神。

但生成器的使用者不一定都懂技术。老周给我看过一个客户聊天记录，对方反复询问“生成的木马能不能帮我自动挂机刷QQ等级”。那种技术认知的错位感很荒诞——他们以为这工具是万能许愿机，实则它只是把现成的攻击代码重新拼装了一遍。真正危险的从来不是工具本身，而是有人愿意为作恶付费。

这类生成器在暗网上流传很广，有的甚至做成了付费订阅制，按月更新漏洞库。它们把攻击成本压到了极低——低到任何一个暴躁的网管、失意的程序员或者好奇的中学生都能上手。我见过一个版本的界面做得比正经软件还漂亮，有渐变按钮和进度条动画，唯一可疑的是它生成的文件总会被杀毒软件报毒。

后来老周收手了，因为有个受害者循着IP找上门来，差点把他揍进医院。他删掉了所有工具，改行做正经的网站维护。去年我问他怎么看当年的自己，他抽了口烟说：“生成器就像一把菜刀，有人拿它切菜，有人拿它砍人。但菜刀厂不会因为有人砍人就停产。”

这话说得轻巧，却漏掉了关键一点：菜刀厂不会在刀柄上刻“砍人教学指南”。而网页木马生成器，本质上就是一份自动化的犯罪教程——它把漏洞利用的每个步骤都变成了选项框和下拉菜单，让完全不懂原理的人也能精准地完成一次恶意入侵。技术本身是中性的，但把技术包装成傻瓜式工具并指向明确恶意的行为，不是。

现在这类生成器大多转向了移动端，瞄准Android的WebView漏洞。界面更花哨了，甚至支持中文语音提示。老周偶尔还会收到旧客户的私信，问他有没有“新版工具”。他每次都回同一个字：“滚。”