钓鱼网站查询检测系统

上周三下午，钓鱼老陈收到一条短信，网站说他的查询ETC卡过期了，需要点击链接重新认证。检测他点进去，系统页面跟官方几乎一模一样，钓鱼连客服电话都抄对了。网站填完车牌、查询身份证、检测银行卡号，系统最后一步要输入短信验证码。钓鱼他犹豫了两秒，网站还是查询输了。三分钟后，检测银行卡被划走四万八。系统

这种网站就是钓鱼网站。它不攻击你的电脑，不破解你的密码，它骗的是你自己把信息交出去。

钓鱼网站长什么样

很多人以为钓鱼网站一眼就能看出来。粗糙的排版、错别字、奇怪的域名——那是十年前的水平。现在的钓鱼站可以做到什么程度？我见过一个仿冒某银行的页面，连登录框的输入光标闪烁频率都跟真站一致。域名用的是bank-of-china.secure-login.xyz，前面看着像那么回事，真正的主域名是xyz结尾的随机字符串。

还有一种更隐蔽的：利用正规平台的开放重定向漏洞。链接开头是https://www.zhihu.com/redirect?url=，后面跟着钓鱼站地址。用户看到“zhihu.com”就放心了，点进去直接跳到假页面。这种手法在短信和邮件里特别常见。

查询检测系统在查什么

钓鱼网站查询检测系统，核心就做三件事。

第一，比对域名特征。把待查URL跟已知的官方域名做相似度计算。比如icbc.com.cn是工行官网，1cbc.com.cn（数字1代替字母i）就会被标记。系统维护一个白名单库，不在库里的、又跟品牌域名高度相似的，先扣分。

第二，抓取页面内容。检测系统会模拟浏览器访问目标URL，把HTML抓回来分析。重点看几个东西：页面上有没有密码输入框、有没有要求填写身份证或银行卡号、表单提交的地址指向哪里。一个页面如果同时出现“银行卡号”和“短信验证码”两个字段，提交地址又不是银行官方域名，基本可以判定是钓鱼。

第三，查域名注册信息。钓鱼站有个特点：活得短。域名注册时间通常不超过三个月，注册商集中在某些廉价平台，Whois信息要么隐藏要么乱填。系统会把“域名年龄小于90天”作为一个强特征。我查过一个钓鱼站，域名注册于被抓前11天，服务器IP在境外，同一IP上还有另外六个仿冒不同银行的站点。

普通人怎么用

你不需要自己搭一套系统。几个现成的入口：

腾讯安全、阿里云安全都有URL检测接口，网页版直接粘贴链接就能查。360的“网站安全检测”也类似。如果收到可疑短信，先把链接复制出来，别直接点。用这些工具跑一遍，看返回结果里有没有“钓鱼”“欺诈”标签。

更简单的办法：看域名。把链接里的域名部分单独拎出来，从右往左读。比如login.icbc.com.cn.evil.xyz，从右往左第一个是xyz，那真正的主域名就是evil.xyz，前面全是子域名，用来迷惑你的。银行官网的域名一定是以.com.cn或.cn结尾，前面直接跟品牌名，不会加一长串前缀。

还有一条：任何短信里的链接，只要让你填密码、验证码、银行卡号的，先假设它是假的。去官方App或者打官方客服电话核实。老陈后来跟我说，他当时觉得“万一是真的呢”。钓鱼网站赌的就是这个“万一”。

检测系统能帮你挡住大部分，但最后那道闸门，还是你自己的手指。