昨天半夜三点，我还在改代码，手机突然震个不停。是个老弟，以前在一家小外包公司干过，现在想自己单干，手里攒了点钱，想搞点“快钱”。他问我的第一句话就是：“哥，搞个仿银行登录页，挂个链接，有人输账号密码我就拿提成，这算犯法吗？”
我差点把刚泡好的面汤打翻。我说你脑子进水了？这要是能赚，全中国程序员都去干这个了，还轮得到你？
很多人对“做钓鱼网站违法”这件事，认知还停留在“只要我不直接偷钱就没事”的误区里。这种想法太天真，也太危险。咱们干技术的，得讲逻辑，也得讲底线。
我记得前年有个案子，某团伙搞了个伪装的“积分兑换”页面，看着跟某宝似的，其实全是假的。他们以为躲在境外服务器，或者用跳板机就查不到自己。结果呢？网警顺着IP，加上支付通道的异常流水，半个月就把人端了。那个头目被抓的时候，手里还攥着没来得及转走的几万块“佣金”。
你要知道，做钓鱼网站违法，这不仅仅是道德问题，是实打实的刑法问题。《网络安全法》、《刑法》第285条、286条，条条都指着你的鼻子。你以为你只是写个HTML页面？你这是在破坏计算机信息系统，或者在搞诈骗。
咱们说点实际的。很多小白觉得，我就做个页面，数据不存自己服务器，直接发给第三方，这样我就没责任？大错特错。你提供了工具，你提供了渠道，你就是共犯。而且现在的技术侦查手段，比你想象的厉害得多。哪怕你用了Tor网络，哪怕你用了最新的混淆技术，只要有人举报，只要资金流有痕迹，顺藤摸瓜，你躲不掉的。
我见过太多人，因为贪这点小便宜，把自己后半辈子搭进去。有个哥们，搞了个仿某招聘网站的钓鱼页，骗了大概两百多人的简历和联系方式。他觉得这只是收集信息，不算偷钱。结果呢？因为泄露公民个人信息罪，加上帮助信息网络犯罪活动罪，数罪并罚，判了三年。他在里面写信跟我说，后悔没听劝，说本来想赚点买房首付，现在房子没买到，家也没了。
所以，别总想着走捷径。互联网不是法外之地，代码也不是免死金牌。
如果你真的对安全感兴趣，想学怎么防御，想学怎么渗透测试，那欢迎来找我聊聊。我们可以一起探讨怎么修补漏洞，怎么提升系统的安全性，这才是正道，这才是有前途的技术。但如果你想走歪门邪道，搞什么“黑产”，趁早收手。
最后给几个真心建议：
第一，别碰任何涉及身份认证、支付环节的模拟页面，哪怕是你自己公司内部的测试环境，也要做好隔离和标识，别让人误会。
第二，如果你发现公司让你做这种灰色的东西，立马走人，别犹豫，这种公司迟早出事，你会被当成替罪羊。
第三，提升正念技术，去考个CISP-PTE或者OSCP，凭本事吃饭，腰杆子才硬。
别问我还做不做，我只做合法的渗透测试和安全加固。有这方面需求的，或者想入行但不知道从哪开始的，可以私信我，咱们聊聊正事。别拿自己的自由开玩笑，真的不值。
