文章总结： 本文记录作者用WorkBuddy工具10分钟制作中秋送月饼钓鱼网站进行安全意识演练的全过程。文章拆解了免费馅饼、紧迫感、话术收信息、非官方链接四个利用人性弱点的钩子，展示后台收集的姓名手机号地址等数据，强调AI时代钓鱼成本极低，并给出三条识破口诀：免费送默认是坑、要敏感信息掉头走、官方渠道二次核实。文章为安全意识演练记录，数据已安全处置，提醒勿模仿用于非法用途。 综合评分： 85 文章分类： 安全意识,社会工程学,安全培训
中秋送月饼？我用Workbuddy花10分钟搓了个钓鱼网站，第一批”鱼”已经上钩
原创
承影 承影
兰花豆说网络安全
2026年9月25日 21:59 湖北
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
先问一个问题。
如果今天刷朋友圈，看到”兰花豆说网络安全”发了一条消息：中秋回馈粉丝，月饼免费领，6种口味任选，限量1000份，顺丰包邮到家。
你会不会点？
别急着说不会。
我把这个问题抛给过身边的同事——一群干了八九年网络安全的老师傅。嘴上说着”这肯定是钓鱼”，手指已经诚实地滑到了选口味的那一页。
因为钓鱼这事儿，从来钓的不是鱼，是人。
- 钓鱼，是门槛最低的攻击
很多人对网络攻击的想象是：黑客、代码、漏洞、凌晨三点的机房。
错了。网络钓鱼是所有攻击手段里技术含量最低、却最致命的一种——它不需要你懂什么漏洞，它只需要你懂人性。
邮件、网址、二维码、聊天工具，全都能成为鱼竿。按目标不同，还能细分出鱼叉式钓鱼、水坑攻击、鲸钓攻击——想深入了解的，可以翻我2024年写的《12种常见的网络钓鱼》。
12种常见的网络钓鱼
今天中秋，我决定干一票大的：用WorkBuddy花10分钟，手搓一个”送月饼”的钓鱼网站。
前台活动页面、演练数据后台、二维码海报，一套齐活。
然后发到朋友圈、社群，坐等鱼儿上钩。
- 这个页面，每一处都在踩人性的油门
页面长这样：以”兰花豆说网络安全”的官方名义，宣布中秋限时限量福利，6种风味任选，页面上还滚动展示”已有××人成功领取”。
拆开看，每一处设计都有话说：
一是借信任。 我这个号做了几年，多少有点信用积累。攻击者冒充的，往往正是你信任的机构——银行、政府、你关注的博主。任何人都不要信任，因为身份也可能被伪造。
二是造紧迫。 限时、限量、手慢无。人在”怕错过”的时候，智商是离线的。
三是从众。 “已有1327人领取”往那一挂，你会想：这么多人都领了，应该没事吧？
然后，页面会请你填写：姓名、手机号、家庭住址。
领个月饼嘛，留个收货信息，多正常。
就这一步，你的三条核心信息已经出手了。
再次申明一下，网上所有用兰花豆的文章或名义进行卖课割韭菜的都不是兰花豆本人。兰花豆说网络安全的矩阵账号只有知乎、CSDN、雪球、公众号及视频号。
- 这4个钩子，你大概率躲不过
我把复盘用的钩子做成了一张表，每一钩对应一本人性说明书：
| | | | | — | — | — | | 钩子 | 页面上的样子 | 玩的是哪个人性 | | ① 免费馅饼 | 中秋福利，月饼免费领 | 贪便宜——”不要白不要” | | ② 紧迫感 | 限时限量，手慢无 | 怕错过——”先抢了再说” | | ③ 话术收信息 | 填姓名/手机号/地址才可领取 | 流程伪装——”领东西当然要留地址” | | ④ 非官方链接 | 域名看着像，细看不对 | 惰性——”谁会去核对域名啊” |
四个钩子，单拎出来都不致命。
叠在一起，就是一张温柔的网。
- 上钩之后，看到的不是月饼，是一面镜子
提交信息的瞬间，页面翻转——
“鱼儿上钩”的动画，加上一句带个性化称呼的调侃：”×先生/女士，月饼没有，但您刚才差点把家底交出去了。”
然后是完整的复盘：刚才那页埋的4个钩子，逐条拆解；再送3条识破口诀：
天上不掉月饼——免费送东西还倒贴运费的，先默认是坑；
要敏感信息的一律停——领取页面要手机号、住址、验证码的，掉头就走；
官方渠道二次核实——别从海报上的链接进，自己去官方APP、官网走一遍。
最后附上一份数据安全声明：本次为安全意识演练，所填数据仅用于演练复盘，不会用于任何其他用途，演练结束后彻底删除。
先吓一跳，再教会一招，最后给颗定心丸。这是安全演练该有的完整闭环。
- 后台数据，比你想的更扎心
这是我登录演练后台看到的：姓名、手机号、收货地址，整整齐齐躺在云端表格里。
这还只是我，一个只想让大家过个”有安全意识的中秋”的博主。
换个场景呢？
如果是仿冒银行页面，收的是你的卡号和验证码；如果是仿冒政务平台，收的是你的身份证号；有的甚至挂个人脸识别——那后果，就不是接到几个骚扰电话那么简单了。
精准诈骗为什么能报出你的名字和住址？定位找人为什么能说对你家小区？很多链条的起点，就是一张”免费领月饼”的表单。
- AI时代，钓鱼的成本已经低到离谱
顺手，我还做了一张对外传播的海报——扫码直达，宣传力和迷惑性都拉满了。
说说更扎心的现实。
以前克隆一个网站，你得会写代码、懂美工、配服务器，一套下来没几天功夫。现在？AI加持下，10分钟全流程搞定。如果再把域名做得和官方雷同，影响范围直接翻倍。
AI时代的攻防，比拼的是三样东西：攻击速度、攻击时长、攻击维度。
人要吃饭、要睡觉、要摸鱼；AI不眠不休，可以7×24小时和你对抗。
所以我一直说：AI时代的网络安全，一定是AI对抗AI。指望人肉去堵AI发起的攻击，就是以卵击石——人该做的，是顶层的规则设计和站在高处观察全局。
如果需要做钓鱼演练的单位，也可以使用此类方法组织演练，并且和公司已有的安全产品进行对接。
7.总结
这篇文章，不是我教你钓鱼。
是让鱼，学会看钩子。
转发给身边的朋友们吧。这比你转发100篇”防诈骗指南”都管用——因为这一次，大家是亲眼看着那个”免费月饼”的钩子，就在自己眼前晃过。
祝大家中秋快乐，月饼要吃，钩子要认。
你或者身边的人，被钓鱼过吗？评论区聊聊。
本文为安全意识演练记录，全程数据仅用于内部复盘演示，已做安全处置。钓鱼网站制作细节不予公开，请勿模仿用于非法用途。
END
推荐阅读
欢迎网安从业者入群交流！
2026-09-25
黑客使用AI Agent窃取60万张信用卡数据
2026-09-24
100小时长征：史上首个Agent自主不间断渗透完整战报
2026-09-23
特朗普要搞”AI部队”：未来战争，最该护的不是导弹井，是算力
2026-09-21
当勒索软件用上AI：攻击者已经不需要人了
2026-09-20
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：兰花豆说网络安全 承影 承影《中秋送月饼？我用Workbuddy花10分钟搓了个钓鱼网站，第一批”鱼”已经上钩》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论