假 CAPTCHA 骗局是一种验证页面：它不是让你证明自己是人，而是要求你复制、粘贴或运行一条命令。ClickFix 攻击把看似普通的验证提示变成一个请求，让你在自己的 Windows 电脑或 Mac 上亲手执行攻击者的指令。

关键要点

正常的 CAPTCHA 可能要求你选图、输入字符或勾选方框，但不会要求你打开“运行”、PowerShell 或终端。

安全的理解模型是：诱饵页面 → 剪贴板 → 用户执行 → 恶意载荷。

只是看到页面，与执行了页面上的指令是两回事，处置方式应与实际暴露程度相符。

如果运行过任何内容之后又输入了密码，请用另一台可信设备保护该账号。

想系统了解如何降低钓鱼、恶意软件和账号风险，可以先看网络安全指南。

假 CAPTCHA 骗局是怎样运作的？

页面借用常见反机器人验证的外观和措辞，可能声称验证失败、浏览器出错需要修复，或再做一个动作就能证明你不是自动程序。澳大利亚网络安全中心披露过利用假 CAPTCHA 页面诱导访客运行命令的 ClickFix 活动，这类活动跨过了一条关键边界：从“浏览内容”变成“执行攻击者提供的指令”。［1］

不需要复现任何命令，也能理解这种攻击：

诱饵页面： 被入侵或具有欺骗性的页面编造一个看似合理的理由，让你完成验证。
剪贴板： 某个按钮或脚本动作把攻击者控制的文字放进剪贴板，同时可能显示一段看似无害的说明。
用户执行： 受害者被引导打开系统命令界面，粘贴或批准这段文字。
恶意载荷： 被执行的指令会下载、启动或启用不需要的软件，并可能导致凭据或数据被盗。

微软已将 ClickFix 记录为一种同时针对 Windows 和 macOS 的社会工程手法。话术和投放方式不断变化，但攻击者始终需要坐在键盘前的人替他跨过安全边界。［2］页面做得再精致、带有锁形图标或使用熟悉的 CAPTCHA 设计，都不能让它要求的动作变得安全。

假验证页面有哪些红旗？

判断的依据是页面要求你做什么，而不是它的视觉设计。真正的人机验证组件通常只在浏览器标签页内运行。它可能刷新、再给你一张图，或者失败后给出正常提示，但不应要求你打开系统命令行、批准管理员权限、下载文件或关闭安全防护。

提示或行为	风险较低的验证表现	假 CAPTCHA 红旗
人机检查	在页面内选图、解谜或勾选方框	打开另一个系统工具
剪贴板	不会在后台暗中准备命令	点击按钮后复制了隐藏文字
系统访问	整个过程都留在浏览器标签页内	打开“运行”、PowerShell、命令提示符、终端或脚本工具
权限	不需要管理员权限	要求批准管理员或安全提示
下载	不安装任何东西即可完成验证	下载压缩包、安装程序、描述文件或所谓更新
话术	清楚的重试或拒绝访问提示	紧急声称电脑、浏览器或账号即将被封锁

Proofpoint 追踪到的 ClickFix 活动使用了多种不同的诱饵，而不是一套固定的视觉模板。［3］因此，与其记住某个 Logo 或某句话，不如学会识别“要求你执行命令”这一请求本身。

ClickFix 恶意命令为什么比点击页面更危险？

浏览器通常会限制网页能做的事。网页可以显示内容、请求浏览器允许的操作，但不能随意改动系统。当它诱导你把文字粘贴进命令界面时，就是想让你自己的用户账号去完成浏览器无法直接完成的动作。

复制的文字可能比显示的更长、用空格掩饰，或在你检查后被替换。不要为了“看看它会做什么”而把它粘贴到其他工具里。不要把命令转发给朋友，不要放进在线解码器，也不要在工作环境中运行。只有在不必重复页面要求的动作时，才保存页面地址和截图。

Windows 和 macOS 的工具与权限提示不同，但判断规则相同：网站不需要系统命令就能确认你是人。如果页面还声称设备已经中毒，请对照假病毒警报的识别特征，然后离开页面。

遇到 ClickFix 攻击提示后怎么办？

按实际发生过的最高暴露级别处理。如果不确定命令有没有运行，在能够核实之前，一律按“已执行”对待。

暴露程度	含义	首要动作
只看到页面	没有复制、粘贴、下载或运行任何指令	关闭标签页；撤销你授予的网站通知权限；仅凭页面本身，不需要重置设备
点击或复制了文字	剪贴板里可能有攻击者的文字，但你没有执行	不要粘贴；用无害文字覆盖剪贴板；关闭页面；检查是否下载了文件
执行了命令	设备可能已下载或启动了不需要的软件	断开网络，停止用它处理敏感账号，开始调查设备
执行后还输入了凭据	设备和账号可能都已被入侵	用另一台可信设备修改暴露的密码、撤销会话、检查恢复设置，然后再清理设备

只看到页面

直接关闭，不要用页面自带的“取消”“修复”或客服按钮。如果页面是从某条消息打开的，先保留消息用于举报，再删除。如果你曾允许该网站发送通知，请检查浏览器的通知权限，因为之后的通知可能会继续行骗。

仅看到页面不能证明恶意软件已自行安装。出现其他迹象时才需要扫描，例如意外的下载、可信安全软件发出的警报，或持续的异常行为。惊慌重置可能毁掉有用证据、浪费时间，却没处理真正的暴露点。

已点击或复制，但没有执行

不要把剪贴板内容粘贴到“运行”框、命令行、聊天窗口或搜索框。复制一句无害的话覆盖它，关闭标签页，然后在不打开新文件的前提下查看下载列表。如果浏览器已经开始下载，不要启动这个不可信的文件，直接删除，并使用操作系统自带的安全扫描。

点击页面按钮也可能授予浏览器权限或触发跳转。请检查新增的通知权限、下载的文件和新打开的标签页。如果诱饵来自邮件或短信，请按更完整的钓鱼攻击防护清单处理。

已执行命令

断开受影响设备的 Wi-Fi 或有线网络。不要再用它登录邮箱、网银、密码管理器或工作系统。记下大致时间、页面地址、浏览器、你做过的操作，以及注意到的文件或安全警报；不要为了重现证据而再次运行指令。

使用可信的安全软件做一次完整扫描，并安装正规的操作系统更新。检查最近的下载、已安装的应用、浏览器扩展、登录项、计划任务、描述文件和陌生用户账号。扫描结果干净可以降低不确定性，但不能证明没有数据被复制、没有凭据被截获。

如果命令获得过管理员批准、安全工具被关闭、陌生软件仍在驻留，或设备上有敏感工作数据，请寻求专业支持。影响较大时，周密计划的重装可能合适，但它不是每次遇到这类提示的默认第一步。

又输入了密码或付款资料

把账号恢复工作转到另一台没有涉及此事的设备上进行。先处理主邮箱，因为它可以重置其他账号，然后保护金融、工作、云端和社交账号。修改已暴露或重复使用的密码，退出其他会话，删除陌生的恢复方式，并在服务支持时启用抗钓鱼的 MFA 选项。

如果涉及付款资料或交易，请通过已知的电话号码联系金融机构。留意新设备登录提醒、密码重置、转发规则、陌生应用，以及自称调查人员的后续来电。点击钓鱼链接后的处置步骤可以帮你区分凭据暴露和设备暴露。

如何避免信任网页提供的恶意命令？

网站把任务转移到浏览器之外时，先停下来。按快捷键前读完整条提示，也不要因为页面说命令“已验证”就认为它更安全。如果某项服务看起来被封锁，请在新标签页中打开它的官方网站，或通过你自己独立找到的渠道联系客服。

不要羞辱照着提示操作的人。ClickFix 的设计本来就是利用熟悉感和紧迫感。冷静、及时地报告，能让雇主、学校或家人有更多时间隔离设备、保护账号。

总结

假 CAPTCHA 骗局要求的是系统操作，而真正的浏览器验证并不需要这种操作。
ClickFix 攻击链依赖剪贴板，以及用户亲手执行攻击者控制的文字。
处置从实际暴露程度开始：看到、复制、执行，或执行后又输入了凭据。
账号恢复要在可信设备上进行；设备调查另行开展。
记住行为规则，而不是某个 CAPTCHA 的 Logo 或某种诱饵。

常见问题

真 CAPTCHA 会要求打开 PowerShell 或终端吗？

不会。正规的 CAPTCHA 没有理由要求你打开“运行”、PowerShell、命令提示符、终端或其他系统命令工具。请离开页面，并通过自己独立打开的官方网站核实该服务。

只看到页面就代表感染吗？

不一定。仅浏览页面的暴露程度，低于下载或执行页面上的指令。请检查是否有意外下载或权限变化，但不要认定页面本身就能证明设备已被感染。

复制了命令但没有粘贴怎么办？

用无害的文字覆盖剪贴板内容，然后关闭页面。检查下载和浏览器权限；如果那段文字从未运行，最关键的执行边界就没有被跨过。

能粘贴到安全的地方检查吗？

不要。把攻击者控制的文字粘贴到命令行、自动化工具、在线服务或共享的工作环境中，都可能造成新的暴露。请改为保存页面地址或一张安全的截图，交给合格的响应人员在不执行的前提下检查。

浏览器一定会出现安全警告吗？

不会。这类社会工程页面可能被正常显示，危险的一步发生在用户按指示到浏览器之外操作时。没有出现警告，并不能说明页面要求的动作是安全的。

执行后需要修改所有密码吗？

优先处理在受影响设备上输入过、显示过、保存过或使用过的密码，从主邮箱和金融账号开始。请在可信设备上操作，撤销会话并检查恢复方式；在可能已被控制的电脑上改密码，可能会让新密码也暴露。

ClickFix 后一定要恢复出厂吗？

不一定。这取决于是否有东西被执行、它获得了什么权限、调查发现了什么，以及设备有多敏感。如果以管理员权限执行过、系统出现持久性改动或设备上有高价值工作数据，重装系统可能是更稳妥的选择。

Mac 也会遇到同样骗局吗？

会。工具名称和提示有所不同，但微软描述过跨平台的 ClickFix 活动。通用的警示信号是：网页要求你运行系统命令或批准异常的访问权限。

免责声明：本文提供一般网络安全教育，不能替代专业的事件响应、法律或金融建议。

来源

Australian Cyber Security Centre — ClickFix distributing Vidar Stealer via WordPress targeting Australian infrastructure — https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/clickfix-distributing-vidar-stealer-via-wordpress-targeting-australian-infrastructure
Microsoft Security Blog — Think before you ClickFix: Analyzing the ClickFix social engineering technique — https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
Proofpoint — Security Brief: ClickFix social engineering technique floods threat landscape — https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape

Sources checked 2026 年 8 月 28 日。

延伸阅读：

什么是假 CAPTCHA 骗局？识别 ClickFix 并按暴露程度处理