浏览器嵌套式钓鱼（Browser-in-the-Browser，简称 BitB）是一种在普通网页内部画出假浏览器或假登录窗口的技术。仿冒的窗口可能包括标题栏、地址栏、锁形图标、熟悉的身份提供商品牌，以及看似属于真实 OAuth 或 SSO 弹窗的按钮。但它仍然只是网页中渲染的内容，既不能控制外层浏览器地址栏，也不会与所显示的名称建立可信连接。

这种攻击利用了一个原本有用的习惯：很多人预期会弹出一个独立的“使用……登录”窗口，于是只检查这个小窗口，而不是打开它的那个页面。现代 HTML 和 CSS 能让仿冒效果非常逼真。微软把 BitB 描述为在恶意页面内模拟合法浏览器窗口的技术，并可与其他钓鱼流程配合使用。［1］

关键要点

网页内画出的任何登录窗口，在你用浏览器控制的界面元素核实真实来源之前，都应视为不可信。

真正的独立弹窗可以独立移动、出现在浏览器的窗口切换器中，其地址由浏览器而非下方网页控制。

密码管理器、passkey 和抗钓鱼 MFA 能降低风险，但都不能把未经核实的页面变成可信页面。

应对取决于实际发生了什么：只看到仿冒窗口，与输入凭据、批准 MFA 或下载或执行文件不同。

浏览器嵌套式钓鱼怎样运作？

攻击者先把访客带到自己控制的页面，常见途径是消息、广告、假文档、搜索结果或被盗账号。页面提供一个看似合理的操作，例如查看共享文件、加入会议、确认发票或进入工作门户。当访客选择熟悉的登录服务商时，JavaScript 就在页面上方显示一个仿冒窗口。

仿冒窗口可以在页面内移动，并匹配操作系统的主题。它的地址和锁形图标只是图画，因此可以显示与官方一模一样的拼写，却根本没有连接到该服务。

凭据提交之后，页面可能显示错误、把受害者转到真实服务、索要 MFA 批准，或把数据转交给另一个钓鱼系统。MITRE 把鱼叉式钓鱼链接归类为诱导目标访问攻击者基础设施的链接；BitB 窗口可以是到达后看到的欺骗界面。［2］视觉伎俩和投递渠道是攻击的两个独立部分。

怎样辨别假窗口和真实登录弹窗？

不要依赖颜色、Logo、拼写、锁形图标或窗口里显示的域名，而要测试哪些部分属于浏览器、哪些属于网页。最重要的参照是外层浏览器地址栏，它显示的是绘制整个内容区的那个页面的来源。

试着把所谓的弹窗拖出页面边缘。假元素无法离开所在的标签页，不过精心设计的页面可能让这一测试不那么明显。用操作系统切换窗口：真正独立的浏览器窗口通常会作为另一个窗口出现，网页元素则不会。缩放或最小化外层窗口，观察这个“弹窗”是否仍被困在里面。

平时会为真实服务商自动填充的密码管理器，可能因为实际来源不同而拒绝填充。遇到这种情况就停下，不要为了绕过警告而粘贴密码。

检查点	BitB 仿冒窗口	真实 OAuth 或 SSO 弹窗
小窗口里显示的地址	由网页绘制，可以写任何内容	由浏览器控制，显示弹窗的真实来源
与外层标签页的关系	被困在页面内容区内	拥有自己浏览上下文的独立浏览器窗口
窗口切换	通常不会作为独立窗口出现	通常会作为独立的浏览器窗口出现
密码管理器匹配	匹配攻击者页面的真实来源，而非画出来的域名	能匹配身份提供商的真实来源
安全核实	关闭它，从可信书签或 App 打开服务	仍要核实真实来源和所请求的权限

各浏览器的界面不同，所以最可靠的检查是放弃对方提供的路径，独立打开已知的服务。正当的任务也应能在其官方 App 或账号门户中看到。

BitB 与 clickjacking、AiTM 有何不同？

这些攻击可能同时出现，但依赖的机制不同。BitB 在攻击者控制的页面里画出逼真的浏览器形状界面。Clickjacking 则隐藏或覆盖一个真实的可交互元素，使点击触发的动作与用户以为的不同。BitB 表单可以完全是假的，并不需要任何隐藏的真实按钮。

中间人攻击（AiTM）钓鱼系统会代理真实的登录交互，并可能截获凭据、Cookie 或会话材料。它的页面可能看起来像服务商，也可能使用仿冒域名，但其本质特征是中继认证流量，而不是画出来的窗口边框。会话劫持是随后对有效会话的滥用，可以通过许多与 BitB 无关的途径发生。

技术	核心欺骗或能力	主要核实什么
浏览器嵌套式钓鱼	在页面中渲染假浏览器边框和登录表单	外层地址栏和真实来源
真实 OAuth/SSO	真正的服务商窗口要求认证或授权同意	服务商来源、应用身份和所请求的权限
Clickjacking	被隐藏或伪装的真实控件接收了点击	意外的覆盖层、页面嵌套和所请求的动作
AiTM/会话钓鱼	攻击者中继登录并可能截获会话材料	独立打开账号，查看登录提醒和活跃会话

提交给假表单的密码必须修改。被中继的会话可能需要撤销，不想要的 OAuth 同意则需要移除应用授权。从你实际输入或批准了什么开始处理。

输入凭据前，怎样检查浏览器地址栏？

只要页面在意外链接之后自己弹出登录窗口，就先暂停。读取外层地址栏中的可注册域，而不是子域名里像品牌名的词。关闭页面，通过书签、手动输入的网址或官方 App 进入该机构。对于工作上的请求，通过已知渠道询问发件人，或用你已有的联系方式联系服务台。

不要使用可疑页面上的支持联系方式，也不要为你并未独立发起的登录批准 MFA。

除了域名，还要检查任务本身。真实的身份提供商也可能被用来为陌生应用请求授权同意。正确的服务商来源只能证明认证发生在哪里，不能证明每个请求授权的应用或权限都合适。批准前，请看清应用名称、发布者信息、所用账号和所请求的访问范围。

密码管理器、Passkey 和 MFA 能阻止 BitB 钓鱼吗？

密码管理器之所以有用，是因为它把保存的凭据与来源关联起来。如果它没有提供预期的登录信息，真实来源可能并不匹配。这是停下来的有力理由，但密码管理器无法评估每一种流程，用户手动复制密码也会让这层保护失效。

Passkey（通行密钥）被设计为与依赖方绑定，能在错误的网站上抵抗凭据重放。基于 FIDO 等抗钓鱼的认证方式，比验证码或简单的推送批准提供更强的保护。CISA 推荐抗钓鱼 MFA，因为它能阻止常见的截获或重放认证机密的企图。［3］不过，可用性、账号恢复、登记流程和设备被入侵仍然重要。用户也可能被诱骗在真实服务上授权另一个动作。

基于验证码的 MFA 仍可被实时钓鱼，推送 MFA 也可能被误导性提示滥用。即使有第二因素，也要核实动作和来源。

与假登录窗口互动后怎么办？

按实际发生的最高暴露级别处理。保存原始网址、消息、大致时间和下载的文件名，但不要仅为截图而重新访问页面。

暴露级别	立即行动	后续检查
只看到页面	关闭标签页，不授予任何权限	举报链接；检查浏览器是否自动下载了内容
输入了凭据	通过可信入口修改密码并撤销活跃会话	所有其他复用该密码的服务都要改密；检查恢复资料、转发规则和近期登录
批准了 MFA 或授权同意	拒绝后续提示；撤销会话和不需要的应用授权	联系服务管理员并检查账号活动
下载或执行了文件	停止用该设备登录敏感账号；怀疑正被入侵时断开网络	使用可信的安全检查或专业支持；从干净设备保护账号

如果涉及工作账号，即使已经改了密码也要尽快报告。日志能帮助防御人员识别登录、令牌、收件箱规则、已连接应用和其他受影响的用户。如果提交了金融资料，请通过可信号码联系金融机构。如果安装了软件或浏览器扩展，请把设备风险与账号风险分开处理。

机构怎样降低浏览器嵌套式攻击风险？

对敏感账号使用抗钓鱼认证，限制有风险的旧式登录方式，并让正当的登录流程可预期。用户应该知道预期的身份提供商、域名和应用授权页面是什么样的。高风险授权和新应用应接受额外审查。

控制措施可以封锁已知的恶意目标，监控则能发现异常登录、会话、授权同意和收件箱规则。举报机制应让人无需先说出技术名称就能标记可疑页面。培训应在不依赖某一种操作系统的前提下，区分浏览器控制的界面与网页内容。网络安全指南、钓鱼网站识别和钓鱼攻击防护提供了更广泛的账号和恢复背景。

总结

浏览器嵌套式钓鱼通过在不可信网页中画出看似可信的登录窗口得手。窗口里的文字和锁形图标都不能证明身份。请核实外层浏览器地址栏和真实来源，或者退出流程、独立打开服务。密码管理器、passkey 和抗钓鱼 MFA 能增加有价值的屏障，但事后仍要按凭据、授权、会话及下载的暴露程度处置。

常见问题

假 BitB 窗口能显示正确域名吗？

能。假窗口里的域名只是普通网页内容，攻击者可以显示与官方完全一致的拼写和锁形图标。只有浏览器控制的界面才能报告窗口的真实来源。

HTTPS 能证明登录弹窗真实吗？

不能。HTTPS 保护的是与你所到达域名之间的连接。攻击者可以在欺骗性域名上使用 HTTPS，而画出来的地址栏根本不是浏览器的安全指示。

可拖动就代表弹窗真实吗？

不一定。JavaScript 可以让网页元素在页面内被拖动。更有力的线索是：它能否移出外层页面、是否作为独立窗口出现，以及来源信息是否由浏览器控制。

密码管理器一定能识别 BitB 吗？

它常能因来源不对而拒绝填充，从而提供帮助，但它不是万能的检测器。在没有独立打开正确服务之前，绝不要手动粘贴凭据来绕过不匹配提示。

Passkey 能阻止所有钓鱼吗？

Passkey 与预定的依赖方绑定，因此对凭据钓鱼有很强的抵抗力。但它不能阻止所有社会工程、授权诱骗、账号恢复、恶意软件或设备已被入侵的情况。

BitB 与假浏览器更新相同吗？

不同。BitB 在页面内模仿浏览器或登录窗口；假浏览器更新通常是催促用户下载或运行软件。同一次攻击活动可能同时使用两种手法，但所要求的操作和应对方式不同。

输入密码但 MFA 挡住登录，还要改密码吗？

仍然要改，并撤销会话、检查账号活动。密码已经暴露，以后可能被再次使用、拿去尝试其他服务，或与针对你恢复流程的其他攻击结合。

应该自己调查钓鱼页面吗？

不应该。保存网址和原始消息，然后通过可信渠道举报。重新打开页面可能触发新的跳转、下载或追踪，对普通用户的处置也很少有必要。

本文提供一般安全信息，不是针对具体事件的应急响应或法律意见。

来源

Microsoft Security Blog — https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/
MITRE ATT&CK — https://attack.mitre.org/techniques/T1598/003/
CISA — https://www.cisa.gov/sites/default/files/2023-01/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf

Sources checked 2026 年 8 月 28 日。

什么是浏览器嵌套式钓鱼（Browser-in-the-Browser）？