釣魚檢測機制已失效：為何大多數攻擊都像零日漏洞般難以防范
一、釣魚攻擊威脅持續升級
2025年，釣魚攻擊仍是企業面臨的重大安全挑戰。隨著攻擊者越來越多地采用基于身份驗證的技術而非軟件漏洞利用，釣魚攻擊的威脅程度甚至超過以往。如今繞過多因素認證（MFA）的釣魚工具包已成常態，能夠竊取受短信驗證碼、一次性密碼（OTP）和推送驗證保護的賬戶，在預防措施失效的情況下，檢測系統承受著持續壓力。
釣魚檢測的核心困境在于：基于行業通用的釣魚頁面識別指標（IoC），幾乎每個釣魚攻擊都使用獨特的域名、URL、IP地址、頁面結構、目標應用等組合。實質上，每次釣魚攻擊都是全新的——甚至可稱之為"零日攻擊"（這說法可能令人倒吸涼氣）。本文目的并非夸大釣魚威脅，而是揭示當前檢測機制的缺陷。如果每次釣魚攻擊都像零日漏洞，說明我們的檢測方法存在根本性問題。
二、釣魚檢測基礎原理
典型釣魚攻擊流程包含三個環節：攻擊者向用戶發送惡意鏈接→用戶點擊加載惡意頁面→該頁面通常是特定網站的登錄門戶，旨在竊取受害者賬戶憑證。當前檢測機制主要依賴由已確認的惡意頁面指標（IoC）組成的黑名單，這些指標包括攻擊中出現的惡意域名、URL和IP地址。
安全廠商通過多種渠道收集IoC數據，但前提是該惡意頁面必須已被用于實際攻擊。這意味著需要潛在受害者與之交互——要么上當受騙，要么舉報可疑行為。頁面被標記后，安全人員或自動化工具會進行調查分析，確認存在惡意內容后將其IoC加入黑名單。這些信息隨后通過威脅情報渠道傳播，最終集成到安全郵件網關（SEG）、安全Web網關（SWG）等網絡層防護系統中。
這種機制存在根本缺陷：要檢測攔截釣魚頁面，必須先有受害者遭遇攻擊...
三、攻擊者如何制造"全新"釣魚攻擊
現代攻擊者深諳釣魚檢測的三大弱點：(1)依賴域名/URL/IP黑名單 (2)部署在郵件和網絡層 (3)需先訪問分析頁面才能攔截。這些十年未變的方法已被攻擊者輕松規避。
1. 輕松繞過IoC檢測
釣魚域名本身具有高度可棄性：攻擊者批量購買域名、劫持合法網站，并預設域名會被封殺。現代釣魚架構還能動態輪換特征元素——例如從持續更新的鏈接池分配不同URL給每個點擊者，甚至采用一次性魔法鏈接（使后續安全調查無法復現）。當域名被標記為惡意時，攻擊者只需注冊新域名或入侵受信任的WordPress服務器即可，這兩種手段目前已被大規模使用。
2. 多渠道攻擊規避郵件檢測
攻擊者采用跨平臺組合攻擊規避郵件檢測：通過即時通訊、社交媒體、惡意廣告或可信應用發送信息。例如先在社交平臺發送含鏈接的"無害"PDF，最終導向惡意網頁。郵件安全方案雖有發件人信譽評估和DMARC/DKIM等檢查，但無法直接識別惡意頁面。深度郵件內容分析也僅能發現可疑鏈接，對跨媒介攻擊束手無策。
3. 阻止安全分析的手段
現代釣魚頁面已非靜態HTML，而是通過JavaScript動態渲染的Web應用，使基礎靜態檢測失效。為應對沙箱分析，攻擊者部署驗證碼或Cloudflare Turnstile等機器人防護。即使突破這些防護，還需提供正確的URL參數、請求頭并執行JavaScript才能觸發惡意內容。此外，攻擊者還混淆視覺和DOM元素以規避特征檢測。
四、事后檢測模式亟待變革
這些規避技術導致實時釣魚檢測幾乎不存在。基于代理的解決方案最多能通過用戶交互產生的網絡流量檢測惡意行為，但由于TLS加密后網絡請求重構的復雜性，這種檢測存在延遲且不可靠。從頁面被標記到IoC分發至黑名單，通常需要數天甚至數周——這就是為何大多數釣魚攻擊都能"全新"出現：當前檢測本質是事后追溯（post mortem），依賴已知惡意指標。而指標被標記為惡性的前提，恰恰是有用戶已上當...
五、瀏覽器安全：釣魚防御新戰線
終端安全的發展歷程為我們指明方向：2000年代末期，當終端攻擊激增時，依賴網絡檢測、文件特征分析和沙箱運行的防御方式，最終被端點檢測與響應（EDR）技術取代。EDR通過實時監控操作系統活動實現了有效防護。
當前我們面臨相似轉折點：現代釣魚攻擊發生在瀏覽器訪問的網頁上，而依賴郵件、網絡甚至終端的檢測工具都缺乏必要能見度。瀏覽器已成為新的操作系統——既是主要工作場景，也是攻擊發生地。
要實現有效防護，必須能在用戶訪問時實時觀察頁面內容（而非沙箱環境），才能建立基于戰術技術流程（TTP）而非易變IoC的檢測體系。
六、瀏覽器擴展防護實戰對比
攻擊者入侵WordPress獲取可信域名后部署釣魚工具包，向員工發送含惡意鏈接的郵件。傳統SWG或郵件掃描方案在沙箱檢測時，釣魚工具會重定向至無害頁面通過檢查。最終用戶可自由訪問釣魚頁面，輸入憑證和MFA代碼導致賬戶淪陷。
而部署瀏覽器安全擴展后，系統能實時檢測到：用戶輸入的密碼曾用于其他網站（密碼重用或正被釣魚）、頁面克隆自合法登錄頁、頁面運行著釣魚工具包。隨即阻止用戶繼續交互，從根本上阻斷攻擊。
這種防護機制使攻擊者難以規避——當用戶無法在釣魚頁面輸入憑證時，攻擊自然失效。
