【安全圈】开发文档里的示例域名被用于攻击,假人机验证诱导执行命令

关键词

安全公司 Manifold 于 2026 年 9 月 23 日披露，长期出现在开发文档和代码示例中的 third-party[.]com 域名，正在向 Windows 用户展示伪造的 Cloudflare 人机验证页面。

这个域名常被当作“第三方网站”的占位符使用，但它并不是专门保留的示例域名，而是可以由实际持有者控制内容的普通域名。

研究人员发现，攻击页面会伪装成安全检查，诱导用户把剪贴板内容粘贴到系统运行窗口并执行。剪贴板中的内容实际是用于获取、执行远程脚本的命令。这类利用虚假验证或报错提示，诱骗用户亲手运行命令的手法，被称为 ClickFix。

页面还会根据访问者的操作系统展示不同内容：Windows 用户看到攻击诱饵，其他系统则可能只看到“不支持当前系统”的提示，增加了检查时漏判的可能。

BleepingComputer 随后确认了该伪造页面，但在其测试时，后续载荷域名已无法解析，攻击链暂时中断。报道也明确指出，尚无报告证明这些文档引用已经导致开发者设备实际中招。

对于普通用户，遇到要求打开系统运行窗口、粘贴并执行命令的“人机验证”，应停止操作。

对于文档作者，示例地址应使用 example.com、example.org 等专门保留的域名。IANA 明确说明，这些域名用于文档示例，不能被普通用户注册或转让；同时，也不应让生产应用依赖它们提供实际服务。