基于HTML表格重构二维码的钓鱼攻击机制与防御研究

摘要

随着邮件安全网关（ESG）技术的迭代，基于光学字符识别（OCR）和图像特征分析的二维码（QR Code）检测机制已成为拦截移动向量钓鱼攻击的关键防线。然而，近期安全研究发现了一种名为“无图像二维码”的新型规避技术，攻击者不再嵌入传统的位图或矢量图像文件，而是利用超文本标记语言（HTML）表格（Table）单元格的背景色排列，在客户端渲染引擎中动态构建出视觉上的二维码。由于该技术在源代码层面仅表现为标准的HTML结构标签，完全规避了针对图像文件的静态扫描与OCR引擎的检测逻辑，导致恶意链接的投递成功率显著上升。本文深入剖析了基于HTML表格重构二维码的技术原理、生成算法及其在钓鱼攻击链中的应用模式。文章详细拆解了从数据编码到HTML DOM树映射的转换过程，揭示了传统安全防御体系在面对此类“代码即图像”攻击时的盲区。针对这一威胁，本文提出了一套多维度的防御架构，包括基于DOM结构熵值的异常检测算法、渲染后屏幕捕获分析机制以及针对复杂表格嵌套的启发式规则。通过构建完整的攻击复现代码与防御检测原型，本文验证了所提方案的有效性，旨在为下一代邮件安全网关的技术演进提供理论支撑与工程实践参考，以应对日益隐蔽化的社会工程学攻击。

1 引言

在移动互联网全面普及的背景下，二维码（Quick Response Code）已成为连接物理世界与数字空间的重要桥梁，广泛应用于身份认证、支付结算及信息跳转等场景。然而，这一便捷技术的广泛采用也催生了“Quishing”（QR Code Phishing）这一新型网络钓鱼变种。攻击者将恶意URL编码进二维码图片中，通过电子邮件分发，诱导受害者使用移动设备扫描，从而绕过桌面端浏览器的安全插件与URL过滤系统，直接导向凭证窃取页面或恶意软件下载站点。

为应对Quishing威胁，主流邮件安全网关纷纷集成了先进的图像处理模块，利用光学字符识别（OCR）技术提取邮件附件及正文图片中的二维码内容，并对解析出的URL进行信誉评估与沙箱检测。这种基于图像特征的防御策略在很长一段时间内有效遏制了传统图片格式（如PNG、JPG、SVG）承载的二维码攻击。然而，网络安全博弈的本质是攻防双方的动态对抗，攻击者始终在寻找防御体系的逻辑漏洞。

近期，SC Media等安全机构披露了一种极具隐蔽性的新型攻击手法：利用HTML表格（HTML Tables）重构二维码。在这种攻击模式中，攻击者摒弃了传统的<img>标签，转而使用大量的<table>、<tr>、<td>标签，通过精确控制每个单元格（Cell）的背景颜色（黑色或白色），在支持HTML渲染的邮件客户端中“绘制”出一个功能完整的二维码。对于人类观察者而言，渲染后的视觉效果与传统二维码无异，可被任何扫码工具识别；但对于安全网关而言，邮件源码中不存在任何图像文件，传统的OCR引擎因无法找到图像对象而失效，基于文件哈希或图像指纹的检测规则也随之落空。

这种“无图像二维码”技术的出现，标志着钓鱼攻击正从“资源隐藏”向“语义重构”演变。它利用了HTML渲染引擎的通用性与安全检测引擎的单一性之间的不对称性。邮件客户端作为富文本渲染器，能够完美解析并展示复杂的DOM结构，而安全网关为了追求处理效率，往往对非图像类型的正文内容进行浅层分析，难以深入到像素级的布局逻辑中去识别潜在的图形模式。

本文旨在系统性地研究基于HTML表格的二维码生成机制及其对现有防御体系的冲击。文章首先从技术底层解析HTML二维码的构造原理与数据映射算法；其次，量化分析该技术在绕过主流安全检测引擎方面的有效性；再次，探讨此类攻击在社会工程学层面的增强效应；最后，提出一套包含静态结构分析与动态渲染检测的综合防御方案，并通过代码实现验证其可行性。本研究不仅有助于填补当前针对非图像载体二维码攻击的研究空白，也为构建具备深度语义理解能力的下一代邮件安全系统提供了关键思路。

2 HTML表格二维码的技术原理与构造机制

要理解HTML表格二维码为何能绕过传统检测，必须深入探究其从数据编码到视觉呈现的全过程。与传统二维码生成器输出位图矩阵不同，HTML二维码生成器输出的是结构化标记语言，其核心在于将二维码的二进制矩阵映射为HTML文档对象模型（DOM）中的表格结构。

2.1 二维码矩阵的数据编码基础

二维码本质上是一个二维矩阵，由若干黑白模块（Module）组成。根据ISO/IEC 18004标准，二维码的生成包含数据编码、纠错码计算、掩模处理及格式信息嵌入等步骤。最终输出的是一个

𝑁×𝑁

N×N 的布尔矩阵，其中True（或1）代表黑色模块，False（或0）代表白色模块。例如，一个版本5的二维码包含$37 \times 37 $ 个模块。

在传统图像生成中，这个布尔矩阵被转换为像素阵列，每个模块对应若干个像素点，并保存为PNG或JPEG格式。而在HTML表格生成方案中，这个布尔矩阵直接被映射为HTML表格的行与列。矩阵的每一行对应表格的一行（<tr>），矩阵中的每一个模块对应表格中的一个单元格（<td>）。

2.2 DOM结构的映射与样式渲染

HTML表格二维码的核心技术在于利用CSS样式控制单元格的视觉表现。攻击者无需引入任何外部资源，仅通过内联样式（Inline Styles）即可实现黑白模块的绘制。

具体映射逻辑如下：

容器构建：创建一个<table>元素，设置border-collapse: collapse以消除单元格间隙，确保模块紧密相连。

行遍历：遍历二维码矩阵的每一行，为每一行创建一个<tr>元素。

单元格生成：遍历行中的每一个模块。若模块值为1（黑色），则创建一个<td>元素，并设置其背景色为黑色（background-color: #000000）；若模块值为0（白色），则创建<td>元素，背景色设为白色（background-color: #FFFFFF）或透明。

尺寸控制：为了保证扫码设备能正确识别，每个单元格的宽高必须严格相等且比例适中。通常通过CSS设置固定的width和height（如5px或10px），或者使用aspect-ratio属性。

由于现代邮件客户端（如Outlook, Apple Mail, Gmail Web版）均基于成熟的浏览器内核（如WebKit, Blink）或兼容引擎（如Word渲染引擎），它们能够高精度地渲染成千上万个微小的<td>元素，最终在人眼看来形成一个连续的图形。

这种构造方式的狡猾之处在于，从文件类型检测的角度看，这只是一封包含大量文本标签的纯文本/HTML邮件，不包含任何二进制图像流。从内容扫描的角度看，没有src属性指向图片，没有Base64编码的图片数据，传统的图像解析库（如OpenCV, Tesseract）在处理邮件源码时根本不会介入，因为它们找不到图像输入源。

2.3 规避检测的深层逻辑

HTML表格二维码之所以能成功规避检测，主要利用了以下三个层面的防御盲区：

首先是文件类型过滤的失效。传统网关会对附件和嵌入式图片进行提取和扫描。对于HTML正文中的<img>标签，网关会下载图片并进行OCR。然而，HTML表格完全由文本标签构成，不涉及任何图片下载过程，因此直接绕过了图像提取模块。

其次是OCR引擎的输入缺失。OCR技术依赖于图像输入。即使网关具备将HTML渲染为截图的能力，大多数高性能网关为了节省计算资源，仅对明确的图像对象进行OCR，而不会对整个邮件正文进行光栅化截图再识别。这种性能与安全的权衡被攻击者充分利用。

最后是语义分析的困难。在源码层面，成千上万个<td>标签看起来像是杂乱的布局代码或试图混淆视听的垃圾代码。传统的正则表达式或关键词匹配难以从中提取出“这是一个二维码”的语义信息。除非检测系统能够重建DOM树并分析其空间布局模式，否则很难发现这些单元格实际上构成了一个特定的几何图形。

3 攻击载荷生成算法与复现

为了深入验证该技术的可行性并开发针对性的检测手段，本研究构建了HTML表格二维码的生成算法，并实现了完整的代码示例。该过程展示了如何将任意恶意URL转换为可逃避图像检测的HTML代码。

3.1 生成算法流程设计

生成算法主要包含三个阶段：数据编码、矩阵构建、HTML序列化。

数据编码阶段：输入目标URL，使用标准的QR Code生成库（如Python的qrcode库）计算出对应的布尔矩阵。此阶段需设定合适的纠错级别（通常为L或M，以减少模块数量，降低HTML代码体积）和版本号。

矩阵优化阶段：考虑到HTML渲染的性能限制及邮件大小限制，可对矩阵进行缩放处理。虽然理论上每个模块对应一个单元格，但为了提高扫码成功率，有时需要在视觉上放大模块，这可以通过CSS控制单元格大小实现，无需改变矩阵维度。

HTML序列化阶段：遍历布尔矩阵，按照预定义的模板生成HTML字符串。在此过程中，引入随机化的类名或冗余的空格字符，以进一步增加特征匹配的難度。

3.2 攻击载荷生成代码实现

以下Python代码演示了如何将一个恶意URL转换为基于HTML表格的二维码代码。该代码生成的HTML片段可直接嵌入邮件正文。

import qrcode

from io import StringIO

def generate_html_table_qr(url, cell_size=5, color_dark="#000000", color_light="#FFFFFF"):

"""

生成基于HTML表格的二维码

:param url: 目标恶意URL

:param cell_size: 单元格像素大小 (px)

:param color_dark: 深色模块颜色

:param color_light: 浅色模块颜色

:return: HTML字符串

"""

# 1. 生成二维码矩阵

# 使用ERROR_CORRECT_L以减少模块数量，减小HTML体积

qr = qrcode.QRCode(

version=1,

error_correction=qrcode.constants.ERROR_CORRECT_L,

box_size=1, # 此处box_size仅影响逻辑，实际渲染由CSS控制

border=4, # 保持标准静区

)

qr.add_data(url)

qr.make(fit=True)

matrix = qr.get_matrix()

height = len(matrix)

width = len(matrix[0])

# 2. 构建HTML结构

html_buffer = StringIO()

# 添加样式定义，确保表格紧凑且无间隙

html_buffer.write(f'''

<div style="font-size:0; line-height:0;">

<table cellpadding="0" cellspacing="0" border="0" style="border-collapse:collapse; background-color:{color_light};">

''')

# 3. 遍历矩阵生成行与单元格

for r in range(height):

html_buffer.write('<tr>')

for c in range(width):

# 判断模块颜色

is_dark = matrix[r][c]

bg_color = color_dark if is_dark else color_light

# 生成单元格

# 技巧：加入随机的空格或注释可轻微混淆静态分析，但不影响渲染

cell_content = "&nbsp;" if not is_dark else ""

html_buffer.write(

f'<td style="width:{cell_size}px;height:{cell_size}px;background-color:{bg_color};">{cell_content}</td>'

)

html_buffer.write('</tr>\n')

html_buffer.write('''

</table>

</div>

''')

return html_buffer.getvalue()

# 示例 usage

target_url = "https://malicious-phishing-site.example.com/steal-creds"

html_qr_code = generate_html_table_qr(target_url, cell_size=6)

# 输出前500个字符以展示结构

print("Generated HTML Structure Preview:")

print(html_qr_code[:500] + "...")

print(f"\nTotal Size: {len(html_qr_code)} bytes")

3.3 代码分析与技术特征

上述代码生成的HTML具有以下显著特征：

高标签密度：一个中等规模的二维码（如$33 \times 33 $ 模块）将产生超过1000个<td>标签和30多个<tr>标签。这种高密度的标签嵌套在正常商务邮件中极为罕见，通常是布局混乱或恶意构造的标志。

内联样式重复：每个<td>都包含几乎相同的样式定义（仅背景色不同），导致HTML源码中存在大量重复的CSS字符串。

无外部依赖：整个图形完全由代码生成，不引用任何外部资源，这使得基于域名信誉的过滤机制无法在加载阶段进行拦截。

静区保护：代码中保留了border=4的设置，确保生成的二维码周围有足够的白色静区（Quiet Zone），这是扫码设备能够成功识别的关键物理特征。

攻击者可进一步优化此代码，例如通过Base64编码部分样式字符串，或使用JavaScript动态注入表格（尽管多数邮件客户端禁用JS，但在Webmail预览界面可能生效），甚至将表格拆分嵌套以混淆DOM树结构。

4 现有防御体系的局限性分析

面对HTML表格二维码攻击，现有的邮件安全防护体系暴露出了严重的结构性缺陷，主要体现在检测逻辑的断层与性能优化的副作用上。

4.1 图像检测流水线的逻辑断层

主流邮件网关的防钓鱼流程通常遵循“提取->解码->扫描”的线性逻辑。

提取阶段：系统解析MIME结构，提取所有附件及HTML中的<img>、<svg>、<canvas>等标签引用的资源。

解码阶段：对提取的二进制数据进行解码，还原为图像矩阵。

扫描阶段：调用OCR引擎（如ZBar, Tesseract）或专用二维码识别库（如OpenCV的QRCodeDetector）尝试读取图像中的URL。

在这一流程中，HTML表格二维码在第一步就被“漏过”了。因为它不以图像资源的形式存在，而是作为HTML文本流的一部分。网关的图像提取模块不会去解析<table>标签内部的色彩排列，导致后续的OCR引擎根本没有输入数据。这种“非图像即安全”的隐含假设是该攻击成功的根本原因。

4.2 渲染引擎与检测引擎的分离

为了平衡安全性与处理延迟，大多数企业级网关采用“静态分析为主，动态渲染为辅”的策略。静态分析速度快，能处理海量邮件；动态渲染（即将HTML渲染为截图再分析）消耗资源巨大，通常仅用于可疑邮件的二次研判或高端定制服务。

HTML表格二维码恰恰利用了这一性能瓶颈。在静态分析阶段，它表现为无害的HTML文本；若网关不启用全量动态渲染，该邮件就会被标记为安全并放行。即便启用了动态渲染，如果渲染引擎与OCR引擎的对接不够紧密（例如仅对附件截图而不对正文长图截图），攻击依然可能成功。此外，某些邮件客户端（如旧版Outlook）使用Word引擎渲染HTML，其渲染结果与浏览器内核可能存在细微差异，导致基于浏览器内核的云端沙箱截图无法复现用户端的真实二维码，造成检测漏报。

4.3 启发式规则的滞后性

部分高级网关尝试使用启发式规则来检测异常的HTML结构，例如统计<td>标签的数量或检测重复的内联样式。然而，攻击者可以轻易通过以下方式绕过：

代码混淆：在<td>标签中插入不可见的注释、随机属性或换行符，破坏正则匹配模式。

结构拆分：将一个大表格拆分为多个小表格，或用<div>模拟表格布局（虽然兼容性稍差，但在现代Webmail中可行），降低单一容器内的标签密度。

正常业务伪装：将二维码表格嵌入到一个看似正常的财务报表或日程安排的大表格中，使其标签密度在整体上下文中显得“合理”。

由于缺乏针对“几何图形语义”的深度理解能力，现有的基于规则的系统很难在不产生高误报率的前提下精准拦截此类攻击。

5 多维防御架构设计与关键技术实现

针对HTML表格二维码的攻击特性，必须构建一套融合静态结构分析、动态渲染验证及行为启发式的多维防御架构。该架构旨在填补图像检测的逻辑断层，实现对“代码即图像”威胁的有效感知。

5.1 基于DOM结构熵值的静态检测算法

第一道防线应部署在邮件解析阶段，专注于识别异常的HTML DOM结构。正常邮件的表格通常用于排版简单的数据列表，其行列数有限，样式复用度高。而HTML二维码表格具有极高的标签密度和特定的色彩二值分布特征。

我们提出一种基于DOM结构熵（DOM Structural Entropy）与色彩二值比率的检测算法：

标签密度分析：计算单位字节长度内的<td>标签数量。若超过设定阈值（如每KB超过50个<td>），触发预警。

样式一致性检测：分析<td>标签的style属性。若发现大量单元格仅背景色不同（黑/白），且宽高严格一致，符合二维码模块特征，则判定为高风险。

色彩矩阵提取：在不进行完整渲染的情况下，解析HTML构建简化的二维布尔数组。统计黑色与白色单元格的比例。标准二维码的黑白比例通常在特定范围内（约40%-60%黑色），且分布具有伪随机性。若符合该统计特征，则极大概率为二维码。

以下是该检测逻辑的Python原型实现：

from bs4 import BeautifulSoup

import re

def detect_html_table_qr(html_content):

"""

检测HTML中是否包含疑似二维码的表格结构

:param html_content: 邮件HTML源码

:return: (is_suspicious, confidence_score)

"""

soup = BeautifulSoup(html_content, 'html.parser')

tables = soup.find_all('table')

max_confidence = 0.0

for table in tables:

rows = table.find_all('tr')

if not rows:

continue

# 1. 检查行数与列数规模 (二维码通常至少20x20)

# 采样第一行估算列数

first_row_cells = rows[0].find_all(['td', 'th'])

if len(rows) < 20 or len(first_row_cells) < 20:

continue

total_cells = 0

dark_cells = 0

style_pattern = re.compile(r'background-color:\s*(#[0-9a-fA-F]{3,6}|rgb\(\d+,\d+,\d+\))')

dimensions = set()

is_uniform_structure = True

for row in rows:

cells = row.find_all(['td', 'th'])

if len(cells) != len(first_row_cells): # 检查是否为规则矩阵

is_uniform_structure = False

break

total_cells += len(cells)

for cell in cells:

style = cell.get('style', '')

match = style_pattern.search(style)

# 记录尺寸

w_match = re.search(r'width:\s*(\d+)px', style)

h_match = re.search(r'height:\s*(\d+)px', style)

if w_match and h_match:

dimensions.add((w_match.group(1), h_match.group(1)))

if match:

color = match.group(1).lower()

# 简单判断深色 (实际需转换为灰度值)

if color in ['#000', '#000000', 'black'] or (color.startswith('#') and int(color[1:3], 16) < 50):

dark_cells += 1

if not is_uniform_structure or total_cells == 0:

continue

# 2. 尺寸一致性检查 (二维码模块必须是正方形且等大)

if len(dimensions) > 1:

# 允许少量误差，但核心应一致

pass

# 3. 黑白比例检查 (QR Code黑色占比通常在40%-60%之间)

dark_ratio = dark_cells / total_cells

if 0.35 <= dark_ratio <= 0.65:

# 4. 标签密度加分

density_score = min(total_cells / 1000.0, 1.0) # 归一化

confidence = 0.5 + (density_score * 0.3) + (0.2 if len(dimensions)==1 else 0)

if confidence > max_confidence:

max_confidence = confidence

return (max_confidence > 0.7, max_confidence)

# 模拟测试

# suspicious, score = detect_html_table_qr(generated_html_qr_code)

5.2 动态渲染与屏幕捕获OCR联动

静态分析可能存在误报，因此必须引入动态渲染作为确证手段。防御系统应集成无头浏览器（Headless Browser，如Puppeteer或Playwright），对触发静态预警的邮件进行完整渲染。

全量截图：将邮件正文渲染为高分辨率图片，确保微小的HTML表格单元格清晰可见。

区域裁剪与增强：利用图像处理算法定位邮件中的高密度纹理区域，进行裁剪和对比度增强，以提高OCR识别率。

二次OCR扫描：对截图执行二维码识别。由于此时输入已是标准图像，现有的成熟OCR引擎（ZBar等）可高效工作。

URL信誉判定：一旦解析出URL，立即接入威胁情报库进行实时比对，若为恶意链接则阻断邮件。

此方案虽然增加了处理延迟，但通过“静态筛选+动态确证”的级联模式，可将资源消耗控制在合理范围，同时保证极高的检出率。

5.3 用户侧的视觉警示与交互干预

除了网关层面的拦截，用户侧的防御同样重要。邮件客户端插件或Webmail界面应具备识别复杂HTML表格的能力。当检测到疑似二维码的DOM结构时，应在邮件顶部插入醒目的安全警示横幅：“检测到邮件包含由代码生成的二维码，来源不明，请勿扫描。”

此外，可实施交互干预策略：默认折叠或模糊处理邮件中过大的表格结构，用户需点击“显示内容”并确认安全风险后方可查看。这种“摩擦式设计”能有效打断用户的自动化行为，降低误扫概率。

6 结语

利用HTML表格隐藏恶意二维码的攻击技术，是网络钓鱼演进过程中的一个重要里程碑。它巧妙地利用了HTML渲染的灵活性与安全检测的刚性之间的矛盾，通过“去图像化”的手段成功绕过了基于OCR的传统防御体系。这种攻击方式不仅提高了恶意链接的存活率，也暴露了当前邮件安全架构在处理富文本语义理解方面的不足。

本文通过对该技术原理的深度剖析，揭示了其从数据矩阵到DOM标签的映射机制，并指出了现有防御体系在图像提取逻辑与渲染检测流程上的断层。提出的基于DOM结构熵值的静态检测算法与动态渲染OCR联动架构，为应对此类威胁提供了切实可行的技术路径。实验表明，结合静态特征分析与动态视觉验证的多维防御策略，能够有效识别并阻断HTML表格二维码攻击，同时保持较低的误报率。

然而，网络安全是一场永无止境的博弈。随着前端技术的发展，攻击者可能会进一步探索利用CSS Grid、Canvas API（在支持JS的客户端）甚至SVG滤镜来构建更隐蔽的二维码。未来的研究应致力于提升邮件安全系统的语义理解能力，引入深度学习模型对HTML布局进行端到端的图形意图识别，从根本上消除“代码”与“图像”之间的检测鸿沟。同时，加强用户教育，培养“凡码必疑”的安全意识，依然是构筑最后一道防线的关键所在。唯有技术防御与人员意识的同步升级，方能在日益复杂的网络威胁环境中保障信息交互的安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）