Kjean13/stealerxhunter

默认模式为观察（Observe）模式。Linux 阻断模式需要操作员显式执行操作。 Windows 在功能上与 Linux 并不等效，并且在 V1.0.0 版本中不提供独立于 Defender 的预读文件阻断功能。 ## 目录 - [SxH 保护范围](#what-sxh-protects) - [架构](#architecture) - [Linux 执行路径](#linux-enforcement-path) - [平台状态](#platform-status) - [原生验证证据](#native-validation-evidence) - [快速入门](#quickstart) - [控制台与直接命令](#console-and-direct-commands) - [评分模型](#scoring-model) - [受保护的机密类别](#protected-secret-families) - [安全属性](#security-properties) - [仓库导航图](#repository-map) - [测试与虚拟机验证](#tests-and-vm-validation) - [贡献](#contribute) - [技术参考](#technical-references) ## SxH 保护范围 SxH 是一款 GPLv3 主机工具，专注于解决一个棘手难题：减少本地凭证、浏览器会话存储、私钥、钱包素材以及开发者机密的自动化窃取行为。 Linux 阻断守护进程会在受保护的 `open()` 操作完成之前评估**路径和进程元数据**。它不会读取受保护文件的内容。对于高可信度的请求，可以在请求进程接收到可读的文件描述符之前将其拒绝。 其旨在应对的威胁类型，主要是常见的窃取木马和自定义脚本所使用的本地信息收集阶段： ``` enumerate known secret paths -> open browser databases, token stores or private keys -> copy or package collected material -> exfiltrate later ``` SxH 并非通用的 EDR、防病毒引擎、DLP 平台或网络防火墙。 其作用范围主要映射到凭证存储和不安全凭证收集模式，例如 MITRE ATT&CK 的 [T1555](https://attack.mitre.org/techniques/T1555/)、 [T1555.003](https://attack.mitre.org/techniques/T1555/003/) 和 [T1552](https://attack.mitre.org/techniques/T1552/)。 ## 架构 ``` flowchart LR O[Operator or CI] --> CLI[sxh console and direct commands] subgraph L[Linux - Primary V1 platform] CLI --> LB[Linux backend] LB --> SD[systemd services] SD --> BD[sxh_blockd.py] BD --> PE[sxh_policy.py] PE --> TC[SHA-256 trust catalog] PE --> CFG[validated policy and target config] BD --> EV[local JSONL decisions and alerts] end subgraph W[Windows - Experimental backend] CLI -. separate PowerShell entry point .-> WB[Windows backend] WB --> OBS[observe and posture checks] WB --> ACL[reversible ACL hardening] WB --> DEF[optional Defender ASR and CFA] WB --> WE[Windows event logs and local reports] end subgraph T[Host-driven validation] HOST[Ubuntu host] --> VAG[Vagrant and VirtualBox] VAG --> VM1[Ubuntu VM] VAG --> VM2[Windows VM] HOST --> ANS[Ansible orchestration] ANS --> VM1 ANS --> VM2 end ``` ### 设计边界 | 领域 | V1.0.0 行为 | |---|---| | Linux 受保护文件打开 | 内核权限事件，同步允许或拒绝（ALLOW/DENY） | | Linux 策略 | 可解释的累加评分，包含目标分类与信任检查 | | Linux 信任 | 精确的白名单、安装路径、所有权/权限以及 SHA-256 清单 | | Windows 保护 | 观察、本地审计、可逆加固及可选的 Defender 控制 | | 网络 | 无自动遥测或远程报告；更新检查由操作员手动发起 | | 研究 | 不受支持的原型保留在 `research/` 目录下，不包含在稳定版声明范围内 | 完整的组件与信任边界描述位于 [docs/design/ARCHITECTURE.md](docs/design/ARCHITECTURE.md)。 ## Linux 执行路径 ``` sequenceDiagram autonumber participant P as Requesting process participant K as Linux kernel / fanotify participant B as sxh_blockd.py participant E as sxh_policy.py participant C as Policy and trust catalog participant L as Local evidence log P->>K: open(protected target) K->>B: FAN_OPEN_PERM event B->>B: Resolve PID, executable, command line and target path B->>E: Evaluate access context E->>C: Read cached validated policy and trust state C-->>E: Target class and trust result E-->>B: Score, severity, signals and decision alt score reaches deny threshold B-->>K: FAN_DENY K-->>P: EPERM, no readable descriptor returned B->>L: Write DENY evidence else request is allowed B-->>K: FAN_ALLOW K-->>P: Complete open() B->>L: Write ALLOW or observation evidence end ``` 权限的热路径保持有界。它绝不会： - 读取受保护的机密内容； - 执行网络 I/O； - 递归扫描工作站； - 重建信任目录； - 等待桌面通知。 策略会被缓存，并且仅在其修改时间发生变化时重新加载。告警展示尽可能置于权限判定之外。 ## 平台状态 | 平台 | 发布状态 | 执行方式 | |---|---|---| | **Linux 5.4+** | **主要 V1 平台** | `fanotify` `FAN_OPEN_PERM`，同步 ALLOW/DENY | | **Windows 10/11** | **实验性后端** | 观察、感知所有权的 ASR/CFA 加固、可选的托管 Security 4663 读取检测 | ### Linux 需求 | 需求 | 最低要求 | 推荐 | 用途 | |---|---:|---:|---| | Linux 内核 | 5.4 LTS | 5.15+ | 支持的 fanotify 阻断模式基线 | | Python | 3.8 | 3.10+ | 策略引擎、守护进程和工具 | | systemd | 240+ | 当前发行版版本 | 服务监督与沙盒化 | | auditd | 可选 | 推荐用于内存姿态审计 | 仅作参考上下文 | ### Windows 需求 | 需求 | 最低要求 | 备注 | |---|---:|---| | Windows | 10 或 11 | 首先在一次性虚拟机中进行验证 | | Windows PowerShell | 5.1 | 支持的脚本语法目标 | | 管理员权限 | 必需 | 托管策略和计划任务所需 | | Microsoft Defender | 观察模式可选；CFA 强制执行必需 | 第三方安全产品可能会改变可用性 | 详见 [docs/design/WINDOWS.md](docs/design/WINDOWS.md)。 ## 原生验证证据 这些具有代表性的原生捕获画面仅使用了 **SxH-Demo 合成工件**。 它们清晰地展示了平台边界：Linux 可以在数据被访问之前同步拒绝受保护的读取操作，而 Windows V1 则通过其实验性的遥测和加固后端对检测到的访问进行记录、评分和告警。 | 捕获场景 | 已验证的行为 | |---|---| | Linux 安全捕获演示 | 检测到合成机密访问，生成本地证据并交付桌面告警 | | Linux 预读阻断 | `fanotify` 返回 `EPERM`；决策为 `DENY`；受保护的数据未被设为可读 | | Windows 事件关联 | 针对浏览器、Discord、下载内容和钱包目标，对关键访问事件进行了分类和评分 | | Windows 安全演示告警 | 通过 Security `4663` 遥测观察到合成读取操作，并弹出本地提示 | 完整尺寸面板：[Linux 告警](assets/validation/linux-safe-demo.png) | [Linux 拒绝](assets/validation/linux-pre-read-deny.png) | [Windows 事件](assets/validation/windows-event-correlation.png) | [Windows 弹窗](assets/validation/windows-safe-demo-popup.png)。 ## 快速入门 ### 最快启动方式 Windows 用户可以双击 `START-WINDOWS.cmd`。启动器会请求管理员权限并直接打开带有编号的控制台。 Linux 用户可以在解压后的文件夹中打开终端并运行： ``` ./START-LINUX.sh ``` Linux 启动器会在需要时自动请求 `sudo`。所有由 SxH 产生的终端输出均为英文且仅包含 ASCII 字符。更新检查器是手动的，仅获取元数据，绝不会下载或安装代码。 ### Linux ``` unzip stealerxhunter-v1.0.0.zip cd stealerxhunter-v1.0.0 python3 tools/source_manifest.py --verify sudo ./install.sh ./START-LINUX.sh ``` 仅在观察模式运行正常后，再启用严格的 Linux 阻断模式： ``` sudo sxh block sudo sxh status ``` 回滚是支持的工作流的一部分： ``` sudo sxh update-check sudo sxh demo sudo sxh rollback ``` 在主要工作站上使用阻断模式之前，请阅读[五分钟快速入门指南](docs/getting-started/QUICKSTART.md)。 ### Windows 解压 ZIP 文件并双击： ``` START-WINDOWS.cmd ``` PowerShell 用户可以直接启动同一控制台： ``` .\windows\sxh-console.ps1 ``` 从观察模式开始。仅在检查过 `doctor`、当前 Defender 状态和回滚基线之后，才启用依赖于 Defender 的控制。 读取遥测是一项单独的显式同意选项： ``` .\windows\stealerxhunter-windows.ps1 read-audit-enable -ReadAuditUser "$env:USERNAME" .\windows\stealerxhunter-windows.ps1 read-audit-status .\windows\stealerxhunter-windows.ps1 update-check .\windows\stealerxhunter-windows.ps1 demo ``` 此模块管理基于用户的文件全局资源 SACL，可能会增加 Security 日志量。回滚仅移除 SxH 拥有的状态。 ## 安全捕获演示 当观察模式激活后，控制台选项 `21` 可以植入带有标记所有权的假凭证诱饵，并运行单独的受控访问探测。在 Linux 上，auditd 和常驻监视器会捕获真实的本地打开操作。在 Windows 上，SxH 会在需要时临时启用托管的 Security `4663` 遥测。这两种实现都会验证监视器证据，显示捕获的元数据，发出本地弹窗，并编写演示证据报告以及事件快照。 ``` sudo sxh demo ``` ``` .\windows\stealerxhunter-windows.ps1 demo ``` 这些演示均在本地且非联网状态下进行。它们拒绝覆盖、读取或删除任何不包含 SxH 演示所有权标记的文件。它们绝不会打印出虚假的凭证值。使用控制台选项 `21` 可以分别准备、探测、检查或清理这些演示文件。Linux 证据将写入 `/var/log/stealerxhunter/reports/sxh-safe-demo-last.json`；Windows 证据将写入 `C:\ProgramData\stealerxhunter\reports` 目录下。 ## 控制台与直接命令

交互式控制台布局

``` [DIAGNOSTICS] [ 1] status quick workstation snapshot [ 2] doctor deep health check and residue scan [ 3] scan live process-risk scan [ 4] browser browser runtime and posture check [ 5] memory memory-hardening posture [ 6] network outbound correlation context [PROTECTION] [ 7] observe alert-only mode, no blocking [ 8] block strict Linux fanotify block mode [ 9] rollback remove SxH-managed active state [INTELLIGENCE] [10] alerts recent alerts and decisions [11] decisions formatted decision log [12] incident timestamped incident snapshot [13] families protected target overview [CONFIGURATION] [14] alert-config alert severity, cooldown and popup controls [15] features feature configuration [16] integrity integrity and trust check [17] fix repair common setup problems [LIVE WATCHES] [18] watch-network outbound context stream [19] watch-memory memory-posture stream ```

### Linux 命令 ``` sudo sxh preflight sudo sxh observe sudo sxh block sudo sxh status sudo sxh doctor sudo sxh scan sudo sxh browser sudo sxh memory status sudo sxh network sudo sxh families sudo sxh integrity sudo sxh alerts recent sudo sxh logs 120 sudo sxh rollback ``` ### Windows 命令 ``` .\windows\sxh-console.ps1 .\windows\stealerxhunter-windows.ps1 observe .\windows\stealerxhunter-windows.ps1 block .\windows\stealerxhunter-windows.ps1 doctor .\windows\stealerxhunter-windows.ps1 protection-levels .\windows\stealerxhunter-windows.ps1 read-audit-enable -ReadAuditUser "$env:USERNAME" .\windows\stealerxhunter-windows.ps1 read-audit-status .\windows\stealerxhunter-windows.ps1 update-check .\windows\stealerxhunter-windows.ps1 read-audit-disable .\windows\stealerxhunter-windows.ps1 rollback ``` 在 Windows 上，`block` 是用于支持 Defender 控制的编排命令；它不是自定义的内核文件阻断器。经过验证的合成活动读取了 50 个假值，而零读取被阻断。托管的 `4663` 遥测仅在显式启用后才检测到了读取行为。因此，Linux 和 Windows 在设计上并不具备功能等效性。 ## 评分模型 每个决策都包含一个数字分数和完整的信号链。目标分类发生在进程评分之前，从而将误报修复与可执行文件的风险权重区分开来。 | 信号 | 权重 | |---|---:| | 受保护的机密目标 | `+45` | | 受监控根目录内的未知目标 | `+20` | | 精确匹配操作员白名单 | `-90` | | 受信任的已安装变体 | `-70` | | 针对该类别不受信任的进程 | `+25` | | 已删除或 memfd 可执行文件 | `+45` | | 伪造或用户可写的可执行文件 | `+55` | | 针对应用程序机密的通用解释器 | `+45` | | 针对关键机密的通用解释器 | `+55` | | 针对机密的归档或传输实用程序 | `+45` | | 浏览器风险标志 | `+45` | | 带有危险运行时上下文的受信任浏览器 | 额外 `+75` | | 突发访问三个或更多机密 | `+35` | | 跨类别访问 | `+40` | | 不受信任的 root 进程读取用户机密 | `+45` | | 关键类别奖励 | `+25` | 默认拒绝阈值：**70**。 示例原因链： ``` target=secret:ssh-private-key; secret-target:+45; not-trusted-app:+25; spoofed-or-user-writable-exec:+55; critical-secret-family:+25 ``` 确切的行为已在 `linux/sxh_policy.py` 和 `tests/policyQualityMatrix.py` 中定义并进行了回归测试。 ## 受保护的机密类别 | 分类 | 涵盖的类别和素材 | |---|---| | 浏览器 | Chrome、Chromium、Brave、Edge 和 Firefox 的凭证/Cookie 存储 | | 消息应用 | Discord 变体和 Telegram Desktop 会话素材 | | 私钥 | OpenSSH 密钥和 GnuPG 私钥存储 | | 密码存储 | KeePass/KeePassXC、Bitwarden 和 1Password 位置 | | Cloud CLI | AWS、Azure 和 Google Cloud 凭证 | | 开发者 | Git/GitHub CLI、Docker、Kubernetes、npm、pip/PyPI 以及选定的编辑器机密 | | 环境变量文件 | 限定位置下的显式 `.env` 变体 | | 钱包 | 选定的 Exodus、Electrum、Bitcoin Core 和 Monero 素材 | | 游戏会话 | 选定的 Steam 会话/配置目标 | 目标列表是经过精心挑选的。SxH 不会将用户配置文件中的每个文件都递归归类为机密。确切的位于 `config/secret-targets-focused.json` 和 `linux/sxh_policy.py` 中。 ## 参考上下文模块 以下模块可添加上下文，但并不等同于内核权限执行： - `/proc//fd` 下可见的文件描述符快照； - 与剪贴板相关的进程风险指标； - Chromium 扩展权限审计； - 最近的持久化指标； - 与先前拒绝相关联的出站活动； - 内存加固姿态及可选的审计规则。 这些发现并不能作为存在恶意软件或数据渗漏的证明。它们是需要操作员审查的上下文指标。 ## 安全属性 | 属性 | V1.0.0 行为 | |---|---| | 本地处理 | 决策和日志保留在主机上 | | 遥测 | 无 | | 自动网络活动 | 无；更新检查需要显式命令 | | 机密内容 | 不被 Linux 权限判定引擎读取 | | 可解释性 | 分数、严重程度和信号链随每个决策一同记录 | | 信任目录 | 缺失、已更改或格式错误的条目不受信任 | | 目录更新 | 仅限操作员显式操作；无自动提升信任的操作 | | 默认模式 | 观察 | | 回滚 | 受到支持，并包含在单元/集成验证中 | | Linux 服务加固 | 受限的 capabilities、`NoNewPrivileges`、`ProtectSystem`、`ProtectHome`、私有挂载及系统调用过滤 | ### 已知边界 - root 或 Administrator 用户可以禁用、替换或卸载本地控制。 - 在缺少 fanotify 权限守护进程时，Linux 阻断模式会失效放行（fail-open）。 - `FAN_Q_OVERFLOW` 意味着在报告的时间间隔内覆盖不完整。 - 快照扫描器可能会遗漏短暂的活动。 - V1.0.0 无法完全阻止现有或已传输的句柄。 - 浏览器进程内被入侵、原始磁盘访问和内核被入侵不在处理范围内。 - Windows 执行依赖于可用的 Defender 功能和策略。 - V1 核心无法阻断剪贴板窃取、键盘记录和屏幕截图。 在扩展执行路径之前，请阅读完整的[威胁模型](docs/design/THREAT_MODEL.md)。 ## 仓库导航图 ``` stealerxhunter-v1.0.0/ |-- sxh Linux launcher and interactive console |-- install.sh Linux installation and lifecycle entry point |-- linux/ Linux policy, fanotify daemon and advisory modules |-- windows/ Supported Windows V1 PowerShell backend |-- agent/ Desired-state, heartbeat and integrity agent |-- config/ Defaults, profiles and focused target descriptions |-- tests/ Matrices, safe probes and VM integration suite |-- tools/ Audits, deterministic packaging and release gates |-- docs/ User, operator, design, testing and contributor docs |-- research/ Unsupported prototypes excluded from stable claims |-- packaging/ Debian metadata and lifecycle scripts |-- assets/ Logo, banner, and validation evidence |-- CONTRIBUTING.md Contribution workflow and standards |-- SECURITY.md Private vulnerability reporting guidance |-- ROADMAP.md Scoped future work `-- SHA256SUMS Deterministic source manifest ``` 导航辅助： - [文档索引](docs/README.md) - [文件映射](docs/contributing/FILES.md) - [变更路由指南](docs/contributing/NAVIGATION.md) - [代码指南](docs/contributing/CODE_GUIDE.md) WinFsp 原型被隔离在 `research/windows-winfsp/` 目录下。它仅用于实验室环境，未进行打包，不会通过稳定版命令激活，也不属于 V1.0.0 能力声明的一部分。 ## 测试与虚拟机验证 ### 完整的本地门禁 ``` make check ``` 聚焦矩阵： ``` make test ``` 本地门禁检查项： - 仓库规范和损坏的本地链接； - 源码和包清单； - Python 编译和 shell 语法； - PowerShell 静态约束； - 策略和扫描器矩阵； - 回滚不变量； - 服务单元加固； - 不支持的 Windows 声明回归； - 确定性源码打包。 ### 端到端虚拟机套件 测试从 Ubuntu 主机启动，并在一次性客户机中执行： ``` flowchart LR H[Ubuntu host] --> R[run-integration-tests.sh] R --> V[Vagrant and VirtualBox] R --> A[Ansible playbooks] V --> U[Ubuntu 22.04 VM] V --> W[Windows 10 or 11 VM] A --> U A --> W U --> RES[results returned to host] W --> RES ``` ``` cd tests/integration ./run-integration-tests.sh --linux ./run-integration-tests.sh --windows ./run-integration-tests.sh ``` Linux 原生的最终生命周期已于 2026-06-15 通过测试。Windows PowerShell 5.1 生命周期也在 V1.0.0 验证活动期间通过了测试。上述脚本复现了安装、观察模式、平台控制、合成探测、 本地证据、预期与实际状态对比以及回滚操作。详见 [tests/integration/README.md](tests/integration/README.md) 和 [docs/testing/VALIDATION.md](docs/testing/VALIDATION.md)。 ### 基准测试 当前的数据是策略引擎的微基准测试，不能替代端到端的内核延迟测量： ``` python3 tools/benchmark_decision_latency.py --events 100000 python3 tools/benchmark_full.py --events 20000 ``` Windows 辅助程序： ``` .\windows\tools\benchmark-windows.ps1 -Events 2000 ``` ## 贡献 与广泛的功能列表相比，SxH 更需要可重现的主机证据。 ### 高价值贡献 - Ubuntu 以及特定发行版的 fanotify 验证； - Snap、Flatpak 和桌面会话路径验证； - Windows PowerShell 5.1 运行时证据； - 移除所有机密的真实误报报告； - 目标分类测试和元数据/噪声分类修复； - 回滚、重启和卸载回归测试； - 来自真实工作负载的性能追踪； - 文档修正和能力边界审查； - 具有明确故障语义且范围有限的 Windows 研究。 ### 优秀的新手贡献 | 目标 | 起始点 | |---|---| | 添加或完善目标类别 | `linux/sxh_policy.py` 和 `config/secret-targets-focused.json` | | 修复误报 | 目标分类表以及一个回归测试 | | 改进评分 | `score_access()` 加上 `tests/policyQualityMatrix.py` | | 验证 Windows 行为 | `windows/tests/smoke_test.ps1` 和 VM 证据 | | 改进集成 | `tests/integration/` | | 改进文档 | `docs/` 和导航索引 | 在提交 Pull Request 之前： ``` make check ``` 请阅读 [CONTRIBUTING.md](CONTRIBUTING.md)、 [CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md) 以及 [代码指南](docs/contributing/CODE_GUIDE.md)。 ## 技术参考 ### 威胁与检测上下文 - [MITRE ATT&CK - 来自密码存储的凭证 (T1555)](https://attack.mitre.org/techniques/T1555/) - [MITRE ATT&CK - 来自 Web 浏览器的凭证 (T1555.003)](https://attack.mitre.org/techniques/T1555/003/) - [MITRE ATT&CK - 不安全的凭证 (T1552)](https://attack.mitre.org/techniques/T1552/) - [MITRE ATT&CK - 检测对浏览器凭证存储的可疑访问](https://attack.mitre.org/detectionstrategies/DET0037/) - [ESET 威胁报告](https://www.eset.com/us/business/threat-report/) - [ANY.RUN 恶意软件分析研究](https://any.run/cybersecurity-blog/) ### Linux 实现 - [fanotify(7)](https://man7.org/linux/man-pages/man7/fanotify.7.html) - [fanotify_mark(2)](https://man7.org/linux/man-pages/man2/fanotify_mark.2.html) - [systemd.exec](https://www.freedesktop.org/software/systemd/man/systemd.exec.html) - [systemd.service](https://www.freedesktop.org/software/systemd/man/systemd.service.html) ### Windows 后端 - [Microsoft Defender 受控文件夹访问](https://learn.microsoft.com/en-us/defender-endpoint/enable-controlled-folders) - [Microsoft Defender ASR 规则参考](https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction-rules-reference) - [Windows PowerShell 文档](https://learn.microsoft.com/en-us/powershell/) - [Windows PowerShell 5.1 参考](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_windows_powershell_5.1?view=powershell-5.1) - [WinFsp](https://winfsp.dev/) - V1.0.0 中仅作研究参考 ### 验证与贡献 - [Vagrant Ansible 置备程序](https://developer.hashicorp.com/vagrant/docs/provisioning/ansible) - [Ansible Playbook](https://docs.ansible.com/projects/ansible/latest/playbook_guide/) - [GNU GPLv3](https://www.gnu.org/licenses/gpl-3.0.html) ## 支持、安全与发布记录 - [支持](SUPPORT.md) - [安全策略](SECURITY.md) - [路线图](ROADMAP.md) - [更新日志](CHANGELOG.md) - [发布流程](docs/testing/RELEASE.md) ## 许可证 GNU General Public License v3.0。详见 [LICENSE](LICENSE)。

**stealerXHunter - 针对 Linux 和 Windows 的严格本地反信息窃取加固工具。**

标签：AI合规, IPv6, PowerShell, Python, StruQ, 凭证窃取防护, 子域名枚举, 应用安全, 无后门, 本地防护, 系统加固, 系统安全, 系统提示词, 逆向工具