mikewang 最近的时间轴更新
mikewang's repos on GitHub
JavaScript · 172 人关注
ClashScan
在线检测您是否在使用 Clash
Python · 105 人关注
n4
双 NAT4 网络打洞 PoC
Python · 74 人关注
GoLibCookie
我去图书馆 免抓包 获取Cookie
JavaScript · 48 人关注
ad.js
An ad blocker.停更
Java · 34 人关注
ChxUtility
超星(Chaoxing)实用工具。学习通挂机、下载(可最小化挂机)。
JavaScript · 27 人关注
GoLib.js
Node.js 我去图书馆自动预约脚本
Python · 1 人关注
ID3flac
Enable macOS FLAC cover art
JavaScript · 0 人关注
24Points
A 24points game resolver.
C++ · 0 人关注
action-test
JavaScript · 0 人关注
ad.js_ghp
PHP · 0 人关注
BiliHelper
(Bilibili)B 站自动领瓜子、直播助手、直播挂机脚本 - PHP 版
Python · 0 人关注
bilive
always online at live.bilibili
0 人关注
Dockerfile
Python · 0 人关注
DocumentDetector
A document detector.
Shell · 0 人关注
Dropbox-Uploader
Dropbox Uploader is a BASH script which can be used to upload, download, list or delete files from Dropbox, an online file sharing, synchronization and backup service.
C · 0 人关注
EsDialerGD
广东天翼校园三方客户端(登陆器)
C# · 0 人关注
FontLoad
A tiny tool for loading fonts temporarily in Windows.
JavaScript · 0 人关注
fruit-ninja
the fruit ninja game by js
JavaScript · 0 人关注
Ghost
Just a blogging platform
0 人关注
go-cqhttp
cqhttp的golang实现,轻量、原生跨平台.
Python · 0 人关注
goagent
a gae proxy
C++ · 0 人关注
GoldenDB
Forked from https://github.com/jzload/DB For testing purpose only.
Go · 0 人关注
goproxy
a go proxy
JavaScript · 0 人关注
html5-audio-editor
A small audio editor written in html5 and javascript without usage of external plugins
Swift · 0 人关注
iina
The modern video player for macOS.
0 人关注
jspaint
🎨 Classic MS Paint, REVIVED + ✨Extras
PHP · 0 人关注
KODExplorer
A web based file manager,Instead of ftp,online ide
0 人关注
libui-ng
libui-ng: a portable GUI library for C. Fork of https://github.com/andlabs/libui. "libui for the next generation"
Python · 0 人关注
MagicWebsiteMirror
reverse http proxy designed to automatically and completely mirror a website (eg. google/twitter), support CDN, cache, visitor verification 快速而简单地创建任意网站全功能镜像的反向代理, Google镜像除登陆暂不完善外完全支持(含图片/学术/视频/图书/etc..), twitter镜像/维基镜像完整支持, youtube镜像兼容性正在完善
Go · 0 人关注
MiraiGo
qq协议的golang实现, 移植于mirai
mikewang

mikewang

V2EX 第 81681 号会员,加入于 2014-11-15 12:40:16 +08:00
今日活跃度排名 23
Clash 检测工具的原理
信息安全  •  mikewang  •  5 分钟前  •  最后回复来自 vvhy
43
代理检测:在线检测您是否在使用 Clash
  •  19   
    信息安全  •  mikewang  •  1 小时 37 分钟前  •  最后回复来自 jieran233
    146
    Chrome / Chromium 的优秀平替: ungoogled-chromium
  •  2   
    分享发现  •  mikewang  •  30 天前  •  最后回复来自 tianzi123
    27
    N4:双 NAT4 网络打洞测试工具
  •  2   
    宽带症候群  •  mikewang  •  124 天前  •  最后回复来自 mikewang
    16
    家庭宽带 IPv6 被停, IPv4 变为 NAT4
  •  2   
    宽带症候群  •  mikewang  •  6 天前  •  最后回复来自 dxppp
    70
    Downie 4 依然会读取 Mail.app 数据
  •  1   
    macOS  •  mikewang  •  206 天前  •  最后回复来自 leesa
    15
    大家如何看待代码中的拼写错误?
    程序员  •  mikewang  •  229 天前  •  最后回复来自 julyclyde
    68
    Natter 更新了:更稳定的 TCP 打洞, Docker 支持...
  •  1   
    宽带症候群  •  mikewang  •  252 天前  •  最后回复来自 lzy2998157572
    35
    V 站帖子要破百万了?
    V2EX  •  mikewang  •  298 天前  •  最后回复来自 jzpu
    6
    mikewang 最近回复了
    @aiqinxuancai 实际就是墙了,CF 有很多的 IP ,通过改 hosts 的方式指向新的 IP ,然后新 IP 瞬间就 ping 不通了。
    改回来过五分钟左右就恢复能 ping 了。很明显的。
    既然可以指定 cloudflare 的 worker 区域,那应该还可以配合 vless 的 worker 脚本,做到指定地区的 proxy ?
    6 天前
    回复了 mikewang 创建的主题 信息安全 Clash 检测工具的原理
    #18 @cleanery mihomo 是刚修好的,他们做了改进。
    文中提到的 clash 系列就包括 mihomo ,也就是 meta 。
    至于原版的 clash 核心,早删库了,应该不会复活了吧(
    6 天前
    回复了 mikewang 创建的主题 信息安全 Clash 检测工具的原理
    #4 @est

    1. 访问子域名(例如 example.com 访问 sub.example.com )是跨域的。
    2. 子域名可以修改 document.domain 属性为父域名,避开跨域检测( sub.example.com 可改为 example.com )。但是这种操作已被废弃,较新的浏览器都会禁止修改 document.domain 属性。

    因此设置域名指向 127.0.0.1 的方法应该不可行。
    @SenLief 这次说明的不是公网问题。而是 Clash 的 CORS 设定不合理,可以通过浏览器前端,让浏览器扫到你 127.0.0.1 上的端口,借浏览器跨域控制 clash 。
    @ZeroDu
    也不完全一样,做了一些加强。

    这次想说明,即使改成 127.0.0.1 ,加密码不改端口号,也能通过路径探测到 clash (虽然获取不到节点信息,但是能知道你在用。)当然不加密码更是直接读配置。

    ———
    @y1y1

    之所以能成功跨域,是因为 clash 内核的 header 设置了 Access-Control-Allow-Origin: *,相当于解除浏览器跨域限制,欢迎大家来访问。
    不过还有一些浏览器像 Safari 限制更严格,https 不能跨域到 http 被拦截,还有一些隐私插件会拦截,所以不是 100%保证成功。

    这次做的比较匆忙,是一个粗糙的 demo ,没有太大技术含量。只是为了证明 CORS 的设置不合理,应有配置能默认关闭。

    ———
    @WhatTheBridgeSay

    网页“任何网站都能检测”是对 Access-Control-Allow-Origin: *的解释,通配符允许了所有网站。不过确实不够严谨,因为可能还会遇到其他限制。

    时间原因,没法做到面面俱到。网页就在 GitHub 上,如果有好的建议欢迎直接提 PR ~

    ———
    对于端口扫描,正常情况下浏览器前端是没法对本地端口扫描的。Access-Control-Allow-Origin: *导致有被扫到的风险。就是这样。
    #58 @liuzimin 说的是 9090 的 api 端口,verge 默认是 9097 。
    #56 @shizhibuyu2023

    部分 clash 客户端,默认配置下(默认端口,无密码验证):

    1. 即使 clash 端口不暴露外部,运行在本地,外部网站也能通过网页调用,读取或者修改 clash 配置;
    2. 如果是老版本 clash 核心,利用这种方法,还可以配合( CVE-2023-24205 )漏洞,控制整台电脑。

    如果加了密码,但保持默认端口:

    1. 外部网站也能通过网页调用,根据不同的报错情况,推断出你在使用 clash 。

    ================

    #57 @YCCD

    好的反馈!我在 macOS Safari 上测试了一下,Safari 不允许从 https 页面上发起 http 请求。
    所以是检测不到的。但是如果 GitHub Pages 是 http 的,那就可以调用了。
    #43 @addenvex 是的,即使有密码,返回 401 也能检测到。
    请求记录里这些接口会返回 401 ,然后你访问一些其他的路径会返回 404 。通过这些接口路径特征,能推断出 Clash 及其版本号。

    #44 @wniming 有一定的推断逻辑在里面,可能你的环境刚好命中特征了。会有误报的可能。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2349 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 28ms · UTC 12:58 · PVG 20:58 · LAX 05:58 · JFK 08:58
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.