# FakeNet-NG 动态网络分析工具

> Mandiant FLARE 团队面向恶意软件分析人员的动态网络分析工具，是原版 Fakenet 的后继。其 Diverter 将 Windows 本机进程的流量，或在 Linux MultiHost 模式下将其他主机的流量，重定向到可配置的监听器；这些监听器模拟 DNS、HTTP 与 HTTPS、SMTP、FTP、TFTP、IRC、POP 以及原始 TCP 或 UDP 服务，并支持进程和主机过滤、自定义响应，以及在连接到来时启动调试器等命令。会话可保存为 PCAP，结束时生成交互式 HTML 报告，按进程和协议归类展示网络行为指标。

- 类型：工具
- 目标：二进制 · 协议
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-10-19
- 收录于：2026-11-02
- 原始资源：<https://github.com/mandiant/flare-fakenet-ng>
- 一手来源：<https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/fakenet-ng/>
- 记录 JSON：<https://awesomerea.org/resources/fakenet-ng/record.json>
- 英文版：[English](https://awesomerea.org/resources/fakenet-ng/index.md)

## 使用条件与局限

- 审阅时最新版本为 v3.5，发布于 2025-04-09，以 fakenet3.5.zip 提供基于 PyInstaller 的 Windows 版 fakenet.exe。所审阅的 master 提交比该版本多 11 个提交，版本号仍为 3.5，新增了 Windows 发布构建工作流、用于 TLS 吊销检查的 CRL 生成，并把默认 NetworkMode 改为 SingleHost，而 README 仍建议使用 Auto。
- 以 Python 模块安装时使用 Python 3.10.11 并需要管理员权限；Windows 需安装 Visual C++ 构建工具，Linux 需安装编译工具、Python 与 libnetfilter-queue 开发包，并让 systemd-resolved 释放 53 端口，README 的 Linux 步骤在 Ubuntu 24.04.2 上测试过。SingleHost 模式需要 Windows Vista 或更高版本，在 Linux 上仍属实验性且不支持进程与主机过滤；MultiHost 仅支持 Linux，只拦截 TCP、UDP 和 ICMP 流量，Linux Diverter 无法正确处理超过 4,016 字节的数据包。
- README 建议在受控、隔离的虚拟机中使用，因为该工具会修改系统网络设置，并提到杀毒软件和 EDR 产品可能将其标记为恶意。仓库附带运行时所需的辅助文件：WinDivert 32 位与 64 位 DLL 和驱动、defaultFiles 中用于响应请求的小型 FakeNetMini.exe 及其他占位文件，以及 TLS 监听器密钥和一套静态 CA 证书与私钥。仓库未说明 WinDivert 文件的单独许可证，README 提到部分动态加载的库可能采用 LGPL；由于该 CA 私钥是公开的，只应在分析虚拟机内信任此 CA。
- docs/testing.md 介绍了交互式 test/test.py 测试套件，以及在仅主机网络中的 Windows 与 Linux 虚拟机上进行的手动测试；GitHub 工作流只构建 Windows 的 PyInstaller 发布包。FakeNet-NG 本身采用 Apache-2.0。

## 一手来源

1. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/README.md>
2. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/fakenet/configs/default.ini>
3. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/CHANGELOG.txt>
4. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/docs/testing.md>
5. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/docs/CustomResponse.md>
6. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/.github/workflows/build.yaml>
7. <https://github.com/mandiant/flare-fakenet-ng/tree/7c8e006198b9df6e7b511140288fc5113c25d729/windivert>
8. <https://github.com/mandiant/flare-fakenet-ng/tree/7c8e006198b9df6e7b511140288fc5113c25d729/fakenet/defaultFiles>
9. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/setup.py>
10. <https://github.com/mandiant/flare-fakenet-ng/blob/7c8e006198b9df6e7b511140288fc5113c25d729/LICENSE.txt>
11. <https://github.com/mandiant/flare-fakenet-ng/releases/tag/v3.5>

## 同分区更多条目：原生二进制

- [Joern 代码属性图分析平台](https://awesomerea.org/zh/resources/joern/index.md) · 工具
- [Speakeasy Windows 恶意软件仿真框架](https://awesomerea.org/zh/resources/speakeasy/index.md) · 工具
- [LazyIDA：IDA 便捷操作插件](https://awesomerea.org/zh/resources/lazyida/index.md) · 工具
- [Tiny Tracer API 调用跟踪工具](https://awesomerea.org/zh/resources/tiny-tracer/index.md) · 工具
- [Ponce IDA 符号执行与污点分析插件](https://awesomerea.org/zh/resources/ponce/index.md) · 工具
- [DRAKVUF Sandbox 虚拟机监控器级恶意软件分析沙箱](https://awesomerea.org/zh/resources/drakvuf-sandbox/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。