risk/security · 集群 B · 账号与客户端安全 · 3/6

恶意客户端的常见行为与识别方法：代理软件为什么需要格外谨慎

代理客户端的权限有多大

代理客户端是你设备上权限最高的网络软件之一。为了完成工作，它通常需要做下面这些事，而每一项都可能被恶意利用。

更危险的一项是证书。如果一个程序在系统中安装了自己的根证书，它就能对 HTTPS 流量做中间人解密，你在浏览器里看到的依然是正常的「小锁」。这时暴露的就不再是元数据，而是全部内容，参见 机场服务商能看到你的哪些数据 中关于设备可信前提的说明。

恶意客户端的常见行为

直接回答：恶意客户端的行为通常围绕「拿走凭证」「劫持流量」「长期驻留」三个目的展开。

恶意客户端
 ├─ 拿走凭证
 │    ├─ 回传订阅链接、节点密码
 │    └─ 读取浏览器保存的数据（如具备相应权限）
 ├─ 劫持流量
 │    ├─ 安装根证书解密 HTTPS
 │    ├─ 篡改 DNS 指向
 │    └─ 在网页中注入广告或脚本
 └─ 长期驻留
      ├─ 注册隐蔽的后台服务
      └─ 卸载后残留组件

这些行为在外表上很难察觉，客户端界面可能和正版完全一样，节点也能正常连接。所以识别更多依赖「来源」和「异常信号」，而不是使用体验。

识别信号

结论：以下信号出现任意一项，都值得停下来核查；出现多项，应直接停止使用。

获取与校验客户端的方法

直接回答：从正式渠道下载、核对签名或校验值、首次运行时检查权限与证书，这三步能排除绝大部分风险。

1. 确定正式渠道：开源项目以其正式发布页为准；移动端优先使用可信的应用商店；服务商自研客户端从用户面板内的下载入口获取。不要通过搜索引擎随便点第一个结果，仿冒下载站很常见，见 机场钓鱼站与仿冒官网的识别方法。
2. 核对校验值：如果发布页提供了哈希值，用系统自带的命令计算下载文件的哈希并对比。
3. 检查签名：Windows 查看文件属性中的数字签名，macOS 关注系统的开发者验证提示；遇到需要手动绕过系统安全提示才能打开的情况，先确认原因。
4. 首次运行检查：留意请求的权限是否与代理功能相符；运行后查看系统根证书列表是否新增条目。
5. 保持更新：从同一正式渠道更新，不要使用第三方推送的「更新包」。

客户端的选择与安装可以参考 桌面客户端专题 和 移动客户端专题。

自研客户端与第三方客户端

结论：无论是服务商自研客户端还是开源第三方客户端，安全性都取决于获取渠道和项目本身，不能简单认为某一类更可靠。

品牌资料中，部分品牌显示「自研 + 第三方」，部分仅支持第三方客户端，可以在 机场品牌库 中查看，或通过 自研客户端标签 筛选。需要说明的是：

• 本站没有对任何品牌的自研客户端做过代码审计或安全检测；
• 自研客户端的优势通常在于导入方便，但它同样拥有上文所列的高权限；
• 开源客户端的代码可以公开审阅，但你下载的安装包是否来自正式发布，仍需要自己核对。

同样的标准也适用于扩展、插件和脚本

直接回答：浏览器扩展、路由器插件、一键安装脚本，与客户端一样拥有接触流量的能力，应按同样的标准审视来源。

路由器方案尤其值得注意，因为它影响的是整个家庭网络，相关内容可以参考 路由器方案专题。

已经装了可疑客户端怎么办

直接回答：立即断开、卸载、清理证书，然后把它接触过的凭证全部更换。

• 退出并卸载该客户端，检查是否有残留的后台服务或开机启动项
• 检查并删除系统中不认识的根证书
• 恢复系统代理和 DNS 设置
• 在面板重置订阅，见 订阅链接泄露的后果与重置步骤
• 修改在该设备上登录过的重要账号密码
• 必要时使用可信的安全软件做一次全面检查

完整的应急流程见 账号被盗后的应急处理流程。更系统的安全框架可以回到 安全与隐私专题 查看。