Cybersecurity-Projects用Rust构建JA3/JA4 TLS指纹识别工具精准识别机器人流量与恶意C2【免费下载链接】Cybersecurity-ProjectsBuilding 70 Projects ranging from beginner to advanced so anyone can — learn from, build upon, use as a reference, or even copy directly. Gamified Cybersecurity learning 项目地址: https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects在开源仓库Cybersecurity-Projects中ja3-ja4-tls-fingerprinting项目用Rust实现了一个被动式TLS 指纹识别传感器给它一个抓包文件或一个网卡它就能为每一次 TLS 握手计算JA3、JA4、JA4H、JA4X、JA4T指纹对照本地威胁情报库自动标记机器人流量、身份伪装客户端和恶意C2命令与控制通信——全程不发送一个字节、不解密应用数据最高可达每秒约 50 万个指纹。 核心价值加密隐藏了通信内容却隐藏不了握手的说话方式。同一个恶意工具家族换 IP、换域名、换证书都认不出但它的 TLS 指纹不会变。TLS指纹识别原理为什么加密网络里还能认出人客户端发起 TLS 连接时的第一条消息ClientHello是一份明文的自我说明书支持哪些 TLS 版本、按什么顺序列出哪些密码套件、带哪些扩展、用哪些椭圆曲线。浏览器、Go 程序、Python 脚本、恶意软件各自基于不同的 TLS 库组装这条消息形状各异——而它在加密生效之前就已裸奔在网络上。把这份选择清单做哈希就是TLS 指纹JA3Salesforce 2017 年提出对 ClientHello 字段列表取 MD5。问题是 Chrome 后来开始随机打乱扩展顺序JA3 每次握手都变——对现代浏览器基本失效。JA4FoxIO 2023 年的继任者关键改进只有一招先排序再哈希。扩展怎么打乱都不影响结果指纹因此稳定。JA4 家族在 TLS 指纹之上继续扩展——JA4S服务器端、JA4HHTTP 请求指纹、JA4XX.509 证书指纹、JA4TTCP 栈指纹抓TLS 穿了浏览器外衣、TCP 口音却对不上的伪装者。这正是识别机器人流量与恶意 C2的利器Cobalt Strike 等后渗透框架自带默认 TLS 配置其 JA3 哈希早已公开如72a589da586844d7f0818ce684948eea成熟团队直接按指纹告警而curl-impersonate、utls 这类伪装成 Chrome的工具也能被多指纹交叉校验 User-Agent 一致性检查戳穿。3步上手安装、识别与实时检测项目以tlsfp二进制形式交付源码就在本仓库三步即可跑起来一键安装 TLS 指纹传感器git clone https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects cd Cybersecurity-Projects/PROJECTS/intermediate/ja3-ja4-tls-fingerprinting cargo build --release ./target/release/tlsfp intel seed # 灌入内置威胁情报库无需联网对抓包文件做指纹识别仓库自带多份真实抓包样本testdata/pcap/直接开跑# 每个握手输出一行JA4 JA3 SNI ALPN ./target/release/tlsfp pcap testdata/pcap/tls-handshake.pcapng # 读取整份抓包输出按威胁程度排序的取证摘要 ./target/release/tlsfp pcap testdata/pcap/tls-handshake.pcapng --report实时监测网卡并触发检测规则sudo setcap cap_net_raw,cap_net_admineip $(command -v ./target/release/tlsfp) ./target/release/tlsfp live eth0 --intel --detect流式检测内置6 条规则在流量经过的瞬间完成判定规则抓什么known_bad指纹命中公共恶意情报源abuse.ch SSLBL、Salesforce JA3 列表、271 条精选 C2 指纹ua_mismatch 招牌规则JA4 指纹与其自称的 User-Agent 矛盾脚本伪装成浏览器os_mismatchJA4T 显示的操作系统与 User-Agent 声称的不一致first_seen从未见过的全新指纹fp_rotation客户端不断轮换指纹规避黑名单monoculture单一指纹异常聚集典型僵尸网络特征用Rust写指纹引擎性能与内存安全兼得选 Rust 不是跟风而是这个场景的刚需——解析的每一个字节都来自不可信网络解析器 bug 在 C 里就是内存漏洞。工程上做了三条硬约束引擎禁用unsafe畸形报文最多产生一个类型化错误绝不越界。核心算法集中在 ja4.rs配套 grease.rs 自动剥离 GREASE 噪声值保证指纹稳定。有界重组TCP 重组层容忍乱序、重传、重叠分段同时用流数量上限、空闲超时和字节上限防止内存炸弹式攻击包。三 crate 严格分层tlsfp-core 纯引擎零 I/Otlsfp-intel 负责 SQLite 情报库、精确JA4 模糊匹配与检测规则tlsfp 是 CLI 与 Web 仪表盘axum SSE 实时推送事件流。性能基准测试中整条流水线解码→重组→指纹在普通笔记本上稳定输出38万~50万 指纹/秒远超项目 1 万的吞吐目标。兼容性每个指纹都锚定公开发布向量逐字节校验——JA3 复现 Salesforce 博客向量QUIC 解密对齐 RFC 9001 / RFC 9369 附录 A还能解出 QUIC Initial 包里的 ClientHello给q传输指纹留一手。学习路径一份完整的TLS指纹教程项目自带从概念到算法的教学文档建议按序阅读文档你会学到learn/00-OVERVIEW.md10 分钟搞懂 TLS 指纹识别为什么有效learn/01-CONCEPTS.mdClientHello 解剖、JA3 vs JA4、GREASE、QUIC 被动解密learn/02-ARCHITECTURE.md三 crate 划分、抓包流水线与威胁模型learn/ALGORITHMS.md每种指纹逐字节怎么算、QUIC Initial 怎么解learn/CONFORMANCE.md各指纹锚定的官方向量与边界没有 Rust 环境just up一键拉起容器化仪表盘栈只想看效果仓库里的 compose.yml 与 justfile 把所有配方都写好了。写在最后这个项目的意义在于加密让说了什么不可见却让谁在说无处遁形。掌握JA3/JA4 TLS 指纹识别你就有了一套不依赖解密、不依赖固定 IP、能跟住整个恶意工具家族的被动防线——而用 Rust 亲手把它造一遍是从会用到懂原理最短的路。【免费下载链接】Cybersecurity-ProjectsBuilding 70 Projects ranging from beginner to advanced so anyone can — learn from, build upon, use as a reference, or even copy directly. Gamified Cybersecurity learning 项目地址: https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
Cybersecurity-Projects用Rust构建JA3/JA4 TLS指纹识别工具精准识别机器人流量与恶意C2【免费下载链接】Cybersecurity-ProjectsBuilding 70 Projects ranging from beginner to advanced so anyone can — learn from, build upon, use as a reference, or even copy directly. Gamified Cybersecurity learning 项目地址: https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects在开源仓库Cybersecurity-Projects中ja3-ja4-tls-fingerprinting项目用Rust实现了一个被动式TLS 指纹识别传感器给它一个抓包文件或一个网卡它就能为每一次 TLS 握手计算JA3、JA4、JA4H、JA4X、JA4T指纹对照本地威胁情报库自动标记机器人流量、身份伪装客户端和恶意C2命令与控制通信——全程不发送一个字节、不解密应用数据最高可达每秒约 50 万个指纹。 核心价值加密隐藏了通信内容却隐藏不了握手的说话方式。同一个恶意工具家族换 IP、换域名、换证书都认不出但它的 TLS 指纹不会变。TLS指纹识别原理为什么加密网络里还能认出人客户端发起 TLS 连接时的第一条消息ClientHello是一份明文的自我说明书支持哪些 TLS 版本、按什么顺序列出哪些密码套件、带哪些扩展、用哪些椭圆曲线。浏览器、Go 程序、Python 脚本、恶意软件各自基于不同的 TLS 库组装这条消息形状各异——而它在加密生效之前就已裸奔在网络上。把这份选择清单做哈希就是TLS 指纹JA3Salesforce 2017 年提出对 ClientHello 字段列表取 MD5。问题是 Chrome 后来开始随机打乱扩展顺序JA3 每次握手都变——对现代浏览器基本失效。JA4FoxIO 2023 年的继任者关键改进只有一招先排序再哈希。扩展怎么打乱都不影响结果指纹因此稳定。JA4 家族在 TLS 指纹之上继续扩展——JA4S服务器端、JA4HHTTP 请求指纹、JA4XX.509 证书指纹、JA4TTCP 栈指纹抓TLS 穿了浏览器外衣、TCP 口音却对不上的伪装者。这正是识别机器人流量与恶意 C2的利器Cobalt Strike 等后渗透框架自带默认 TLS 配置其 JA3 哈希早已公开如72a589da586844d7f0818ce684948eea成熟团队直接按指纹告警而curl-impersonate、utls 这类伪装成 Chrome的工具也能被多指纹交叉校验 User-Agent 一致性检查戳穿。3步上手安装、识别与实时检测项目以tlsfp二进制形式交付源码就在本仓库三步即可跑起来一键安装 TLS 指纹传感器git clone https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects cd Cybersecurity-Projects/PROJECTS/intermediate/ja3-ja4-tls-fingerprinting cargo build --release ./target/release/tlsfp intel seed # 灌入内置威胁情报库无需联网对抓包文件做指纹识别仓库自带多份真实抓包样本testdata/pcap/直接开跑# 每个握手输出一行JA4 JA3 SNI ALPN ./target/release/tlsfp pcap testdata/pcap/tls-handshake.pcapng # 读取整份抓包输出按威胁程度排序的取证摘要 ./target/release/tlsfp pcap testdata/pcap/tls-handshake.pcapng --report实时监测网卡并触发检测规则sudo setcap cap_net_raw,cap_net_admineip $(command -v ./target/release/tlsfp) ./target/release/tlsfp live eth0 --intel --detect流式检测内置6 条规则在流量经过的瞬间完成判定规则抓什么known_bad指纹命中公共恶意情报源abuse.ch SSLBL、Salesforce JA3 列表、271 条精选 C2 指纹ua_mismatch 招牌规则JA4 指纹与其自称的 User-Agent 矛盾脚本伪装成浏览器os_mismatchJA4T 显示的操作系统与 User-Agent 声称的不一致first_seen从未见过的全新指纹fp_rotation客户端不断轮换指纹规避黑名单monoculture单一指纹异常聚集典型僵尸网络特征用Rust写指纹引擎性能与内存安全兼得选 Rust 不是跟风而是这个场景的刚需——解析的每一个字节都来自不可信网络解析器 bug 在 C 里就是内存漏洞。工程上做了三条硬约束引擎禁用unsafe畸形报文最多产生一个类型化错误绝不越界。核心算法集中在 ja4.rs配套 grease.rs 自动剥离 GREASE 噪声值保证指纹稳定。有界重组TCP 重组层容忍乱序、重传、重叠分段同时用流数量上限、空闲超时和字节上限防止内存炸弹式攻击包。三 crate 严格分层tlsfp-core 纯引擎零 I/Otlsfp-intel 负责 SQLite 情报库、精确JA4 模糊匹配与检测规则tlsfp 是 CLI 与 Web 仪表盘axum SSE 实时推送事件流。性能基准测试中整条流水线解码→重组→指纹在普通笔记本上稳定输出38万~50万 指纹/秒远超项目 1 万的吞吐目标。兼容性每个指纹都锚定公开发布向量逐字节校验——JA3 复现 Salesforce 博客向量QUIC 解密对齐 RFC 9001 / RFC 9369 附录 A还能解出 QUIC Initial 包里的 ClientHello给q传输指纹留一手。学习路径一份完整的TLS指纹教程项目自带从概念到算法的教学文档建议按序阅读文档你会学到learn/00-OVERVIEW.md10 分钟搞懂 TLS 指纹识别为什么有效learn/01-CONCEPTS.mdClientHello 解剖、JA3 vs JA4、GREASE、QUIC 被动解密learn/02-ARCHITECTURE.md三 crate 划分、抓包流水线与威胁模型learn/ALGORITHMS.md每种指纹逐字节怎么算、QUIC Initial 怎么解learn/CONFORMANCE.md各指纹锚定的官方向量与边界没有 Rust 环境just up一键拉起容器化仪表盘栈只想看效果仓库里的 compose.yml 与 justfile 把所有配方都写好了。写在最后这个项目的意义在于加密让说了什么不可见却让谁在说无处遁形。掌握JA3/JA4 TLS 指纹识别你就有了一套不依赖解密、不依赖固定 IP、能跟住整个恶意工具家族的被动防线——而用 Rust 亲手把它造一遍是从会用到懂原理最短的路。【免费下载链接】Cybersecurity-ProjectsBuilding 70 Projects ranging from beginner to advanced so anyone can — learn from, build upon, use as a reference, or even copy directly. Gamified Cybersecurity learning 项目地址: https://gitcode.com/gh_mirrors/cy/Cybersecurity-Projects创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
