工具

攻击者并不总是需要攻破网站的服务器，才能成功实现对目标网站的入侵。近期披露的GoBalance工具的零日漏洞，正说明了这一点。 GoBalance是一个配置暗网网站服务常用的工具，在DDoS攻击期间，很多暗网网站都用它来保持可访问性。然而，GoBalance工具近期爆出一个惊天漏洞，这个漏洞允许任何人仅使用公开信息就能算出暗网网站.onion地址的密钥，从而成功接管该.onion地址。 Searchlight Cyber于10月8日发布技术调查报告，指出用于在拒绝服务攻击期间维持可用性的负载均衡工具GoBalance，在加密签名实现上存在缺陷。攻击者仅凭公开可获取的信息，即可恢复受影响洋葱服务的签名密钥，进而接管其.onion地址。相关后果在暗网论坛Dread等服务的地址被重定向事件中已有体现。 需要强调的是：问题并非Ed25519算法本身被攻破，而是实现上的错误——在生成签名前丢弃了关键密钥材料。对受影响服务而言，本应用于建立信任的公开信息，反而可能泄露用于冒充该身份的必要秘密。 攻击者如果获取了密钥，就可以将暗网网站访问者重定向到他们控制的暗网网站副本。但即使控制了该地址，攻击者也无法访问暗网网站的服务器、数据库或存储的用户数据。 洋葱地址不同于普通域名，分析GoBalance工具的漏洞成因 理解该漏洞，需要理解Tor洋葱地址如何建立身份。 传统DNS名称通过注册商、注册局、权威DNS服务器与递归解析器等指向基础设施。v3洋葱地址则使用密码学身份：地址本身由服务的主Ed25519公钥派生，具有自认证性质——客户端无需依赖传统域名注册体系，即可验证与服务相关的密码学信息。 洋葱服务会向Tor网络发布已签名的描述符，供客户端定位并建立连接。描述符包含服务发现所需信息，且设计为可公开获取。在正确实现的签名体系中，发布有效数字签名并不会泄露用于生成签名的私钥。GoBalance工具的缺陷破坏了这一预期，原因在于签名密钥材料的处理方式出错。 GoBalance工具是用Go语言重写的OnionBalance类功能实现，用于将Tor洋葱服务流量分散到多个后端实例。它随EndGame工具包分发，被一些希望在DDoS拒绝服务攻击下保持在线的暗网网站服务采用。 依赖洋葱服务的暗网网站与传统网站有本质不同。传统网站依赖DNS体系中的域名；而暗网网站则使用Tor v3洋葱地址，由密码学公钥派生。根据Tor v3洋葱地址规范，.onion地址实际上是一个公钥，地址编码了Ed25519公钥以及校验和与版本信息。对应的私钥签名能力，因此持有匹配私钥的人可以控制该地址。 若攻击者获得生成有效身份相关签名所需的秘密，就可能通过Tor网络正常的服务发现流程冒充该服务。这正是GoBalance工具的漏洞引入的风险。 主要特征可概括如下：受影响软件为GoBalance（关联工具包EndGame）；漏洞类型为密码学密钥处理实现错误；底层算法为Ed25519；触发条件是使用Tor格式的扩展私钥进行签名；暴露的是主身份秘密标量；攻击者所需仅为公开可用的已签名描述符；潜在影响包括洋葱地址冒充与流量重定向。原版OnionBalance与Tor协议本身据Searchlight Cyber称不受影响；公开研究披露时间为2026年10月8日；截至相关报道时，美国国家漏洞库中尚无确认的CVE编号。 受影响范围窄于“所有安装GoBalance的暗网服务”。脆弱签名路径针对的是使用Tor格式扩展私钥的服务，而非GoBalance安装工具默认生成的基于种子的密钥格式。 GoBalance工具如何处理Ed25519密钥，该漏洞背后的密码学问题 Ed25519是基于椭圆曲线密码的数字签名方案。私钥实现可以有不同表示形式。常见形式从32字节种子出发，再派生签名所需信息。Tor则可存储包含64字节已派生材料的扩展私钥表示。 扩展表示包含两个重要部分：用于签名计算的秘密标量，以及用于派生每条消息随机数（nonce）的额外秘密材料。二者用途不同，但对签名过程都必不可少。 Searchlight Cyber发现，GoBalance在处理这些表示时存在关键错配。对于Tor格式的扩展私钥，私钥长度默认为64字节，GoBalance只把前32字节传给签名函数，后32字节被丢弃。原因是实现调用了旨在返回Ed25519私钥“种子部分”的方法。对普通基于种子的密钥，应用可以从种子重新生成所需的扩展组件；对已经扩展好的Tor格式密钥，把前半段当作完整签名材料处理，就等于丢掉了关键信息。这改变了经由该代码路径生成的每一条签名的安全性质。 Ed25519的安全性依赖于以不暴露私钥签名标量的方式生成签名。简化的签名关系可写成： [ S = r + H(R \parallel A \parallel M)\cdot a \pmod L ] 其中 (a) 为秘密签名标量，(r) 为签名随机数，(M) 为被签名消息，(A) 为公钥，(R) 为由随机数派生的公开签名分量。在正确实现中，随机数用秘密材料派生；即使签名与消息公开，观察者也无法直接解出私钥标量。 GoBalance的实现错误改变了这一点。丢弃用于派生随机数的秘密材料后，脆弱签名代码会从固定的、可公开知晓的输入构造数值，本应秘密的每条消息随机数因此变得可预测。一旦随机数可从公开信息算出，签名关系就不再按预期保护标量。 Searchlight Cyber展示了如何利用公开签名信息恢复相关的盲化签名标量，再反推公开确定的盲化关系，得到主身份秘密标量。该标量即具备冒充受影响洋葱身份所需的签名能力。关键在于：攻击并不需要削弱Ed25519或求解困难的椭圆曲线问题，而是利用应用程序向本可正常工作的密码学实现错误地提供了密钥材料。 一份公开描述符就可能足够拿到密钥，如果已泄露，仅打补丁无法消除后果 数字签名通常假设：攻击者即使看到许多已签名消息，也学不到私钥。该假设建立在签名算法被正确实现之上。在脆弱的GoBalance路径中，用于保护随机数派生的秘密材料缺失，随机数可能从公开数据算出。已发布的描述符包含签名关系所需的签名与相关信息。Searchlight Cyber的分析认为，一份受影响的描述符即可提供足够信息，恢复服务的秘密签名能力。 因此该漏洞较为特殊：攻击者不必攻破Web应用、获取管理凭证，或接触运行洋葱服务的操作系统；公开分发的密码学材料本身成为暴露源。这也解释了为何在移除原有脆弱软件之后，问题仍可能持续——补丁前已发布的描述符无法从所有可能被观察或存档的地方撤回。 据Searchlight Cyber，脆弱行为与Tor格式扩展私钥路径相关。该格式含64字节已扩展签名材料；有问题的代码路径错误地丢弃了安全派生随机数所需的部分。标准基于种子的密钥路径没有同样缺陷，因为签名过程会从种子重新生成预期秘密材料。因此并非每一个GoBalance部署都会暴露其签名标量。 管理员也不应假定：改用其他签名格式就能自动恢复已经受损的洋葱身份。若受影响服务此前发布过泄露身份签名能力的描述符，仅更换软件或配置并不会使已暴露的秘密失效，服务必须建立新的密码学身份。 软件漏洞常被描述为“装更新即可修复”。密码学密钥暴露则多了一层要求：一旦描述符已发布，其中泄露的密钥无法收回。运行过脆弱版本的站点必须生成新的.onion地址并完成迁移——Dread与Omega即是如此。 截至目前，尚无官方修复：美国国家漏洞库中未见该缺陷的CVE编号，Tor项目或GoBalance维护方亦无公开公告。Dread表示计划发布修补版GoBalance并协助受影响站点迁移。一名独立研究者已发布补丁与可从单份公开描述符恢复主密钥的概念验证；研究者称演示仅使用为测试生成的密钥，未针对真实服务。 暗网网站运营者与用户应如何应对 “暗网下/AWX”认为，劫持洋葱地址并不一定等于服务器被黑。控制洋葱地址与控制暗网网站背后的服务器是不同的概念。能够发布针对某身份的有效描述符信息的攻击者，可能把客户端导向其控制的暗网网站，但这并不自动赋予对原服务数据库、文件或应用环境的访问权。 攻击者仍可造成严重危害：用户可能被定向到恶意的仿冒网站并输入密码等敏感信息；也可通过占用受损地址干扰可用性，使用户无法经原地址到达合法服务。当用户无法区分合法基础设施与密码学上有效的冒充时，洋葱身份通常所依赖的信任即失效。因此，没有后端服务器被入侵的证据，不能等同于用户未受影响——损害可能发生在身份与流量路由层，而非传统系统入侵。 对暗网网站运营者而言：安装修复补丁无法撤销已发生的暴露。曾发布过脆弱描述符的站点应创建新.onion地址并迁移；确认密钥格式，避免继续使用Tor格式扩展私钥的脆弱签名路径。 对可能访问过受影响暗网网站的用户：按Dread建议，修改本站及其他可能受影响站点的密码；将旧地址视为不可信；在信任任何新地址前，通过已签名的官方声明加以核实。 GoBalance漏洞的本质，是在Ed25519签名实现中错误处理Tor格式扩展私钥：只传入前32字节、丢弃用于随机数派生的后32字节，使每条消息的随机数可从公开信息计算，进而从单份公开描述符恢复主身份秘密标量。 根据“暗网下/AWX”对近期报道的综合分析：原版OnionBalance与Tor本身不受影响；风险主要落在使用脆弱路径、且密钥为Tor格式的服务上。劫持地址不等于拿下后端，但足以造成仿站、凭据收割与可用性破坏。对已暴露的身份，唯一可靠出路是换新洋葱地址并完成可信迁移。

近期，Tor项目发布文章“Tor VPN Beta：我们从零开始构建自己的安卓 VPN 的经验教训”，详细讲述了最近几年来建设Tor VPN的心路历程。 Tor项目称，多年来，Tor浏览器一直是保护隐私、绕过审查的有效工具之一。但如今，大多数人接触互联网的方式已经不只是使用浏览器，人们更多通过常用的应用连接网络：即时通讯、社交媒体、电子邮件等等。能否把同样的隐私保护，延伸到这些应用上？ Tor项目在用户研究中反复听到这样的需求。人们希望有一种简单的方式，保护整部设备上的流量。正是这一需求，促成了2021年Tor VPN的构想。Tor团队首先聚焦安卓（Android）平台——那里需求最迫切，也最能覆盖审查较严地区的用户。他们推出了Tor VPN Beta作为第一版，预期从真实使用中学习。去年秋天在有限范围内发布后，主要使用场景很快变得清晰：解锁被限制的互联网访问。这一发现影响了之后的开发优先级、用户支持方向，以及产品未来的规划。 Tor VPN有何不同 与商业VPN不同，Tor VPN Beta建立在截然不同的另一套模型上。它是Tor首次在移动端实现设备级网络保护，把Tor的防护从浏览器扩展出去。 在Tor VPN中，设备上的每个应用会获得各自独立的Tor线路，而不是共用一条隧道。这意味着一个应用的活动不容易与另一个应用关联起来。这种应用级隔离的设计，很大程度上受到Tor浏览器跨站追踪防护思路的启发。它与多数VPN的模型不同，默认就致力于减少跨应用追踪。 随着Tor VPN Beta的不断完善和逐步成熟，Tor团队也在让应用级控制更易用。应用列表界面现已支持搜索，用户可以更快找到某个特定应用，并决定是否将其流量路由到Tor网络。 重新思考如何设计规避策略 Tor VPN Beta也包含一些常规VPN的常见功能，例如出口节点选择。但对试图绕过审查的用户来说，这些功能并非总是最佳选择。这是可用性测试和早期反馈中最重要的经验教训之一。 Tor团队最初探索过给用户更多出口选择权，纸面上看起来很合理。实际使用中却带来了混淆：本该使用网桥的用户，却去选择其他出口位置。Tor的工作方式与用户的预期之间存在错位。因此，当前设计要求先把应用连上Tor网络，然后才能选择出口。出口选择仍是未来希望更充分探索的方向，但需要以一种不在高风险场景下制造用户误操作的方式引入。 用在最需要的地方 早期数据显示，高度审查地区的采用率很高，包括伊朗和土库曼斯坦。这与安卓版Tor浏览器的用户结构形成对比——后者更偏向全球北方用户。而在Tor VPN Beta上，Tor团队看到了来自全球南方国家用户的参与度显著提升，这些用户每天都面临着网络限制的挑战。 正因为实际使用方式如此，Tor团队加大了在绕过审查能力上的投入。例如，在较早的1.4.0 beta版本中优先加入了WebTunnel网桥，有助于让Tor流量看起来更像普通的加密网页流量，从而提高被审查方检测和封锁的难度。Tor团队也修复了多个与网桥相关的问题，并做了体验上的改进，目标是让网桥使用更可靠。 稳定与可靠，和功能同样重要 事实上，自早期版本发布以来，Tor团队投入了大量精力来提升稳定性。Tor VPN建立在Arti之上——这是用Rust编写的下一代Tor实现。这意味着底层架构拥有一个全新的、坚实的技术基础，而不是对旧架构进行修补。其直接优势之一是可靠性的提升，包括更少的崩溃和更好的网络状况处理。 Tor团队还投入精力实现可复现构建，并把应用上架到F-Droid应用商店。可复现构建让任何人都能验证自己运行的二进制文件是否与公开源码一致；F-Droid则让用户可以不依赖Google Play安装和更新应用。对一款以隐私和安全为重心的工具来说，这两点都很重要。 Tor VPN Beta的速度性能并不像以速度为卖点的商业VPN那样表现出色。不过，Tor网络本身的性能多年来持续提升，Tor团队也在把这些改进带到移动端体验中。Tor在C语言实现中的一些性能特性，例如拥塞控制，目前在Arti中尚未实现。将这些功能移植过来是下一步的工作重点。 Tor项目产品与用户体验负责人Duncan表示，Tor团队最初是为了把Tor扩展到浏览器之外，填补移动端保护的缺口；但项目很快被真实使用方式所塑造，尤其是那些需要可靠、设备级绕过审查能力的人。因此，重点放在为移动端Tor打好基础：以Arti和Onionmasq为中心的模块化Tor协议栈，能够随真实使用而演进。这些组件现已可在多个应用中复用，有助于减少生态碎片化，并降低长期维护风险。 Tor浏览器仍代表目前能力的业界标杆，Tor团队的目标之一是让Tor VPN逐步达到同样的水平。 协作与开放开发 Tor VPN Beta是多年协作的结果。Tor团队感谢Guardian Project在指导和关键底层移动库方面的帮助，以及LEAP Encryption Access Project的贡献——没有双方，这款应用很难真正面世。 Tor项目仍在公开继续开发Tor VPN Beta，并根据人们的实际使用方式调整方向。这意味着：在受限环境中改进绕过审查能力，把更多性能特性引入Arti，并打磨用户体验以减少混淆和风险。 更重要的是，继续向依赖这款工具的人学习。若你也在使用，并希望参与塑造Tor VPN Beta的发展，可访问Tor项目更新后的下载页面。除了通过APK或Google Play安装，现在也可以通过F-Droid获取Tor VPN Beta。

诞生于1999年的Freenet，是世界上第一个可扩展、去中心化的P2P网络，也是另一种存在形式的暗网。它在某种程度上就像一个共享硬盘。20多年后的今天，互联网日益中心化对个人自由构成了根本性威胁，少数公司控制着绝大部分互联网服务和基础设施。这些公司拥有巨大权力，却基本上不需要承担相应责任。它们能够审查内容、利用用户数据，并将用户驱逐出他们所依赖的服务之外。 2023年，Freenet宣布了新计划：创建Web的完整去中心化替代方案。它从共享硬盘转变为共享计算机，开发者可以在此基础上开发中心化服务的去中心化替代品，包括消息、社交媒体、电子邮件和电子商务。今年3月，全新设计的Freenet正式上线。 Ian Clarke在FUTO的最新演讲阐述为什么需要去中心化 2026年7月17日，Freenet设计者伊恩·克拉克 (Ian Clarke) 在FUTO发表了题为“Freeing the Internet: Apps without platforms”的主题演讲，并于7月下旬公开了演讲视频《Services Without Servers》。这次演讲是一次进度更新，介绍了Freenet网络的工作原理，以及目前已在其上运行的应用程序。 演讲贯穿始终的主题是：这些应用遵循同一种模式——它们的后端就是网络本身，因此可以在没有平台支撑的情况下存在。 演讲中提到，西方世界正面临越来越严格的在线控制。例如，英国在2023年就有12000人因“冒犯性”网络帖子被捕。传统应用都运行在某个人的服务器上，这意味着你的数据、消息，以及你被允许看到的内容，都由运营方掌控。 Freenet则没有可被拥有的服务器。它没有客户端与服务器的区分，只有对等节点。没有人单独运营整个网络，因此没有可被强制的运营者，没有可被用来下架内容的杠杆，也没有可被强制要求设置的后门。 Freenet如何工作 根据其官网介绍，在Freenet上，每个应用都需要规则：谁可以发帖、什么内容有效、谁拥有什么。这些规则以任何人都可以验证的代码形式存在，而不是存在于某家公司的服务器上。这里的“合约”（contract）就是以WebAssembly代码编写的规则，其密钥是该代码的哈希值。 Freenet不只是托管数据，它还会像网页向你投递Gmail那样，把应用本身投递到你的浏览器中。打开一个链接，应用就会加载——无需安装，也无需应用商店。两边都没有公司介入：界面来自Freenet，状态则保存在Freenet合约中。 用户现在可以通过try.freenet.org在无需安装的情况下试用Freenet。 Freenet目前已可用的四个应用 演讲中重点介绍了用户现在就能使用的四个应用： River：群聊 River是去中心化群聊应用，感觉像Signal或WhatsApp，但中间没有公司。聊天室本身是一个Freenet合约。它不依赖River公司服务器，也不需要账号或电话号码。最新进展是新增了私密聊天室功能。River目前处于运行状态，但私密房间是新功能，整体仍在持续完善中。 Delta：信息发布 Delta是去中心化的网站构建和发布平台。用户可以在对等网络上创作和发布站点，没有托管费用，也没有可被下架的单一入口。它已经在Freenet上运行。 Atlas：发现与搜索 Atlas是去中心化发现层，用于发布关于Freenet内容的签名元数据，并在此基础上构建竞争性的、多元的搜索、推荐和策展系统。它的首个工作版本已经发布。与传统网络不同，在Freenet上，用户可以选择索引和排序方式，有良好的默认设置，但不会被锁定。 freenet-git：开发者工具 freenet-git支持通过Freenet进行克隆、获取和推送操作。Git本身不变，改变的是仓库存放的位置——仓库是一个Freenet合约，而不是你登录的某个服务器。它已经可以正常工作。 Freenet未来规划与存在的意义 除了上述四个应用，Mail（去中心化电子邮件）、Raven（去中心化实时社交动态）和Harvest（去中心化市场）也在开发中。Mail将实现点对点消息路由，中间没有服务商；Raven设计为高活跃的实时社交表面，与Atlas的持久发现和归档形成互补；Harvest则是面向点对点商业的去中心化市场，结合匿名身份与盲签名反馈机制，在没有中心运营者的情况下提供问责能力。 “暗网下/AWX”多次介绍，Freenet是以Tor、I2P为代表的暗网的另一种替代方案。Freenet的核心意义不在于它拥有一个聊天应用、一个发布应用或一个Git工具，而在于这些都是同一种模式的体现：应用的后端就是网络本身。没有公司可以审查、利用数据或把用户踢出服务。随着River、Delta、Atlas和freenet-git的上线，以及更多应用的推进，Freenet正在从早期愿景走向可实际使用的去中心化互联网基础设施。 用户可以通过try.freenet.org在线体验，或安装自己的节点以获得完整的点对点体验。更多细节可在Freenet官网和相关演讲视频中查看。

近日，Tor项目宣布推出一款名为Snowflake Volunteer的安卓应用。该应用允许用户自愿分享部分网络带宽，以帮助那些有需求的人绕过流量审查、接入开放互联网。 这款应用由非营利组织Tor项目发布，其核心目的是扩大志愿者运行的Snowflake代理池，同时让用户能够控制电池消耗、网络使用和连接数量。目前已有约14.6万个活跃IP地址每天自愿贡献网络连接。 Snowflake的工作原理 Snowflake是一种Tor可插拔传输技术。它将用户的流量伪装成视频通话，并通过志愿者运行的短期代理进行路由。这样一来，流量比通过固定服务器发送的流量更难被审查者识别和封锁。 Tor项目称，绕过审查归根结底面临两大挑战：一是伪装网络流量以躲避审查，二是确保开放网络易于访问，Snowflake在应对这两大挑战方面尤为有效。 Tor项目在博客中解释称：“它将用户的流量伪装成视频通话的样子，并通过使用短期连接的志愿者代理进行路由，从而让流量更难被检测和封锁。” Snowflake应用本身并不具备浏览功能，它只是在后台运行代理代理，将流量转发给需要帮助的用户。用户可以看到连接数量和数据传输量等统计信息，还可以选择限制电池消耗、限制使用移动数据，或完全关闭该功能。 为了融入普通互联网流量，Snowflake使用了Web实时通信（WebRTC）技术。这项技术原本用于点对点音频、视频和数据共享。对审查者来说，这些流量看起来就像普通的视频或语音通话。 描述中写道：“因此，审查者若想封锁这类规避工具，成本会非常高，因为他们需要封锁互联网的大部分内容才能达到最初的目标。” Snowflake Volunteer应用的开发背景与现状 这款应用由葡萄牙的Bloco工作室开发，该公司此前联系了Tor的反审查团队，希望制作一款独立的Snowflake志愿者工具。这一想法源于Bloco与开放网络干扰观测站（OONI）的合作。开发人员在合作中看到，活动人士和非政府组织如何依赖审查规避工具来保持连接。 在此之前，志愿者可以使用浏览器扩展程序、网站嵌入、桌面命令行工具，安卓用户还可以使用Orbot的Kindness Mode（爱心模式）。 根据Tor的数据，在2026年上半年，Snowflake代理平均每天记录约14.6万个唯一志愿者代理IP地址。其中约三分之一与Orbot的Kindness模式相关。这一贡献表明，推出专门的安卓应用有望吸引更多志愿者。 Snowflake Volunteer基于Guardian Project开发的移动Tor组件，包括帮助开发者将Tor及其可插拔传输集成到移动应用中的IPtProxy库。借助这些现有组件，Bloco得以专注于降低电池消耗、保持服务在后台运行，以及让不熟悉Tor基础设施的用户也能理解该应用。 志愿者可以配置应用仅在未计量网络（如Wi-Fi）上运行、仅在设备充电时激活，并限制同时帮助的人数。启用后，应用会与Snowflake代理服务器签到，并自动将寻求临时代理的用户连接到Tor网络。志愿者无需逐一批准连接。 在经过与Tor社区的初步测试和反馈后，Snowflake Volunteer于今年4月正式上线。5月份，Tor项目观察到平均每天约有1300个独立代理 IP 地址。到6月份，这一数字上升到每天约1700 个，一个月内增长了29%。在初期阶段，代理活跃度最高达到每天超过2100个。这表明，一款专门的应用程序可以为Snowflake社区吸引更多志愿者。 安全性与使用注意事项 Tor项目强调，使用该应用是安全的：所有活动都是不可见的，其他用户在网络上的行为都会附上Tor出口节点的IP地址。 该应用不收集任何数据，但需要10项权限才能正常工作，包括网络访问、前台运行、发布通知、开机启动、重新排序运行中的应用、忽略电池优化、防止手机休眠等。 该应用目前可在Google Play商店、F-Droid以及开源代码仓库中获取。目前Google Play上的下载量超过100次。相比之下，Orbot应用已积累超过1000万次下载。如果用户想对应用进行一些修改，也可以从源代码进行编译。目前，这款应用目前已支持8种语言（中文、英文、法文、德文、日文、葡萄牙文、土耳其文和越南文）。 开发者建议，用户应在Wi-Fi或无限流量套餐下使用该应用，并了解代理可能会略微减慢连接速度。网络会限制同时连接的设备数量。开发团队已尽力确保应用在尽量少耗电的情况下运行。 有意成为志愿者的用户应考虑自己的移动数据限制、电池使用情况、当地法律以及工作场所或学校的网络政策。将应用限制在Wi-Fi和充电时段可以减少对设备的影响。同时，应只从官方渠道安装应用，并保持更新，以获取Snowflake和Tor审查规避组件的最新改动。 如何启用Snowflake Snowflake默认已嵌入Tor浏览器、Orbot应用、iPhone上的Onion Browser，以及点对点即时通讯应用Ricochet-Refresh中，但并未默认开启。无法接入Tor网络的用户需要手动选择此桥梁。 在Tor浏览器中启用Snowflake的方法是：进入设置，选择“连接”（或在地址栏输入about:preferences#connection）。在“桥梁”部分，找到“从Tor浏览器内置桥梁中选择”选项，点击“选择内置桥梁”，然后从菜单中选择“Snowflake”。其他应用也可通过各自的设置页面激活Snowflake。

Darkdump是一款开源的开源情报（OSINT）工具，专门用于深网（Deep Web）和暗网（Dark Web）的信息搜集与调查。它由开发者Josh Schiavone维护，在Github上开源，Darkdump v4版本已于今年4月发布。 Darkdump的定位很明确：帮助安全研究人员、威胁情报团队和执法相关人员合法地收集公开信息，监控泄露数据、凭证和网络犯罪趋势。它不鼓励也不支持任何非法活动。 Darkdump的核心功能是根据用户输入的关键词，从多个暗网搜索引擎抓取结果，并可选地深入抓取每个结果站点中的电子邮件、元数据、关键词、文档和图片等信息。所有结果会实时输出到终端或本地浏览器界面，同时自动对照Ahmia公开的滥用黑名单进行过滤。 Darkdump的工作方法与主要功能 Darkdump支持六种暗网搜索引擎，可通过参数切换： Ahmia：默认搜索引擎，经Tor项目认可，过滤严格，无需Tor即可使用。 NotEvil：Ahmia的分支，索引更广，需要Tor。 TorDex、Tor66、OnionLand、Excavator：这些引擎过滤较少或几乎无过滤，需要Tor，使用前会弹出确认提示。 无论使用哪个搜索引擎，结果都会与暗网最大搜索引擎Ahmia的公开滥用黑名单进行交叉检查。未经过滤的搜索引擎会在执行前提示确认。但这种策略仍不完美，因此在使用未经过滤的搜索引擎进行搜索和抓取时，务必格外谨慎并仔细判断。 工具还支持深度抓取（scrape），可以提取页面中的元数据、链接、邮箱、文档，甚至图片。另外提供凭证泄露（breach）情报扫描模式，针对邮箱或域名查询相关泄露信息。 Darkdump的安装与使用 在Linux和macOS上，安装相对简单： git clone https://github.com/josh0xA/darkdump cd darkdump chmod +x install.sh ./install.sh 安装后会生成两个命令：darkdump启动网页界面，darkdump-cli运行命令行工具。 手动安装则需要分别安装主程序和网页界面的依赖： pip3 install -r requirements.txt pip3 install -r darkdump-web/requirements.txt darkdump使用前需要正确配置Tor。在torrc文件中开启控制端口（通常是9051），并设置哈希密码。启动Tor服务后即可使用。 命令行常用参数包括： -q 搜索关键词 -a 返回结果数量（默认10） -e 指定搜索引擎 -p 通过Tor代理 -s 深度抓取 -i 同时收集图片（需配合-s） -u 去重 -o 导出为JSON、CSV或TXT --breach 启动凭证泄露扫描 例如： # Basic search via Ahmia (no Tor required) darkdump-cli -q "privacy tools" -a 10 # Search and deep scrape each result via Tor darkdump-cli -q "

很多人觉得，只要用Tor浏览器访问.onion站点，就能在暗网里彻底隐身，没人能找到您。但事实往往没那么简单，暗网可能并不像您想象中那么匿名，不少隐藏服务因为配置不当或者操作失误，露出了不少马脚。 “暗网下/AWX”看到，有人开发了一种工具，可以剥去暗网站点的面具，它叫OnionScan。 OnionScan是一款免费开源的暗网调查工具，专门用来扫描和分析暗网站点。它能帮你快速检查一个.onion地址的各种隐私和安全问题。只要输入一个简单命令，它就会像侦探一样，把站点的各个角落翻个遍，告诉你哪里可能泄露了真实信息。 OnionScan项目地址在GitHub上（s-rah/onionscan），有兴趣的可以自己试试——不管是想保护自己的站点，还是单纯好奇暗网的真实样子，它都是个挺实用的工具。 OnionScan 0.2版本已经可以在OnionScan的Github上下载。 OnionScan的主要目标 OnionScan表示，无论是运营安全漏洞还是软件配置错误——大多数情况下，对匿名性的攻击并非来自破坏底层系统，而是来自运营者自身，也就是那个无法有效利用技术手段解决的持续威胁——人为错误。 根据OnionScan官方网站的说法：一是希望帮助隐藏服务的运营者发现并修复其服务的运行安全问题：希望帮助他们检测配置错误，并希望启发新一代匿名工程项目，从而让世界变得更加私密；二是希望帮助研究人员和调查人员监控和追踪暗网网站：事实上，OnionScan希望尽可能简化这一过程。这并非因为OnionScan认同所有调查机构的目标和动机——大多数情况下并不认同。但OnionScan希望通过简化这类调查，为新型匿名技术的发展创造强大的动力。 OnionScan如何使用 要安装OnionScan，需要Go环境（Go 1.6 或 1.7），并且需要以下Go标准库核心未提供的依赖项： golang.org/x/net/proxy – 用于 Tor SOCKS 代理连接。 golang.org/x/net/crypto – 用于 PGP 解析 golang.org/x/net/html – 用于 HTML 解析 github.com/rwcarlsen/goexif – 用于提取 EXIF 数据。 github.com/HouzuoGuo/tiedot/db – 用于爬取数据库。 使用OnionScan后，会出具一份报告，列出高、中、低风险问题。如果想看更详细的信息，可以加个--verbose参数；如果想导出JSON格式方便进一步处理，可以加个--jsonReport参数。具体说明如下： 如需一份简要报告，详细说明使用隐蔽服务发现的高风险、中风险和低风险区域： onionscan notarealhiddenservice.onion 最有趣的输出来自详细输出选项： onionscan --verbose notarealhiddenservice.onion 如果您想与其他程序或应用程序集成，还可以生成 JSON 输出： onionscan --jsonReport notarealhiddenservice.onion 如果您想使用监听其他地址的代理服务器 127.0.0.1:9050，则可以使用 –torProxyAddress 标志： onionscan --torProxyAddress=127.0.0.1:9150 notarealhiddenservice.onion OnionScan可以查出什么 OnionScan会扫描常见的人为失误，可以发现的： 网站配置错误导致真实IP地址泄露 与明网服务器匹配的SSH指纹暴露 软件版本和服务器banner暴露（SMTP和FTP应用的banner泄露了主机名称和操作系统版本） 目录遍历、文件泄露 EXIF数据残留（比如上传图片没去掉元数据，GPS坐标隐藏在图像元数据中） 比特币地址、电子邮件地址和PGP密钥等关联匹配 其他各种可能暴露运营者身份的痕迹 “暗网下/AWX”看到，OnionScan还拥有关联实验室——一个网络仪表板，可以映射扫描站点之间的关系，由此挖掘到背后的操作者忽略了的模式问题。比如，同一个SSH密钥在两个“看起来不相关”的网站上出现、同一电子邮件、同一服务器……它将这些线索点连接起来。

近期，Tor项目发布公告，正式推出Tor浏览器小版本15.0.7，可以在Tor浏览器下载页面以及Tor项目的 分发目录获取。紧接着，用于匿名上网的Linux发行版Tails也宣布发布7.5版本。Tails维护者在匿名Linux发行版7.5版本公告表示，开发者们正在更新核心软件包，此次版本更新中，包含Tor浏览器15.0.7版本，而Tor客户端的版本也更新为0.4.9.5。 Tor浏览器15.0.7新版本发布 此版本包含针对Firefox的重要安全更新。 完整更新日志 Tor浏览器15.0.6版本以来的完整更新日志如下： 所有平台 已将 NoScript 更新至 13.5.14.1984 版本 zlib 已更新至 1.3.2 版本 Bug tor-browser#44656：将 Tor 浏览器版本重新基于 140.8.0esr 构建 Bug tor-browser#44681：从 Firefox 148 向后移植安全修复 Windows + macOS + Linux 已将 Firefox 更新至 140.8.0esr 安卓 GeckoView 已更新至 140.8.0esr 版本 Bug tor-browser#44620：移动 Android IPC 目录 Tails 7.5版本发布 变更和更新 将Tor浏览器更新至15.0.7版本。 简化Tor浏览器的首页。 将Tor客户端更新至0.4.9.5版本。 将Thunderbird更新到140.7.1版本。 如果已启用Thunderbird电子邮件客户端和持久存储的附加软件功能，请安装Thunderbird作为附加软件以提高其安全性。在Tails 7.5之前，Mozilla会在我们发布Tails新版本后几天就发布新版Thunderbird 。因此，Tails 中预装的Thunderbird版本几乎总是过时的，并且存在已知的安全漏洞。通过将Thunderbird安装为附加软件，每次启动Tails时，最新版本的Thunderbird都会从您的持久存储中自动安装。如果在启动Thunderbird时出现下面的Thunderbird迁移对话框，则表示Tails已成功将Thunderbird作为附加软件安装。 除了西班牙西班牙语语言包之外，还要在Thunderbird中包含墨西哥西班牙语语言包。 获取Tails 7.5 Tails 7.0或更高版本可自动升级至7.5。 如果无法进行自动升级，或者自动升级后Tails无法启动，请尝试进行手动升级。

“暗网下/AWX”获悉，9月初，Tor项目悄然在谷歌商店发布了一款适用于Android的新VPN应用，该VPN使用户能够通过Tor网络路由所有互联网流量，说白了就是Tor代理，这标志着非盈利性公益组织Tor项目首次正式涉足移动VPN解决方案。 目前，Tor VPN Beta现已在Google Play商店上架，明确标明为实验性版本，最新更新时间为9月4日，下载次数已经超过1000次。但Tor项目警告用户不要依赖它处理任何敏感信息，因为它仍然可能泄露身份信息。Tor项目称，此Beta版软件主要用于测试、反馈和进一步开发，不适用于高风险用户或敏感用例。 根据该项目GitLab存储库中的信息，该应用程序从2022年1月开始开发，目前为止已提交了600多次代码更新。代码库采用BSD 3-Clause许可证，并且完全开源，这与Tor长期以来对透明度和免费软件的承诺相一致。 因为Tor VPN完全开源，“暗网下/AWX”建议，除了在Google Play商店下载安装以外，用户也可以自行在手机安装此apk，可以从Gitlab软件包存档中下载最新成功构建的软件包，安装方法如下：解压文件，执行adb install app/build/outputs/apk/debug/app-debug.apk。 Tor VPN的技术特性 Tor VPN基于Arti构建，Arti是Tor项目最新开发的基于Rust的Tor协议现代实现，Arti取代了旧版基于C语言的“C-Tor”代码库，提供了更安全的内存处理、更现代的代码架构和更强大的安全基础。Tor VPN允许安卓手机用户通过Tor网络来路由手机里每个App应用的互联网流量，每个App应用都会获得自己的Tor线路和出口IP地址。这种基于应用的路由可以减少关联攻击，并进一步隐藏用户的网络活动。 Tor VPN应用程序提供： 网络级隐私（IP和位置混淆）：应用程序和服务看到的是Tor出口节点，而不是用户的真实IP地址和位置； 每个应用程序路由：用户可以选择通过Tor路由哪些应用程序，每个应用都有自己的Tor线路和出口IP，防止用户网上活动被恶意监控，从而创建隔离线路； 应用级抗审查：通过使用Tor的分散路由，Tor VPN可以帮助部分国家用户访问受限制网络中的内容； 洋葱服务支持：与Tor浏览器一样，VPN支持访问.onion域名，以实现匿名通信和无元数据服务。 Tor项目成立于21世纪初，由公众捐款和机构资助，是一个致力于促进人权和网络自由的非营利组织。其最著名的产品Tor浏览器通过志愿者运营的覆盖网络路由流量，实现匿名网页浏览。随着Tor VPN Beta版的推出，该公益性组织正在将其功能扩展到移动平台上，实现更广泛的设备级隐私保护。 Tor VPN目前是测试版本 Tor VPN Beta尚未正式投入生产，并附带明确的警告。根据该应用的文档和商店列表，用户不应使用该应用进行高风险或敏感活动。Android的系统级数据（例如设备标识符）仍可能暴露用户信息，包括Tor在内的任何VPN都无法完全阻止这种情况。 Tor项目表示，Tor VPN Beta面向希望在安全的情况下助力打造移动隐私的早期用户，用户应了解可能出现的错误、崩溃和功能不完善的情况，并可报告问题。该应用最适合愿意向开发团队提供反馈的测试人员、开发人员和隐私爱好者，共同迈向更自由的互联网。 除了Tor VPN外，“暗网下/AWX”发现，目前，Proton VPN也支持Tor over VPN服务，并且速度比预期的要快得多，也可以测试使用。

7月底，Tor浏览器与Tails操作系统相继发布最新版本，对一些功能及安全漏洞进行了更新升级。 Tor浏览器发布14.5.5版本 Tor浏览器14.5.5版本现已可从Tor浏览器下载页面以及Tor项目官方的分发目录中获取。此版本包含Firefox浏览器最新的重要安全更新。 Tor浏览器14.5.4版本以来的完整更新日志如下： 所有平台 Tor 已更新至 0.4.8.17 OpenSSL 已更新至 3.0.17 Bug tor-browser#43979：将 Tor 浏览器稳定版本重新调整至 128.13.0esr Bug tor-browser#43993：从 Firefox 141 反向移植安全修复 Bug tor-browser-build#41508：将内置 meek bridge 切换为 meek-unredacted Windows + macOS + Linux 将 Firefox 更新至 128.13.0esr 安卓 将 GeckoView 更新至 128.13.0esr 构建系统 Windows + Linux + Android 已更新至 1.23.11 Tails操作系统发布最新6.18版本 Tails操作系统本次更新的6.18版本最吸引眼球的新增加的WebTunnel网桥功能，用户现在可以使用WebTunnel网桥直接从Tails系统连接到Tor网络，从而访问暗网。 WebTunnel是一种桥接技术，据称尤其擅长规避审查，即使在obfs4网桥接被屏蔽的地方也能够正常工作。WebTunnel会将用户的网络连接伪装成普通的网络访问流量。去年3年，Tor项目正式推出新的WebTunnel桥接方式，可以模仿HTTPS流量。 要获取WebTunnel网桥，可以访问https://bridges.torproject.org/。Tails 6.18版本的其他变更和更新还有： 将Tor浏览器更新至14.5.5。 将Thunderbird更新至128.12.0。

WinRAR是全球最受欢迎的Windows文件压缩实用程序，用于创建和查看归档文件（RAR或ZIP文件格式）以及“解压”其他格式的归档文件和包含这些归档格式的可执行文件。 由于其庞大的用户群——WinRAR在全球拥有超过 5 亿用户——该软件中的漏洞经常被各种威胁行为者利用。由于WinRAR没有自动更新功能，WinRAR用户必须在官方网站手动下载并安装最新可用版本。 针对WinRAR的复杂零日漏洞（0day）已出现在暗网市场上，标价高达80000美元。这个此前从未被发现的远程代码执行（RCE）漏洞影响了该广泛使用的软件的最新版本和早期版本，引起了全球数百万用户的极大担忧。 该零日漏洞由一名使用化名“zeroplayer”的威胁行为者在暗网网络犯罪论坛上发布主题，进行销售。根据描述，此零日漏洞与最近披露的CVE-2025-6218完全不同，这表明WinRAR可能同时面临多个严重的安全漏洞。 这种区别尤其令人担忧，因为它表明即使用户已经修补了系统中已知的漏洞，仍然可能面临风险。 关于编号为CVE-2025-6218的漏洞 WinRAR中最近修补的目录遍历漏洞（CVE-2025-6218）可被远程攻击者利用在受影响的安装上执行任意代码。该漏洞已在2025年6月10日发布的WinRAR 7.12 beta 1中得到修复，建议用户尽快升级到该版本。 CVE-2025-6218是由名为“whs3-detonator”的研究人员通过趋势科技零日计划发现并私下报告的，该漏洞存在于存档文件中的文件路径处理中。 ZDI的安全公告解释道：“精心设计的文件路径可能导致进程遍历到非预期的目录。攻击者可以利用此漏洞在当前用户的上下文中执行代码。”、“利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。” CVE-2025-6218影响： WinRAR v7.11（及更早版本） Windows版本的RAR、UnRAR、便携式UnRAR源代码和UnRAR.dll RARLAB表示：“Unix版本的RAR、UnRAR、便携式UnRAR源代码和UnRAR库以及Android版本RAR均不受影响。” 新的零日漏洞具备远程代码执行功能 “zeroplayer”称，该零日漏洞使攻击者能够通过特制的压缩文件在目标系统上执行任意代码。远程代码执行功能意味着只需打开恶意存档文件就可能危及整个系统。 这种漏洞尤其危险，因为WinRAR安装在全球数亿台计算机上，这使其成为寻求广泛影响的网络犯罪分子的一个有吸引力的目标。 80000美元的售价反映了网络犯罪分子对零日漏洞的高度重视，尤其是针对广泛部署的软件的零日漏洞。这个定价还表明漏洞利用可能是独家的或特定有限使用，因为大规模销售的漏洞利用通常在地下市场上价格较低。 此次漏洞的出现凸显了软件开发人员在维护安全应用程序方面面临的持续挑战。WinRAR的悠久历史和广泛的功能集使其成为安全研究人员和恶意行为者的一个复杂目标。 该漏洞影响软件的多个版本，这表明它可能是应用程序架构中的一个根本缺陷，而不是最近漏洞类似的编码错误。网络安全专家强调，零日漏洞是数字领域最严重的威胁之一，因为它们针对的是没有补丁或防御措施的未知漏洞。 依赖WinRAR进行文件压缩和提取的企业和个人用户应保持警惕，并考虑实施额外的安全措施，例如沙盒或替代压缩工具，直到获得更多漏洞的详细信息。 网络安全社区正在密切关注这一发展，因为此类漏洞在暗网市场上的出现往往先于其用于有针对性的攻击或更广泛的网络犯罪活动。安全研究人员正在努力识别和了解该漏洞，以制定适当的对策，并告知WinRAR的开发人员该漏洞对其用户群的潜在威胁。