银狐防护官方文档

这个扩展是干什么的

银狐防护（SilverFox Guard）是一款本地优先的反钓鱼浏览器扩展，专门针对国内高发的「银狐（游蛇 / Silver Fox）」远控木马家族。它不靠云端扫描每个页面，而是在本地完成核心判定，天然保护你的浏览隐私。

为什么需要它？银狐是近两年针对国内用户最活跃的远控木马家族：攻击者伪造官网、在微信群/QQ 群投放伪装成「求职简历、违纪名单、工资表、会议纪要」的压缩包，或直接诱导用户从仿冒站点下载安装包；一旦运行，电脑即被远控，可被用于盗号、盗产、勒索、二次投毒。它最致命的特征，是伪装成"看起来完全正常"的网站与文件——这正是它在国内反复得手的原因。

银狐防护在两个入口同时设防：

一句话总结：扩展管"你在浏览器里看到和下载的银狐"；本地的 29 维计分负责判定，云端只分发官方域名白名单（见 FAQ）。全部规则开源（MIT License），不收集浏览记录，不上传页面内容。

功能总览

扩展的能力不是"一个开关"，而是从「识别 → 拦截 → 复核 → 学习」组成的完整闭环：

扩展支持的文件作用域包含 exe / dll / scr / msi / zip / bat / cmd / ps1 / vbs / js / jse / hta / lnk 等 13 类可执行与脚本格式；检测特征与规则库全部开源，可审计、可复现。

快速上手

主防程序（preview3）

主防程序（SilverFoxGuardSvc）是银狐防护的系统级防线：扩展在浏览器里"看"，主防在你电脑上"拦+清+还原"。这是一款独立的 Windows 主防程序（后台服务 + 图形主界面），当前以 preview3 形态发布。preview2 阶段完成了从"定时巡检"到"实时拦截的正经杀软模式"的改版；preview3 进一步强化实时性与处置闭环：进程创建监视改为 ETW 实时订阅（事件毫秒级送达判定层，WMI 保留为订阅失败时的兜底），勒索处置新增 句柄归因（反查正在改写受保护文件的进程并当场终止），并重构了告警卡与主界面。

它防什么

• 实时行为防护（四事件源）：进程行为监视、文件落地捕获、自启动项监视、引导扇区防护——命中威胁先自动拦截，再在屏幕右下角弹出处理卡片（它在干什么 → 已自动拦截 → 是否撤销）；撤销即一键还原，误拦不伤文件；
• 勒索加密拦截：截获混合加密的密钥落盘、识别批量加密改写，先回滚被加密文件再通知；配合快照机制，中招文件可自动恢复；
• MBR 引导扇区防护：安装时建立引导扇区基线，持续监视篡改，被改写即刻告警并可一键恢复；
• 系统主机进程注入检测：探测 explorer / svchost / lsass 等系统进程里被注入的无签名恶意 DLL；
• 定时扫描：快扫约 3 分钟一轮、全盘 6 小时一轮、开机 2 分钟内完成首轮；
• GPU 深度内容扫描（可开关，实验阶段）：对用户可写目录的可执行/脚本文件批量匹配家族特征字节串，抓"名字正常但内容是银狐"的改名样本。⚠️ GPU 扫描当前处于实验阶段：GPU 扫描进程崩溃可能会导致整个主防崩溃，不建议开启。

误报抑制

主防程序对误报做了系统性治理：信誉门——已知良好软件先行放行，不再与威胁混判；临时目录降噪——Temp 等高噪声目录的中间态文件不再干扰判定；压缩文件熵修正——按后缀与文件头魔数识别 gzip/zip/7z 等压缩格式，不再把"压缩导致的高熵"误判为加密密钥，下载安装包、插件解压、日志轮转不再触发勒索误报；改名分级——日志轮转等正常改名不再作为勒索旁证。每次自动处置都带撤销令牌，可在弹窗中一键撤销。并进一步收紧了远程载荷判据：不再因命令行中同时出现脚本宿主工具名与普通 URL 就判为"执行远程载荷"，同时补齐 IEX/IWR 等 PowerShell 缩写形式的识别。

它能做什么

扫描结果按「高危 / 中危 / 低危 / 警告」分组折叠展示，支撑一键清除与高级清除。普通清除失败（文件被占用/有保护）时，程序会升级高级清除：遏制（按进程名强杀全部实例与子进程树）→ 夺权（清属性、解 ACL）→ 硬删（含 POSIX 删除与重启登记兜底）→ 连坐（自动识别并清除同目录随机名载荷/衍生 DLL）；每次清除都写入「清除记录」卡片，可随时回看。安装完成后主界面自动启动、静默驻留托盘（点击托盘图标打开），开机亦自动启动。

与扩展是什么关系

二者通过 Native Messaging 通道联动：扩展面板提供入口与状态展示，主防后台以 Windows 服务形式常驻。安装程序是可选的——只用浏览器拦截功能可以完全不装它；装了以后，「浏览器里的银狐」（钓鱼/下载）与「本机里的银狐」（样本落地/实时行为）才算都有人看管。

常见问题（详细解答）

以下问答按主题分组，点击问题展开详细解答。

开放接口 · 演示调用

银狐主防需要一条不依赖本机系统时钟的时间参照，用来判断「系统时间是否被大幅篡改」——改时钟是规避行为监测的头号手段。为此我们单独部署了一个时钟旁站：无状态、无鉴权、允许跨域。下面所有代码都是本页 HTML 里的静态文本，官网不做任何转发，复制到你自己的环境里直接就能跑，用来看这个接口在你的网络下是否可用。

接口一览

域名：https://silverfox-clock.pages.dev（与官网站点分离部署，互不影响）。四个端点共同点：Access-Control-Allow-Origin: *（跨域随便调）、无需任何密钥；其中三个 /api/* 端点另带 Cache-Control: no-store（被缓存的时钟就是错的时钟）。/ 是普通静态响应（max-age=0, must-revalidate），提供它只为「接口整体失效时仍取得到时间」这一层兜底，缓存头与接口并不一致。

第 1 步 · 先看通不通（最简单）

在浏览器地址栏直接打开，能看到内容就是通了：

• https://silverfox-clock.pages.dev/api/time.txt —— 应看到一行 13 位数字
• https://silverfox-clock.pages.dev/api/time —— 应看到一段 JSON

打不开通常是网络层的问题（公司网关、防火墙、所在网络访问不了 Cloudflare），与接口本身无关——换成手机热点再试一次即可区分。

第 2 步 · curl（命令行最快的验证）

# 毫秒时间戳（纯文本，最省事）
curl -s https://silverfox-clock.pages.dev/api/time.txt

# JSON 形式（带 ISO，便于人读）
curl -s https://silverfox-clock.pages.dev/api/time

# 只看响应头里的服务器时间
curl -sI https://silverfox-clock.pages.dev/api/time | grep -i x-server-time

第 3 步 · JavaScript（浏览器控制台 / Node 18+）

这段的重点不是「取到时间」，而是取到之后怎么用：直接把收到的值当成「此刻的服务器时间」，会多算一个单程网络延迟（几十毫秒）。正确做法是先量出往返时长，再折半扣掉。

const TIME_URL = 'https://silverfox-clock.pages.dev/api/time';

async function trustedNowMs() {
  // 用 performance.now()（单调时钟）量往返：万一校时途中系统时间被改，
  // Date.now() 的差值会被一起污染，performance.now() 不会。
  const t0 = performance.now();
  const res = await fetch(TIME_URL, { cache: 'no-store' });
  if (!res.ok) throw new Error('HTTP ' + res.status);
  const { t } = await res.json();      // 服务器生成响应的时刻（Unix 毫秒）
  const t1 = performance.now();
  return t - (t1 - t0) / 2;            // 扣掉单程延迟（假设上下行对称）
}

trustedNowMs().then((serverMs) => {
  console.log('服务器时间 :', new Date(serverMs).toISOString());
  console.log('本机偏差   :', Math.round(Date.now() - serverMs), 'ms（正数 = 本机走快）');
});

第 4 步 · Python 3（只用标准库）

import json, time, urllib.request

URL = "https://silverfox-clock.pages.dev/api/time"

t0 = time.monotonic()                       # 单调时钟，不受改系统时间影响
req = urllib.request.Request(URL, headers={"User-Agent": "sfh-demo/1.0"})
with urllib.request.urlopen(req, timeout=5) as r:
    info = json.loads(r.read())
t1 = time.monotonic()

server_ms = info["t"] - (t1 - t0) * 500     # 往返折半，并把秒换算成毫秒
drift_ms  = int(time.time() * 1000 - server_ms)
print("服务器时间 :", info["iso"])
print("本机偏差   :", drift_ms, "ms（正数 = 本机走快）")

第 5 步 · PowerShell（Windows 一行版）

# 最简：只取时间戳
(Invoke-RestMethod 'https://silverfox-clock.pages.dev/api/time').t

# 含往返折半校正与本机偏差
$sw = [System.Diagnostics.Stopwatch]::StartNew()
$r  = Invoke-RestMethod 'https://silverfox-clock.pages.dev/api/time'
$sw.Stop()
$serverMs = $r.t - $sw.Elapsed.TotalMilliseconds / 2
$drift    = [DateTimeOffset]::UtcNow.ToUnixTimeMilliseconds() - $serverMs
"服务器时间 : {0}（单程约 {1:N0} ms）" -f $r.iso, ($sw.Elapsed.TotalMilliseconds / 2)
"本机偏差   : {0:N0} ms" -f $drift

怎么判断「可用」

反馈与支持

遇到误报、漏报、使用问题或想参与规则共建：