# 🔧 安全工具 | Fscan 魔改二开 · 特征消除与功能扩展

>📌 原fscan项目地址：https://github.com/shadow1ng/fscan 
Fscan 是一款优秀的内网综合扫描工具，方便一键自动化、全方位漏扫扫描。在落地使用过程中，流量及文件不修改的情况下基本被检测查杀，针对这种情况，我们进行了一些基本的参数测试和特征去除，外加功能拓展。


----
## 📋 目录

- [一、环境准备]
- [二、直接编译测试]
- [三、特征字符串清除]
- [四、编译层混淆（garble）]
- [五、DLL 加载免杀]
- [六、功能扩展 · 添加新插件]
- [七、功能扩展 · 自定义 POC]
- [八、效果汇总]


----
## 一、环境准备

下载慢的可以配置国内加速镜像：
```
$env:GO111MODULE = "on"
$env:GOPROXY = "https://goproxy.cn,direct"
```

----
## 二、直接编译测试

>先不做任何修改，直接编译测一下各杀软的检测情况，作为改造前的基准对照。

### 原版编译

```
go build -ldflags="-s -w" -trimpath main.go
```加上系统信息的详细版：
```
$env:GOOS="windows"; $env:GOARCH="amd64"; go build -ldflags="-s -w" -trimpath main.go
```无窗口模式（适合上线后台运行）：
```
go build -ldflags="-s -w -H=windowsgui" -trimpath -o fscan_no_window.exe main.go
```配合输出到文件：
```
.\fscan_no_window.exe -h 192.168.1.1/24 -o result.txt
```>⚠️ 测试结果：只改变编译模式，火绒直接杀了，说明单纯去符号表不够用。

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/05c30df4ecc4f7fa222460a7cc7af604.png)


----
## 三、特征字符串清除

原版二进制里包含大量明显特征，杀软直接按字符串匹配就能识别，需要逐一清除。
### 3.1 修改包名

**第一步：改 `go.mod`**
打开 `go.mod`，第一行是：
```
module github.com/shadow1ng/fscan
```改成随便一个名字，比如：
```
module scanner/core
```**第二步：批量替换所有 import 路径**
所有 `.go` 文件里的 `github.com/shadow1ng/fscan` 都要同步改，Windows 上用 PowerShell 批量替换：
```
Get-ChildItem -Recurse -Filter "*.go" | ForEach-Object {
 &nbsp; &nbsp;(Get-Content $_.FullName) -replace 'github.com/shadow1ng/fscan', 'scanner/core' | Set-Content $_.FullName
}
```**第三步：改 `Flag.go` 里的版本号字符串**
```
grep -r "Fscan Version" . --include="*.go"
```把 `Fscan Version` 改成别的，比如 `Scanner Version`，这也是特征字符串。
### 3.2 清除残留字符串

**`Common/Output.go`**：
```
// 把
Outputfile = filepath.Join(dir, "fscanapi.csv")
// 改成
Outputfile = filepath.Join(dir, "scannerapi.csv")
```**`Plugins/MiniDump.go`**：
```
// 把
fmt.Sprintf("fscan-%d.dmp", pid)
// 改成
fmt.Sprintf("scanner-%d.dmp", pid)
```### 3.3 修改 ASCII 艺术字

`Common/Flag.go` 里有启动时打印的 ASCII 艺术字，拼出来就是 "fscan"，杀软能直接识别这个图案，直接清空：
```
lines := []string{
 &nbsp; &nbsp;"  [*] Scanner Starting...",
}
```### 3.4 重新编译

```
go build -o scanner.exe main.go
```>✅ 火绒过

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/5dc948a1f20bbef30c00af5d611c157b.png)
>✅ 360 静态过、杀毒、安全卫士、核晶体全过？？？？？？？？？

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/82df10547623842f301d1b4e27673f70.png)
>动态也能过？？？？？？？？

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/a50b45292f036128e4ca845efcdbaa1d.png)
>Defender 动态也能过？？？？？？？？

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/368d55b98b99b9c8769b928564f55e11.png)
>❌ 卡巴斯基静态被杀

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/9ae43ef133e75ef898cfc9d784ffc128.png)


----
## 四、编译层混淆（garble）

>单纯清字符串对卡巴斯基这类引擎不够，它会分析代码结构。garble 能把函数名、变量名、字符串全部随机化，让杀软看不出来是什么工具。

前面一直用的是直接编译，这次换一下：
```
go build -ldflags="-s -w" -o scanner.exe main.go
```>❌ 结果：卡巴斯基依然杀，火绒也杀了，加 `-ldflags` 反而触发了启发式规则，效果更差。

### 4.1 安装 garble

```
go env -w GOPROXY=https://goproxy.cn,direct
go install mvdan.cc/garble@latest
go mod tidy
```>💡 garble 对 Go 版本有严格要求，目前支持 go1.25.x，太新或太旧都会报错。

### 4.2 基础混淆

```
garble -seed=random build -o scanner.exe main.go
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/220ae3b6de0887af6965ba78fb195407.png)
>✅ 火绒能过

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/81fa9a1262f2ce5d1cda37dea54304f0.png)
>❌ 卡巴斯基依旧被杀

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/1b1438ac55951389035d53b210d51d8e.png)
### 4.3 试 UPX 加壳

下载地址：https://github.com/upx/upx/releases 
```
upx --best scanner.exe -o scanner_upx.exe
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/2e80c65834d9d4669fd35f049e60ffda.png)
>❌ 卡巴斯基依旧被杀，然后 Defender 也杀了，加壳反而不行，过了段时间 360 也报了。**加壳适得其反，不建议使用。**

### 4.4 PE 资源伪装

使用 **Restorator.exe** 修改 PE 资源信息，添加图标、版本号、公司名等，伪装成正常软件：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/56d49efb5dca40de2d5aa926b83a32d7.png)
>⚠️ 没有效果。PE 资源伪装主要对付人眼识别，对杀软引擎的启发式检测基本没用。

### 4.5 garble 加上 `-literals` 字符串加密

```
garble -seed=random -literals build -o scanner.exe main.go
```区别是：
- 之前：只混淆函数名、变量名
- 现在：额外把所有字符串加密，运行时动态解密

编译后体积会增大（约 90MB），但效果更好。
>✅ 结果：卡巴斯基静态能过，Defender 被检测但只是禁止运行没有删除，应该是被 AMSI 检测了。

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/88f3a42536abee9c8b0fcd957ea309db.png)
>⚠️ 卡巴斯基动态运行一半就被杀了，检测到 POC 加载触发了，如果没扫到 POC 应该还是能稳一下的。

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/502eecd494fe0881f14506a721bffefd.png)


----
## 五、DLL 加载免杀

### 5.1 思路

把 fscan 编译成 DLL，再用一个 C 写的 loader 去加载它。**杀软扫 loader 本身看不出是 fscan**，从而绕过动态检测。
```
scanner_loader.exe（C语言，干净）
 &nbsp; &nbsp;  ↓ 加载
fscan.dll（实际功能）
```### 5.2 修改 main.go

`main.go` 只保留一行：
```
package main
```### 5.3 新建 main-c.go，导出 Run 函数

```
package main
​
import "C"
import (
 &nbsp; &nbsp;"fmt"
 &nbsp; &nbsp;"os"
 &nbsp; &nbsp;"scanner/core/Common"
 &nbsp; &nbsp;"scanner/core/Core"
)
​
//export Run
func Run() {
 &nbsp; &nbsp;Common.InitLogger()
​
 &nbsp; &nbsp;var Info Common.HostInfo
 &nbsp; &nbsp;Common.Flag(&Info)
​
 &nbsp; &nbsp;if err := Common.Parse(&Info); err != nil {
 &nbsp; &nbsp; &nbsp; &nbsp;os.Exit(1)
 &nbsp;  }
​
 &nbsp; &nbsp;if err := Common.InitOutput(); err != nil {
 &nbsp; &nbsp; &nbsp; &nbsp;Common.LogError(fmt.Sprintf("初始化输出系统失败: %v", err))
 &nbsp; &nbsp; &nbsp; &nbsp;os.Exit(1)
 &nbsp;  }
 &nbsp; &nbsp;defer Common.CloseOutput()
​
 &nbsp; &nbsp;Core.Scan(Info)
}
​
func main() {}
```### 5.4 编译 DLL

```
set CGO_ENABLED=1
set GOARCH=amd64
set GOOS=windows
go build -buildmode=c-shared -ldflags="-s -w" -o fscan.dll .
```### 5.5 编写 C loader（main.c）

```
#include <windows.h>
#include <stdio.h>
​
typedef void (*RunFunc)();
​
int main(int argc, char *argv[]) {
 &nbsp; &nbsp;HMODULE h = LoadLibraryA("fscan.dll");
 &nbsp; &nbsp;if (h == NULL) {
 &nbsp; &nbsp; &nbsp; &nbsp;printf("加载DLL失败: %d\n", GetLastError());
 &nbsp; &nbsp; &nbsp; &nbsp;return 1;
 &nbsp;  }
​
 &nbsp; &nbsp;RunFunc run = (RunFunc)GetProcAddress(h, "Run");
 &nbsp; &nbsp;if (run == NULL) {
 &nbsp; &nbsp; &nbsp; &nbsp;printf("找不到Run函数: %d\n", GetLastError());
 &nbsp; &nbsp; &nbsp; &nbsp;return 1;
 &nbsp;  }
​
 &nbsp; &nbsp;run();
 &nbsp; &nbsp;return 0;
}
```### 5.6 编译 loader

```
x86_64-w64-mingw32-gcc -o scanner_loader.exe main.c -static
```### 5.7 运行测试

将 `scanner_loader.exe` 和 `fscan.dll` 放在同一目录：
```
.\scanner_loader.exe -h 192.168.168.0/24
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/4364f7d328aab03565ec425f550a453c.png)
>✅ 可以正常运行，扫描结果完整输出。

>✅ 360 正常都能过

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/04dc01992d0f81fca8d5d52a9de0caee.png)
>✅ Defender 都能过

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/f7062ee781add9550562b9d929d404f5.png)
>❌ 卡巴斯基静态把 DLL 删了

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/d188debd9085f5db53faab4101548590.png)
>💡 卡巴删的是 DLL，说明检测的是 DLL 内的 POC 行为特征，不是 loader。进一步绕过方向：内存加载 DLL（后续文章）。


----
## 六、功能扩展 · 添加新插件

fscan 2.0 的插件都在 `Core/Registry.go` 里统一注册，添加新插件分三步。
以 **Zookeeper 未授权访问检测** 为例（默认端口 2181）：
>💡 Zookeeper 是分布式协调服务，Kafka、Hadoop 等大数据组件都依赖它。默认没有认证机制，内网里很常见，是高频未授权访问漏洞。

### 6.1 安装依赖

```
go get github.com/samuel/go-zookeeper/zk
```### 6.2 新建 `Plugins/Zookeeper.go`

```
package Plugins
​
import (
 &nbsp; &nbsp;"fmt"
 &nbsp; &nbsp;"github.com/samuel/go-zookeeper/zk"
 &nbsp; &nbsp;"scanner/core/Common"
 &nbsp; &nbsp;"time"
)
​
func ZookeeperScan(info *Common.HostInfo) error {
 &nbsp; &nbsp;addr := fmt.Sprintf("%s:%v", info.Host, info.Ports)
 &nbsp; &nbsp;conn, _, err := zk.Connect([]string{addr}, time.Second*5)
 &nbsp; &nbsp;if err != nil {
 &nbsp; &nbsp; &nbsp; &nbsp;return err
 &nbsp;  }
 &nbsp; &nbsp;defer conn.Close()
 &nbsp; &nbsp;Common.LogSuccess(fmt.Sprintf("未授权访问 Zookeeper %s:%v", info.Host, info.Ports))
 &nbsp; &nbsp;return nil
}
```### 6.3 在 `Core/Registry.go` 里注册

在 `init()` 末尾加上：
```
Common.RegisterPlugin("zookeeper", Common.ScanPlugin{
 &nbsp; &nbsp;Name: &nbsp; &nbsp; "Zookeeper",
 &nbsp; &nbsp;Ports: &nbsp;  []int{2181},
 &nbsp; &nbsp;ScanFunc: Plugins.ZookeeperScan,
 &nbsp; &nbsp;Types: &nbsp;  []string{Common.PluginTypeService},
})
```### 6.4 重新编译测试

```
go build -o scanner.exe main.go
.\scanner.exe -h 192.168.168.128 -p 2181
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/63ac8f765291a593dbeee8f362d19a78.png)
>✅ 成功检测到 Zookeeper 未授权访问，插件列表里也能看到 `zookeeper` 已注册。


----
## 七、功能扩展 · 自定义 POC

fscan 支持在 `pocs/` 目录下放 YAML 格式的 POC，扫到 Web 服务时自动加载检测，**不需要重新编译**。
### YAML POC 格式

```
name: poc-yaml-CVE-2022-22947
rules:
  - method: POST
 &nbsp;  path: /actuator/gateway/routes/hacktest
 &nbsp;  headers:
 &nbsp; &nbsp;  Content-Type: application/json
 &nbsp;  body: |
 &nbsp; &nbsp;  {
 &nbsp; &nbsp; &nbsp;  "id": "hacktest",
 &nbsp; &nbsp; &nbsp;  "filters": [{"name": "AddResponseHeader", "args": {"name": "Result", "value": "#{...}"}}],
 &nbsp; &nbsp; &nbsp;  "uri": "http://example.com"
 &nbsp; &nbsp;  }
 &nbsp;  expression: response.status == 201
detail:
  author: xiaodisec
  links:
 &nbsp;  - https://www.xiaodi8.com
```逻辑很直观：发一个指定的请求，匹配返回结果，命中就判定漏洞存在。
### 使用方法

把 YAML 文件放到 `pocs/` 目录下即可：
```
scanner.exe
pocs/
  ├── CVE-2022-22947-spring-cloud-gateway.yml
  ├── CVE-2021-21972-vmcenter.yml
  └── ...
```>⚠️ `pocs/` 目录要和 `scanner.exe` 放在同一目录才能读取，单独带走 exe 时记得把 `pocs/` 一起打包。


----
## 八、效果汇总

### 各阶段免杀效果对比


|阶段|操作|360|火绒|Defender|卡巴斯基|
|:-:|:-:|:-:|:-:|:-:|:-:|
|原版|无修改|❌|❌|❌|❌|
|第一轮|包名替换 + 字符串清除|✅|✅|✅|❌|
|第二轮|garble 基础混淆|✅|✅|✅|❌|
|UPX 加壳|加壳|❌|❌|❌|❌|
|第三轮|garble -literals|✅|✅|静态✅ 动态❌|静态✅|
|DLL 加载|loader + dll|✅|✅|✅|dll被删|
### 功能扩展汇总


|功能|方式|说明|
|:-:|:-:|:-:|
|Zookeeper 未授权|Go 插件|检测 2181 端口未授权访问，需要重新打包|
|自定义 Web POC|YAML|pocs/ 目录下放 yml 文件即可，不需要|


----
>📝不是全部组合测试


----
系列下一篇：FScan 魔改二开 · 流量特征规避与指纹修改

📌 原fscan项目地址：https://github.com/shadow1ng/fscan Fscan 是一款优秀的内网综合扫描工具，方便一键自动化、全方位漏扫扫描。在落地使用过程中，流量及文件不修改的情况下基本被检测查杀，针对这种情况，我们进行了一些基本的参数测试和特征去除，外加功能拓展。

安全工具 | Fscan 魔改二开 · 特征消除与功能扩展

安全

开发工具

Fscan魔改二开教程：详细解析特征消除与功能扩展方法，包括字符串清除、编译混淆、DLL加载免杀等技术，提供Zookeeper插件开发与自定义POC实战案例，有效提升内网扫描工具的免杀效果与功能性。

大数据

Windows

Hadoop 

Kafka

2026新春采购季

bigdata-class

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

安全工具 | Fscan 魔改二开 · 特征消除与功能扩展-腾讯云开发者社区-腾讯云

安全工具 | Fscan 魔改二开 · 特征消除与功能扩展

安全工具 | Fscan 魔改二开 · 特征消除与功能扩展

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐