kgretzky/evilginx2

项目介绍

Evilginx 是一个面向攻击性安全测试的独立中间人攻击框架。它用 Go 编写，自带 HTTP 和 DNS 服务器，作为反向代理位于受害者浏览器与真实网站之间，截获登录凭据和会话 Cookie。由于 Cookie 是在认证完成之后被窃取的，这种手法可绕过不少双因素认证。项目是 2017 年基于 nginx 的初代 Evilginx 的后续版本 初代项目，现改为自包含的 Go 应用。

目标用户是获得书面授权的渗透测试人员和红队。作者明确要求仅在获得被钓鱼方许可的合法测试中使用 README 免责声明。目标网站通过 phishlet 定义代理规则，DNS 和 TLS 由工具负责，以支撑可信域名的仿真。

快速使用

README 没有提供一键安装的二进制，安装、配置和 phishlet 用法都在外部文档中。请按官方文档操作：help.evilginx.com。典型流程需要：一台有公网 IP 的服务器、一个由你控制并将 DNS 指向该服务器的域名（通配符或按子域记录）、TLS 证书；然后配置 phishlet、启动代理，把授权测试用户引到构造的域名，在管理界面观察截获的凭据和 Cookie。

发送测试链接可使用作者提供的 带 Evilginx 集成的 Gophish 分支 及其配置说明 Gophish 集成博客。

README 说明作者不提供创建 phishlet 的支持，可直接使用的 phishlet 由其他人提供。

使用约束

• 合法范围： 仅限获得书面许可的合法渗透测试；作者将工具定位为向防守方展示攻击者能力的演示 README。
• 不附带 phishlet： 项目不帮助用户编写 phishlet，开源仓库中也没有持续维护的 phishlet 库。
• 商业 Pro 版本： Evilginx Pro 是独立付费产品，具备规避检测、官方 phishlet 库、机器人过滤、JavaScript/HTML 混淆和自动化部署等能力 Pro 发布说明，这些不在本文介绍的开源版本中。
• 需要较深基础： DNS、证书、反向代理配置以及目标服务的行为都会影响测试是否成功。
• 许可证： BSD-3-Clause。

防守视角

围绕该项目的讨论指出，网站侧很难可靠防御这类攻击：把二次验证挑战绑定到站点源（如 U2F 所做）可在客户端缓解，但服务端没有通用解法，而且 2FA 最初设计针对的是密码复用而非钓鱼 HN 讨论。监测仿冒域名可借助 EvilURL 和 dnstwist 等工具 HN 评论。

HotRepo 点评

这是一个定位清晰的成熟攻击性安全工具，并明确限定授权使用。HotRepo 记录到它在 2026-11-08 的 Go 日榜上位列第 7，当日新增 22 星；2018 年的 Hacker News 讨论热度有限（主帖 54 分、7 条评论）HN 讨论帖。对读者更有价值的信号不是热度，而是开源框架与商业 Pro 版的分界：README 的功能清单主要描述 Pro，仓库本身是基础代理引擎。红队评估时应把它当作需要自备 phishlet 和基础设施的框架，而不是开箱即用的服务。