EKFiddle 是什么？恶意流量分析领域的终极瑞士军刀：完整入门指南

EKFiddle 是什么？恶意流量分析领域的终极瑞士军刀：完整入门指南

【免费下载链接】EKFiddleYour Swiss Army knife to analyze malicious web traffic based on the popular Fiddler web debugger.项目地址: https://gitcode.com/gh_mirrors/ek/EKFiddle

如果你正在寻找一款恶意流量分析工具，EKFiddle 一定是你工具箱里不可或缺的一员。简单来说，EKFiddle 是一款基于著名网络调试器 Fiddler 的扩展插件，专为安全研究人员、应急响应人员和分析师打造，用于快速识别、标记和分析 Web 恶意流量。它像一把瑞士军刀，把正则匹配、YARA 扫描、流量过滤、CMS 识别等能力整合进一个熟悉的 Fiddler 界面中，让恶意流量分析变得简单、快速、高效。

EKFiddle 是什么？一次讲清楚

EKFiddle 本质上是一套运行在Fiddler Classic和Fiddler Everywhere之上的扩展与规则集，它把安全分析中高频使用的能力集中到 Fiddler 的菜单栏和右键菜单里。当你捕获到可疑的 Web 会话时，EKFiddle 会实时用内置规则库对其进行打分、着色、添加注释，让恶意流量在密密麻麻的会话列表中一眼可辨。

• 项目核心文件：CustomRules.cs、EKFiddle.dll
• 版本信息：EKFiddleVersion.info、whatsnew.txt
• Fiddler Everywhere 规则包：EKFiddle.farx

EKFiddle 的 6 大核心功能详解

1. 正则规则引擎：一键识别已知恶意家族

EKFiddle 内置了覆盖SocGholish、GootLoader、ClearFake、Magecart、TechScam等知名恶意家族的规则库，规则来源持续更新，支持AND/OR逻辑运算符组合匹配。通过顶部 EKFiddle 菜单即可运行、查看和更新规则。

规则库文件位于 Regexes/MasterRegexes.txt，你可以用 Regexes/CustomRegexes.txt 存放自己的规则，官方规则更新时不会覆盖你的自定义内容。

2. YARA 扫描：特征码级别的深度检测

除了正则，EKFiddle 还完整支持YARA 规则。你只需把.yar规则文件放入对应 YARA 目录，工具会自动编译并扫描会话内容，命中结果直接展示在界面上，非常适合与威胁情报中的 YARA 规则联动。

3. 高级过滤器：把噪音流量挡在门外

面对海量流量，EKFiddle 提供Advanced Filters，可按域名、URL、IP、哈希等条件排除干扰流量，还支持按标签过滤、保留唯一主机名、Epoch 时间戳显示等实用功能，让你的分析视野保持干净。

4. Advanced UI 模式：一眼看穿会话细节

Fiddler 默认界面列数有限，切换到Advanced UI模式后，你会看到 CMS 类型、SHA-256 哈希、标签等更多安全分析必需的信息列，配合颜色标记，威胁识别效率直线上升。

5. 实时监控：捕获的同时完成标记

开启Real-time monitoring后，EKFiddle 会在会话捕获的瞬间自动执行规则匹配；CMS detection能识别网站使用的建站系统（WordPress、Joomla、Magento 等），Inspect Images则会检查伪装成图片的可疑内容（如隐写术载荷），对追踪攻击链非常有帮助。

6. 右键菜单：把威胁情报查询玩到极致

在任意会话上右键，EKFiddle 提供了一整套情报联动操作：

• Hostname / IP：复制、Google 搜索、Urlscan.io、VirusTotal 查询
• Response Body：一键复制 SHA-256、SHA-1、MD5，或保存到磁盘
• Extract：提取 Google Analytics ID、电话号码
• Connect-the-dots：可视化还原会话之间的跳转链条
• Full Traffic Summary：一键导出会话文本摘要，方便共享

EKFiddle 安装教程：3 分钟快速上手

Fiddler Classic 一键安装方法

1. 下载并安装 Fiddler Classic；
2. 运行 EKFiddleExtension.exe 完成一键安装；
3. 或者手动把 EKFiddle.dll 放入 Fiddler 的 Scripts 文件夹（%AppData%\Local\Programs\Fiddler\Scripts）。

提示：新版EKFiddle.dll已取代早期的CustomRules.cs，无需再手动编辑规则脚本。

Fiddler Everywhere 安装方法

在 Fiddler Everywhere 的 Rules 标签页中，直接导入 FiddlerEverywhere/EKFiddle.farx 规则包即可，整个过程不需要写任何代码。

卸载方法

删除 Fiddler Scripts 文件夹中的EKFiddle.dll，同时清理Documents\Fiddler2\EKFiddle配置目录即可完全卸载。

恶意流量分析实战：EKFiddle 能帮你做什么

• 应急响应：拿到恶意 PCAP 或日志后，用 EKFiddle 快速回放流量，规则自动标注 C2 通信与漏洞利用载荷；
• 网站被黑排查：通过 CMS 检测与正则规则，定位被注入的 Skimmer、恶意重定向脚本；
• 钓鱼与社工分析：识别 SocGholish 假更新弹窗、TechScam 假报错页面等社工攻击流量；
• 日常威胁狩猎：结合 YARA 规则与实时监控，在流量中持续狩猎未知恶意样本。

写在最后

无论你是刚入门的安全新手，还是经验丰富的恶意软件分析师，EKFiddle 都能用最熟悉的 Fiddler 界面，为你提供一套开箱即用的恶意流量分析方案。从正则规则、YARA 扫描到威胁情报联动，它真正做到了"一个工具，覆盖全流程"。还等什么？赶紧装上一把属于你的瑞士军刀吧！🔪

如果你希望进一步探索 EKFiddle 的规则细节，可以阅读 Regexes/MasterRegexes.txt 和 Misc/ExtractionRules.txt，里面藏着大量真实恶意家族的匹配特征，也是学习恶意流量特征的良好素材。

【免费下载链接】EKFiddleYour Swiss Army knife to analyze malicious web traffic based on the popular Fiddler web debugger.项目地址: https://gitcode.com/gh_mirrors/ek/EKFiddle