ShadowProbe

ShadowProbe 是一个单机版安全产品识别工具。用户上传或粘贴系统快照后，平台会自动识别主机上的 AV / EDR / XDR / HIDS / RMM / 云安全 Agent，并输出置信度和证据链。

功能概览

• 上传 JSON 快照文件，或直接粘贴原始文本
• 支持 Windows、Linux、macOS 快照采集与解析
• 内置 69 条主流安全产品指纹，支持自定义 YAML 指纹追加
• 三层匹配策略：精确匹配 -> 模糊匹配 -> 未知聚类
• 卡片式结果展示，支持证据链展开和 JSON 报告导出
• SQLite 存储最近识别记录
• Docker Compose 一条命令启动

目录结构

shadowprobe/
├── docker-compose.yml
├── frontend/
│   ├── Dockerfile
│   ├── index.html
│   ├── nginx.conf
│   ├── package.json
│   ├── postcss.config.js
│   ├── tailwind.config.js
│   ├── tsconfig.json
│   ├── tsconfig.node.json
│   ├── vite.config.ts
│   └── src/
│       ├── api.ts
│       ├── App.tsx
│       ├── index.css
│       ├── main.tsx
│       ├── types.ts
│       ├── vite-env.d.ts
│       └── components/
│           ├── DetectionCard.tsx
│           ├── FingerprintManager.tsx
│           ├── HelpPanel.tsx
│           ├── Layout.tsx
│           ├── RecentReports.tsx
│           ├── SnapshotInput.tsx
│           └── SummaryCards.tsx
└── backend/
    ├── Dockerfile
    ├── requirements.txt
    ├── fingerprints/
    │   ├── cn_endpoint.yaml
    │   ├── cn_other.yaml
    │   ├── cn_server.yaml
    │   ├── custom.yaml
    │   ├── dfir_and_agents.yaml
    │   ├── global_av.yaml
    │   ├── global_edr_xdr.yaml
    │   └── rmm.yaml
    └── app/
        ├── main.py
        ├── api/
        │   └── routes/
        │       ├── analysis.py
        │       ├── fingerprints.py
        │       └── utilities.py
        ├── core/
        │   ├── config.py
        │   └── database.py
        ├── models/
        │   ├── report.py
        │   └── schemas.py
        └── services/
            ├── detection.py
            ├── fingerprints.py
            └── parsing.py

启动方式

1. 克隆仓库或创建目录后进入项目

git clone <your-repo-url> shadowprobe
cd shadowprobe

2. 启动

docker compose up --build

3. 访问

打开 http://localhost:3000

页面说明

• 识别分析：上传快照或粘贴文本并执行识别
• 指纹库管理：查看全部指纹并新增自定义指纹到 backend/fingerprints/custom.yaml
• 采集帮助：复制 Windows PowerShell、Windows CMD、Linux Bash、macOS Bash 标准采集命令

标准化采集

平台内置命令会生成标准 JSON 快照，推荐优先使用。若现场只拿到原始输出，也可以直接粘贴以下内容：

• Windows: tasklist, Get-Service, driverquery, 注册表卸载项导出
• Linux: ps aux, systemctl list-units, dpkg -l, rpm -qa
• macOS: ps aux, launchctl list, brew list

自定义指纹格式

每条指纹包含以下字段：

• id
• vendor
• product
• name_zh
• name_en
• type
• deployment
• region
• indicators.processes/services/installed_names/drivers/paths
• tags

type 支持：AV、EDR、XDR、HIDS、RMM、VM_Scanner、Cloud_Agent、Other

默认端口

• 前端：3000
• 后端 API：8000