代理检测：在线检测您是否在使用 Clash

[mikewang]

ClashScan

（推荐使用最新 Chrome 内核浏览器） https://mikewang000000.github.io/ClashScan/

代码开源在 GitHub ，页面部署在 GitHub Pages 上。

---

Clash 是一个比较常见的代理软件，有很多衍生版本和 GUI 程序。
不过我最近才发现它是允许 CORS （跨域）的，这带来了不小的安全隐患。

再加上很多 GUI 默认不加 Secret 进行身份验证，即使运行在 127.0.0.1 ，也能被外部网站随时调用。

如果您没有修改默认配置，值得检测一次。

---

• 默认配置下容易检测的：Clash Verge / Clash Verge Rev / ClashX / ClashX Pro / ClashX Meta
• 默认配置下相对安全的：最新的 Clash for Windows / Clash Nyanpasu

[gengGui]

还没尝试检测，看了一下 Clash X 设置，包含了这些配置项：
- 代理端口：7890 、
- Api 端口：9090 ，允许局域网控制（不推荐）：未勾选、
- Api 密钥：已设置，覆盖配置文件设置：未勾选
为了安全些，是不是要修改默认端口号，更新 Api 密钥，勾选覆盖配置文件设置这些。

[clf]

127.0.0.2 就扫不到了。

[vishun]

@nyxsonsleep #38 目前这个程序是扫描'127.0.0.1'，如果其他程序设置扫描'127.0.1.2'是不是还是能扫描到？

[vishun]

@WhatTheBridgeSay #64 原理写不写倒是无太关紧要，最好是能将解决方法维护上，方便让大家修改。

[nyxsonsleep]

@vishun #83 可以。所以我说了《比如 127.0.0.2 》，一定要设置可以自己高位的 ip ，不在本地的 ip 。也可以自己去改源码，编译，彻底关掉这个功能。

[nyxsonsleep]

目前看到的风险主要是钓鱼网站可以通过这个手段偷机场代理。如果 clash 被发现漏洞可以提权抓肉鸡。

[opengps]

这部很原始的穷举本地所有端口方式

[SenLief]

你们都是有公网 ip 的吗

[mikewang]

@ZeroDu
也不完全一样，做了一些加强。

这次想说明，即使改成 127.0.0.1 ，加密码不改端口号，也能通过路径探测到 clash （虽然获取不到节点信息，但是能知道你在用。）当然不加密码更是直接读配置。

———
@y1y1

之所以能成功跨域，是因为 clash 内核的 header 设置了 Access-Control-Allow-Origin: *，相当于解除浏览器跨域限制，欢迎大家来访问。
不过还有一些浏览器像 Safari 限制更严格，https 不能跨域到 http 被拦截，还有一些隐私插件会拦截，所以不是 100%保证成功。

这次做的比较匆忙，是一个粗糙的 demo ，没有太大技术含量。只是为了证明 CORS 的设置不合理，应有配置能默认关闭。

———
@WhatTheBridgeSay

网页“任何网站都能检测”是对 Access-Control-Allow-Origin: *的解释，通配符允许了所有网站。不过确实不够严谨，因为可能还会遇到其他限制。

时间原因，没法做到面面俱到。网页就在 GitHub 上，如果有好的建议欢迎直接提 PR ～

———
对于端口扫描，正常情况下浏览器前端是没法对本地端口扫描的。Access-Control-Allow-Origin: *导致有被扫到的风险。就是这样。

[mikewang]

@SenLief 这次说明的不是公网问题。而是 Clash 的 CORS 设定不合理，可以通过浏览器前端，让浏览器扫到你 127.0.0.1 上的端口，借浏览器跨域控制 clash 。

[wcwac]

@nyxsonsleep 直接修改你的代理配置搞中间人攻击也很可怕吧

[vitovan]

@mikewang #90 感谢楼主。

[zmaplex]

提了个提升 128 倍速度的 PR

[zmaplex]

128 倍扫描速度的体验地址: https://zmaplex.github.io/ClashScan/

[PositionZero]

Clash Verge Rev 好像是默认覆盖配置文件里的 external-controller 字段的 ……？确实是个安全问题

[lvlongxiang199]

自从 clash 爆出远程代码执行漏洞后, 就把它关在 docker 里的

[Felldeadbird]

卧槽。马上改。

[SiuRayyy]

所以这个问题应该怎么解？

[wind1986]

@ffnil 最新版好像会限制访问本地网站

[idou]

谢谢提醒