【暗巷交易】免費(fèi)SSR生存法則

霓虹燈管在玻璃窗上投射出扭曲的倒影，凌晨三點(diǎn)的Telegram群組跳出新節(jié)點(diǎn)連結(jié)時(shí)，鼠標(biāo)總會(huì)不自覺(jué)懸停在收藏按鈕上。免費(fèi)SSR像夜市裡最後一籠小籠包，蒸氣裡混雜著肉香與回收油的味道，飢餓感讓人暫時(shí)忘記檢視食材來(lái)源。

街角霓虹下的流量暗網(wǎng)

在GitHub的issues區(qū)塊輸入"free ssr"關(guān)鍵字，跳出的倉(cāng)庫(kù)列表比夜市攤位更密集。某個(gè)標(biāo)註"長(zhǎng)期更新"的倉(cāng)庫(kù)星標(biāo)數(shù)剛突破三位數(shù)，README.md文件裡的base64加密節(jié)點(diǎn)像掛在攤車(chē)鐵鉤上的生肉，表面覆蓋著保鮮膜般的TLS混淆層。這些節(jié)點(diǎn)的生命週期通常只有72小時(shí)，足夠完成三次完整流量吞吐測(cè)試，但也可能正好觸發(fā)某些監(jiān)控系統(tǒng)的閾值。

某個(gè)凌晨四點(diǎn)被反覆轉(zhuǎn)發(fā)的v2rayNG配置文件，在三個(gè)不同地區(qū)的VPS進(jìn)行traceroute追蹤時(shí)，最終跳點(diǎn)都指向某棟深圳寫(xiě)字樓。那些標(biāo)榜"日本原生IP"的節(jié)點(diǎn)，在Wireshark抓包工具裡暴露的ASN編號(hào)，揭穿了它們其實(shí)是阿里雲(yún)香港機(jī)房的租戶(hù)。

白嫖陷阱辨識(shí)指南

當(dāng)Telegram機(jī)器人自動(dòng)推送的節(jié)點(diǎn)配置包裡夾帶了cert.pem證書(shū)文件，就像在路邊試吃攤發(fā)現(xiàn)餐盤(pán)底下壓著器官捐贈(zèng)同意書(shū)。某些免費(fèi)機(jī)場(chǎng)的訂閱鏈接藏著base64編碼的JavaScript代碼，在Clash客戶(hù)端載入配置的瞬間，會(huì)悄悄往系統(tǒng)植入定時(shí)訪問(wèn)某個(gè)暗網(wǎng)地址的腳本。

測(cè)試新節(jié)點(diǎn)必須遵守的鐵律，是在虛擬機(jī)裡運(yùn)行Proxifier進(jìn)行流量隔離。某個(gè)自稱(chēng)"老牌公益節(jié)點(diǎn)"的網(wǎng)站要求填寫(xiě)gmail帳戶(hù)領(lǐng)取配置，實(shí)際是為了收集活躍谷歌帳號(hào)進(jìn)行撞庫(kù)攻擊。真正的生存專(zhuān)家永遠(yuǎn)在瀏覽器指紋庫(kù)裡養(yǎng)著十幾個(gè)偽造身份，每次領(lǐng)取免費(fèi)節(jié)點(diǎn)都像在玩俄羅斯輪盤(pán)，只是槍膛裡裝的是數(shù)據(jù)包而不是子彈。

洋蔥路由的替身演員

有人把VMess協(xié)議的alterID參數(shù)調(diào)到128，試圖用流量洪流掩蓋真實(shí)訪問(wèn)軌跡，卻忘了GFW的機(jī)器學(xué)習(xí)模型早就能從數(shù)據(jù)包間隔中辨識(shí)出Shadowsocks特徵。那些掛著"高匿模式"招牌的免費(fèi)節(jié)點(diǎn)，在HTTP頭裡殘留的X-V2Ray-UUID標(biāo)識(shí)，就像深夜計(jì)程車(chē)後座遺留的前乘客香水味般揮之不去。

真正的暗巷交易者會(huì)在本地搭建多層轉(zhuǎn)發(fā)鏈，用境外的NAT VPS作第一跳中轉(zhuǎn)，再分流到不同協(xié)議的終端節(jié)點(diǎn)。當(dāng)免費(fèi)SSR節(jié)點(diǎn)突然失效時(shí)，藏在systemd定時(shí)任務(wù)裡的failover腳本會(huì)自動(dòng)啟用備用通道，這套生存機(jī)制比任何付費(fèi)服務(wù)都可靠——畢竟在流量黑市裡，最貴的永遠(yuǎn)是信任成本。

【節(jié)點(diǎn)黑市】2023地下節(jié)點(diǎn)地圖

在Telegram的置頂消息與GitHub的commit記錄之間，存在著比暗網(wǎng)市場(chǎng)更隱蔽的節(jié)點(diǎn)交易所。這裡的貨幣不是比特幣而是信任積分，每個(gè)可用IP背後都藏著七層代理跳板與三個(gè)失效備份。

Telegram頻道盲測(cè)實(shí)驗(yàn)

凌晨推送節(jié)點(diǎn)的頻道總帶著"測(cè)試用勿轉(zhuǎn)發(fā)"的警告字樣，鼠標(biāo)滑過(guò)那些用Base64編碼的訂閱鏈接時(shí)，能感受到類(lèi)似拆解定時(shí)炸彈的顫栗感。某個(gè)名為"東京直連VIP"的頻道連續(xù)三天推送相同節(jié)點(diǎn)組，實(shí)際用curl命令測(cè)試時(shí)響應(yīng)頭裡卻暴露了江蘇聯(lián)通的AS4134骨幹網(wǎng)特徵。

真正的獵人會(huì)在不同頻道間切換三種虛擬運(yùn)營(yíng)商SIM卡，用docker容器啟動(dòng)五個(gè)獨(dú)立測(cè)試環(huán)境。當(dāng)某個(gè)標(biāo)榜"企業(yè)級(jí)專(zhuān)線"的節(jié)點(diǎn)在traceroute中出現(xiàn)14個(gè)相同自治系統(tǒng)節(jié)點(diǎn)時(shí)，這條線路很可能只是某個(gè)機(jī)場(chǎng)主用阿里雲(yún)ECS搭建的轉(zhuǎn)發(fā)鏈。那些突然推送500個(gè)節(jié)點(diǎn)的頻道，往往在24小時(shí)後變成藍(lán)色刪除標(biāo)記，只留下用戶(hù)的流量日誌在雲(yún)端閃著微光。

GitHub倉(cāng)庫(kù)死亡輪盤(pán)

star數(shù)破千的free-ssr倉(cāng)庫(kù)裡，issue區(qū)的配置驗(yàn)證請(qǐng)求像急診室的掛號(hào)單般層層堆疊。某個(gè)配置文件的存活時(shí)間精確得令人不安——每天北京時(shí)間18:00更新，23:59準(zhǔn)時(shí)失效，這種規(guī)律性暴露了背後的自動(dòng)化刪庫(kù)腳本。真正有價(jià)值的節(jié)點(diǎn)往往藏在fork倉(cāng)庫(kù)的wiki頁(yè)面，或是某個(gè)兩年前提交記錄裡的gist鏈接。

我在travis.yml文件裡寫(xiě)過(guò)自動(dòng)化檢測(cè)腳本，每小時(shí)用AWS的六個(gè)區(qū)域節(jié)點(diǎn)執(zhí)行tcping測(cè)試。當(dāng)某個(gè)倉(cāng)庫(kù)的存活節(jié)點(diǎn)數(shù)突然從87暴跌至3，同時(shí)出現(xiàn)十幾個(gè)來(lái)自相同IP的五星好評(píng)，這通常意味著倉(cāng)庫(kù)主開(kāi)始植入惡意重定向代碼。最危險(xiǎn)的永遠(yuǎn)是那些帶著"精選"標(biāo)籤的json配置文件，它們的subscribe鏈接會(huì)在你導(dǎo)入客戶(hù)端五分鐘後，悄悄修改你的PAC規(guī)則。

節(jié)點(diǎn)心跳檢測(cè)儀製作

用樹(shù)莓派搭建的節(jié)點(diǎn)雷達(dá)系統(tǒng)正在第三個(gè)機(jī)櫃閃爍，十六個(gè)探針同時(shí)向不同協(xié)議端口發(fā)送偽裝成HTTPS流量的探測(cè)包。當(dāng)某個(gè)vmess節(jié)點(diǎn)的延遲突然從187ms降至9ms，這不是奇蹟發(fā)生而是觸發(fā)了運(yùn)營(yíng)商的流量整形系統(tǒng)。真正的存活檢測(cè)必須在TCP握手階段注入特定校驗(yàn)碼，否則那些顯示"可用"的節(jié)點(diǎn)實(shí)際只是放行了三次握手卻丟棄所有數(shù)據(jù)包。

我寫(xiě)的監(jiān)控腳本會(huì)自動(dòng)記錄節(jié)點(diǎn)的"死亡抽搐"——在徹底斷連前的五分鐘，多數(shù)節(jié)點(diǎn)會(huì)出現(xiàn)TLS證書(shū)頻繁更換的癥狀。凌晨三點(diǎn)的告警郵件裡，某個(gè)存活63天的節(jié)點(diǎn)突然開(kāi)始響應(yīng)401錯(cuò)誤，同時(shí)它的替身節(jié)點(diǎn)卻在另一個(gè)倉(cāng)庫(kù)的readme文件裡重生。這種遷移模式暴露了節(jié)點(diǎn)黑市的生存法則：真正的永久節(jié)點(diǎn)，永遠(yuǎn)在下架通知發(fā)布時(shí)才開(kāi)始呼吸。

【幽靈協(xié)議】長(zhǎng)期養(yǎng)號(hào)實(shí)戰(zhàn)手冊(cè)

在防火長(zhǎng)城與流量審查系統(tǒng)的夾縫中，養(yǎng)活一個(gè)SSR帳號(hào)比訓(xùn)練特工更考驗(yàn)反偵察能力。這裡的生存法則不是隱匿而是混雜，要在十萬(wàn)級(jí)別的特徵庫(kù)裡編織出完美偽裝的數(shù)據(jù)人格。

三重人格切換術(shù)

我的虛擬身份存儲(chǔ)在三個(gè)隔離的VirtualBox鏡像裡，每個(gè)鏡像都搭載著不同版本的CentOS殘留痕跡。工作人格的Chrome瀏覽器保留著LinkedIn登錄cookie，娛樂(lè)人格的Firefox容器固定連接著日本Niconico直播，而購(gòu)物人格的Edge瀏覽器甚至模擬出淘寶雙十一的流量脈衝。

切換人格必須遵循嚴(yán)格的時(shí)間法則：工作日早九點(diǎn)啟動(dòng)工作人格的VMware虛擬網(wǎng)卡，午休時(shí)段切換到娛樂(lè)人格的WireGuard隧道，深夜購(gòu)物人格則通過(guò)三重SSR鏈路訪問(wèn)拼多多。某次誤操作讓三個(gè)人格的時(shí)區(qū)設(shè)定同時(shí)顯示UTC+8，五分鐘後某個(gè)養(yǎng)了半年的節(jié)點(diǎn)突然開(kāi)始返回403錯(cuò)誤碼。

流量指紋偽造工廠

在Burp Suite的監(jiān)控視窗裡，普通翻牆流量就像夜視鏡下的熒光劑般刺眼。我在Shadowsocks客戶(hù)端植入了自定義的HTTP頭部模板，讓每個(gè)GET請(qǐng)求都攜帶著B(niǎo)站直播間的推流特徵。真正的偽裝需要精確到TLS握手階段的JA3指紋，我用修改過(guò)的OpenSSL庫(kù)模擬出Edge瀏覽器107版本的加密套件排序。

流量塑形器每小時(shí)自動(dòng)下載熱門(mén)視頻的15秒切片，這些偽裝成B站緩存數(shù)據(jù)的流量包裹著真實(shí)的加密流量。當(dāng)GFW的深度包檢測(cè)觸碰到這些數(shù)據(jù)流時(shí)，會(huì)先讀取到經(jīng)過(guò)校驗(yàn)的視頻文件哈希值，而藏在RTMP協(xié)議頭部的SSR流量則偽裝成丟包重傳請(qǐng)求。某個(gè)被特別關(guān)照的節(jié)點(diǎn)靠著《熊出沒(méi)》第83集的流量偽裝，在重點(diǎn)監(jiān)控時(shí)段存活了119天。

殭屍節(jié)點(diǎn)復(fù)活儀式

被列入黑名單的節(jié)點(diǎn)就像冷凍艙裡的屍體，需要準(zhǔn)備三組替換參數(shù)才能重新激活。IP地址要從阿里雲(yún)香港跳轉(zhuǎn)到IBM雲(yún)日本再遷移至甲骨文首爾，端口號(hào)必須遵循斐波那契數(shù)列進(jìn)行滾動(dòng)變更。最關(guān)鍵的復(fù)活密鑰藏在Let's Encrypt過(guò)期證書(shū)的OCSP響應(yīng)裡，需要特定時(shí)間戳才能觸發(fā)校驗(yàn)繞過(guò)機(jī)制。

我的自動(dòng)化復(fù)活腳本會(huì)在凌晨四點(diǎn)啟動(dòng)殭屍協(xié)議，用六個(gè)月前備份的節(jié)點(diǎn)配置覆蓋被污染參數(shù)。當(dāng)節(jié)點(diǎn)完成首次心跳檢測(cè)後，會(huì)立即向二十個(gè)廢棄GitHub賬號(hào)的gist頁(yè)面發(fā)送混淆過(guò)的生存報(bào)告。某個(gè)2019年註冊(cè)的AWS節(jié)點(diǎn)就是靠著這種方法，經(jīng)歷七次封殺後依然能從百度統(tǒng)計(jì)代碼的CDN鏈路裡重生。