蓝队不会应急，一个开源工具D-Eyes拿捏！！！

原创

安全小八
安全小八

小亿的红队梦

2026年6月2日 11:50
福建

在小说阅读器读本章

去阅读

声明

文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任

前言

在日常的网络安全工作中，无论是做现场的应急响应，还是在开发阶段做安全合规检查，我们常常需要一套能够快速上手、功能全面的检测工具。

今天要介绍的是来自 M-SEC 社区的开源检测与响应工具——D-Eyes。近期它完成了大版本的重构，从原本的纯命令行（CLI）工具升级为了 Server-Agent 架构，不仅保留了本地快速排查的能力，还支持了远程任务下发和图形化展示，非常适合蓝队分析师和安全运维人员。但是本文旨在分享旧版便携式的，后续有需求再出新版的有关内容，同时也是开源的，更方便我们进行使用。

核心功能与应用场景

1. 应急响应与恶意样本排查 (detect)

在遇到勒索软件、挖矿病毒或者 WebShell 入侵时，安全工程师需要快速定位恶意文件。

• Windows 与 Linux 双系统支持：支持跨平台运行，对常见的操作系统入侵痕迹进行排查。
• YARA 规则深度扫描：支持用户自定义 YARA 规则，精准识别特定家族的恶意样本。

2. 软件供应链安全检查 (sbom)

为了防止引入带有漏洞的开源组件，安全人员需要在流水线或上线前理清依赖关系。

• 主流语言全覆盖：支持 Java、Python、PHP、.Net、NodeJS 等应用。
• 资产物料清单生成：自动提取生成 SBOM 清单，可直接对接各类 SCA（软件成分分析）系统，辨别组件合规与安全风险。

3. 基线缺陷与资产探测 (benchmark)

• 配置缺陷检查：支持对 Windows/Linux 操作系统、常见中间件及数据库进行合规性基线检查，快速发现配置疏漏。
• 本机资产探测：以当前主机为中心，探测网络内可达的目标资产。

实战操作指南

D-Eyes 运行非常轻量，建议在 Windows 下使用管理员身份运行，Linux 下使用 root 权限。（同时旧版的要把规则也放入同一个文件夹下）

1. 异常文件排查（默认 50 线程扫描当前目录）

Windows 运行命令：D-Eyes de fs

Linux 运行命令：./D-Eyes de fs

2. 指定路径与多路径联合扫描（-p 参数）

Windows 运行命令：D-Eyes de fs -p C:\Windows\TEMP,D:\tmp

Linux 运行命令：./D-Eyes de fs -p /tmp,/var

3. 限制扫描线程与加载自定义 YARA 规则

如果在生产环境运行，为了防止 CPU 占用过高，可以使用 -t 参数控制线程，同时用 -r 加载特定的规则文件：

运行命令：D-Eyes de fs -p D:\tmp -t 3 -r ./Botnet.Festi.yar

注意：如果工具扫描到了恶意文件，会在 D-Eyes 所在的同级目录下自动生成一个名为 D-Eyes.xlsx 的结果报告；如果没有发现异常，则直接在终端提示，不会生成多余文件。

最后再来说一下新版更新了什么：

全新 Server-Agent 架构升级

在最新的重构版本中，D-Eyes 引入了更加适合企业级排查的架构设计：

• 🔹 Agent 模块：保持了轻量化的命令行能力，同时支持后台常驻，等待接收远程任务。
• 🔹 Server 模块：负责集中接收、分析和存储来自各个 Agent 端的安全数据，统一进行任务调度与策略下发。
• 🔹 Frontend 模块：提供了直观的图形化 Web 界面，把资产信息、检测结果和合规报告可视化展示，大幅提升了批量排查时的效率。

D-Eyes 的源码完全开放，整体设计非常注重实用性和扩展性。它的 detect 指令支持插件化扩展，如果你有自己编写的应急检测脚本或优化的 YARA 规则，可以直接向 M-SEC 社区提交插件。

项目地址：

https://github.com/m-sec-org/d-eyes