PhantomFS — 假文件。真安全。

假文件。真安全。
为Windows打造的虚拟蜜罐文件系统——引诱攻击者进入看似真实的目录，然后当场捕获他们。

什么是 PhantomFS？

PhantomFS 利用 Windows 投影文件系统（ProjFS） 呈现一个充满逼真假文件的虚拟目录——这些文件（财务报表、SSH 密钥、API 凭据、HR 电子表格、保密协议等）仅存在于内存中。在攻击者（或内部威胁）打开文件之前，不会有任何数据写入磁盘。

一旦文件被触碰，PhantomFS 将：

写入一条 Windows 事件日志条目（应用程序日志，源为 PhantomFS）
向当前桌面会话发送一条 Toast 通知
记录精确的文件名、时间戳和进程上下文
当通过网络共享访问时——捕获 SMB 用户名和源地址

由于合法用户没有理由打开他们未放置的文件，每个警报都具有高置信度。无需调优、无需机器学习、无需云依赖——仅需一个原生 Windows 驱动和一个可执行文件。

特性

系统要求

Windows 10 版本 1809（内部版本 17763）或更高版本——推荐 Windows 11
.NET Framework 4.8
启用 Windows 投影文件系统可选功能（Enable-WindowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart）
启动虚拟根目录需要管理员权限

快速开始

简单命令（推荐）

从 Releases 下载 PhantomFS-v1.1.0-x64.zip 并解压
以管理员身份运行——启用 ProjFS：Enable-WindowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart
执行：.\PhantomFS.exe --virtroot C:\PhantomFS\Virtual\Documents --syntheticonly
在资源管理器中浏览 C:\PhantomFS\Virtual\Documents——您将看到诱饵文件
打开其中一个——观察 Toast 通知并检查 事件查看器 → Windows 日志 → 应用程序

配置

所有设置位于 PhantomFS.exe.config 中。所有键均为可选——省略某个键将使用表中显示的默认值。

使用 PhantomFS 配置文件生成器 为您的部署场景生成不同的配置方案：

https://alloysecuregroup.github.io/PhantomFS/

`<settings>` 部分

<settings>
  <enableEventLog>true</enableEventLog>
  <enableToast>true</enableToast>
  <alertOnOpen>true</alertOnOpen>
  <alertOnRead>true</alertOnRead>
  <toastCooldownSeconds>15</toastCooldownSeconds>
  <verbose>false</verbose>
  <virtRoot></virtRoot>
  <sourceRoot></sourceRoot>
  <syntheticOnly>true</syntheticOnly>

  <!-- v1.1.0 — 自动清理 -->
  <autoCleanupEnabled>true</autoCleanupEnabled>
  <autoCleanupDelaySeconds>300</autoCleanupDelaySeconds>

  <!-- v1.1.0 — 远程会话记录 -->
  <resolveRemoteIPs>true</resolveRemoteIPs>
</settings>

远程会话记录

当通过 SMB 共享访问文件时，PhantomFS 检测到 PID 4（Windows 系统进程/内核 SMB 驱动程序）作为调用者，并自动调用 NetSessionEnum 识别远程用户。事件日志条目和 Toast 通知将包含：

PhantomFS — 蜜罐文件内容读取
文件    : Documents\Q4_Financial_Report_2024.pdf
进程 : System (PID 4)
远程  : CORP\jsmith @ DESKTOP-A1B2C3D  [192.168.1.45]

远程记录的要求：

服务器服务必须正在运行（只要存在共享，它就会自动启动）
PhantomFS 必须在托管该共享的机器上运行
resolveRemoteIPs 要求客户端机器可通过 DNS 解析

自动清理行为

合成文件被打开并实例化（内容写入磁盘）后，后台计时器每 30 秒检查一次，并删除实例化时间超过 autoCleanupDelaySeconds 的文件。已删除的文件恢复为虚拟的 ProjFS 占位符——下次访问将重新触发 ProjFS 回调，如同该文件从未被打开过。

清理计时器触发时仍处于打开状态的文件将被跳过（无错误），并在下一个 30 秒周期重试。

添加诱饵文件

在配置的 <syntheticFileList> 下添加条目：

\Documents,true,0,1744586986
\Documents\Q4_Financial_Report_2024.pdf,false,8192,1744586986
\Documents\Employee_Salaries_2024.xlsx,false,4096,1743942586
\IT\Keys,true,0,1744586986
\IT\Keys\deploy_key.pem,false,3247,1742354986

添加内容模板

<syntheticTemplates>
  <template name="my_custom_file.txt"><![CDATA[
    ... 您的文件内容在此 ...
  ]]></template>
</syntheticTemplates>

事件日志参考

打开 事件查看器 → Windows 日志 → 应用程序 并按源 PhantomFS 筛选。

事件 ID

CI/CD — GitHub Actions

PhantomFS 附带一个工作流 .github/workflows/build.yml，它并行编译 x64 和 ARM64，并在每个版本标签上发布 GitHub Release。

从源码构建

# 需要 .NET Framework 4.8 SDK 或 Visual Studio Build Tools
csc.exe /platform:x64 /r:System.Xml.dll /out:PhantomFS.exe src\PhantomFS.cs

csc.exe 通常位于：

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe

部署思路

工作站陷阱——作为登录时计划任务运行；任何横向移动到 \\hostname\PhantomFS\Virtual 都会立即发出警报，包含攻击者的用户名和源 IP
文件服务器金丝雀——在真实财务共享旁放置一个指向虚拟根的 \Finance 共享；远程会话记录精确识别哪个账户触碰了诱饵
开发机——在 ~\Documents 中呈现虚假的 AWS 密钥和 SSH 密钥；内部或供应链攻击在数据泄露前触发警报
气隙网段——设置 resolveRemoteIPs=false 以跳过外部查询被阻止的环境中的 DNS；仍可捕获 NetBIOS 计算机名

赞助

PhantomFS 是免费、开源、MIT 许可的。如果它节省了您的时间——或捕获了真正的攻击者——请考虑赞助以支持持续开发。

❤ 在 GitHub 上赞助

赞助者将获得：

优先处理问题回复
提前获取新模板和新功能
在发行说明中被提及

企业赞助者（每月 $500+）将获得一个用于直接支持和功能请求的私人 Slack 频道。

许可证

MIT License

Copyright (c) 2026 Alloy Secure

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.

商标声明： PhantomFS™ 是 Alloy Secure 的商标。保留所有权利。

免责声明 — 可接受使用

PhantomFS 仅提供 用于合法的防御性安全目的——包括入侵检测、威胁研究以及对您拥有或已获得明确书面授权监控的系统进行授权的渗透测试。

您有全权责任确保您对 PhantomFS 的使用符合所有适用的地方、国家和国际法律，包括但不限于计算机欺诈、窃听、隐私和劳动法。在未获得适当授权的情况下，在系统或网络上部署 PhantomFS 可能构成违法。

PhantomFS 的作者和贡献者：

不作任何明示或暗示的保证，包括针对特定用途的适销性和适用性
不承担任何直接、间接、附带或后果性损害，无论其由使用或误用本软件引起
不对因在任何环境中部署 PhantomFS 而导致的任何数据丢失、系统损坏、法律责任或对第三方的损害负责

使用风险自负。 使用 PhantomFS 即表示您承认已阅读、理解并同意受本免责声明条款的约束。