登录

登录以管理订阅

Bessy Connect
账户
作者: Pavel Onuchin, VPN 与网络安全专家

7 分钟

GitHub 上的 VPN：有哪些客户端，如何避免下载到窃密木马

GitHub 上有热门 VPN 客户端的源代码和编译好的版本：v2rayN、v2rayNG、Hiddify、NekoBox、sing-box、Amnezia 等。从那里下载没问题，应用被商店下架时往往还非下不可。但 GitHub 也有阴暗面：攻击者会复制热门仓库，上传内含窃密木马的版本。2026 年 7 月，Solar 4RAYS 的专家披露了这类仿冒的翻墙工具，其中植入了 Salat 和 Santa 窃密木马。只要知道看哪里，一分钟就能分辨真假。

在俄语搜索中，两种拼写的「vpn github」和「vpn github 下载」每月合计约 2.9 万次展示（Yandex Wordstat，2026 年 8–9 月）。

GitHub 上有哪些 VPN

需要明白：你在 GitHub 上能找到的几乎都是客户端，而不是 VPN 服务。客户端会连接，但自己没有服务器。它需要服务提供的链接或订阅，或者你自己的服务器。

客户端平台功能
v2rayNWindows导入 vless://、vmess:// 链接和订阅
v2rayNGAndroidAndroid 上的同类功能
HiddifyAndroid、iOS、Windows、macOS、Linux界面简单的通用客户端
NekoBoxAndroid、Windows、Linux基于 sing-box 内核的客户端
sing-box主流平台项目内核及官方客户端
Amnezia主流平台客户端加自建服务器向导

热门客户端的详细对比见 v2rayTun、Hiddify 还是 Streisand，Amnezia 另有专文：Amnezia VPN：是什么、怎么配置。

如何正确地从 GitHub 下载 VPN 客户端

  1. 通过项目官网找到官方仓库，而不是用 GitHub 搜索。Amnezia 是从 amnezia.org 跳转到 amnezia-vpn/amnezia-client；Hiddify 则用其官网上的链接。
  2. 打开仓库页面右侧的 Releases 区域。
  3. 选择最新的稳定版，而不是预发布版。
  4. 在 Assets 中下载对应平台的文件：Android 用 .apk，Windows 用 .exe 或 .msi，macOS 用 .dmg。
  5. 如果发布版本提供了校验和（SHA-256），与下载文件的哈希值进行比对。

官方仓库 Releases 里的文件，正是开发者发布的原版。其他一切（他人分支 README 里的链接、网盘上的压缩包、「修复版」）都值得警惕。

如何识别仿冒仓库

据 Solar 4RAYS 观察，仿冒仓库有一组共同特征：

  • 账号是新注册的，只有几周，仅有一次上传文件的提交。
  • 没有星标和分支，而原版有成千上万。
  • Issues 标签被关闭，让用户无法投诉。
  • 说明要求关闭杀毒软件，或把程序目录加入排除项。这是最明显的危险信号。
  • 一个账号下有多个名称相似的仓库，以覆盖更多搜索词。
  • 程序不在 Releases 里，而是放在仓库内的压缩包或外部链接中。

这类仿冒通常存活不久就会被删除，但在此之前就能坑到人。窃密木马会窃取保存的密码、浏览器 Cookie 和即时通讯会话。为什么即使开了双重认证也很危险，见信息窃取程序与被盗会话。

如果已经下载了可疑版本

  1. 断开设备网络并删除该程序。
  2. 用最新病毒库的杀毒软件扫描系统。
  3. 在另一台干净的设备上，修改邮箱、银行和即时通讯的密码，并结束所有活动会话。
  4. 在还没开启的地方开启双重认证。

详细步骤：密码泄露了怎么办。

GitHub 上的 VPN 与流量安全

即使是 GitHub 上的正版客户端，也只解决了一半问题。另一半是你连接的服务器。GitHub 仓库里那些「可用配置列表」中的免费订阅和密钥由陌生人运营：服务器所有者能看到你连接了哪些地址，也可以记录日志。而且这些密钥被成千上万人同时使用，很快就会被封。

如果你想完全掌控客户端和服务器，那就只能自建 VPS：在 VPS 上自建 VPN。

什么时候现成服务更省事

BessyConnect 是现成服务，有来自官方商店的自有应用，无需手动导入密钥或寻找订阅。协议是带 Reality 伪装的 VLESS，服务器超过一百台，地址由服务端更新，不保留日志，无需注册，设备数量不限。

常见问题

从 GitHub 下载 VPN 安全吗？ 安全，前提是从项目官网找到的官方仓库的 Releases 下载。危险的是仿冒版：没有星标的新账号、关闭了 Issues、要求关闭杀毒软件。

从 GitHub 下载哪个 VPN 客户端？ Windows 上常用 v2rayN 或 Hiddify，Android 上用 v2rayNG、Hiddify 或 NekoBox。自建服务器用 Amnezia。客户端仍然需要链接、订阅或你自己的服务器。

GitHub 上有免费 VPN 吗？ GitHub 上有免费客户端，也有列出免费配置的仓库。但这些服务器由陌生人运营，很快会被封，所有者还能看到你的连接。

怎么判断仓库是仿冒的？ 看账号年龄、星标和分支数量、Issues 是否开启，以及程序放在哪里。要求关闭杀毒软件或把程序加入排除项，几乎可以肯定是仿冒。

如果装了仿冒仓库的客户端怎么办？ 删除程序，用杀毒软件扫描系统，并在另一台设备上修改密码，结束邮箱、银行和即时通讯的所有活动会话。

相关文章

公共 Wi-Fi 安全：为什么在外都需要 VPN

咖啡馆、机场、酒店的公共网络为何危险？本文讲清公共wifi安全的真正风险：假热点、流量嗅探与会话劫持，以及 BessyConnect VPN（VLESS+Reality 协议）如何在开放 Wi-Fi 中加密全部流量、保护你的隐私与账号。 更多

BessyConnect 存储哪些数据，以及如何自行核实

关于 bessyconnect 日志的坦诚说明：任何 VPN 服务在技术上能看到什么，其中哪些数据我们存、哪些明确不存，访问日志一律不留。本文还给出五种不靠服务商一面之词、普通用户就能自行核实的具体方法，看完再决定信不信。 更多

信息窃取程序与被盗会话：cookie 为何绕过双因素

信息窃取程序如何绕过双因素认证？本文讲清被盗的会话 cookie 为何比密码更危险、窃取程序通过哪些途径进入电脑、中毒后会出现什么迹象，以及为什么必须先彻底清理机器再修改所有密码——顺序反了等于白改。文末附完整自查清单。 更多