PrimaryIP 和 [DNSResponses] 是 FakeNet-NG 配置文件中最容易混淆但非常核心的两个部分。
它们共同决定了 FakeNet 在“伪造网络”时，如何响应恶意程序的网络请求。
🧩 一、PrimaryIP — FakeNet 自己的“主IP”
📘 含义
PrimaryIP 是 FakeNet 所模拟的主机 IP 地址，
也就是 FakeNet 启动后伪装成的目标主机 IP。
FakeNet 会使用这个 IP 地址来：
- 监听所有 Fake 服务（HTTP、DNS、FTP、SSL 等）；
- 响应 DNS 查询；
- 模拟目标系统的 IP（恶意软件认为这个 IP 就是外网服务器）。
✅ 举例
假设你的虚拟机 IP 是：
192.168.56.101
那你应该在 [Network] 段中这样写：
ini
[Network]
Enabled = True
PrimaryAdapter = eth0
PrimaryIP = 192.168.56.101
DNSResolver = 8.8.8.8
FakeNet 启动后，会：
- 在
192.168.56.101上监听所有端口； - 模拟 DNS、HTTP 等协议；
- 当恶意样本请求任意域名时（比如
malware.com），FakeNet 会返回该 IP 作为响应。
🧩 二、[DNSResponses] — FakeNet 的 DNS 伪造规则
📘 含义
[DNSResponses] 控制 FakeNet 如何响应 DNS 查询请求。
它告诉 FakeNet：
当样本请求某个域名时，该返回哪个 IP。
✅ 典型配置：
ini
[DNSResponses]
Enabled = True
DefaultResponse = 192.168.56.101
这表示：
无论样本请求什么域名（如 www.google.com、update.microsoft.com、cnc.malware.net），
FakeNet 都会伪造 DNS 响应，返回 192.168.56.101（即你的虚拟机 IP）。
这样，样本的所有网络请求都会被“重定向”到 FakeNet 自己，从而被捕获和分析。
✅ 自定义域名映射示例
ini
[DNSResponses]
Enabled = True
DefaultResponse = 192.168.56.101
# 针对特定域名返回不同 IP
update.microsoft.com = 10.10.10.10
malware.com = 192.168.56.102
api.badactor.net = 127.0.0.1
这代表：
| 请求域名 | 返回 IP | 说明 |
|---|---|---|
update.microsoft.com |
10.10.10.10 | 指定伪造 IP |
malware.com |
192.168.56.102 | 指定另一伪造主机 |
| 其他任意域名 | 192.168.56.101 | 使用默认响应 |
🧠 三、两者的关系（关键点）
| 项目 | 作用 | 示例 | 说明 |
|---|---|---|---|
| PrimaryIP | FakeNet 自己的主监听 IP | 192.168.56.101 |
所有监听器绑定的地址 |
| [DNSResponses].DefaultResponse | DNS 默认返回的 IP | 通常设置成 PrimaryIP |
把样本流量引回 FakeNet 自己 |
| 自定义 DNS 响应 | 为特定域名返回不同 IP | malware.com = 127.0.0.1 |
可用于重定向或分析特定行为 |
🧩 推荐设置（最安全通用）
如果你只想捕获所有恶意流量，不让样本访问外网：
ini
[Network]
Enabled = True
PrimaryAdapter = eth0
PrimaryIP = 192.168.56.101
DNSResolver = 8.8.8.8
[DNSResponses]
Enabled = True
DefaultResponse = 192.168.56.101
这样：
- 样本访问任何域名 → DNS 响应 FakeNet 自己；
- 样本建立连接 → FakeNet 捕获流量；
- 你不会泄露流量到真实互联网。
