OctoC2：把GitHub当作C2基础设施
原创
赛博57库
赛博57库
赛博57库
2026年7月16日 05:00
广东
在小说阅读器读本章
去阅读
OctoC2：把 GitHub 当作 C2 基础设施的开源框架深度分析
面向网络安全研究人员与红队 · 技术内容仅供学习与研究用途
| ⚡ 核心看点 11 种 Tentacle（触手）隐蔽信道、端到端加密、Git Notes 零可见隐写、PNG LSB 隐写、死信投递机制、OpenHulud 规避模块 |
一、OctoC2 是什么
2026 年 4 月，开发者 dstours 在 GitHub 发布了 OctoC2——一个用纯 TypeScript + Bun 编写的完整 C2 框架。它不是在第三方服务上搭建中继，而是直接把 GitHub 本身变成命令控制基础设施。
传统的「利用第三方平台做 C2」方案（Google Sheets、Discord、Telegram）都是概念验证。而 OctoC2 则是生产级设计——包含：
| ✓ 11 种互相独立的通信信道（Issues、Git Notes、PNG 隐写等） ✓ 端到端加密 + libsodium X25519 非对称加密体系 ✓ GitHub App Token 1 小时自动轮换 ✓ 交互式 Shell + 批量操作 + 实时 Dashboard ✓ 进程隐藏、凭据收割、持久化、反调试等规避模块 |
二、11 种 Tentacle 隐蔽信道
Tentacle（触手）是 OctoC2 的核心抽象，每一种代表一种不同的隐蔽通信方式。
| 信道 | 名称 | 机制 | OPSEC 等级 |
| T1 | Issues | GitHub Issues 加密评论（HTML 注释包裹） | 高 |
| T8 | Git Notes | refs/notes/\* 元数据层，Web UI 完全不可见 | 极高 |
| T9 | Stego | PNG LSB Alpha 通道隐写 | 极高 |
| T6 | Gist | 私有 Secret Gist，与仓库无关 | 极高 |
（表格仅示意关键信道，完整版包含 T2/T3/T4/T5/T7/T10/T11 共 11 种）
三、最隐蔽的两个信道
▸ T8 Git Notes（完全隐身）
GitHub 的 Git Notes 是一个鲜为人知的功能——它是挂在 Git 对象上的元数据引用 refs/notes/\，在 Web UI 中完全不显示*，即使作为仓库管理员也看不到。
OctoC2 用三个 refs 实现了无可见流量的双向通信：
refs/notes/svc-t-{id8}（Server→Beacon 任务）
refs/notes/svc-r-{id8}（Beacon→Server 结果）
refs/notes/svc-a-{id8}（心跳注册）
▸ T9 PNG 隐写（无损隐藏）
这是最精妙的设计。OctoC2 实现了纯 TypeScript LSB（最低有效位）隐写编解码器——将加密载荷隐藏在 PNG 图片 Alpha 通道的最低位。
工作流程： ① Beacon 生成微小 PNG（1×1 像素或更小） ② 载荷按位写入像素 Alpha LSB（每像素 1 比特，8 像素=1 字节） ③ PNG 提交到分支 infra-cache-{id8}（看起来像缓存） ④ 服务端下载并用 StegoCodec 解码 |
Alpha 变化仅 ±1，肉眼完全不可见，与正常压缩伪影无法区分。
四、加密与密钥轮换
OctoC2 使用 libsodium 的 X25519 + crypto\_box/crypto\_box\_seal 非对称加密：
| 密钥层次： • 操作员公钥 → 编译进 Beacon，每个 Beacon 启动时从 GitHub Actions Variables 获取 • Beacon 公钥 → 注册时提交给服务端 • GitHub App 私钥 → 通过「死信投递」远程分发，从不硬编码 |
关键创新：死信投递（Dead Drop）机制——已部署的 Beacon 可以通过 GitHub Actions Variables 或 Deployments API 接收新的凭证，实现零接触的 App Token 轮换，甚至切换认证方式。
五、OPSEC 加固与规避
OctoC2 内置 OpenHulud（《沙丘》中的沙虫）规避模块，支持：
| 规避动作 | 描述 |
hide |
进程名伪装（/proc/self/comm） |
anti_debug |
检测调试器（TracerPid、LD\_PRELOAD） |
persist |
持久化安装（crontab/launchd/registry/gh-runner） |
propagate |
凭据收割与外泄（7 种凭据来源） |
六、OPSEC 局限与检测风险
问题 1：运行时依赖 · Bun 不支持交叉编译，ARM 目标需要额外 CI 或虚拟机。
问题 2：GitHub 可用性 · 一旦 GitHub 被封禁或目标网络限制 api.github.com，整个 C2 立即瘫痪。
问题 3：行为指纹 · 每个 Beacon 创建一个 Issue，同时控制数十个 Beacon 时模式明显。频繁的 Issue 评论编辑可能触发 API 审计。
问题 4：LSB 隐写检测 · 虽然实现优雅，但 LSB 隐写可以通过卡方检验和统计分析被识别。专业工具（Aletheia、StegExpose）能检出 Alpha LSB 异常分布。
七、总结与启示
OctoC2 在以下方面表现突出：
| 1. 信道多样性 · 11 种 Tentacle 覆盖从常规到极隐蔽的各种场景，Git Notes 和 Stego 的选择体现了对 GitHub 平台的深刻理解。 2. 加密设计 · libsodium + X25519 稳健可靠，App Token 自动轮换解决了长期运行的凭据管理问题。 3. 运维友好 · 交互式 Shell、批量操作、实时 Dashboard 使得这个工具易用性远超同类 PoC。 4. OPSEC 意识 · 从提交信息消毒到指纹校验工具，防御深度贯穿代码的每个层面。 |
从红队视角看，OctoC2 最适合针对以 GitHub 为日常协作工具的技术团队的场景——在这样的环境中，Beacon 的 Issue 评论、Git Notes 甚至 PNG 隐写流量看起来就像日常 CI/CD 噪音，极难被注意到。
参考来源：OctoC2 源码仓库（https://github.com/dstours/OctoC2），MIT 许可证。文章中引用的代码结构、文件路径、实现细节均来自对仓库源代码的直接分析。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论