【自研C2-LeekShell】新一代C2详细使用手册

原创

Leek
Leek

零界安全

2026年8月4日 08:00
江苏

在小说阅读器读本章

去阅读

01

项目简介

LeekShell 是一套面向授权安全测试与红队演练场景的高级远程管理框架。用最通俗的话讲：它就像一套\"远程运维 + 应急响应\"的瑞士军刀——安全研究人员把一个小小的\"探针\"程序（Agent）部署到受控的目标主机上，就能在一个统一的 Web 控制台里查看它的系统信息、执行命令、管理文件与进程，整个过程全程加密，不会被轻易嗅探或识别。

整套框架由两部分组成：

Agent（探针）：C++ 编写，体积小、依赖少，可在 Windows / Linux 上运行；Server（控制端）：Python 编写，自带 Web 管理界面，随时随地浏览器登录即可操控。

与市面常见的同类工具相比，LeekShell 强调三件事：加密、隐蔽、易用。

02

核心特性一览

我们先把最亮眼的特性用一张表讲清楚，再用大白话逐条解释。

03

部署与配置

LeekShell 的控制端是一个独立的可执行文件（Windows 下为 c2\_server.exe，Linux 下为 c2\_server\_linux），无需安装额外环境，上传即可运行。本节详细介绍部署、配置与密码管理的完整流程。

3.1 快速部署

部署过程非常轻量：上传控制端 → 赋予权限 → 启动。服务器会在启动时自动从包内发现 Agent 模板、生成配置、并拉起三个监听通道。

部署完成后，服务器自动创建三类监听通道：

TCP 加密通道（默认 4444）—— Agent 回调与命令传输

WSS 加密通道（默认 8443）—— 可伪装成 HTTPS 的第二传输通道

Web 管理界面（默认 8445）—— 浏览器登录即可操控

3.2 配置文件详解（config.yaml）

服务器的所有行为都由 config.yaml 控制。首次启动时若未找到该文件，服务器会自动生成一份带注释的默认配置。以下是一个典型的配置文件：

各区块的作用，用一张表说清楚：

3.3 命令行参数

除了配置文件，所有关键参数都支持通过命令行覆盖。优先级为：命令行参数 > 环境变量 > config.yaml > 默认值。使用 --help 可随时查看完整参数说明：

常用参数示例：

3.4 修改密码

LeekShell 提供两种修改登录密码的方式，适合不同场景：

方式一（命令行覆盖）：适合临时调整，无需改动文件，重启即生效；

方式二（修改 config.yaml）：适合永久生效，需重启服务器。

修改后请务必重启服务器使配置生效，并妥善保管新凭据。密码以 PBKDF2 哈希形式存储，不会明文落盘。

04

系统架构

LeekShell 采用经典的三层架构，模块边界清晰，便于二次开发：

浏览器（Web UI） → Flask + SocketIO（认证 / 控制台 / Payload 生成器 / 监听器管理） → 双监听器（TCP 加密通道 / WSS 加密通道） → 多 Agent

各层职责：

05

实战演示：从部署到上线

下面用一套完整的测试流程，展示 LeekShell 从服务器部署、Agent 上线到远程管理的全过程。（演示均在隔离的授权测试环境中进行，相关地址与账号信息已做模糊处理。）

5.1 部署控制端

将编译好的控制端程序上传到服务器，填写一份简单的配置文件，即可启动。启动后自动创建三个监听通道：

TCP 加密通道（Agent 回调）

WSS 加密通道（可伪装 HTTPS）

Web 管理端口（浏览器访问）

5.2 第一层认证：企业风格登录页

打开管理地址，首先看到的是一个标准的\"企业办公系统\"登录页，没有任何 C2 特征——这正是防指纹设计的第一道伪装。

5.3 第二层认证：进入 C2 控制台

通过第一层校验后，出现暗色主题的 C2 登录界面，输入管理员凭据即可进入控制台。两层登录设计把\"防扫描\"和\"真正的访问控制\"分离开来。

5.4 Agent 上线：实时状态总览

登录后主界面清晰展示已连接的 Agent 列表，包括主机名、用户名、操作系统、来源地址与连接状态。顶部实时统计 Active / Total 数量，右侧事件日志记录每一次 Agent 上线与命令下发。

5.5 远程命令执行

双击 Agent 卡片即可打开终端会话。内置命令（sysinfo、ps\_list、file\_list 等）直接调用 Win32 API，不经过 PowerShell，响应更快更隐蔽；其余任意命令则自动通过 PowerShell 执行并回传结果。

5.6 进程管理

通过 ps\_list 可实时查看目标主机的进程清单（PID、名称、线程数、父进程），对安全分析来说，这能快速确认可疑进程。

5.7 任意命令透传

终端不局限于内置命令。例如直接下发 ipconfig，会经由 PowerShell 执行并完整回显网络配置——这意味着任何 PowerShell 能力都能通过控制台远程调用。

5.8 监听器管理

控制台内置监听器管理面板，可实时查看、动态添加与删除 TCP / WSS 监听端口。多个监听器并行工作，满足不同网段的回连需求。

5.9 Payload 动态生成

需要新的\"探针\"？无需重新编译。在生成器中填入控制端地址与端口，选择格式（TCP EXE / DLL、WSS EXE / DLL、Linux ELF），一键即可生成指向该地址的新 Agent。动态化大大提升了测试效率。

06

为什么值得选择 LeekShell

07

七、交流群/维护群

Github已上传最新LeekShell:

https://github.com/littleleeks/LeekShell

尚未进群的师傅，可扫码如下二维码，加我微信，备注“LeekShell”，手动拉你进群。

本工具仅供授权安全测试、教学研究使用。未经授权访问他人计算机系统属于违法行为，使用者须自行承担全部法律责任。请在隔离的测试环境中使用，并遵守所在国家与地区的法律法规。