工具 | ArachneC2 —— 去中心化 C2 藏进 IPFS 的海洋

原创

GLM-5.2
GLM-5.2

赛博生存指南

2026年6月30日 10:48
浙江

在小说阅读器读本章

去阅读

操作端和植入端都是 IPFS 网络里的平等节点，让我们把源码一层层拆开，看清ArachneC2的架构、加密与免杀设计的真实成色。

仓库地址：https://github.com/portbuster1337/ArachneC2

开头：传统 C2 的死穴

想象你是个红队队员。经典剧本是这样的：租一台云服务器，装上 C2，把植入端(implant)丢进目标网络，让它回连这台服务器。听起来很顺，但蓝队只要做一件事——找到这台服务器的 IP 或域名，封掉——你整条线就断了。更糟的是，TLS 证书指纹、固定的流量节奏、可识别的握手，每一个都可能成为把柄。

所以这些年 C2 的军备竞赛，有很大一部分在解决同一件事：怎么让基础设施拆不掉。今天聊的这个开源项目，给了一个相当激进的答案——干脆不要基础设施。

它叫 Arachne C2(GPLv3)，思路借鉴了安全圈老牌的 Sliver，但底座换成了 libp2p——也就是 IPFS 背后那套 P2P 网络协议。名字 “Arachne” 取自希腊神话里掌管编织与蜘蛛的女神，寓意它在操作端与植入端之间“编织”出一张去中心化的连接网。

一、没有服务器，那“控制中心”在哪？

答案是：哪都有，也哪都没有。

在 Arachne 里，操作端(operator)和每一台植入端(implant)，都是 P2P 网络里完全平等的节点。没有谁扮演“服务器”。它们靠三样东西协同：

1. 密码学身份(PeerID) 每个节点都有一对 Ed25519 密钥，公钥算出一个 ID(PeerID)。网络里不靠 IP 地址认人，靠这个 ID。你的指令发给“某个 PeerID”，至于这个 PeerID 此刻在哪台机器上、IP 是多少——网络自己搞定路由。

这就像在一个超大通讯录里，按身份证号找人，而不是按家庭住址找人。人搬家了，还能找到。

2. DHT(分布式哈希表)发现 操作端上线后，基于 Kademlia DHT 在网络里“广播”自己的存在(Advertise)；植入端按一个约定好的命名空间(arachne/<op-id>)去查找。这是 IPFS 用的同款寻址逻辑。除此之外还有 GossipSub(PubSub)主题订阅做消息层。

3. 中继(relay)+ NAT 穿透 NAT 后面的机器没法直连？没关系，任意一个 P2P 节点都能充当中转，自带 AutoNAT、中继电路和打洞(hole punching)。关键点：中继只能看到加密字节，看不懂内容。

一句话总结它要做的事：你的控制指令，在百万级别的 IPFS 节点洪流里穿行，没有一台机器是“中心”。 要让这套网络失效，攻击者得对 DHT 发起女巫攻击(Sybil)，而不是简单封一个 IP。

二、加密：中继看不懂，伪造者进不来

光去中心化还不够，还得防两件事：别人偷看，别人冒充。Arachne 用了双层保险。

第一层：NaCl 匿名密封盒（box）加密负载。 操作端持有一对 Curve25519 加密密钥，植入端在编译时就把操作端的公钥烧进了二进制。所有回传的负载，都用这个公钥密封。结果就是——沿途任何一个中继节点，看到的都只是密文。

第二层：Ed25519 签名，逐条验签。 每条消息都封装在一个“信封”里，发送方用私钥对内容签名，接收方一条一条验证签名。想冒充操作端发命令？你没有私钥，签名过不了，消息直接被丢。

还有两个考究的细节：

• 防重放

每条消息的信封 ID 就是它的时间戳，超过 5 分钟、或者重复的，一律丢弃。防止有人把截获的合法消息原样重发。
* 身份持久化

每次生成都为植入端生成唯一的内嵌密钥对，所以同一植入端在目标机重启后仍保持相同 PeerID，操作端能识别为“同一个会话”而非新增节点。

一个关键的不对称(读码可见)：这层 box 加密 只覆盖“植入端 → 操作端”的回传方向；而“操作端 → 植入端”的命令下发，只做 Ed25519 签名、不做 box 加密\\(剥掉传输层就是明文命令)。两端都还有 libp2p 的 Noise 传输加密双向兜底，所以中继看到的仍是全密文——但若 Noise 被绕过，命令方向就少了 box 这第二层保护。

三、植入端都能干些啥

功能清单对一个 C2 来说算齐活：

• 文件操作

ls / cd / pwd / download / upload(单文件上限 100MB)
* 进程枚举

ps(Windows 解析 tasklist,Linux 读 /proc)
* 命令执行

exec
* 交互式 Shell

Linux/macOS 用 PTY,Windows 用 ConPTY 隐式拉起 cmd.exe(不留可见窗口)
* 端口转发 + SOCKS5 代理

把内网流量“经植入端”转发出来，本地起个 SOCKS5 端口直接用(凭据还能 bcrypt 存盘)

最让我觉得巧妙的设计是 generate：操作端这一个二进制文件里，内嵌了完整的植入端源码。把它拷到任意一台机器(哪怕没装 Go，它会自己下载安装、校验 SHA256；缺 garble / git 也会自动补)，就能交叉编译出 Linux / macOS / Windows × amd64 / arm64 的植入端。走到哪，编译到哪，不依赖源码树。

还有一个认真做的模块值得点名：--antivm VM 检测。它是一个纯 Go(无 CGO)实现的 VM/沙箱检测框架，采用与 VMAware 兼容的累积评分制——每项检测带一个分值，命中累加，总分过 50% 就干净退出(os.Exit(0))，不暴露任何 C2 行为；单点失败有 recover() 兜底，不影响整体。跨平台数十项检测技术，从 CPUID 虚拟化签名、MAC 厂商前缀，到 Windows 注册表键、Linux DMI 固件都有。

铺垫了这么多“去中心化有多强”，接下来必须泼盆冷水。

四、但别神化它——免杀的真相

要分清一件事：它的免杀重心在网络层，而不是主机层。

什么意思？它在“拆不掉基础设施”“流量混进 IPFS 噪声”这两点上确实做得好——这恰恰是它的设计目标。但如果你以为它能在装了现代 EDR(端点检测响应)的机器上畅行无阻，那就想多了。

先把全貌摊开，一张六维评级表：

几个实打实的短板

• UPX 加壳默认是开着的

。但 UPX 本身就是杀软的红旗，入口点、节区特征、“UPX!” 魔数都被静态规则盯死了。实践中关掉 UPX、只留混淆，反而更隐蔽。
* Go 二进制天生难藏

。Go 程序有个叫 pclntab 的东西、还有 runtime.main 这些运行时结构，即使剥离符号也去不掉。一个十几 MB 的 Go 程序落地运行，在 EDR 眼里已经够扎眼。
* EDR hook 对抗，基本为零

。没有 ntdll 反 hook、没有 direct syscall、没有 AMSI/ETW 致盲、没有进程注入、没有内存休眠加密(sleep masking)。所有 API 调用都走标准库，全在 EDR 的 hook 点上。
* Shell 是高噪音行为

。Windows 端用 ConPTY 拉起 cmd.exe 子进程——这条行为链是 EDR 的重点监控对象，约等于明牌“我在挂交互 shell”。

一个容易被忽略的分层：它扛得住“封 IP”，扛不住“认指纹”

这是很多人会误解的地方。Arachne号称“封 IP 不死”，这话只对了一半——准确说，它针对的是基于地址的封锁(封 IP / 域名 / 端口)：

也就是说：只会封 IP/域名/端口的网络(多数企业网、NAT、端口白名单)，它抗封锁强；但具备 DPI、针对性监控 libp2p 的强审查环境(GFW 级别)，它基本失效且无后备。Sliver 能叠 mTLS/HTTP/DNS/WireGuard 多传输，Arachne 不行——鸡蛋全在 libp2p 一个篮子里。

所以一个相对公允的结论是：

在“封 IP、拆基础设施”这个维度，Arachne 是优秀的； 在“对抗装了 EDR 的现代终端”这个维度，它会被抓。

五、对防守方的启示

聊攻也得聊防。这个项目对蓝队的启发挺直接，综合源码分析，可操作的有两条：

1. 出口管控优先

企业网若不允许连 IPFS 公网，把 bootstrap.libp2p.io 及其解析 IP、常见 libp2p 端口纳入监控——“一台终端尝试加入 libp2p 网络”这件事本身，就该是个告警。这是性价比最高的一刀。
2. 主机行为层抓它不难

Go 植入特征 + ConPTY 拉起 cmd 子进程，足够拼出一个检测规则。别只盯着 IP 黑名单。

六、结尾：技术是中性的

libp2p 做的事，本质是“让连接不再依赖中心”。这在正当场景里——去中心化应用、抗审查通信、没有中心服务器的协作——是优点。同样的能力，被用到 C2 上，就成了红队的利器。

理解它的设计，对攻防两边都有价值。工具没有善恶，区别在于握着它的人，有没有那纸授权。

合规提醒：Arachne C2 仅供授权安全测试使用。未经授权访问他人计算机系统是违法行为。本文为公开开源项目的技术分析。

这是 Arachne C2 系列的合并长文，涵盖架构拆解、加密设计与免杀评估。