Add files via upload

docs/zh-CN/c2.md

@@ -0,0 +1,172 @@
+# 内置 C2 使用说明
+
+内置 C2 用于授权环境中的会话管理、任务下发、payload 生成和结果回收。不使用时建议关闭。
+
+```yaml
+c2:
+  enabled: false
+```
+
+## 功能组成
+
+主要对象：
+
+- Listener：监听器，负责接收会话。
+- Session：上线会话。
+- Task：下发给会话的任务。
+- Payload：生成的载荷或 one-liner。
+- Profile：通信配置模板。
+- Event：监听器、会话、任务产生的事件。
+- File：给 implant 下载或任务结果回收的文件。
+
+Web API 前缀是 `/api/c2`。关闭 C2 时接口返回 `503 c2_disabled`。
+
+## 监听器
+
+常用接口：
+
+- `GET /api/c2/listeners`
+- `POST /api/c2/listeners`
+- `POST /api/c2/listeners/:id/start`
+- `POST /api/c2/listeners/:id/stop`
+- `DELETE /api/c2/listeners/:id`
+
+建议给监听器使用清晰命名，标明演练项目、网络区域和授权范围。
+
+## 会话
+
+常用接口：
+
+- `GET /api/c2/sessions`
+- `GET /api/c2/sessions/:id`
+- `PUT /api/c2/sessions/:id/sleep`
+- `DELETE /api/c2/sessions/:id`
+
+`sleep` 用于调整会话轮询间隔。间隔越短，交互越实时，但流量和暴露面更高。
+
+## 任务
+
+常用接口：
+
+- `GET /api/c2/tasks`
+- `POST /api/c2/tasks`
+- `POST /api/c2/sessions/:id/tasks`
+- `POST /api/c2/tasks/:id/cancel`
+- `GET /api/c2/tasks/:id/wait`
+- `GET /api/c2/tasks/:id/result-file`
+
+任务应和授权目标一致。高风险任务建议走 HITL，并在审计日志中保留操作痕迹。
+
+## Payload
+
+常用接口：
+
+- `POST /api/c2/payloads/oneliner`
+- `POST /api/c2/payloads/build`
+- `GET /api/c2/payloads/:id/download`
+
+生成前确认：
+
+- 回连地址是否正确。
+- 平台和架构是否匹配。
+- 是否需要代理、sleep、profile。
+- 文件是否只在授权环境分发。
+
+## 文件
+
+常用接口：
+
+- `POST /api/c2/files/upload`
+- `GET /api/c2/files`
+- `GET /api/c2/tasks/:id/result-file`
+
+上传文件可供 implant 下载。结果文件可能包含敏感信息，应按项目保密级别保存和清理。
+
+## MCP 工具
+
+C2 启用后会注册相关 MCP 工具，供 Agent 管理监听器、会话、任务、payload 等。建议：
+
+- 不把 C2 工具加入全局免审批白名单。
+- 在角色提示词中限制项目、目标、任务类型。
+- 对执行命令、上传文件、生成 payload 的步骤开启人工审批。
+
+## 安全建议
+
+- 仅在授权环境启用。
+- 不在公网暴露管理 Web。
+- Listener 暴露端口与 Web 管理端口分离。
+- 定期清理会话、任务、payload 和事件。
+- 演练结束后关闭监听器并删除无用 payload。
+- 保留必要审计证据，但不要长期保存敏感输出。
+
+## 排错
+
+监听器无法启动：
+
+- 端口被占用。
+- 权限不足，低端口需要额外权限。
+- 防火墙或安全组未放行。
+
+会话不上线：
+
+- payload 回连地址错误。
+- 目标无法访问监听器。
+- TLS/Profile 不匹配。
+- 被安全产品阻断。
+
+任务无结果：
+
+- 会话 sleep 较长。
+- 会话已离线。
+- 命令在目标端卡住。
+- 结果过大，需要通过结果文件下载。
+
+## 生命周期视角
+
+C2 的正确使用不是“创建 listener 然后下命令”，而是一个生命周期：
+
+1. 授权确认：项目、目标、时间窗口、允许动作。
+2. Profile 设计：通信方式、sleep、回连地址、文件通道。
+3. Listener 启动：确认端口、网络路径和日志。
+4. Payload 生成：记录 hash、用途、投递方式。
+5. Session 接入：确认目标身份、权限和环境。
+6. Task 下发：只执行与授权目标一致的任务。
+7. 结果归档：必要输出写入项目事实或报告。
+8. 清理：停止 listener、删除 payload、清理 session/task/event。
+
+跳过前两步会导致后续每个操作都不可审计。
+
+## 任务分级
+
+| 等级 | 示例 | 审批建议 |
+| --- | --- | --- |
+| L1 只读识别 | `whoami`、主机名、当前目录 | 可由审计 Agent 放行 |
+| L2 环境枚举 | 网络接口、进程、用户组 | 建议人工或严格审计 |
+| L3 文件访问 | 读取配置、下载结果文件 | 人工确认目标和路径 |
+| L4 执行变更 | 上传文件、修改 sleep、运行脚本 | 人工审批 |
+| L5 持久化/横向/破坏 | 自启、凭证、删除、加密、扩散 | 默认拒绝，除非授权明确 |
+
+把这个分级写进 HITL 提示词，比单纯“危险则拒绝”更可操作。
+
+## 事件复盘
+
+一次 C2 操作复盘至少回答：
+
+- 哪个 listener 接收了哪个 session？
+- payload 是谁生成的，什么时候生成的？
+- session 属于哪个授权目标？
+- 下发了哪些 task？
+- task 输出是否写入报告或项目事实？
+- 是否停止 listener 并清理 payload？
+
+如果这些问题答不上来，说明 C2 过程管理还不够闭环。
+
+## 源码锚点
+
+- C2 Manager：`internal/c2/manager.go`
+- Listener：`internal/c2/listener.go`
+- HTTP Listener：`internal/c2/listener_http.go`
+- TCP Listener：`internal/c2/listener_tcp.go`
+- Payload：`internal/c2/payload_builder.go`
+- Handler：`internal/handler/c2.go`
+- MCP 工具：`internal/app/c2_tools.go`