# 内置 C2 使用说明

内置 C2 用于授权环境中的会话管理、任务下发、payload 生成和结果回收。不使用时建议关闭。

```yaml
c2:
  enabled: false
```

## 功能组成

主要对象：

- Listener：监听器，负责接收会话。
- Session：上线会话。
- Task：下发给会话的任务。
- Payload：生成的载荷或 one-liner。
- Profile：通信配置模板。
- Event：监听器、会话、任务产生的事件。
- File：给 implant 下载或任务结果回收的文件。

Web API 前缀是 `/api/c2`。关闭 C2 时接口返回 `503 c2_disabled`。

## 监听器

常用接口：

- `GET /api/c2/listeners`
- `POST /api/c2/listeners`
- `POST /api/c2/listeners/:id/start`
- `POST /api/c2/listeners/:id/stop`
- `DELETE /api/c2/listeners/:id`

建议给监听器使用清晰命名，标明演练项目、网络区域和授权范围。

## 会话

常用接口：

- `GET /api/c2/sessions`
- `GET /api/c2/sessions/:id`
- `PUT /api/c2/sessions/:id/sleep`
- `DELETE /api/c2/sessions/:id`

`sleep` 用于调整会话轮询间隔。间隔越短，交互越实时，但流量和暴露面更高。

## 任务

常用接口：

- `GET /api/c2/tasks`
- `POST /api/c2/tasks`
- `POST /api/c2/sessions/:id/tasks`
- `POST /api/c2/tasks/:id/cancel`
- `GET /api/c2/tasks/:id/wait`
- `GET /api/c2/tasks/:id/result-file`

任务应和授权目标一致。高风险任务建议走 HITL，并在审计日志中保留操作痕迹。

## Payload

常用接口：

- `POST /api/c2/payloads/oneliner`
- `POST /api/c2/payloads/build`
- `GET /api/c2/payloads/:id/download`

生成前确认：

- 回连地址是否正确。
- 平台和架构是否匹配。
- 是否需要代理、sleep、profile。
- 文件是否只在授权环境分发。

## 文件

常用接口：

- `POST /api/c2/files/upload`
- `GET /api/c2/files`
- `GET /api/c2/tasks/:id/result-file`

上传文件可供 implant 下载。结果文件可能包含敏感信息，应按项目保密级别保存和清理。

## MCP 工具

C2 启用后会注册相关 MCP 工具，供 Agent 管理监听器、会话、任务、payload 等。建议：

- 不把 C2 工具加入全局免审批白名单。
- 在角色提示词中限制项目、目标、任务类型。
- 对执行命令、上传文件、生成 payload 的步骤开启人工审批。

## 安全建议

- 仅在授权环境启用。
- 不在公网暴露管理 Web。
- Listener 暴露端口与 Web 管理端口分离。
- 定期清理会话、任务、payload 和事件。
- 演练结束后关闭监听器并删除无用 payload。
- 保留必要审计证据，但不要长期保存敏感输出。

## 排错

监听器无法启动：

- 端口被占用。
- 权限不足，低端口需要额外权限。
- 防火墙或安全组未放行。

会话不上线：

- payload 回连地址错误。
- 目标无法访问监听器。
- TLS/Profile 不匹配。
- 被安全产品阻断。

任务无结果：

- 会话 sleep 较长。
- 会话已离线。
- 命令在目标端卡住。
- 结果过大，需要通过结果文件下载。

## 生命周期视角

C2 的正确使用不是“创建 listener 然后下命令”，而是一个生命周期：

1. 授权确认：项目、目标、时间窗口、允许动作。
2. Profile 设计：通信方式、sleep、回连地址、文件通道。
3. Listener 启动：确认端口、网络路径和日志。
4. Payload 生成：记录 hash、用途、投递方式。
5. Session 接入：确认目标身份、权限和环境。
6. Task 下发：只执行与授权目标一致的任务。
7. 结果归档：必要输出写入项目事实或报告。
8. 清理：停止 listener、删除 payload、清理 session/task/event。

跳过前两步会导致后续每个操作都不可审计。

## 任务分级

| 等级 | 示例 | 审批建议 |
| --- | --- | --- |
| L1 只读识别 | `whoami`、主机名、当前目录 | 可由审计 Agent 放行 |
| L2 环境枚举 | 网络接口、进程、用户组 | 建议人工或严格审计 |
| L3 文件访问 | 读取配置、下载结果文件 | 人工确认目标和路径 |
| L4 执行变更 | 上传文件、修改 sleep、运行脚本 | 人工审批 |
| L5 持久化/横向/破坏 | 自启、凭证、删除、加密、扩散 | 默认拒绝，除非授权明确 |

把这个分级写进 HITL 提示词，比单纯“危险则拒绝”更可操作。

## 事件复盘

一次 C2 操作复盘至少回答：

- 哪个 listener 接收了哪个 session？
- payload 是谁生成的，什么时候生成的？
- session 属于哪个授权目标？
- 下发了哪些 task？
- task 输出是否写入报告或项目事实？
- 是否停止 listener 并清理 payload？

如果这些问题答不上来，说明 C2 过程管理还不够闭环。

## 源码锚点

- C2 Manager：`internal/c2/manager.go`
- Listener：`internal/c2/listener.go`
- HTTP Listener：`internal/c2/listener_http.go`
- TCP Listener：`internal/c2/listener_tcp.go`
- Payload：`internal/c2/payload_builder.go`
- Handler：`internal/handler/c2.go`
- MCP 工具：`internal/app/c2_tools.go`