notRDP

一个 Havoc C2 插件，用于创建一个不可见的备用 Windows 桌面，将其流式传输到基于浏览器的查看器，并支持完整的鼠标/键盘交互，类似 RDP，但对目标用户不可见。

工作原理

1. 通过 CreateDesktopW 创建一个隐藏桌面，并在其上启动 explorer.exe
2. 使用 PrintWindow 合成捕获隐藏桌面，并流式传输 JPEG 帧
3. 通过 PostMessage 直接将鼠标/键盘输入注入到隐藏桌面窗口
4. 在浏览器查看器中渲染该流，并支持完整的输入捕获

前置条件

交叉编译器：x86_64-w64-mingw32-gcc（可选 i686-w64-mingw32-gcc 用于 x86）

在 Ubuntu / Debian / Kali 上安装

sudo apt update && sudo apt install gcc-mingw-w64-x86-64 gcc-mingw-w64-i686

在 Arch 上安装

sudo pacman -S mingw-w64-gcc

在 Fedora 上安装

sudo dnf install mingw64-gcc mingw32-gcc

编译

make        # 仅 x64
make both   # x64 + x86
make clean  # 删除 .o 文件

手动编译（不使用 Make）

x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screenshot.x64.o screenshot.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o screeninput.x64.o screeninput.c
x86_64-w64-mingw32-gcc -c -Wall -Wno-unused-variable -o notrdp_mgr.x64.o notrdp_mgr.c

安装

1. 编译 BOF
2. 在 Havoc 客户端中：Scripts Manager > Load Script > notrdp.py

使用方法

notrdp [port] [quality]   # 启动隐藏桌面会话
notrdp-close              # 关闭会话

notrdpuser 插件

一个变体插件，捕获用户的真实桌面会话，而不是创建隐藏桌面。包含通过嵌入在 screenshot BOF 中的 GetAsyncKeyState 轮询实现的、对 opsec 友好的按键捕获。打包为同一仓库中的 notrdpuser.zip，以相同方式解压并加载 notrdpuser.py。

notrdpuser [port] [quality]   # 启动用户桌面流式传输 + 按键捕获
notrdpuser-close              # 关闭会话