模块化后渗透框架，通过TCP/TLS/mTLS管理反向shell会话，并配有用于枚举、内存执行、SOCKS5枢轴和持久化的插件。
一个轻量级、模块化的后渗透框架，用于经授权的安全研究、红队行动和渗透测试。TornadoRevC2 通过统一的操作员控制台，在纯 TCP、服务器认证 TLS 和双向认证 TLS 传输上管理 Linux 和 Windows 主机上的交互式反向 shell 和绑定 shell 会话。核心会话处理由跨平台插件架构扩展，用于主机枚举、态势感知和操作任务。
重要提示： TornadoRevC2 在同一进程中运行两种互补的会话模型。shell 处理器优先考虑可靠的交互式会话、结构化的操作员工作流和按需插件执行。beacon 子系统增加了一个基于拉取的编译型 agent，适用于需要调度、自毁和网络韧性而非实时 socket 的长期任务。两者共享操作员控制台、TLS 材料和日志基础设施；彼此互不依赖。参见 Beacon 子系统。
仅在你拥有的系统上，或在你拥有明确书面授权的系统上使用本软件。你需自行负责遵守适用法律和组织政策。作者和贡献者对因使用本项目而产生的误用、数据丢失或法律后果不承担任何责任。
快速演示：会话管理、插件执行、SOCKS5 枢轴。
TornadoRevC2 是一个模块化的后渗透框架，在单个进程中支持两种 会话模型，共享一个操作员控制台和一套 基础设施组件（TLS 证书材料、可塑 配置文件、会话日志）：
交互式 shell 会话 — 反向 shell（目标通过纯 TCP、
服务器认证 TLS 或带客户端证书验证的双向 TLS 拨号连接
处理器）和绑定 shell（处理器通过纯 TCP 或 TLS 拨号连接
目标）。两者均可在运行时迁移到 HTTPS 辅助传输（基于 TLS 的
HTTP/2 或 HTTP/1.1）或目标上托管的 SMB 命名管道，并可通过
backtoshell 还原。所有流程产生相同的会话对象，并通过
相同的探测、插件、传输和报告管道。
编译型 beacon 会话 — 从操作员机器交叉编译的 Go agent， 磁盘上无运行时配置。agent 按计划回连，获取排队的任务， 通过进程内原生处理器或 shell 执行它们，然后返回休眠。任务 和结果端到端使用 ECDSA 签名，传输为 HTTPS 并可选双向 TLS， 每个行为属性都在构建时固化。
该框架提供统一的操作员控制台，用于会话
管理、主机侦察、分块文件传输、内存中
载荷执行、SOCKS5 枢轴、插件驱动的后渗透、
结构化报告，以及内置的 update 命令，用于基于 Git 的自动
更新和无缝处理器重启。防火墙枚举、凭据存储元数据收集、
网络映射、浏览器画像、Windows 域信任分析以及
其他后渗透功能均以 65 个独立、模块化插件的形式实现。
make_token 插件从操作员侧通过远程协议（SSH、WinRM、SMB、WMI、MSSQL、DCOM
和 MySQL/MariaDB）建立新的 C2 会话；upgrade_mtls 通过将处理器的
客户端证书包推送到目标，将活动会话迁移到双向 TLS 监听器。
支持的目标平台： Linux 和 Windows（主要），在适用情况下兼容通用 Unix 和 BSD 环境。
| 类别 | 能力 |
|---|---|
| 会话处理 | 多客户端 TCP / TLS / mTLS 监听器，自动 PKI 引导 · 按需为活动会话升级 mTLS · 绑定 shell 支持 — 拨号连接监听 TCP 或 TLS 的目标 · 交互式 PTY/TTY shell · 会话指纹识别和重连跟踪 |
| 辅助传输 | HTTPS 通道 — http2switch <ID> 在目标上生成 HTTP/2 或 HTTP/1.1 agent 并切换活动传输；SMB 命名管道 — smbswitch <ID> 在目标上部署 C# 管道服务器并将处理器作为 SMB 客户端附加；backtoshell <ID> 关闭当前活动的辅助传输并还原；transport <ID> 显示每个通道的实时状态 · 双栈 HTTPS 监听器通过 ALPN 协商 h2 和 http/1.1 · Linux HTTP/2 agent 完全在内存中运行（通过 stdin 执行 python3 -）· Windows agent 在 Start-Job 中运行；Linux agent 在各自的 setsid 会话组中运行 · 通过 --front-domain 支持域前置 / 重定向器 · 绑定接口可以是 IP 或接口名（tun0、eth0）；省略时自动检测 |
| 操作安全 | Linux 和 Windows 上的 shell 历史抑制 · 命令路径中无 pty.spawn 或 Invoke-Expression · 会话作用域探测标记 · 每会话随机化身份字符串（shell 变量、启动标记、HMAC 密钥）· 命令混淆 — 每会话 XOR+base64 包装器安装于 bash/zsh/PowerShell，因此明文命令永远不会到达 shell 历史、ps、Sysmon EventID 1 或 auditd · 进程内执行 — Linux HTTP/2 agent 无需生成子进程即可提供 cat、ls、env、ps、pwd、whoami、id、hostname、uname · HMAC 签名的 HTTP/2 令牌（/c2/<token>?s=<hmac>）· TLS 会话票据 · HTTPS 保活（PING）和空字节帧填充 · 可配置的连接时抖动（默认 0.3–1.5 秒；TORNADO_CONNECT_DELAY 覆盖）· 每 agent 终止日期 / 自毁（TORNADO_KILL_DAYS，默认 30）· Linux HTTP/2 投递期间不向目标写入日志或暂存文件 · Windows HTTP/2 agent 的 ECDSA 命令签名 · PTY 升级验证 |
| 文件传输 | 支持断点续传的分块上传 · 支持断点续传的分块下载 · SHA-256 完整性验证 · 上传（--https）和推送式下载（--https-push）可选 HTTPS 传输，支持目标接口绑定和回调地址覆盖 |
| 载荷执行 | py、ps、exe、elf、bat 和 sh 的内存中执行 — 支持基于 memfd 的 ELF 执行（现代和旧版回退）和子系统感知的 PE 加载 |
| 枢轴与隧道 | 通过受控会话的 SOCKS5 代理 · Windows 隧道 agent 在内存中运行（C#，无磁盘痕迹）；Unix 使用 /tmp 下的 Python agent · socks test 需要已运行的代理，不会隐式部署 agent · 软硬隧道重置（socks reset [--hard]）· socks stop 和会话断开时自动清理远程 agent · Ligolo-NG 和 Chisel agent 部署，带后台持久化 |
| 远程会话建立 | make_token — 从操作员侧通过 SSH、WinRM、SMB、WMI、MSSQL、DCOM 或 MySQL/MariaDB 建立新会话，支持密码 / NTLM 哈希 / SSH 密钥 / WinRM 客户端证书认证、MySQL UDF 自动加载、自定义命令执行和 netexec 集成 |
| 模拟 | runas — 以另一用户身份执行命令或生成 TLS 加密 shell，本地或远程，支持域和 netexec 集成 · steal_token — 列出进程和所有者，模拟另一进程的令牌，或生成以令牌所有者身份运行的 cmd / 反向 shell |
| 令牌权限 | enablepriv — 通过内存中 C#（AdjustTokenPrivileges）启用、禁用、列出或切换当前 Windows 令牌上的每个权限，支持 --list / --list-all / --all 模式 |
| 枚举 | 涵盖主机分类、检测环境预检、网络态势、凭据和浏览器元数据、Kerberos 票据、Linux 内部（sudo 配置、可写文件系统目标、受限 shell 检测）、Windows 域信任、WMI 持久化、已加载模块以及 Windows 域和系统配置 |
| 操作插件 | 多遍安全文件擦除 · 混合文件加密 · Shell 历史清除 · Windows 事件日志清除 · 带窗口上下文的跨平台击键捕获 |
| 持久化 | 使用 TLS 加密载荷的跨平台后门安装 — Linux/Unix 上的 cron @reboot，Windows 上的 Run 注册表 |
| 可扩展性 | 运行时插件加载、重载、卸载和重新扫描（实时发现 — 无需重启处理器）· 通过 TORNADOREVC2_PLUGIN_DIR 使用外部插件 · 有文档的 SessionContext API |
| 报告 | 每会话日志 · 结构化插件输出 · HTML 记录导出 |
| 自更新 | 基于 Git 的 update 命令，带仓库验证、快进拉取和自动处理器重启 |
| Beacon 子系统 | 编译型 Go agent，从操作员机器交叉编译 · HTTPS / mTLS 传输 · uTLS 浏览器 ClientHello 指纹（chrome、firefox、safari）· ECDSA P-256 任务和结果签名，带首次使用信任公钥固定 · 基于 Cookie 的会话令牌，带 HMAC 证明 · 原生进程内动词（cat、ls、ps、id、env、pwd、whoami、hostname、uname），无 fork 或 execve · 带 SHA-256 验证的分块文件传输 · 内存中 PE（Windows）和 ELF（Linux）执行 · Windows 上通过嵌入式 C# 加载器进行 BOF/COFF 加载，与 shell 处理器的 bofloader 插件共享 · 内联脚本执行（pyexec、psexec、shexec），源代码通过 stdin 管道传入 · 编译时 OPSEC 配置文件（反沙箱、反调试、反虚拟机、AMSI/ETW 补丁、字符串混淆、garble、UPX）· 用于 HTTP 指纹的命名 C2 配置文件 · 运行时可配置的休眠和工作时间 · 4xx/5xx 时自动重连 · 终止日期 / 自毁 · 后台会话回收器 · 响应填充到随机桶 · 交互式 beacon-build 向导 |
不支持： 目标上的计划任务管理，或 beacon 侧插件与 shell 处理器的 @plugin.command 注册表兼容。
TornadoRevC2 专为部署摩擦和操作足迹至关重要的环境而设计。shell 处理器和 beacon 子系统共享这一原则，但实现方式不同：shell 处理器通过依赖已存在的 shell 原语来避免痕迹；beacon 通过交付一个自包含的 二进制文件且无外部配置来避免它们。
插件利用目标主机上已存在的原生 Windows 和 Linux 实用程序及内置系统命令——netsh、ss、iptables、ufw、firewall-cmd、nft、PowerShell cmdlet、nmcli、wevtutil 等。收集器通过反向 shell 通道调用这些工具并远程解析输出，最大限度地减少上传额外二进制文件或安装依赖的需要。
枚举插件通过现有的反向 shell 通道执行，不会为侦察投放二进制文件、脚本或临时文件。 原生命令、内联 Python 收集器和进程内 PowerShell 脚本通过 shell 返回结构化 JSON。唯一不可避免的痕迹是 shell 本身生成的正常命令历史——TornadoRevC2 在会话开始时抑制它（参见 操作安全）。
操作插件有意在目标上放置痕迹并记录其自身的清理行为：
ligolong / chisel — 部署带后台持久化的隧道 agent。persistence — 安装反向 shell 后门（cron @reboot / Run 注册表）。upgrade_mtls — 将 client.pem、client.key 和 ca.pem 推送到目标（新的 mTLS 会话建立后默认移除）。Add-Type 从 C# 在内存中编译；不向磁盘写入文件。在 Linux/Unix 上，Python agent 暂存于 /tmp 下。两种情况下，远程 agent 在 socks stop（当它是会话的最后一个代理时）和会话断开时自动拆除。在 Unix 上，/tmp/.tornado_agent_*.py 文件作为该清理的一部分被删除。每个支持进程内解码器的会话（bash、zsh、PowerShell）在会话开始时接收一个每会话解码器。从那时起，操作员输入的每条命令——或插件通过 session.run_shell() 发出的每条命令——在到达线路之前都被包装为 _r '<base64(xor(cmd))>'。shell 看到单个解码并执行调用；明文命令永远不会出现在 shell 历史、ps auxww、Sysmon EventID 1 或 auditd execve 遥测中。
XOR 密钥是来自 secrets.token_bytes() 的 32 字节，每会话全新生成，且从不写入磁盘。cmd.exe 会话跳过该层——cmd 没有进程内解码器原语，而通过单独的 PowerShell 进程垫片每条命令会增加进程生成签名，其代价超过收益。
当 Linux 目标运行 HTTP/2 辅助传输时，一组常见的读取操作在 Python agent 内部执行，而不是生成子进程。处理器透明地路由匹配的命令——插件无需知道路由是否发生：
| 命令形式 | 由谁提供 |
|---|---|
cat <path> | agent 中的 os.read() |
ls [path] | agent 中的 os.listdir() + os.stat() |
env / printenv | agent 中的 os.environ |
ps auxww / ps -ef | agent 中的 /proc 遍历 |
pwd / whoami / id | os.getcwd() / pwd / os.getuid() |
hostname / uname | socket.gethostname() / os.uname() |
此集合之外的任何内容——管道、重定向、外部二进制文件、多行脚本——都像以前一样落到 shell。路由层完全在处理器内部；插件代码不变。净效果是在 Linux HTTP/2 会话上消除了大约三分之一的插件生成子进程。
当枚举例程失败、不可用或超时时，插件不会完全中止。受影响的部分留空或标记为 N/A，而报告的其余部分继续。
处理器更新通过操作员机器上的 Git 交付。update 命令使用有界子进程超时、非交互式 Git 设置和快速本地关闭路径，以便处理器能够可靠地重启，而无需等待远程会话清理完成。
TornadoRevC2 在每个会话中应用一组始终开启的操作安全措施。这些不是可选标志——它们无条件运行，因此即使匆忙的操作员也能获得全部益处。