TornadoC2
kamalx06/tornadoc2基于拉取的 C2 框架，具有十种原生传输方式、并发多配置文件处理器、ECDSA 签名的任务下发，以及带 RBAC 和 Qt/CLI 控制台的多操作员团队服务器。
penetration-testing-frameworkspersistence-mechanismsids-ips-evasion+9
2
capture0x/adstrikeAI 驱动的模块化 Active Directory 红队框架，用于授权渗透测试、AD 枚举、攻击路径分析、Kerberos/ADCS 工作流、报告、操作员自动化以及 MCP 服务器集成。
karmanya03/overthrone全 Rust 实现的 Active Directory 利用框架：LDAP/SMB/Kerberos 枚举、攻击图路径查找、Kerberoasting、NTLM 中继、票据伪造、DCSync 以及报告生成，全部集成于一个静态二进制文件中。
mrexodia/titanhideWindows 内核驱动程序，通过挂钩 Nt* SSDT 函数来隐藏调试器和进程以规避反调试检查，并附带一个用于隐蔽分析的 x64dbg 插件。
linnemanlabs/glimmer用于安全研究的对手模拟与C2框架
darthton/hyperbone面向 Windows x64 的极简 VT-x 虚拟机监控程序，提供系统调用、MSR、IDT 和内核内联钩子，以及基于 EPT 的页面替换和 TLB 拆分。
thesecretclub/sandboxbootkitWindows Sandbox 的 Bootkit，用于禁用 DSE/PatchGuard。
rapid7/metasploit-payloadsMetasploit Framework 不同载荷的统一仓库
stillbigjosh/adaptix-serverless-c2用于 AdaptixC2 v1.2 的无服务器 C2 传输插件，使用 AWS Lambda + DynamoDB 作为中继基础设施。
hfiref0x/kduWindows 内核驱动工具，利用存在漏洞的已签名驱动（BYOVD）绕过 DSE、加载未签名驱动、劫持受保护进程并转储进程内存。
gmh5225/kli-ex面向 Windows 驱动程序的扩展内核延迟导入器，可在运行时解析 API，并使用加密、缓存的导入名称来隐藏内核函数的使用，从而规避静态分析。
gmh5225/kprocterminatorWindows 内核驱动程序，用于终止系统中的特定进程
g13net/lockjaw模块化 Windows C2 框架，包含 Rust teamserver、Zig 植入体、间接系统调用、AMSI 绕过、反射式/PoolParty 注入、内存中 BOF 执行以及 HTTP/DNS 传输。
kyle41111/ai-file一个用于 Mythic C2 框架的监听器配置文件，利用 AI 供应商的文件 API
mythicagents/xenon一个用 C 编写的 Windows Mythic 代理
dagowda/notrdpHavoc C2 插件，可创建一个隐藏的 Windows 桌面，将其流式传输到浏览器查看器，并注入鼠标/键盘输入以实现隐蔽远程控制。
x3r0day/fud-c2-framework一个无文件反向 shell 和 C2 框架，利用直接系统调用、代理隧道和 ChaCha20 加密来规避 AV。
kaill-jlq/mmskillrisk基准测试与评估框架，用于测试LLM代理是否能抵御隐藏在多模态技能图像中的恶意指令，包含跨五个风险类别的108个案例，并采用ASR/TSR评分。