1. 项目概述为什么选择Boo语言开发SILENTTRINITY模块如果你接触过红队工具尤其是C2框架那你大概率听说过SILENTTRINITY。它最大的特点或者说最吸引人的地方就是它的模块是用一种叫Boo的语言写的。我第一次看到这个设计时第一反应是“这什么鬼”第二反应是“有点意思”。市面上主流C2框架的模块要么是Python要么是PowerShell或者干脆是C#用Boo的真是独一份。但深入了解后你会发现这个选择背后有非常务实的考量。SILENTTRINITY本身是一个基于.NET的、利用IronPython和Boo语言实现动态编译与执行的后渗透框架。它的核心思想是“无文件”和“内存执行”模块在服务端用Boo编写下发到目标机器后由内置的Boo编译器即时编译成.NET程序集直接在内存中加载运行不留痕迹。那么为什么是Boo而不是更常见的C#简单来说Boo是一种语法类似Python的.NET静态类型语言。它既有Python的简洁和表达力又能编译成高效的.NET字节码并且天生支持元编程和宏这使得编写复杂、灵活的模块变得非常高效。对于红队队员来说这意味着你可以用写脚本的速度写出接近原生C#性能的模块同时享受.NET庞大类库的全部能力。这个教程的目标就是带你从零开始亲手编写一个能在SILENTTRINITY中运行的Boo语言后渗透模块。无论你是想深入理解SILENTTRINITY的内部机制还是希望扩展其功能以适应自己的战术需求掌握Boo模块开发都是必经之路。整个过程会涉及Boo语言基础、SILENTTRINITY模块架构、.NET交互操作以及如何将你的想法转化为一个可用的、健壮的模块。我们从一个最简单的“Hello World”模块开始逐步深入到文件操作、进程注入等复杂功能并分享我在开发过程中踩过的坑和总结的技巧。2. SILENTTRINITY模块架构与Boo语言基础2.1 SILENTTRINITY模块运行机制解析要开发模块首先得明白它是怎么跑起来的。SILENTTRINITY采用客户端-中继器-团队的架构但模块执行的核心发生在被控端客户端。当你从团队服务器下发一个任务对应一个Boo模块时这个模块的源代码Boo脚本会被发送到目标机器。目标机器上运行的SILENTTRINITY客户端内置了一个Boo编译器通常是Boo.Lang.Compiler。客户端收到脚本后会启动这个编译器将Boo源代码动态编译成一个.NET的程序集Assembly。这个编译过程完全在内存中进行不会在磁盘上产生任何.dll或.exe文件。编译生成的程序集随后被加载到当前AppDomain应用程序域中。SILENTTRINITY的模块基类定义了一个标准的入口方法例如Execute方法。客户端通过反射Reflection找到并调用这个入口方法从而执行模块的核心逻辑。执行结果成功、失败、返回的数据等会被序列化通过加密通道回传给团队服务器。整个流程的关键在于“内存编译”和“反射加载”这构成了无文件攻击的技术基础。理解这一点至关重要因为它决定了模块的编写方式你的Boo代码最终必须能编译成一个合法的.NET类并且包含框架能识别的特定方法和属性。2.2 Boo语言快速入门写给Python和C#开发者的指南如果你熟悉Python那么Boo学起来会非常快如果你熟悉C#那么理解它的.NET本质也会很轻松。Boo可以看作是这两者的混合体。这里快速过一下核心语法点足够我们开始写模块。变量与类型Boo是静态类型语言但支持类型推断。你可以用def来声明变量编译器会根据赋值推断类型也可以用显式类型声明。// 类型推断 def message Hello, SILENTTRINITY // 推断为 string def count 10 // 推断为 int // 显式声明 name as string Operator processId as int 1234函数定义使用def关键字参数需要指定类型返回值类型在参数列表后声明。def Add(a as int, b as int) as int: return a b // 无返回值 def LogMessage(msg as string): print(msg)控制流if/elif/else,while,for循环的语法和Python几乎一模一样但注意块是用冒号:和缩进来定义而不是花括号。if condition: print(True) elif anotherCondition: print(Maybe) else: print(False) for i in range(5): print(i)类与继承Boo的类定义也很直观。class MyModule: _field as string def constructor(value as string): _field value def Run() as string: return _field.ToUpper()与.NET交互这是Boo在SILENTTRINITY中的核心能力。你可以直接使用任何.NET框架中的类库就像在C#中一样。只需要通过import引入命名空间。import System import System.IO import System.Diagnostics def ListProcesses(): for process in Process.GetProcesses(): print(process.ProcessName)特别注意Boo的“特性”Boo支持一些高级特性比如宏Macros和鸭子类型Duck Typing但在编写SILENTTRINITY基础模块时我们暂时用不到这些可以先专注于标准的静态类型编程。一个重要的习惯是虽然Boo像Python但它毕竟是编译型语言很多错误如类型不匹配会在编译时暴露这其实是好事能提前发现很多bug。注意SILENTTRINITY的Boo编译器环境可能并非完整版本某些高级语言特性或较新的.NET API可能不可用。最稳妥的做法是参考SILENTTRINITY官方已有的模块代码风格进行编写。2.3 模块基类与框架合约SILENTTRINITY对模块有一个基本的约定你的Boo类需要继承自某个基类具体类名可能因版本而异常见的是STModule或类似名称并重写特定的方法。这是模块能与框架通信的“合约”。通常这个合约包括Author、Description等属性用于在控制台显示模块的元信息。Execute方法这是模块的主入口点。框架会调用这个方法并可能传入一个上下文对象Context或参数字典。输出机制模块执行过程中需要通过框架提供的API如PrintOutput或PostMessage来发送回显信息而不是直接用print。这些信息会被框架捕获并显示在团队服务器控制台或传回给操作者。一个最简化的模块骨架看起来是这样的import SILENTTRINITY.Core // 假设的命名空间实际需参考框架 class MyFirstModule(STModule): // 继承自框架基类 // 元数据属性 Author as string: get: return \YourName\ Description as string: get: return \这是我的第一个测试模块。\ // 模块主逻辑 def Execute(args as IDictionary) as bool: try: // 使用框架API输出而不是Console.WriteLine this.PostMessage(\[] MyFirstModule 开始执行\) // 你的核心代码写在这里 def result DoSomething() this.PostMessage($\[] 操作完成结果: {result}\) return true // 执行成功 except e as Exception: this.PostError($\[-] 模块执行失败: {e.Message}\) return false // 执行失败 private def DoSomething() as string: return \Hello from Boo Module\关键在于找到并导入正确的基类和API。最可靠的方法是直接翻阅SILENTTRINITY源码中其他Boo模块的代码看它们是如何导入和使用这些框架类的。通常框架会提供一个“标准库”环境你的模块代码在这个环境中被编译和执行。3. 开发环境搭建与第一个“Hello World”模块3.1 本地开发与测试环境配置在真正向SILENTTRINITY团队服务器提交模块之前建立一个本地的、隔离的开发和测试环境是极其重要的。这能让你快速迭代避免不稳定的模块影响实际的C2基础设施。方案一使用Boo编译器命令行推荐给喜欢刨根问底的人你可以从Boo的GitHub仓库下载独立的Boo编译器booc.exe。安装好.NET SDK或Runtime后就能在本地编译Boo脚本为.NET程序集。# 假设 booc.exe 在路径中 booc -target:library -out:MyModule.dll MyModule.boo这会将MyModule.boo编译成MyModule.dll。然后你可以写一个简单的C#或Boo的加载器程序用Assembly.Load加载这个DLL并通过反射调用其Execute方法模拟框架的行为。这种方法能让你最清晰地理解编译和加载的整个过程对调试底层错误非常有帮助。方案二在SILENTTRINITY测试实例中开发更贴近实战的方法是自己搭建一个本地的SILENTTRINITY环境。你可以用虚拟机运行团队服务器和中继器再用另一台虚拟机或物理机作为客户端。在开发机器上编写Boo模块文件.boo后缀然后通过团队服务器的Web界面或CLI上传并测试。虽然每次测试都要走一遍“编辑-上传-执行-看结果”的流程但这能100%还原真实运行环境。务必确保你的测试环境与互联网隔离。工具选择对于Boo代码编辑任何文本编辑器都可以但推荐使用支持.NET和Python语法高亮的编辑器如Visual Studio Code、Sublime Text或Rider。因为Boo语法类似Python用Python的语法高亮配置就能获得很好的视觉效果。关键是要有好的代码折叠和搜索替换功能。3.2 编写、编译与加载你的首个模块让我们动手创建第一个模块。假设我们模块的功能就是向控制台输出一条消息并返回当前用户名。创建模块文件新建一个文件命名为hello.boo。编写模块代码根据你对框架源码的调研填入正确的基类和API。以下是一个示例模板// 导入必要的命名空间这些需要根据实际SILENTTRINITY源码确定 // import SILENTTRINITY.Core // import System // import System.Collections // 假设框架基类名为 STModule class HelloModule(STModule): // 元信息 Author as string: get: return \ST_Operator\ Description as string: get: return \测试模块返回系统用户名和问候语。\ Software as string: get: return \\ Techniques as string: get: return \\ // 执行方法 def Execute(args as IDictionary) as bool: try: // 使用框架方法输出信息 this.PostMessage(\[*] HelloModule 已加载。\) // 获取当前Windows用户名 username as string System.Environment.UserName this.PostMessage($\[] 当前用户: {username}\) // 获取主机名 hostname as string System.Environment.MachineName this.PostMessage($\[] 主机名: {hostname}\) // 模拟一些处理 this.PostMessage(\[*] 正在执行模拟任务...\) System.Threading.Thread.Sleep(1000) // 休眠1秒 this.PostMessage(\[] 模拟任务完成\) // 返回成功 return true except ex as Exception: // 使用框架方法输出错误 this.PostError($\[-] 模块执行出错: {ex.Message}\) this.PostError($\[-] 堆栈跟踪: {ex.StackTrace}\) return false本地编译测试可选使用booc编译它看看是否有语法错误。booc -target:library -reference:SilentTrinity.Core.dll -out:HelloModule.dll hello.boo这里的-reference需要指向SILENTTRINITY核心DLL的路径以便解析STModule等类型。如果编译成功说明语法和基本类型引用没问题。集成到SILENTTRINITY将hello.boo文件放到SILENTTRINITY团队服务器模块的相应目录下具体路径需查看框架文档通常是Modules/下的某个子目录。然后在团队服务器控制台或Web界面中你应该能看到这个新模块出现在可用模块列表里。执行测试选择一个上线的主机运行这个hello模块。观察输出是否如预期所示返回了用户名和主机名。实操心得第一个模块成功运行是最大的鼓舞但也最容易在这里卡住。最常见的问题是命名空间导入错误或基类找不到。务必、务必、务必去对照现有可用的模块代码确认框架提供的基类全名、属性名和方法签名。直接复制一个现有简单模块的“外壳”然后替换里面的逻辑是最快最安全的方式。3.3 模块元数据与参数传递详解模块的元数据不仅仅是注释它决定了模块在控制台如何被展示和筛选。常见的元数据属性包括Author模块作者。Description模块功能的详细描述。Software此模块针对或利用的软件如“Chrome”“WinRM”。Techniques关联的MITRE ATTCK技术ID如“T1059.001”“T1566.001”。Background布尔值指示模块是否在后台异步执行。NeedsAdmin布尔值指示模块执行是否需要管理员权限。这些属性通常以只读属性Property的形式在类中声明。框架在加载模块时会读取这些属性用于分类和提示。参数传递Execute方法通常接收一个IDictionary类型的参数args。这个字典包含了操作者在执行模块时输入的参数。例如一个文件下载模块可能需要RemotePath和LocalPath两个参数。在模块内部你需要像这样获取参数def Execute(args as IDictionary) as bool: // 安全地获取参数并提供默认值 remotePath as string args[\RemotePath\] as string localPath as string args[\LocalPath\] as string if string.IsNullOrEmpty(remotePath): this.PostError(\[-] 必须提供 RemotePath 参数。\) return false // ... 使用 remotePath 和 localPath 执行逻辑框架会在调用前将用户输入的参数填充到这个字典中。你应该在代码中对关键参数进行判空检查并提供清晰的错误信息这能极大提升模块的易用性和健壮性。4. 核心功能模块开发实战4.1 文件系统操作模块遍历、上传与下载文件操作是后渗透中最常见的需求之一。我们来编写一个增强型的文件列表模块它不仅列出文件还能根据大小、时间过滤。import System import System.IO import System.Collections // 导入必要的框架命名空间 class FileLister(STModule): Author as string: get: return \ST_Core\ Description as string: get: return \递归列出目录内容支持过滤和排序。\ def Execute(args as IDictionary) as bool: try: // 获取参数带默认值 targetDir as string (args[\Directory\] as string) or Environment.CurrentDirectory searchPattern as string (args[\Filter\] as string) or \*.*\ maxDepthStr as string args[\MaxDepth\] as string maxDepth as int 3 // 默认递归深度 if not string.IsNullOrEmpty(maxDepthStr): maxDepth int.Parse(maxDepthStr) this.PostMessage($\[*] 开始遍历目录: {targetDir}\) this.PostMessage($\[*] 过滤模式: {searchPattern}, 最大深度: {maxDepth}\) if not Directory.Exists(targetDir): this.PostError($\[-] 目录不存在: {targetDir}\) return false // 调用递归遍历方法 ListDirectoryContents(targetDir, searchPattern, maxDepth, 0) this.PostMessage(\[] 目录遍历完成。\) return true except ex as Exception: this.PostError($\[-] 执行失败: {ex.Message}\) return false private def ListDirectoryContents(path as string, pattern as string, maxDepth as int, currentDepth as int): if currentDepth maxDepth: return indent as string \ \ * currentDepth dirInfo as DirectoryInfo DirectoryInfo(path) // 列出子目录 for subDir in dirInfo.GetDirectories(): try: // 跳过无权限访问的目录 this.PostMessage($\{indent}[D] {subDir.Name} (创建于: {subDir.CreationTime})\) // 递归调用 ListDirectoryContents(subDir.FullName, pattern, maxDepth, currentDepth 1) except ex as Exception: this.PostMessage($\{indent}[!] 无法访问目录 {subDir.Name}: {ex.Message}\) // 列出文件 for file in dirInfo.GetFiles(pattern): try: fileSizeKB file.Length / 1024.0 this.PostMessage($\{indent}[F] {file.Name} ({fileSizeKB:F2} KB, 修改于: {file.LastWriteTime})\) except ex as Exception: this.PostMessage($\{indent}[!] 无法访问文件 {file.Name}\)这个模块展示了如何安全地处理文件I/O使用try-catch避免因权限问题导致整个模块崩溃以及如何实现递归逻辑。你可以在此基础上轻松扩展出文件上传将团队服务器上的文件写入目标路径和下载读取目标文件并传回功能核心是使用File.ReadAllBytes和File.WriteAllBytes方法并通过框架的PostMessage或专用数据传输通道发送字节数组。4.2 进程枚举与注入模块初探进程操作是另一个关键领域。一个基础的进程枚举模块如下import System import System.Diagnostics import System.ComponentModel // 用于Win32Exception class ProcessManager(STModule): Author as string: get: return \ST_Core\ Description as string: get: return \列出系统进程或向指定进程注入Shellcode。\ def Execute(args as IDictionary) as bool: action as string (args[\Action\] as string) or \list\ action action.ToLower() if action \list\: return ListProcesses(args) elif action \inject\: return InjectShellcode(args) else: this.PostError($\[-] 不支持的操作: {action}\) return false private def ListProcesses(args as IDictionary) as bool: try: filterName as string args[\Name\] as string processes as Process[] Process.GetProcesses() this.PostMessage($\[*] 共发现 {processes.Length} 个进程。\) for proc in processes: try: procName as string proc.ProcessName procId as int proc.Id // 应用过滤 if not string.IsNullOrEmpty(filterName) and not procName.ToLower().Contains(filterName.ToLower()): continue this.PostMessage($\ PID: {procId.ToString().PadLeft(6)} | 名称: {procName.PadRight(30)} | 会话ID: {proc.SessionId}\) except Win32Exception: // 某些系统进程可能无法访问 continue except InvalidOperationException: // 进程可能已退出 continue return true except ex as Exception: this.PostError($\[-] 枚举进程失败: {ex.Message}\) return false private def InjectShellcode(args as IDictionary) as bool: // 警告进程注入是高风险操作需谨慎使用 pidStr as string args[\PID\] as string shellcodeHex as string args[\Shellcode\] as string if string.IsNullOrEmpty(pidStr) or string.IsNullOrEmpty(shellcodeHex): this.PostError(\[-] 必须提供 PID 和 Shellcode 参数。\) return false pid as int if not int.TryParse(pidStr, pid): this.PostError($\[-] 无效的PID: {pidStr}\) return false // 将十六进制字符串转换为字节数组 shellcode as (byte) try: shellcode HexStringToByteArray(shellcodeHex) except ex as Exception: this.PostError($\[-] Shellcode 格式错误: {ex.Message}\) return false this.PostMessage($\[*] 尝试向 PID {pid} 注入 {shellcode.Length} 字节的 Shellcode。\) // 实际注入逻辑此处省略复杂的Win32 API调用 // 涉及 OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread 等 // 这是一个高级主题需要扎实的Win32和.NET互操作知识 this.PostMessage(\[!] 注入功能未在此示例中实现需补充完整Win32 API调用。\) return false private def HexStringToByteArray(hexString as string) as (byte): // 简单的十六进制字符串转字节数组实现 hexString hexString.Replace(\-\, \\).Replace(\ \, \\).Replace(\0x\, \\) if hexString.Length % 2 ! 0: raise ArgumentException(\十六进制字符串长度必须为偶数。\) byteArray array(byte, hexString.Length / 2) for i in range(0, byteArray.Length): byteArray[i] Convert.ToByte(hexString.Substring(i * 2, 2), 16) return byteArray这个模块通过Action参数来区分“列表”和“注入”两种操作。进程列表部分相对简单主要利用了System.Diagnostics.Process类。而进程注入部分则是一个高级话题它需要调用一系列Win32 API如OpenProcess、VirtualAllocEx、WriteProcessMemory、CreateRemoteThread。在Boo中调用这些API需要使用P/Invoke这涉及到使用[DllImport]特性声明外部函数。由于代码较长且复杂上述示例仅给出了框架。在实际开发中你需要仔细研究Windows进程内存结构和API调用约定并处理各种错误情况如权限不足、进程已退出、内存分配失败等。重要警告进程注入代码具有极高的风险编写不当极易导致目标进程崩溃或系统不稳定。务必在完全可控的测试环境中进行开发和验证。建议先阅读成熟的C#注入代码例如来自pinvoke.net或知名开源项目再将其逻辑翻译成Boo。4.3 信息收集模块系统指纹、网络与凭证一个综合性的信息收集模块能极大提升渗透测试的效率。我们可以收集系统信息、网络配置、用户会话等。import System import System.Management // 需要引用System.Management.dll用于WMI查询 import Microsoft.Win32 // 注册表访问 import System.Net import System.Net.NetworkInformation class ReconModule(STModule): Author as string: get: return \ST_Recon\ Description as string: get: return \收集详细的系统与网络指纹信息。\ def Execute(args as IDictionary) as bool: try: this.PostMessage(\[*] 开始综合信息收集...\) CollectSystemInfo() CollectNetworkInfo() // CollectUserInfo() // 可扩展收集用户、组信息 // CollectInstalledSoftware() // 可扩展收集已安装软件 this.PostMessage(\[] 信息收集完成。\) return true except ex as Exception: this.PostError($\[-] 收集过程出错: {ex.Message}\) return false private def CollectSystemInfo(): this.PostMessage(\\\n 系统信息 \) this.PostMessage($\计算机名: {Environment.MachineName}\) this.PostMessage($\用户名: {Environment.UserName}\) this.PostMessage($\操作系统: {Environment.OSVersion}\) this.PostMessage($\64位系统: {Environment.Is64BitOperatingSystem}\) this.PostMessage($\处理器数量: {Environment.ProcessorCount}\) this.PostMessage($\系统目录: {Environment.SystemDirectory}\) // 使用WMI获取更详细的信息例如型号、制造商 try: scope ManagementScope(\\\\\\\\\localhost\\\\root\\\\cimv2\) scope.Connect() query ObjectQuery(\SELECT * FROM Win32_ComputerSystem\) searcher ManagementObjectSearcher(scope, query) for mo in searcher.Get(): this.PostMessage($\制造商: {mo[\Manufacturer\]}\) this.PostMessage($\型号: {mo[\Model\]}\) break // 通常只有一个 except ex as Exception: this.PostMessage($\[!] WMI查询失败: {ex.Message}\) private def CollectNetworkInfo(): this.PostMessage(\\\n 网络适配器信息 \) for ni in NetworkInterface.GetAllNetworkInterfaces(): if ni.OperationalStatus OperationalStatus.Up: this.PostMessage($\适配器: {ni.Name}\) this.PostMessage($\ 类型: {ni.NetworkInterfaceType}\) this.PostMessage($\ 描述: {ni.Description}\) props ni.GetIPProperties() for uni in props.UnicastAddresses: if uni.Address.AddressFamily AddressFamily.InterNetwork: // IPv4 this.PostMessage($\ IPv4: {uni.Address} / {uni.IPv4Mask}\) elif uni.Address.AddressFamily AddressFamily.InterNetworkV6: // IPv6 this.PostMessage($\ IPv6: {uni.Address}\) for gateway in props.GatewayAddresses: this.PostMessage($\ 网关: {gateway.Address}\) for dns in props.DnsAddresses: this.PostMessage($\ DNS: {dns}\) this.PostMessage(\ ---\) this.PostMessage(\\\n 活动TCP连接 \) try: // 使用NetStat或更底层的IPGlobalProperties需要管理员权限获取所有连接 properties IPGlobalProperties.GetIPGlobalProperties() connections properties.GetActiveTcpConnections() for conn in connections: if conn.State TcpState.Established or conn.State TcpState.Listen: this.PostMessage($\ {conn.LocalEndPoint} - {conn.RemoteEndPoint} [{conn.State}]\) except ex as Exception: this.PostMessage($\[!] 获取TCP连接失败(可能需要提权): {ex.Message}\)这个模块展示了如何组合使用多种.NET类库来收集信息。System.Management命名空间提供了WMI查询能力可以获取硬件和深度系统信息。Microsoft.Win32允许访问注册表需注意权限。System.Net.NetworkInformation是获取网络信息的强大工具。编写此类模块时要特别注意异常处理因为目标环境可能权限不足导致某些查询失败。模块应该优雅地降级报告错误而非崩溃。5. 高级技巧、调试与安全实践5.1 错误处理、日志与模块健壮性在远程不可控的环境下执行代码健壮性比功能强大更重要。一个脆弱的模块一旦抛出未处理的异常可能导致整个SILENTTRINITY客户端线程不稳定。全面的Try-Catch每个可能失败的操作都应被try-catch包裹。特别是涉及文件I/O、网络调用、WMI查询、注册表访问和进程操作的部分。def SafeFileRead(path as string) as string: try: return File.ReadAllText(path) except ex as FileNotFoundException: this.PostError($\[-] 文件未找到: {path}\) return null except ex as UnauthorizedAccessException: this.PostError($\[-] 无权访问文件: {path}\) return null except ex as Exception: this.PostError($\[-] 读取文件时发生未知错误 ({path}): {ex.Message}\) return null资源清理如果你打开了文件流、数据库连接或进程句柄务必在finally块中或使用using语句Boo也支持确保它们被关闭。using stream File.OpenRead(somePath): // 使用stream // 离开using块后stream会自动关闭输入验证永远不要信任从args字典里拿到的参数。验证它们是否为空、格式是否正确、是否在合理范围内。portStr as string args[\Port\] as string port as int if not int.TryParse(portStr, port) or port 1 or port 65535: this.PostError(\[-] Port参数必须是1-65535之间的整数。\) return false模块状态反馈频繁使用this.PostMessage输出进度信息。对于长时间运行的任务定期输出状态如“已处理100/1000个文件”能让操作者知道模块仍在运行而非卡死。5.2 调试Boo模块从编译错误到运行时异常调试动态编译执行的Boo模块有其特殊性。问题通常分为两类编译时错误和运行时错误。编译时错误这通常是由于Boo语法错误、缺少类型引用import语句错误或找不到基类引起的。错误信息会通过框架返回。调试技巧本地编译首先用booc命令行编译器在本地编译你的.boo文件。booc会给出精确的行号和错误描述这是最快的定位方式。简化测试如果模块复杂新建一个最简单的测试脚本只包含有问题的代码片段逐步添加功能直到错误复现。检查框架依赖确认你的模块引用的所有DLL通过-reference版本与目标SILENTTRINITY环境中的一致。版本不匹配是常见的“类型找不到”错误的根源。运行时错误模块编译成功但执行时崩溃。这可能是逻辑错误、权限问题或环境差异导致的。详细日志在模块的所有关键步骤和catch块中使用this.PostError或this.PostMessage输出详细信息包括变量值。分步执行将复杂操作拆分成多个小步骤每步之后输出状态这样可以定位到具体哪一步出错。环境模拟尽量在与你目标环境相似如相同的Windows版本、权限级别的测试机上复现问题。使用标准输出谨慎在极端情况下可以临时使用Console.WriteLine将调试信息直接输出到控制台如果客户端有控制台的话但注意这在某些部署场景下不可见或危险。一个常见的运行时陷阱是权限问题。你的模块可能在你的高权限测试机上运行良好但在普通用户权限的目标上因访问注册表HKEY_LOCAL_MACHINE或某些系统目录而失败。务必在代码中处理UnauthorizedAccessException等安全异常。5.3 模块安全与规避最佳实践作为后渗透模块其自身的安全性避免被检测和稳定性避免导致目标系统崩溃至关重要。1. 避免敏感字符串硬编码不要在代码里直接写死IP地址、域名、恶意URL或特殊的进程名、文件路径。这些字符串是静态检测的明显特征。应该通过模块参数在运行时传入。// 不好 maliciousUrl \http://evil.com/shell.exe\ // 好 maliciousUrl args[\Url\] as string2. 减少内存特征即时编译JIT本身会在内存中留下.NET程序集的元数据。虽然SILENTTRINITY的设计已考虑了无文件但一些高级EDR仍可能检测内存中的特定模式。对于高度敏感的模块可以考虑代码混淆虽然Boo编译器本身不提供混淆但你可以事后使用.NET混淆工具处理编译出的程序集如果框架支持加载已编译的DLL。不过这增加了复杂度。动态构造代码极端情况下可以将关键功能的代码以字符串形式存储在运行时动态编译。但这会显著增加代码复杂度和出错概率非必要不采用。3. 行为规避睡眠与延迟在循环或连续操作中插入随机延迟Thread.Sleep模拟人类操作避免产生过于规律的模式触发行为检测。最小化网络和文件活动只进行必要的网络连接和文件操作。操作完成后如果可能清理临时文件。尊重系统负载避免进行会导致CPU或磁盘持续100%占用的操作如暴力破解或大规模文件加密除非这就是模块目的。这很容易触发监控告警。4. 清理痕迹如果你的模块创建了文件、注册表项、计划任务或WMI事件订阅应考虑提供一个“清理”模式或函数在任务完成后移除这些痕迹。这体现了专业性和操作安全性。5. 代码审查在将模块部署到生产环境前让同伴审查你的代码。第二双眼睛能发现你忽略的逻辑错误、潜在的性能问题或不安全的操作。开发SILENTTRINITY的Boo模块是一个将攻击技术工程化的过程。它要求你不仅理解攻击原理还要具备扎实的软件开发能力包括代码结构、错误处理和安全性考量。从简单的“Hello World”开始逐步挑战更复杂的任务并始终在隔离环境中充分测试你将能构建出一个强大、可靠且隐蔽的后渗透模块库。记住最好的模块往往是那些能稳定、安静地完成工作而不引起任何警报的模块。
1. 项目概述为什么选择Boo语言开发SILENTTRINITY模块如果你接触过红队工具尤其是C2框架那你大概率听说过SILENTTRINITY。它最大的特点或者说最吸引人的地方就是它的模块是用一种叫Boo的语言写的。我第一次看到这个设计时第一反应是“这什么鬼”第二反应是“有点意思”。市面上主流C2框架的模块要么是Python要么是PowerShell或者干脆是C#用Boo的真是独一份。但深入了解后你会发现这个选择背后有非常务实的考量。SILENTTRINITY本身是一个基于.NET的、利用IronPython和Boo语言实现动态编译与执行的后渗透框架。它的核心思想是“无文件”和“内存执行”模块在服务端用Boo编写下发到目标机器后由内置的Boo编译器即时编译成.NET程序集直接在内存中加载运行不留痕迹。那么为什么是Boo而不是更常见的C#简单来说Boo是一种语法类似Python的.NET静态类型语言。它既有Python的简洁和表达力又能编译成高效的.NET字节码并且天生支持元编程和宏这使得编写复杂、灵活的模块变得非常高效。对于红队队员来说这意味着你可以用写脚本的速度写出接近原生C#性能的模块同时享受.NET庞大类库的全部能力。这个教程的目标就是带你从零开始亲手编写一个能在SILENTTRINITY中运行的Boo语言后渗透模块。无论你是想深入理解SILENTTRINITY的内部机制还是希望扩展其功能以适应自己的战术需求掌握Boo模块开发都是必经之路。整个过程会涉及Boo语言基础、SILENTTRINITY模块架构、.NET交互操作以及如何将你的想法转化为一个可用的、健壮的模块。我们从一个最简单的“Hello World”模块开始逐步深入到文件操作、进程注入等复杂功能并分享我在开发过程中踩过的坑和总结的技巧。2. SILENTTRINITY模块架构与Boo语言基础2.1 SILENTTRINITY模块运行机制解析要开发模块首先得明白它是怎么跑起来的。SILENTTRINITY采用客户端-中继器-团队的架构但模块执行的核心发生在被控端客户端。当你从团队服务器下发一个任务对应一个Boo模块时这个模块的源代码Boo脚本会被发送到目标机器。目标机器上运行的SILENTTRINITY客户端内置了一个Boo编译器通常是Boo.Lang.Compiler。客户端收到脚本后会启动这个编译器将Boo源代码动态编译成一个.NET的程序集Assembly。这个编译过程完全在内存中进行不会在磁盘上产生任何.dll或.exe文件。编译生成的程序集随后被加载到当前AppDomain应用程序域中。SILENTTRINITY的模块基类定义了一个标准的入口方法例如Execute方法。客户端通过反射Reflection找到并调用这个入口方法从而执行模块的核心逻辑。执行结果成功、失败、返回的数据等会被序列化通过加密通道回传给团队服务器。整个流程的关键在于“内存编译”和“反射加载”这构成了无文件攻击的技术基础。理解这一点至关重要因为它决定了模块的编写方式你的Boo代码最终必须能编译成一个合法的.NET类并且包含框架能识别的特定方法和属性。2.2 Boo语言快速入门写给Python和C#开发者的指南如果你熟悉Python那么Boo学起来会非常快如果你熟悉C#那么理解它的.NET本质也会很轻松。Boo可以看作是这两者的混合体。这里快速过一下核心语法点足够我们开始写模块。变量与类型Boo是静态类型语言但支持类型推断。你可以用def来声明变量编译器会根据赋值推断类型也可以用显式类型声明。// 类型推断 def message Hello, SILENTTRINITY // 推断为 string def count 10 // 推断为 int // 显式声明 name as string Operator processId as int 1234函数定义使用def关键字参数需要指定类型返回值类型在参数列表后声明。def Add(a as int, b as int) as int: return a b // 无返回值 def LogMessage(msg as string): print(msg)控制流if/elif/else,while,for循环的语法和Python几乎一模一样但注意块是用冒号:和缩进来定义而不是花括号。if condition: print(True) elif anotherCondition: print(Maybe) else: print(False) for i in range(5): print(i)类与继承Boo的类定义也很直观。class MyModule: _field as string def constructor(value as string): _field value def Run() as string: return _field.ToUpper()与.NET交互这是Boo在SILENTTRINITY中的核心能力。你可以直接使用任何.NET框架中的类库就像在C#中一样。只需要通过import引入命名空间。import System import System.IO import System.Diagnostics def ListProcesses(): for process in Process.GetProcesses(): print(process.ProcessName)特别注意Boo的“特性”Boo支持一些高级特性比如宏Macros和鸭子类型Duck Typing但在编写SILENTTRINITY基础模块时我们暂时用不到这些可以先专注于标准的静态类型编程。一个重要的习惯是虽然Boo像Python但它毕竟是编译型语言很多错误如类型不匹配会在编译时暴露这其实是好事能提前发现很多bug。注意SILENTTRINITY的Boo编译器环境可能并非完整版本某些高级语言特性或较新的.NET API可能不可用。最稳妥的做法是参考SILENTTRINITY官方已有的模块代码风格进行编写。2.3 模块基类与框架合约SILENTTRINITY对模块有一个基本的约定你的Boo类需要继承自某个基类具体类名可能因版本而异常见的是STModule或类似名称并重写特定的方法。这是模块能与框架通信的“合约”。通常这个合约包括Author、Description等属性用于在控制台显示模块的元信息。Execute方法这是模块的主入口点。框架会调用这个方法并可能传入一个上下文对象Context或参数字典。输出机制模块执行过程中需要通过框架提供的API如PrintOutput或PostMessage来发送回显信息而不是直接用print。这些信息会被框架捕获并显示在团队服务器控制台或传回给操作者。一个最简化的模块骨架看起来是这样的import SILENTTRINITY.Core // 假设的命名空间实际需参考框架 class MyFirstModule(STModule): // 继承自框架基类 // 元数据属性 Author as string: get: return \YourName\ Description as string: get: return \这是我的第一个测试模块。\ // 模块主逻辑 def Execute(args as IDictionary) as bool: try: // 使用框架API输出而不是Console.WriteLine this.PostMessage(\[] MyFirstModule 开始执行\) // 你的核心代码写在这里 def result DoSomething() this.PostMessage($\[] 操作完成结果: {result}\) return true // 执行成功 except e as Exception: this.PostError($\[-] 模块执行失败: {e.Message}\) return false // 执行失败 private def DoSomething() as string: return \Hello from Boo Module\关键在于找到并导入正确的基类和API。最可靠的方法是直接翻阅SILENTTRINITY源码中其他Boo模块的代码看它们是如何导入和使用这些框架类的。通常框架会提供一个“标准库”环境你的模块代码在这个环境中被编译和执行。3. 开发环境搭建与第一个“Hello World”模块3.1 本地开发与测试环境配置在真正向SILENTTRINITY团队服务器提交模块之前建立一个本地的、隔离的开发和测试环境是极其重要的。这能让你快速迭代避免不稳定的模块影响实际的C2基础设施。方案一使用Boo编译器命令行推荐给喜欢刨根问底的人你可以从Boo的GitHub仓库下载独立的Boo编译器booc.exe。安装好.NET SDK或Runtime后就能在本地编译Boo脚本为.NET程序集。# 假设 booc.exe 在路径中 booc -target:library -out:MyModule.dll MyModule.boo这会将MyModule.boo编译成MyModule.dll。然后你可以写一个简单的C#或Boo的加载器程序用Assembly.Load加载这个DLL并通过反射调用其Execute方法模拟框架的行为。这种方法能让你最清晰地理解编译和加载的整个过程对调试底层错误非常有帮助。方案二在SILENTTRINITY测试实例中开发更贴近实战的方法是自己搭建一个本地的SILENTTRINITY环境。你可以用虚拟机运行团队服务器和中继器再用另一台虚拟机或物理机作为客户端。在开发机器上编写Boo模块文件.boo后缀然后通过团队服务器的Web界面或CLI上传并测试。虽然每次测试都要走一遍“编辑-上传-执行-看结果”的流程但这能100%还原真实运行环境。务必确保你的测试环境与互联网隔离。工具选择对于Boo代码编辑任何文本编辑器都可以但推荐使用支持.NET和Python语法高亮的编辑器如Visual Studio Code、Sublime Text或Rider。因为Boo语法类似Python用Python的语法高亮配置就能获得很好的视觉效果。关键是要有好的代码折叠和搜索替换功能。3.2 编写、编译与加载你的首个模块让我们动手创建第一个模块。假设我们模块的功能就是向控制台输出一条消息并返回当前用户名。创建模块文件新建一个文件命名为hello.boo。编写模块代码根据你对框架源码的调研填入正确的基类和API。以下是一个示例模板// 导入必要的命名空间这些需要根据实际SILENTTRINITY源码确定 // import SILENTTRINITY.Core // import System // import System.Collections // 假设框架基类名为 STModule class HelloModule(STModule): // 元信息 Author as string: get: return \ST_Operator\ Description as string: get: return \测试模块返回系统用户名和问候语。\ Software as string: get: return \\ Techniques as string: get: return \\ // 执行方法 def Execute(args as IDictionary) as bool: try: // 使用框架方法输出信息 this.PostMessage(\[*] HelloModule 已加载。\) // 获取当前Windows用户名 username as string System.Environment.UserName this.PostMessage($\[] 当前用户: {username}\) // 获取主机名 hostname as string System.Environment.MachineName this.PostMessage($\[] 主机名: {hostname}\) // 模拟一些处理 this.PostMessage(\[*] 正在执行模拟任务...\) System.Threading.Thread.Sleep(1000) // 休眠1秒 this.PostMessage(\[] 模拟任务完成\) // 返回成功 return true except ex as Exception: // 使用框架方法输出错误 this.PostError($\[-] 模块执行出错: {ex.Message}\) this.PostError($\[-] 堆栈跟踪: {ex.StackTrace}\) return false本地编译测试可选使用booc编译它看看是否有语法错误。booc -target:library -reference:SilentTrinity.Core.dll -out:HelloModule.dll hello.boo这里的-reference需要指向SILENTTRINITY核心DLL的路径以便解析STModule等类型。如果编译成功说明语法和基本类型引用没问题。集成到SILENTTRINITY将hello.boo文件放到SILENTTRINITY团队服务器模块的相应目录下具体路径需查看框架文档通常是Modules/下的某个子目录。然后在团队服务器控制台或Web界面中你应该能看到这个新模块出现在可用模块列表里。执行测试选择一个上线的主机运行这个hello模块。观察输出是否如预期所示返回了用户名和主机名。实操心得第一个模块成功运行是最大的鼓舞但也最容易在这里卡住。最常见的问题是命名空间导入错误或基类找不到。务必、务必、务必去对照现有可用的模块代码确认框架提供的基类全名、属性名和方法签名。直接复制一个现有简单模块的“外壳”然后替换里面的逻辑是最快最安全的方式。3.3 模块元数据与参数传递详解模块的元数据不仅仅是注释它决定了模块在控制台如何被展示和筛选。常见的元数据属性包括Author模块作者。Description模块功能的详细描述。Software此模块针对或利用的软件如“Chrome”“WinRM”。Techniques关联的MITRE ATTCK技术ID如“T1059.001”“T1566.001”。Background布尔值指示模块是否在后台异步执行。NeedsAdmin布尔值指示模块执行是否需要管理员权限。这些属性通常以只读属性Property的形式在类中声明。框架在加载模块时会读取这些属性用于分类和提示。参数传递Execute方法通常接收一个IDictionary类型的参数args。这个字典包含了操作者在执行模块时输入的参数。例如一个文件下载模块可能需要RemotePath和LocalPath两个参数。在模块内部你需要像这样获取参数def Execute(args as IDictionary) as bool: // 安全地获取参数并提供默认值 remotePath as string args[\RemotePath\] as string localPath as string args[\LocalPath\] as string if string.IsNullOrEmpty(remotePath): this.PostError(\[-] 必须提供 RemotePath 参数。\) return false // ... 使用 remotePath 和 localPath 执行逻辑框架会在调用前将用户输入的参数填充到这个字典中。你应该在代码中对关键参数进行判空检查并提供清晰的错误信息这能极大提升模块的易用性和健壮性。4. 核心功能模块开发实战4.1 文件系统操作模块遍历、上传与下载文件操作是后渗透中最常见的需求之一。我们来编写一个增强型的文件列表模块它不仅列出文件还能根据大小、时间过滤。import System import System.IO import System.Collections // 导入必要的框架命名空间 class FileLister(STModule): Author as string: get: return \ST_Core\ Description as string: get: return \递归列出目录内容支持过滤和排序。\ def Execute(args as IDictionary) as bool: try: // 获取参数带默认值 targetDir as string (args[\Directory\] as string) or Environment.CurrentDirectory searchPattern as string (args[\Filter\] as string) or \*.*\ maxDepthStr as string args[\MaxDepth\] as string maxDepth as int 3 // 默认递归深度 if not string.IsNullOrEmpty(maxDepthStr): maxDepth int.Parse(maxDepthStr) this.PostMessage($\[*] 开始遍历目录: {targetDir}\) this.PostMessage($\[*] 过滤模式: {searchPattern}, 最大深度: {maxDepth}\) if not Directory.Exists(targetDir): this.PostError($\[-] 目录不存在: {targetDir}\) return false // 调用递归遍历方法 ListDirectoryContents(targetDir, searchPattern, maxDepth, 0) this.PostMessage(\[] 目录遍历完成。\) return true except ex as Exception: this.PostError($\[-] 执行失败: {ex.Message}\) return false private def ListDirectoryContents(path as string, pattern as string, maxDepth as int, currentDepth as int): if currentDepth maxDepth: return indent as string \ \ * currentDepth dirInfo as DirectoryInfo DirectoryInfo(path) // 列出子目录 for subDir in dirInfo.GetDirectories(): try: // 跳过无权限访问的目录 this.PostMessage($\{indent}[D] {subDir.Name} (创建于: {subDir.CreationTime})\) // 递归调用 ListDirectoryContents(subDir.FullName, pattern, maxDepth, currentDepth 1) except ex as Exception: this.PostMessage($\{indent}[!] 无法访问目录 {subDir.Name}: {ex.Message}\) // 列出文件 for file in dirInfo.GetFiles(pattern): try: fileSizeKB file.Length / 1024.0 this.PostMessage($\{indent}[F] {file.Name} ({fileSizeKB:F2} KB, 修改于: {file.LastWriteTime})\) except ex as Exception: this.PostMessage($\{indent}[!] 无法访问文件 {file.Name}\)这个模块展示了如何安全地处理文件I/O使用try-catch避免因权限问题导致整个模块崩溃以及如何实现递归逻辑。你可以在此基础上轻松扩展出文件上传将团队服务器上的文件写入目标路径和下载读取目标文件并传回功能核心是使用File.ReadAllBytes和File.WriteAllBytes方法并通过框架的PostMessage或专用数据传输通道发送字节数组。4.2 进程枚举与注入模块初探进程操作是另一个关键领域。一个基础的进程枚举模块如下import System import System.Diagnostics import System.ComponentModel // 用于Win32Exception class ProcessManager(STModule): Author as string: get: return \ST_Core\ Description as string: get: return \列出系统进程或向指定进程注入Shellcode。\ def Execute(args as IDictionary) as bool: action as string (args[\Action\] as string) or \list\ action action.ToLower() if action \list\: return ListProcesses(args) elif action \inject\: return InjectShellcode(args) else: this.PostError($\[-] 不支持的操作: {action}\) return false private def ListProcesses(args as IDictionary) as bool: try: filterName as string args[\Name\] as string processes as Process[] Process.GetProcesses() this.PostMessage($\[*] 共发现 {processes.Length} 个进程。\) for proc in processes: try: procName as string proc.ProcessName procId as int proc.Id // 应用过滤 if not string.IsNullOrEmpty(filterName) and not procName.ToLower().Contains(filterName.ToLower()): continue this.PostMessage($\ PID: {procId.ToString().PadLeft(6)} | 名称: {procName.PadRight(30)} | 会话ID: {proc.SessionId}\) except Win32Exception: // 某些系统进程可能无法访问 continue except InvalidOperationException: // 进程可能已退出 continue return true except ex as Exception: this.PostError($\[-] 枚举进程失败: {ex.Message}\) return false private def InjectShellcode(args as IDictionary) as bool: // 警告进程注入是高风险操作需谨慎使用 pidStr as string args[\PID\] as string shellcodeHex as string args[\Shellcode\] as string if string.IsNullOrEmpty(pidStr) or string.IsNullOrEmpty(shellcodeHex): this.PostError(\[-] 必须提供 PID 和 Shellcode 参数。\) return false pid as int if not int.TryParse(pidStr, pid): this.PostError($\[-] 无效的PID: {pidStr}\) return false // 将十六进制字符串转换为字节数组 shellcode as (byte) try: shellcode HexStringToByteArray(shellcodeHex) except ex as Exception: this.PostError($\[-] Shellcode 格式错误: {ex.Message}\) return false this.PostMessage($\[*] 尝试向 PID {pid} 注入 {shellcode.Length} 字节的 Shellcode。\) // 实际注入逻辑此处省略复杂的Win32 API调用 // 涉及 OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread 等 // 这是一个高级主题需要扎实的Win32和.NET互操作知识 this.PostMessage(\[!] 注入功能未在此示例中实现需补充完整Win32 API调用。\) return false private def HexStringToByteArray(hexString as string) as (byte): // 简单的十六进制字符串转字节数组实现 hexString hexString.Replace(\-\, \\).Replace(\ \, \\).Replace(\0x\, \\) if hexString.Length % 2 ! 0: raise ArgumentException(\十六进制字符串长度必须为偶数。\) byteArray array(byte, hexString.Length / 2) for i in range(0, byteArray.Length): byteArray[i] Convert.ToByte(hexString.Substring(i * 2, 2), 16) return byteArray这个模块通过Action参数来区分“列表”和“注入”两种操作。进程列表部分相对简单主要利用了System.Diagnostics.Process类。而进程注入部分则是一个高级话题它需要调用一系列Win32 API如OpenProcess、VirtualAllocEx、WriteProcessMemory、CreateRemoteThread。在Boo中调用这些API需要使用P/Invoke这涉及到使用[DllImport]特性声明外部函数。由于代码较长且复杂上述示例仅给出了框架。在实际开发中你需要仔细研究Windows进程内存结构和API调用约定并处理各种错误情况如权限不足、进程已退出、内存分配失败等。重要警告进程注入代码具有极高的风险编写不当极易导致目标进程崩溃或系统不稳定。务必在完全可控的测试环境中进行开发和验证。建议先阅读成熟的C#注入代码例如来自pinvoke.net或知名开源项目再将其逻辑翻译成Boo。4.3 信息收集模块系统指纹、网络与凭证一个综合性的信息收集模块能极大提升渗透测试的效率。我们可以收集系统信息、网络配置、用户会话等。import System import System.Management // 需要引用System.Management.dll用于WMI查询 import Microsoft.Win32 // 注册表访问 import System.Net import System.Net.NetworkInformation class ReconModule(STModule): Author as string: get: return \ST_Recon\ Description as string: get: return \收集详细的系统与网络指纹信息。\ def Execute(args as IDictionary) as bool: try: this.PostMessage(\[*] 开始综合信息收集...\) CollectSystemInfo() CollectNetworkInfo() // CollectUserInfo() // 可扩展收集用户、组信息 // CollectInstalledSoftware() // 可扩展收集已安装软件 this.PostMessage(\[] 信息收集完成。\) return true except ex as Exception: this.PostError($\[-] 收集过程出错: {ex.Message}\) return false private def CollectSystemInfo(): this.PostMessage(\\\n 系统信息 \) this.PostMessage($\计算机名: {Environment.MachineName}\) this.PostMessage($\用户名: {Environment.UserName}\) this.PostMessage($\操作系统: {Environment.OSVersion}\) this.PostMessage($\64位系统: {Environment.Is64BitOperatingSystem}\) this.PostMessage($\处理器数量: {Environment.ProcessorCount}\) this.PostMessage($\系统目录: {Environment.SystemDirectory}\) // 使用WMI获取更详细的信息例如型号、制造商 try: scope ManagementScope(\\\\\\\\\localhost\\\\root\\\\cimv2\) scope.Connect() query ObjectQuery(\SELECT * FROM Win32_ComputerSystem\) searcher ManagementObjectSearcher(scope, query) for mo in searcher.Get(): this.PostMessage($\制造商: {mo[\Manufacturer\]}\) this.PostMessage($\型号: {mo[\Model\]}\) break // 通常只有一个 except ex as Exception: this.PostMessage($\[!] WMI查询失败: {ex.Message}\) private def CollectNetworkInfo(): this.PostMessage(\\\n 网络适配器信息 \) for ni in NetworkInterface.GetAllNetworkInterfaces(): if ni.OperationalStatus OperationalStatus.Up: this.PostMessage($\适配器: {ni.Name}\) this.PostMessage($\ 类型: {ni.NetworkInterfaceType}\) this.PostMessage($\ 描述: {ni.Description}\) props ni.GetIPProperties() for uni in props.UnicastAddresses: if uni.Address.AddressFamily AddressFamily.InterNetwork: // IPv4 this.PostMessage($\ IPv4: {uni.Address} / {uni.IPv4Mask}\) elif uni.Address.AddressFamily AddressFamily.InterNetworkV6: // IPv6 this.PostMessage($\ IPv6: {uni.Address}\) for gateway in props.GatewayAddresses: this.PostMessage($\ 网关: {gateway.Address}\) for dns in props.DnsAddresses: this.PostMessage($\ DNS: {dns}\) this.PostMessage(\ ---\) this.PostMessage(\\\n 活动TCP连接 \) try: // 使用NetStat或更底层的IPGlobalProperties需要管理员权限获取所有连接 properties IPGlobalProperties.GetIPGlobalProperties() connections properties.GetActiveTcpConnections() for conn in connections: if conn.State TcpState.Established or conn.State TcpState.Listen: this.PostMessage($\ {conn.LocalEndPoint} - {conn.RemoteEndPoint} [{conn.State}]\) except ex as Exception: this.PostMessage($\[!] 获取TCP连接失败(可能需要提权): {ex.Message}\)这个模块展示了如何组合使用多种.NET类库来收集信息。System.Management命名空间提供了WMI查询能力可以获取硬件和深度系统信息。Microsoft.Win32允许访问注册表需注意权限。System.Net.NetworkInformation是获取网络信息的强大工具。编写此类模块时要特别注意异常处理因为目标环境可能权限不足导致某些查询失败。模块应该优雅地降级报告错误而非崩溃。5. 高级技巧、调试与安全实践5.1 错误处理、日志与模块健壮性在远程不可控的环境下执行代码健壮性比功能强大更重要。一个脆弱的模块一旦抛出未处理的异常可能导致整个SILENTTRINITY客户端线程不稳定。全面的Try-Catch每个可能失败的操作都应被try-catch包裹。特别是涉及文件I/O、网络调用、WMI查询、注册表访问和进程操作的部分。def SafeFileRead(path as string) as string: try: return File.ReadAllText(path) except ex as FileNotFoundException: this.PostError($\[-] 文件未找到: {path}\) return null except ex as UnauthorizedAccessException: this.PostError($\[-] 无权访问文件: {path}\) return null except ex as Exception: this.PostError($\[-] 读取文件时发生未知错误 ({path}): {ex.Message}\) return null资源清理如果你打开了文件流、数据库连接或进程句柄务必在finally块中或使用using语句Boo也支持确保它们被关闭。using stream File.OpenRead(somePath): // 使用stream // 离开using块后stream会自动关闭输入验证永远不要信任从args字典里拿到的参数。验证它们是否为空、格式是否正确、是否在合理范围内。portStr as string args[\Port\] as string port as int if not int.TryParse(portStr, port) or port 1 or port 65535: this.PostError(\[-] Port参数必须是1-65535之间的整数。\) return false模块状态反馈频繁使用this.PostMessage输出进度信息。对于长时间运行的任务定期输出状态如“已处理100/1000个文件”能让操作者知道模块仍在运行而非卡死。5.2 调试Boo模块从编译错误到运行时异常调试动态编译执行的Boo模块有其特殊性。问题通常分为两类编译时错误和运行时错误。编译时错误这通常是由于Boo语法错误、缺少类型引用import语句错误或找不到基类引起的。错误信息会通过框架返回。调试技巧本地编译首先用booc命令行编译器在本地编译你的.boo文件。booc会给出精确的行号和错误描述这是最快的定位方式。简化测试如果模块复杂新建一个最简单的测试脚本只包含有问题的代码片段逐步添加功能直到错误复现。检查框架依赖确认你的模块引用的所有DLL通过-reference版本与目标SILENTTRINITY环境中的一致。版本不匹配是常见的“类型找不到”错误的根源。运行时错误模块编译成功但执行时崩溃。这可能是逻辑错误、权限问题或环境差异导致的。详细日志在模块的所有关键步骤和catch块中使用this.PostError或this.PostMessage输出详细信息包括变量值。分步执行将复杂操作拆分成多个小步骤每步之后输出状态这样可以定位到具体哪一步出错。环境模拟尽量在与你目标环境相似如相同的Windows版本、权限级别的测试机上复现问题。使用标准输出谨慎在极端情况下可以临时使用Console.WriteLine将调试信息直接输出到控制台如果客户端有控制台的话但注意这在某些部署场景下不可见或危险。一个常见的运行时陷阱是权限问题。你的模块可能在你的高权限测试机上运行良好但在普通用户权限的目标上因访问注册表HKEY_LOCAL_MACHINE或某些系统目录而失败。务必在代码中处理UnauthorizedAccessException等安全异常。5.3 模块安全与规避最佳实践作为后渗透模块其自身的安全性避免被检测和稳定性避免导致目标系统崩溃至关重要。1. 避免敏感字符串硬编码不要在代码里直接写死IP地址、域名、恶意URL或特殊的进程名、文件路径。这些字符串是静态检测的明显特征。应该通过模块参数在运行时传入。// 不好 maliciousUrl \http://evil.com/shell.exe\ // 好 maliciousUrl args[\Url\] as string2. 减少内存特征即时编译JIT本身会在内存中留下.NET程序集的元数据。虽然SILENTTRINITY的设计已考虑了无文件但一些高级EDR仍可能检测内存中的特定模式。对于高度敏感的模块可以考虑代码混淆虽然Boo编译器本身不提供混淆但你可以事后使用.NET混淆工具处理编译出的程序集如果框架支持加载已编译的DLL。不过这增加了复杂度。动态构造代码极端情况下可以将关键功能的代码以字符串形式存储在运行时动态编译。但这会显著增加代码复杂度和出错概率非必要不采用。3. 行为规避睡眠与延迟在循环或连续操作中插入随机延迟Thread.Sleep模拟人类操作避免产生过于规律的模式触发行为检测。最小化网络和文件活动只进行必要的网络连接和文件操作。操作完成后如果可能清理临时文件。尊重系统负载避免进行会导致CPU或磁盘持续100%占用的操作如暴力破解或大规模文件加密除非这就是模块目的。这很容易触发监控告警。4. 清理痕迹如果你的模块创建了文件、注册表项、计划任务或WMI事件订阅应考虑提供一个“清理”模式或函数在任务完成后移除这些痕迹。这体现了专业性和操作安全性。5. 代码审查在将模块部署到生产环境前让同伴审查你的代码。第二双眼睛能发现你忽略的逻辑错误、潜在的性能问题或不安全的操作。开发SILENTTRINITY的Boo模块是一个将攻击技术工程化的过程。它要求你不仅理解攻击原理还要具备扎实的软件开发能力包括代码结构、错误处理和安全性考量。从简单的“Hello World”开始逐步挑战更复杂的任务并始终在隔离环境中充分测试你将能构建出一个强大、可靠且隐蔽的后渗透模块库。记住最好的模块往往是那些能稳定、安静地完成工作而不引起任何警报的模块。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
