文章总结： ArachneC2是基于libp2p/IPFS的去中心化C2框架，通过PeerID身份认证、DHT发现和中继机制实现无中心服务器的隐蔽通信。采用NaCl加密与Ed25519签名保障传输安全，具备文件操作、进程管理、端口转发等标准功能。分析指出其强项在于抗基础设施拆除，但存在Go二进制特征明显、EDR检测规避能力弱、流量无混淆等短板，建议防守方监控libp2p网络连接行为。 综合评分： 85 文章分类： 红队,内网渗透,安全工具,免杀,渗透测试

工具 | ArachneC2 —— 去中心化 C2 藏进 IPFS 的海洋

原创

GLM-5.2 GLM-5.2

赛博生存指南

2026年6月30日 10:48 浙江

在小说阅读器读本章

去阅读

操作端和植入端都是 IPFS 网络里的平等节点，让我们把源码一层层拆开，看清ArachneC2的架构、加密与免杀设计的真实成色。

仓库地址：https://github.com/portbuster1337/ArachneC2

开头：传统 C2 的死穴

想象你是个红队队员。经典剧本是这样的：租一台云服务器，装上 C2，把植入端(implant)丢进目标网络，让它回连这台服务器。听起来很顺，但蓝队只要做一件事——找到这台服务器的 IP 或域名，封掉——你整条线就断了。更糟的是，TLS 证书指纹、固定的流量节奏、可识别的握手，每一个都可能成为把柄。

所以这些年 C2 的军备竞赛，有很大一部分在解决同一件事：怎么让基础设施拆不掉。今天聊的这个开源项目，给了一个相当激进的答案——干脆不要基础设施。

它叫 Arachne C2(GPLv3)，思路借鉴了安全圈老牌的 Sliver，但底座换成了 libp2p——也就是 IPFS 背后那套 P2P 网络协议。名字 “Arachne” 取自希腊神话里掌管编织与蜘蛛的女神，寓意它在操作端与植入端之间“编织”出一张去中心化的连接网。

一、没有服务器，那“控制中心”在哪？

答案是：哪都有，也哪都没有。

在 Arachne 里，操作端(operator)和每一台植入端(implant)，都是 P2P 网络里完全平等的节点。没有谁扮演“服务器”。它们靠三样东西协同：

1. 密码学身份(PeerID) 每个节点都有一对 Ed25519 密钥，公钥算出一个 ID(PeerID)。网络里不靠 IP 地址认人，靠这个 ID。你的指令发给“某个 PeerID”，至于这个 PeerID 此刻在哪台机器上、IP 是多少——网络自己搞定路由。

这就像在一个超大通讯录里，按身份证号找人，而不是按家庭住址找人。人搬家了，还能找到。

2. DHT(分布式哈希表)发现 操作端上线后，基于 Kademlia DHT 在网络里“广播”自己的存在(Advertise)；植入端按一个约定好的命名空间(arachne/<op-id>)去查找。这是 IPFS 用的同款寻址逻辑。除此之外还有 GossipSub(PubSub)主题订阅做消息层。

3. 中继(relay)+ NAT 穿透 NAT 后面的机器没法直连？没关系，任意一个 P2P 节点都能充当中转，自带 AutoNAT、中继电路和打洞(hole punching)。关键点：中继只能看到加密字节，看不懂内容。

一句话总结它要做的事：你的控制指令，在百万级别的 IPFS 节点洪流里穿行，没有一台机器是“中心”。 要让这套网络失效，攻击者得对 DHT 发起女巫攻击(Sybil)，而不是简单封一个 IP。

二、加密：中继看不懂，伪造者进不来

光去中心化还不够，还得防两件事：别人偷看，别人冒充。Arachne 用了双层保险。

第一层：NaCl 匿名密封盒（box）加密负载。 操作端持有一对 Curve25519 加密密钥，植入端在编译时就把操作端的公钥烧进了二进制。所有回传的负载，都用这个公钥密封。结果就是——沿途任何一个中继节点，看到的都只是密文。

第二层：Ed25519 签名，逐条验签。 每条消息都封装在一个“信封”里，发送方用私钥对内容签名，接收方一条一条验证签名。想冒充操作端发命令？你没有私钥，签名过不了，消息直接被丢。

还有两个考究的细节：

• 防重放

  每条消息的信封 ID 就是它的时间戳，超过 5 分钟、或者重复的，一律丢弃。防止有人把截获的合法消息原样重发。

• 身份持久化

  每次生成都为植入端生成唯一的内嵌密钥对，所以同一植入端在目标机重启后仍保持相同 PeerID，操作端能识别为“同一个会话”而非新增节点。

一个关键的不对称(读码可见)：这层 box 加密 只覆盖“植入端 → 操作端”的回传方向；而“操作端 → 植入端”的命令下发，只做 Ed25519 签名、不做 box 加密**(剥掉传输层就是明文命令)。两端都还有 libp2p 的 Noise 传输加密双向兜底，所以中继看到的仍是全密文——但若 Noise 被绕过，命令方向就少了 box 这第二层保护。

三、植入端都能干些啥

功能清单对一个 C2 来说算齐活：

• 文件操作

  ls / cd / pwd / download / upload(单文件上限 100MB)

• 进程枚举

  ps(Windows 解析 tasklist,Linux 读 /proc)

• 命令执行

  exec

• 交互式 Shell

  Linux/macOS 用 PTY,Windows 用 ConPTY 隐式拉起 cmd.exe(不留可见窗口)

• 端口转发 + SOCKS5 代理

  把内网流量“经植入端”转发出来，本地起个 SOCKS5 端口直接用(凭据还能 bcrypt 存盘)

最让我觉得巧妙的设计是 generate：操作端这一个二进制文件里，内嵌了完整的植入端源码。把它拷到任意一台机器(哪怕没装 Go，它会自己下载安装、校验 SHA256；缺 garble / git 也会自动补)，就能交叉编译出 Linux / macOS / Windows × amd64 / arm64 的植入端。走到哪，编译到哪，不依赖源码树。

还有一个认真做的模块值得点名：--antivm VM 检测。它是一个纯 Go(无 CGO)实现的 VM/沙箱检测框架，采用与 VMAware 兼容的累积评分制——每项检测带一个分值，命中累加，总分过 50% 就干净退出(os.Exit(0))，不暴露任何 C2 行为；单点失败有 recover() 兜底，不影响整体。跨平台数十项检测技术，从 CPUID 虚拟化签名、MAC 厂商前缀，到 Windows 注册表键、Linux DMI 固件都有。

铺垫了这么多“去中心化有多强”，接下来必须泼盆冷水。

四、但别神化它——免杀的真相

要分清一件事：它的免杀重心在网络层，而不是主机层。

什么意思？它在“拆不掉基础设施”“流量混进 IPFS 噪声”这两点上确实做得好——这恰恰是它的设计目标。但如果你以为它能在装了现代 EDR(端点检测响应)的机器上畅行无阻，那就想多了。

先把全貌摊开，一张六维评级表：

| 维度 | 评级 | 说明 | | — | — | — | | 基础设施抗拆解 | 🟢 强 | 无固定 C2 IP/域名，靠 PeerID + 公网 libp2p 中继 | | 抗审查 / 抗封锁 | 🟡 中 | 对地址封锁强(无固定 IP、443/wss、随机端口)； 对 DPI 协议指纹封锁弱(无混淆/可插拔传输) | | 流量隐匿 | 🟡 中 | WebSocket、仅 443、cover 流量；传输层 Noise 双向加密；应用层 box 仅回传方向 | | 静态/编译期混淆 | 🟡 中 | garble -literals -tiny + UPX + strip; Go 二进制天生难藏 | | 主机行为规避 | 🔴 弱 | 落盘、标准 API、ConPTY+cmd 子进程、无 unhook | | 反内存取证 | 🔴 没有 | 无 sleep masking、无内存加密、可被 dump |

几个实打实的短板

• UPX 加壳默认是开着的

  。但 UPX 本身就是杀软的红旗，入口点、节区特征、“UPX!” 魔数都被静态规则盯死了。实践中关掉 UPX、只留混淆，反而更隐蔽。

• Go 二进制天生难藏

  。Go 程序有个叫 pclntab 的东西、还有 runtime.main 这些运行时结构，即使剥离符号也去不掉。一个十几 MB 的 Go 程序落地运行，在 EDR 眼里已经够扎眼。

• EDR hook 对抗，基本为零

  。没有 ntdll 反 hook、没有 direct syscall、没有 AMSI/ETW 致盲、没有进程注入、没有内存休眠加密(sleep masking)。所有 API 调用都走标准库，全在 EDR 的 hook 点上。

• Shell 是高噪音行为

  。Windows 端用 ConPTY 拉起 cmd.exe 子进程——这条行为链是 EDR 的重点监控对象，约等于明牌“我在挂交互 shell”。

一个容易被忽略的分层：它扛得住“封 IP”，扛不住“认指纹”

这是很多人会误解的地方。Arachne号称“封 IP 不死”，这话只对了一半——准确说，它针对的是基于地址的封锁(封 IP / 域名 / 端口)：

| 审查方手段 | 扛得住？ | 依据 | | — | — | — | | 封 bootstrap.libp2p.io 域名(DNS 污染) | ✅ | 编译时硬编码 IP，直连绕过 | | 封端口 / 只放 443 | ✅ | ws/wss over 443 | | 封 bootstrap 节点 IP | ⚠️ | 入口死则进不了 DHT；救援须自建 relay + 重编译 | | DPI 识别 libp2p/Noise/ws 协议指纹 | ❌ 硬伤 | 握手、multistream-select、WebSocket upgrade 明文可建模；零混淆 | | DHT Sybil 攻击 / 整体阻断 libp2p | ❌ | 彻底失效 |

也就是说：只会封 IP/域名/端口的网络(多数企业网、NAT、端口白名单)，它抗封锁强；但具备 DPI、针对性监控 libp2p 的强审查环境(GFW 级别)，它基本失效且无后备。Sliver 能叠 mTLS/HTTP/DNS/WireGuard 多传输，Arachne 不行——鸡蛋全在 libp2p 一个篮子里。

所以一个相对公允的结论是：

在“封 IP、拆基础设施”这个维度，Arachne 是优秀的； 在“对抗装了 EDR 的现代终端”这个维度，它会被抓。

五、对防守方的启示

聊攻也得聊防。这个项目对蓝队的启发挺直接，综合源码分析，可操作的有两条：

1. 出口管控优先

   企业网若不允许连 IPFS 公网，把 bootstrap.libp2p.io 及其解析 IP、常见 libp2p 端口纳入监控——“一台终端尝试加入 libp2p 网络”这件事本身，就该是个告警。这是性价比最高的一刀。

2. 主机行为层抓它不难

   Go 植入特征 + ConPTY 拉起 cmd 子进程，足够拼出一个检测规则。别只盯着 IP 黑名单。

六、结尾：技术是中性的

libp2p 做的事，本质是“让连接不再依赖中心”。这在正当场景里——去中心化应用、抗审查通信、没有中心服务器的协作——是优点。同样的能力，被用到 C2 上，就成了红队的利器。

理解它的设计，对攻防两边都有价值。工具没有善恶，区别在于握着它的人，有没有那纸授权。

合规提醒：Arachne C2 仅供授权安全测试使用。未经授权访问他人计算机系统是违法行为。本文为公开开源项目的技术分析。

这是 Arachne C2 系列的合并长文，涵盖架构拆解、加密设计与免杀评估。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：赛博生存指南 GLM-5.2 GLM-5.2《工具 | ArachneC2 —— 去中心化 C2 藏进 IPFS 的海洋》