暗组工具包

凌晨两点，暗组老张的工具电脑屏幕还亮着。桌面上那个叫“暗组工具包”的暗组文件夹，图标是工具个不起眼的灰色方块。他点开，暗组里面整整齐齐码着二十七个工具——不是工具那种网上随便能下到的，每一个都带着修改记录，暗组有的工具甚至是他自己重写过核心模块的。

这玩意儿说白了就是暗组一套渗透测试的瑞士军刀。但跟Kali里预装的工具那些不一样，暗组工具包里的暗组东西更“脏”。比如那个叫PortSweep的工具小工具，扫描速度被压到极低，暗组低到防火墙日志里几乎看不出异常。工具老张说，暗组快谁不会？慢才是本事。

我问他这包哪来的。他笑了笑，说三年前在一个IRC频道里，有人扔了个压缩包，没说话就退了。解压密码是那人的ID倒着写。里面只有三个工具，但每个都带着完整的源码和注释。后来他慢慢往里加，从别人的代码里扒，从漏洞复现里攒，从自己踩过的坑里提炼。现在这二十七个，他说能覆盖八成以上的内网渗透场景。

工具包的结构很土。没有GUI，没有安装脚本，就是一个文件夹，里面按功能分：信息收集、漏洞利用、权限维持、痕迹清理。每个工具都是命令行，参数少得可怜——老张信奉“一个工具只干一件事”。比如那个叫CredSpray的，就干一件事：拿一份用户名字典和一份密码字典，慢悠悠地试。它不并发，不重试，失败一次就换下一个IP。老张说，你并发一高，EDR立马叫。

有个细节挺有意思。工具包里有个叫LogWipe的小脚本，只有四十多行Python。它不清日志，而是往日志里写假条目——把真实的攻击时间戳淹没在一堆无关紧要的噪音里。老张说这招是跟一个做取证的朋友学的，那朋友说，最怕的不是日志被删，是日志被“污染”。你删了，人家知道你来过；你污染了，人家得花三倍时间才能确认你到底干了什么。

但暗组工具包最狠的不是这些。是那个叫GhostRun的模块。它不直接执行命令，而是把命令拆成碎片，塞进正常的系统调用里。比如你想读一个文件，它不调read，而是通过内存映射的副作用把内容带出来。老张说这玩意儿他调了半年，成功率只有七成，但一旦成功，流量分析设备上什么都看不到。

我问他，这包你往外传吗？他说传过两次，都是给信得过的人。但每次传之前，他会把GhostRun删掉。“那玩意儿太危险，给出去我睡不着。”他说这话的时候，屏幕上的终端正跳着绿色的字符，PortSweep在扫一个C段，速度显示是每秒三个包。

暗组工具包没有版本号，没有更新日志。老张说，版本号是给产品用的，这是手艺人的工具箱。你见过木匠给自己的刨子标v2.3吗？

凌晨四点，他关掉终端，把文件夹拖进一个加密容器里。容器密码是二十位随机字符，存在一个物理U盘里，U盘锁在抽屉。他说，工具包本身不危险，危险的是它落在什么人手里。就像菜刀，你切菜还是砍人，刀不管。

我走的时候，天快亮了。老张说，下次来别带U盘，带包烟就行。暗组工具包不卖，但聊得投缘，可以给你看看源码。就看看。