经过几个月的时间，带来了四大全新组件, 以及十几个较大的功能性更新与数百个修复与优化。
与之前一样，在更新公告中的内容都将会在community版本中提供
四大新组件:
当然目前与CobaltStrike对比不免有些不自量力(因缺少大量实战测试修复各种bug)。但这也代表IoM主体功能的阶段性成果。IoM不再是一个实验室中的demo， 而是能初步用于实战的工具。
CobaltStrike最大的护城河是丝滑的GUI客户端， 稳定的beacon，以及丰富的插件生态。以至于抹平其OPSEC上的劣势。 而现在CobaltStrike的二开止步4.6， 破解版本停滞在4.10， 主流的CobaltStrike的使用者逐渐远离了其最新版本。 这让IoM有机会成为CS的备选品(我们承认距离代替CS还有不小的距离)。
有一个笑话，"中国人的网络水平特别好". 事实上也确实如此, 绝大部分代理相关的工具都和中国开发者有关.
我们已经有了很多好用的代理工具，如下面提到的这部分:
从使用场景覆盖来说， 这些工具加起来确实覆盖了关于 proxy/tunnel 的90%以上场景, 但如frp，gost, iox 这些工具设计上并不是给攻防场景使用的, 现在的NDR设备可以轻松捕获他们的特征. 并且往往是单个工具只解决了部分场景的需求， 不能覆盖所有场景。
IoM 的v0.1.0 的开发工作还需要一段时间， 但GUI已经开启了抢先测试. 测试不限名额， 发布在 https://github.com/chainreactors/malice-network/releases/tag/nightly
可以参考下面的安装流程安装GUI.
IoM-GUI采用vscode extension的形式实现， 不是传统的GUI client， 也不是WEB GUI。 我们尝试了一种前所未有的C2 GUI形式， 原因有很多:
要从零实现一个GUI大概率会很平庸， 但是我们计划最大程度利用vscode的各种特性，打造一个最好用的C2-GUI。
警告:
目前提供的版本是早期测试版，每天都会自动基于最新的commit打包，是极不稳定的状态
本文是rem发布前的前菜， 是在实现rem过程中的附带产物，但因其可以被使用在大量其他组件中， 故将其抽象出来作为独立的库使用。
TLNR:
repo: https://github.com/chainreactors/proxyclient
wiki: https://chainreactors.github.io/wiki/libs/proxyclient/
众所周知， golang上有着远超其他任意语言的网络相关的生态库。 各种应用也层出不穷，从安全领域常用的iox,frp,nps 到网络代理gost, xray, v2ray， 以及相对底层的网络协议实现库如kcp,quic, rawpacket, 还有最重要的标准库提供的密码学库(crypto和tls)及其优雅的抽象。
越来越多的扫描器也都基于golang实现，这也包括了我在多年前编写的扫描器gogo。 在gogo开发的早期我对使用代理去扫描是有偏见的，这源于我对网络协议和golang设计上的了解不够深入，还有一个重要原因是标准库库中的proxy提供了很好的抽象， 但是在具体实现上略显混乱。 这也导致了很长一段时间gogo的代理扫描实际上是误用了，让我一直以为只有socks5协议能代理socket。
本系列文章虽然叫做IoM进阶系列， 但实际与IoM关系不大，只是在开发IoM的过程中遇到的。进阶系列均为解决前无古人的问题、创新等， 本文将从最常用的技术 PE-Loader开始。
如果读者已经熟知PE加载， 那么本文的内容将不会有非常大的革新， 但各位阅读完本文可能也会看到一些新鲜玩意， 聊以慰籍 :)
今年8月， 我们推出了下一代
C2计划 --Internal of Malice, 旨在实现一套post-exploit基础设施， 在implant的语言选用中， 我们尝试了这两年最火热的红队语言：Rust, 也因为这个选择，在实现过程中遇到了和解决了非常多有意思的问题。在推出
stager版本之后， 交流群的一位同学贴出了Writing a PE Loader for the Xbox in 2024 这篇文章， 用一种非常粗暴的方式解决了Rust在使用MSVC编译时引入了TLS(thread-local storage), 而只常见的PELoader简单调用tls callback无法正常加载PE文件的问题， 遂成文。
IoM通过几个月的快速迭代, 已经具备了一个现代化C2的绝大部分功能.
v0.0.4将是v0.1.0之前的最后一个版本， 可以在这里看到我们v0.1.0的路线图: https://chainreactors.github.io/wiki/IoM/roadmap/#v010-professional-release
在 8 月份, 我们发布了 IoM 的蓝图和 demo, 制定了一个宏伟的计划, 当时的 IoM 和绝大多数开源 C2 一样, 充满 bug, 功能简单.
在 9 月份, 我们发布了修复了大量 bug, 以及对 client/server/listener 的大重构 v0.0.2 版本. 还添加了基于 lua 的插件系统, 半自动化编译.
而现在, 我们终于可以发布 v0.0.3 ,这也意味着 IoM 已经具备在实战中使用的价值, 以及满足绝大多数实战场景的能力. 在某些 OPSEC 或者拓展能力上, IoM 更是目前最强大的 C2 框架.
v0.0.3 的 IoM 至少已经具备了 80%以上的 Cobaltstrike 的能力, 90%的 Sliver 的能力, 比起 Nighthawk 和 BRC4 更是不遑多让，并且有非常多独有的功能. 当然在成熟程度与很多细节上我们缺少时间去打磨, 但可用的版本也称得上是开源世界中最强大的 C2 之一了.
repo: https://github.com/chainreactors/neutron
在projectdiscovery融第一轮前, 我就发现了这个充满未来的项目nuclei.
nuclei提供了极简的poc配置, 强大的DSL引擎以及目前**地表最庞大的poc社区**, 最重要的是, 它是完全开源的.
随着nuclei 更新到v3, 也面临了工具进化路上必定会经过的"软件膨胀", nuclei从v1到v3 引入了非常的庞大的功能
也引入了更多的bug, nuclei-templates的已经有一部分的poc随着引擎更新出现了bug.
而nuclei的绝大数poc, 都用不着这些功能, 其中最常用的协议是http与socket, 最常用的功能是通过yaml配置一个或者几个数据包, 然后校验返回值. 甚至OAST都不是必备的功能, 因为极少漏洞强依赖这个功能, 都能找到时延, 回显等方式更高效与准确的判断.
v0.0.2 是一次巨大的改动. 在仓促发布v0.0.1后, 我们同时对server/client/listener/implant都开始了重构. 重构工程的代码量接近20000行, 是原本代码的一半.
好在这么大规模的改动, 也带来了各方面能力的提升.
本文提到的工具: https://github.com/chainreactors/spray
之前在 为什么我们需要收集URL? 发布了两个工具, 分别是用来爆破目录的spray 和用来被动收集url的 urlfounder.
urlfounder在发布后基本没进行更新, 但是spray经过一年的进化, 迎来了v1.0.0版本. 定位也从一个目录爆破工具变成了全面全能的WEB信息收集工具.
它拥有目前最强大的性能与最智能的算法. 几乎能覆盖dirsearch + httpx + 指纹识别(fingers) + fuff的全部功能.