2022年春天，暗组一个做红队渗透的工具朋友给我看了他硬盘里的一个文件夹，名字就叫“暗组工具包2022”。暗组他说这玩意儿在圈子里传疯了，工具几乎人手一份。暗组我问他里面到底装了什么，工具他没直接回答，暗组扔过来一句：“你打开就知道，工具从踩点到拿域控，暗组一条龙。工具”

解压后大概3.7个G，暗组目录结构很直白——01_信息收集、工具02_漏洞利用、暗组03_权限维持、工具04_内网横向、暗组05_免杀绕过。每个文件夹里塞满了各种exe、ps1、py脚本，还有一些编译好的C#工具。说实话，第一眼感觉像个杂货铺，但稍微翻一下就会发现选品很讲究。比如信息收集目录下，fscan和Ladon各放了一个版本，前者是2021年底的修改版，后者是2022年3月更新的。旁边还配了一个叫SubDomainsBrute的Python脚本，专门跑子域名爆破。这种组合不是随便凑的，是有人在实际项目里反复用过的。

漏洞利用部分最能看出这个工具包的定位。它没有堆一大堆EXP，而是按场景分成了Web、中间件、系统层三个子目录。Web下面主要是Shiro、Fastjson、Log4j2这几个高频目标，每个都配了不止一个利用链。中间件里Weblogic和Tomcat的利用工具占了大头，Weblogic那个CVE-2020-14882的图形化工具甚至带了内存马注入功能。系统层就比较杂了，MS17-010、CVE-2021-42287这些老面孔都在，还有一个PrintNightmare的利用脚本，作者标注了“仅限域环境测试”。

权限维持这块挺有意思。工具包里放了一个叫SharpPersist的C#工具，能快速写注册表、建计划任务、装服务，三种方式一键切换。旁边还有个mimikatz的定制版，去掉了部分杀软会报毒的特征字符串。我试过在Windows Defender开启的情况下跑这个版本，居然没被拦。当然，这玩意儿在实战中能撑多久不好说，但至少说明打包的人花心思做了免杀处理。

内网横向目录里，frp、nps、Stowaway三个隧道工具都带了配置文件模板。还有一个叫Ladon的扫描器，专门用来扫内网SMB和WMI。最让我意外的是03_权限维持下面居然放了一个BloodHound的采集脚本，这玩意儿一般是前期信息收集用的，放在维持阶段可能是为了方便快速梳理域内信任关系。这种不按常理出牌的目录安排，反而说明打包的人是真干过活的，不是照搬教程。

免杀绕过目录是整包里更新最频繁的。2022年4月的时候，里面还是ShellcodeLoader加Donut的组合，到了7月就换成了ScareCrow和InvisibilityCloak。有个做免杀的朋友告诉我，他拿这个包里的AV_Evasion脚本改了两行代码，就绕过了当时刚更新的火绒。不过他也说，这种工具包里的免杀方案生命周期很短，可能一两周就失效，得自己会改才行。

整个工具包没有说明书，没有readme，连个版本号都找不到。但每个工具旁边偶尔会有一个.txt文件，里面就写一两句话。比如fscan旁边那个txt写着“-h 10.0.0.0/24 -np -nobr”，SharpPersist旁边写着“需管理员权限，域内慎用”。这种极简的注释风格，一看就是给熟人用的，默认你懂怎么操作。

后来我在几个技术群里问了一圈，发现这个工具包至少有三个变种。有人把Ladon换成了Fscan的另一个分支，有人把mimikatz换成了Kekeo。但核心框架没变，都是“信息收集—漏洞利用—权限维持—横向移动—免杀”这条线。说白了，这就是一个红队作业的标准化流程包，谁都能往里塞自己的私货。

用这东西得小心。我那个朋友说，他有一次在客户内网跑Ladon的扫描模块，触发了EDR告警，差点被踢出项目。后来他学乖了，每次用之前先把工具包里的exe拖进虚拟机跑一遍，确认没后门再用。毕竟这种来路不明的工具包，谁也不知道有没有人在里面埋了反向shell。

2022年之后，这个包就没再更新过。圈子里的人说作者退圈了，也有人说被请去喝茶了。反正现在网上还能搜到一些网盘链接，但大部分已经失效。偶尔有人发一个“暗组2023”的压缩包，解压一看，里面还是2022年那批工具，只是换了几个文件名。