源码系统概览
文章正文
这套 C2 基础设施后台源码采用 ThinkPHP 8 框架开发，与漏洞投递 C2 分离部署，负责设备入库、频道管理、钱包派生与数据聚合。
后台通过 /api/ingest 接口接收 C2 解密后的设备数据，工具目录含 derive_wallets.py 用于从 iOS 18 war_decrypt 派生多链钱包地址与余额查询。
投放域名使用 DGA 生成（x7v9c2b4n6m8l0k.icu），频道脚本通过 Python 生成与 patch。
包内 .env 明文留存默认账号 admin/admin123 与 INGEST_TOKEN。
下文从架构、部署与安全三个角度展开。
源码简介
后台基于 ThinkPHP 8 的 app/common.php、BaseController、middleware.php 等标准结构组织，通过 .env 管理数据库、管理账号、C2 通信令牌与投放域名。
工具层 derive_wallets.py 通过 stdin 输入 secrets JSON，调用 eth-account、mnemonic、tronpy、solders 派生多链地址并查询原生余额，支持空账户停止条件。
客户端目录含 channel_gen.py、patch_channel.py 与 requirements-channel.txt，配合 Nginx rewrite 配置实现频道动态生成与投放。
SQL 层含 install.sql 与多份迁移（alter_channel / alter_device_wallets / migrate_mnemonic_scan 等），显示其长期迭代。
适用场景
- C2 设备管理与数据聚合架构的安全研究
- DGA 域名生成与频道分发机制的逆向分析
- iOS 18 war_decrypt 钱包派生流程的防御视角研究
- ThinkPHP 8 在恶意基础设施中的配置模式分析
技术栈与运行环境
| 层级 | 组件 | 版本 |
|---|---|---|
| 后台 | PHP 8.1 + ThinkPHP 8 + MySQL | Apache-2.0 框架 |
| 工具 | Python derive_wallets.py + eth-account | 多链派生 |
| 频道 | Python channel_gen + patch + Nginx rewrite | 动态投放 |
| DGA | x7v9c2b4n6m8l0k.icu | 算法生成 |
对比 OKX 和 Bitget 这类正规平台，本系统在合规属性、数据用途与开源许可方面的区别，主要对比对比如下表。
| 对比维度 | 本源码系统 | OKX / Bitget |
|---|---|---|
| 数据用途 | 管理被控设备与钱包 | 用户自有资产交易 |
| 合规属性 | C2 基础设施，违法犯罪 | 持牌合规经营 |
| 域名策略 | DGA 算法生成 | 固定品牌域名 |
| 开源许可 | Apache-2.0（仅框架层） | 不适用 |
运行环境为 PHP 8.1 + MySQL 5.7 + Python 3.10+。
功能亮点
- ThinkPHP 8 标准分层架构
- /api/ingest 接口接收 C2 入库
- derive_wallets.py 多链钱包派生与余额查询
- 频道动态生成与 patch 系统
- DGA 域名与投放映射
- 设备在线状态与心跳管理
技术架构与部署指南
截图与演示说明
常见问题
问. 后台与 C2 什么关系？
README 明确说明与 C2 分开部署，C2 解密后 POST 到 /api/ingest 入库，后台不直接投递漏洞。
问. derive_wallets.py 做什么？
从 iOS 18 war_decrypt 的 secrets 派生多链钱包地址并查询原生余额，支持空账户停止条件。
问. DGA 域名是什么？
投放域名通过算法生成（示例 x7v9c2b4n6m8l0k.icu），避免固定域名被封。
安全风险提示
本包风险等级为最高危。
其一本工具为 C2 设备管理与钱包派生基础设施，在国内属违法犯罪工具。
其二，.env 明文留存默认账号与 INGEST_TOKEN，部署前须全部替换。
其三，包内 payload zip 与频道脚本含攻击性功能代码。
研究完成后建议整包隔离或销毁。
下载说明
本源码为第三方渠道流出的本地源码包（编号 81216），无公开 GitHub 仓库，无在线来源页面，下载链接由发布者自行配置。
文件仅供安全研究，下载后禁止部署到任何真实服务器或用于未授权目标。
存疑或不可审计文件
本包所有 PHP 与 Python 文件均为明文，审计无障碍。需特别说明的是，payload 压缩包（next-chain.zip、L.A.OJ.zip）未解压核验，内含攻击性利用代码的可能性极高。
derive_wallets.py 依赖第三方加密库，完整行为需运行验证。
补充信息
更新日志
- 包内无正式 CHANGELOG，SQL 迁移脚本显示多次迭代
- 框架层 ThinkPHP 8 遵循 Apache-2.0 协议
- 业务系统层未声明独立许可证
许可证与版权说明
composer.json 声明 Apache-2.0 协议，但该声明仅覆盖 ThinkPHP 框架本身，业务代码未附独立许可证。
本工具为 C2 基础设施，在国内属于违法犯罪工具，任何部署与使用后果自负。
