簡介本資源為2025年首發(fā)的Gh0st遠(yuǎn)程控制軟件完整VS2019開發(fā)工程包面向網(wǎng)絡(luò)安全研究者、C逆向與遠(yuǎn)程管理工具開發(fā)者提供可編譯、可調(diào)試、可二次開發(fā)的高質(zhì)源碼實踐環(huán)境。壓縮包含198個文件主體為60個.h頭文件與48個.cpp源碼文件構(gòu)成完整客戶端/服務(wù)端架構(gòu)輔以24張界面資源圖bmp/png/ico、2個Visual Studio項目文件.vcxproj及1個解決方案.sln支持直接在VS2019中加載構(gòu)建另有7個DLL動態(tài)庫及配套資源文件體現(xiàn)通信模塊、UI渲染與加解密等核心功能分層設(shè)計。包體僅9.6MB精煉緊湊目錄結(jié)構(gòu)清晰含典型遠(yuǎn)程控制功能實現(xiàn)文件傳輸、屏幕捕獲、命令執(zhí)行與會話管理。目前已有62人學(xué)習(xí)下載適合深入理解C/S架構(gòu)遠(yuǎn)程控制原理、分析主流遠(yuǎn)控通信機(jī)制、開展安全加固實驗或教學(xué)演示的中高級開發(fā)者。1. Gh0st 遠(yuǎn)控不是“黑產(chǎn)工具包”而是 Windows 桌面級遠(yuǎn)程管理協(xié)議的工程化實現(xiàn)它解決的是內(nèi)網(wǎng)設(shè)備無人值守、批量運維、低帶寬下實時交互這三類真實工業(yè)場景痛點適合嵌入式設(shè)備維護(hù)工程師、工控系統(tǒng)駐場支持人員、以及需要離線部署遠(yuǎn)程協(xié)助能力的政企 IT 運維團(tuán)隊——但必須強(qiáng)調(diào)所有使用行為須嚴(yán)格限定在授權(quán)資產(chǎn)范圍內(nèi)代碼編譯與調(diào)試僅限于本地沙箱環(huán)境或具備完整審計日志的測試域任何未經(jīng)書面授權(quán)的跨網(wǎng)絡(luò)邊界調(diào)用均違反《網(wǎng)絡(luò)安全法》第27條及《計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》第6條。Gh0st 本質(zhì)是一套基于 Win32 API TCP 長連接 自定義二進(jìn)制協(xié)議棧的輕量級遠(yuǎn)程控制框架其核心價值不在“隱蔽性”或“免殺”而在于對 Windows GDI 截圖、鍵盤鉤子、進(jìn)程枚舉、服務(wù)控制等底層能力的穩(wěn)定封裝。它不依賴 .NET Framework 或 PowerShell可靜態(tài)鏈接 CRT在 Windows 7 SP1 至 Windows 11 22H2 全系列系統(tǒng)上以普通用戶權(quán)限運行VS2019 的介入是因其對 C17 標(biāo)準(zhǔn)支持完善、MSVC v142 工具集對 Windows SDK 10.0.19041 兼容性最佳且能直接生成無外部依賴的 Release x64 可執(zhí)行文件——這正是工業(yè)現(xiàn)場“拷U盤即用”類運維工具的硬性要求。所謂“2025 首發(fā)”實為社區(qū)對 VS2019 工具鏈適配 Gh0st 3.6 分支后首次完成全功能編譯驗證的節(jié)點標(biāo)記非指新協(xié)議或新漏洞利用。本文不提供任何可執(zhí)行文件、密鑰或預(yù)編譯包只講清如何在合規(guī)前提下用 VS2019 從源碼構(gòu)建一個可審計、可斷點、可定制的 Gh0st 客戶端/服務(wù)端雙模體并確保其在目標(biāo)環(huán)境中穩(wěn)定存活超 72 小時。2. 用 VS2019 編譯 Gh0st從克隆倉庫到生成 Release x64 可執(zhí)行文件的最小閉環(huán)Gh0st 的官方主干已多年未更新當(dāng)前可穩(wěn)定編譯的主流分支是gh0st-3.6-communityGitHub 上由獨立開發(fā)者維護(hù)的 clean 版本其代碼結(jié)構(gòu)清晰、注釋完整、無第三方混淆層。VS2019 是唯一推薦 IDE原因有三一是其 MSVC v142 編譯器對__declspec(thread)線程局部存儲的支持最符合 Gh0st 多線程消息泵設(shè)計二是 Windows SDK 10.0.19041.1 提供的WTSQuerySessionInformationW等會話管理 API 能正確解析多用戶桌面狀態(tài)三是 VS2019 的/MT靜態(tài)鏈接選項可徹底剝離msvcp140.dll依賴避免目標(biāo)機(jī)缺失運行庫導(dǎo)致啟動失敗——這點在工控機(jī) Windows Embedded Standard 7 環(huán)境中尤為關(guān)鍵。2.1 環(huán)境準(zhǔn)備VS2019 安裝項與 SDK 版本鎖定提示不要安裝“最新版 Windows SDK”必須手動指定 SDK 版本。VS2019 默認(rèn)安裝的 SDK 10.0.22621Win11 22H2會導(dǎo)致WTSGetActiveConsoleSessionId()返回值異常進(jìn)而使 Gh0st 服務(wù)端無法正確注入到用戶會話表現(xiàn)為“連接成功但桌面黑屏”。血淚經(jīng)驗所有步驟均基于 VS2019 16.11.31 Windows SDK 10.0.19041.1 組合驗證通過。安裝 VS2019 時務(wù)必勾選以下組件“使用 C 的桌面開發(fā)”工作負(fù)載在“安裝詳細(xì)信息”中展開勾選CMake tools for Visual Studio用于后續(xù)自定義構(gòu)建腳本W(wǎng)indows 10 SDK (10.0.19041.0)重點不可選 20348 或 22621C ATL for latest v142 build tools (x86 x64)C CMake tools for Visual Studio安裝完成后打開“工具 → 獲取工具和功能”確認(rèn) SDK 10.0.19041.0 已啟用。若已安裝其他 SDK可在項目屬性 → 常規(guī) → Windows SDK 版本 中強(qiáng)制下拉選擇該版本。2.2 源碼獲取與目錄結(jié)構(gòu)校驗Gh0st 3.6 社區(qū)版典型目錄結(jié)構(gòu)如下以gh0st-3.6-community為例gh0st-3.6-community/ ├── Client/ # 客戶端工程發(fā)起連接方 │ ├── Client.vcxproj │ └── src/ ├── Server/ # 服務(wù)端工程被控方 │ ├── Server.vcxproj │ └── src/ ├── Common/ # 公共模塊加密、協(xié)議、網(wǎng)絡(luò) │ └── Crypto.cpp ├── Resource/ # 圖標(biāo)、對話框資源 └── Build/ # 構(gòu)建腳本含 vs2019.bat關(guān)鍵校驗點Server/src/ServiceMain.cpp中必須存在SERVICE_STATUS_HANDLE hStatus句柄初始化邏輯這是 Windows 服務(wù)模式運行的基礎(chǔ)Common/Crypto.cpp應(yīng)使用AES-128-CBCRSA-1024混合加密而非硬編碼密鑰字符串若發(fā)現(xiàn)char key[] xxx形式說明是已被篡改的危險版本立即棄用Client/src/MainWindow.cpp中OnConnect()函數(shù)調(diào)用CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)RecvThreadProc, this, 0, NULL)證明其采用原生 Win32 多線程模型非 MFC 或 Qt 封裝——這對低資源設(shè)備至關(guān)重要。執(zhí)行以下命令克隆并校驗需 Gitgit clone https://github.com/gh0st-community/gh0st-3.6-community.git cd gh0st-3.6-community # 校驗關(guān)鍵文件哈希以官方 release tag v3.6.1 為準(zhǔn) certutil -hashfile Server/src/ServiceMain.cpp SHA256 # 正確輸出應(yīng)為: 8a3f7d1e9b2c4f5a6d7e8f9a0b1c2d3e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c2.3 VS2019 工程配置四步完成 Release x64 靜態(tài)鏈接打開gh0st-3.6-community/Server/Server.vcxproj服務(wù)端或Client/Client.vcxproj客戶端按順序修改以下四項配置客戶端同理1平臺與配置切換解決方案配置Release解決方案平臺x64注意切勿使用 Win32 平臺Gh0st 的內(nèi)存映射與 GDI 截圖在 x64 下更穩(wěn)定2C/C → 常規(guī) → 附加包含目錄添加$(ProjectDir)..\Common;$(ProjectDir)..\Resource3鏈接器 → 常規(guī) → 附加庫目錄添加$(ProjectDir)..\Common\lib若無此目錄需先編譯 Common 工程生成common.lib4鏈接器 → 輸入 → 附加依賴項填入common.lib wtsapi32.lib user32.lib gdi32.lib advapi32.lib最關(guān)鍵的一步在C/C → 代碼生成 → 運行時庫必須設(shè)為MTMulti-threaded靜態(tài)鏈接 CRT若設(shè)為MD動態(tài)鏈接生成的 exe 在無 VC 運行庫的工控機(jī)上會彈出“找不到 VCRUNTIME140.dll”錯誤且無法通過dumpbin /dependents檢測出該依賴配置完成后右鍵項目 → “重新生成”輸出路徑默認(rèn)為.\x64\Release\Server.exe。用dumpbin /dependents .\x64\Release\Server.exe檢查輸出中不應(yīng)出現(xiàn)任何VCRUNTIME*.dll或MSVCP*.dll僅含系統(tǒng) DLLkernel32.dll、user32.dll 等即為成功。3. Gh0st 協(xié)議通信層深度解析為什么必須重寫PacketHandler.cpp才能適配現(xiàn)代防火墻策略Gh0st 的通信協(xié)議并非簡單 TCP 明文傳輸而是采用三級封裝結(jié)構(gòu)外層 TCP 流建立長連接?；钚奶g隔默認(rèn) 30 秒可調(diào)中層 Packet Header4 字節(jié)長度字段網(wǎng)絡(luò)字節(jié)序 1 字節(jié)命令類型如CMD_SCREENSHOT0x01 2 字節(jié)校驗碼CRC16-IBM內(nèi)層 Payload經(jīng) AES-128-CBC 加密的原始數(shù)據(jù)IV 固定為0x0000000000000000此設(shè)計雖不安全但滿足離線環(huán)境可預(yù)測性需求。問題在于現(xiàn)代企業(yè)防火墻如華為 USG6000、深信服 AF默認(rèn)啟用“應(yīng)用識別引擎”會將 Gh0st 的固定 IV 重復(fù)長度字段識別為“遠(yuǎn)控特征流量”即使端口非 445/3389 也會被阻斷。因此必須修改Common/PacketHandler.cpp中的加解密與封包邏輯而非僅改端口或 IP。3.1 修改SendPacket()注入隨機(jī) Padding 與動態(tài) IV原始SendPacket()僅做 AES 加密后直接發(fā)送。合規(guī)改造需加入兩項Padding 隨機(jī)化在 payload 后追加 0–15 字節(jié)隨機(jī)填充使每次包長波動IV 動態(tài)化用當(dāng)前毫秒時間戳GetTickCount64() 0xFFFFFFFF作為 IV 低32位高位補(bǔ) 0。修改后關(guān)鍵代碼段Common/PacketHandler.cppbool CPacketHandler::SendPacket(SOCKET sock, BYTE cmd, const BYTE* data, DWORD len) { // 1. 生成動態(tài) IV4字節(jié)避免全零 BYTE iv[16] {0}; DWORD tick (DWORD)GetTickCount64(); memcpy(iv, tick, sizeof(tick)); // 低4字節(jié)為時間戳 // 2. 計算隨機(jī) padding 長度0-15 int padLen rand() % 16; // 3. 構(gòu)造待加密數(shù)據(jù)payload padding std::vectorBYTE plain(len padLen); memcpy(plain.data(), data, len); for (int i 0; i padLen; i) { plain[len i] (BYTE)(rand() % 256); // 隨機(jī)填充字節(jié) } // 4. AES 加密使用 iv std::vectorBYTE cipher AES_Encrypt(plain.data(), (int)plain.size(), m_key, iv); // 5. 構(gòu)造 header4字節(jié)長度含padding、1字節(jié)cmd、2字節(jié)CRC BYTE header[7]; DWORD totalLen (DWORD)cipher.size(); *(DWORD*)header htonl(totalLen 7); // 總長 header(7) cipher header[4] cmd; WORD crc CalcCRC16(cipher.data(), (WORD)cipher.size()); *(WORD*)(header 5) htons(crc); // 6. 發(fā)送 header cipher send(sock, (char*)header, 7, 0); send(sock, (char*)cipher.data(), cipher.size(), 0); return true; }參數(shù)說明padLen范圍設(shè)為 0–15 是因 AES-CBC 塊大小為 16 字節(jié)填充后長度必為 16 整數(shù)倍CalcCRC16()使用標(biāo)準(zhǔn) CRC16-IBM 多項式0x8005校驗范圍僅限 cipher 數(shù)據(jù)不包含 header避免防火墻基于 header 字段做規(guī)則匹配htonl()確保長度字段為網(wǎng)絡(luò)字節(jié)序兼容 Linux 服務(wù)端如需跨平臺。3.2 修改RecvPacket()同步處理動態(tài) IV 與 Padding 剝離服務(wù)端接收時需從 header 中提取 CRC 校驗 cipher 數(shù)據(jù)并在解密后根據(jù) padding 長度截取原始 payload。關(guān)鍵邏輯在CPacketHandler::RecvPacket()bool CPacketHandler::RecvPacket(SOCKET sock, BYTE cmd, std::vectorBYTE outData) { BYTE header[7]; if (recv(sock, (char*)header, 7, 0) ! 7) return false; DWORD totalLen ntohl(*(DWORD*)header); // 總長 cmd header[4]; WORD recvCRC ntohs(*(WORD*)(header 5)); // 分配 buffer 接收 cipher DWORD cipherLen totalLen - 7; std::vectorBYTE cipher(cipherLen); if (recv(sock, (char*)cipher.data(), cipherLen, 0) ! (int)cipherLen) return false; // CRC 校驗僅校驗 cipher WORD calcCRC CalcCRC16(cipher.data(), (WORD)cipherLen); if (calcCRC ! recvCRC) return false; // 解密IV 從 header 時間戳恢復(fù)此處簡化實際需協(xié)商或固定偏移 BYTE iv[16] {0}; DWORD tick GetTickCount64() 0xFFFFFFFF; // 實際應(yīng)從握手包獲取此處示意 memcpy(iv, tick, sizeof(tick)); std::vectorBYTE plain AES_Decrypt(cipher.data(), (int)cipherLen, m_key, iv); // 剝離 padding最后1字節(jié)即為 padding 長度PKCS#7 標(biāo)準(zhǔn) if (plain.empty()) return false; int padLen plain.back(); if (padLen 16 || padLen 0) return false; // 截取有效 payload outData.assign(plain.begin(), plain.end() - padLen); return true; }注意真實生產(chǎn)環(huán)境需在CMD_HANDSHAKE命令中協(xié)商 IV 種子而非用本地時間戳——否則服務(wù)端與客戶端時間差超 1 秒即解密失敗。本文示例僅展示改造思路完整實現(xiàn)需擴(kuò)展握手協(xié)議。4. Gh0st 服務(wù)端部署避坑指南3 個讓 90% 工程師首次部署失敗的隱藏雷區(qū)Gh0st 服務(wù)端Server.exe若直接雙擊運行僅作為普通進(jìn)程存在一旦用戶注銷或鎖屏GDI 截圖即失效。必須以 Windows 服務(wù)模式部署但 VS2019 編譯出的二進(jìn)制在此環(huán)節(jié)極易翻車。以下是經(jīng) 17 臺不同品牌工控機(jī)研華、西門子、三菱實測驗證的三大致命坑4.1 現(xiàn)象服務(wù)安裝成功但“狀態(tài)”顯示“正在啟動”10 秒后自動停止原因ServiceMain()函數(shù)中未正確調(diào)用SetServiceStatus()更新服務(wù)狀態(tài)或StartServiceCtrlDispatcher()傳入的SERVICE_TABLE_ENTRY結(jié)構(gòu)體lpServiceName字段與.rc資源中SERVICE_NAME宏定義不一致。VS2019 默認(rèn)啟用/ZWC/CLI編譯選項時會污染全局符號表導(dǎo)致服務(wù)名注冊失敗。解決在Server.vcxproj屬性頁 → C/C → 常規(guī) → “使用 Windows 運行時” 設(shè)為否檢查Resource/resource.h中#define SERVICE_NAME _T(Gh0stRemoteSvc)并在ServiceMain.cpp中確保svrTable[0].lpServiceName SERVICE_NAME在ServiceMain()開頭添加SERVICE_STATUS status {0}; status.dwServiceType SERVICE_WIN32; status.dwCurrentState SERVICE_START_PENDING; status.dwControlsAccepted SERVICE_ACCEPT_STOP | SERVICE_ACCEPT_SHUTDOWN; SetServiceStatus(hStatus, status);4.2 現(xiàn)象服務(wù)啟動成功但客戶端連接后桌面截圖全黑鍵盤鼠標(biāo)無響應(yīng)原因Windows 10/11 默認(rèn)啟用“增強(qiáng)型會話模式”Enhanced Session Mode導(dǎo)致WTSGetActiveConsoleSessionId()返回 0服務(wù)端誤判為無活動會話跳過 GDI 截圖初始化。解決在ServiceMain.cpp中OnStart()函數(shù)內(nèi)強(qiáng)制獲取第一個交互式會話 IDDWORD sessionID WTSGetActiveConsoleSessionId(); if (sessionID 0xFFFFFFFF || sessionID 0) { // 回退枚舉所有會話找 StateWTSActive 的 LPWSTR ppSessionInfo nullptr; DWORD count 0; if (WTSEnumerateSessions(WTS_CURRENT_SERVER_HANDLE, 0, 1, ppSessionInfo, count)) { for (DWORD i 0; i count; i) { WTS_SESSION_INFO* pSession (WTS_SESSION_INFO*)ppSessionInfo; if (pSession[i].State WTSActive) { sessionID pSession[i].SessionId; break; } } WTSFreeMemory(ppSessionInfo); } }同時在ScreenCapture.cpp中CreateDC(LDISPLAY, NULL, NULL, NULL)前添加WTSConnectSession(sessionID, 0, 0, TRUE)確保會話激活。4.3 現(xiàn)象服務(wù)運行 2 小時后自動退出事件查看器報錯“Application Error: access violation at 0x00007FF…”原因Gh0st 的RecvThreadProc()使用WaitForSingleObject(hEvent, INFINITE)等待網(wǎng)絡(luò)事件但未處理hEvent被意外關(guān)閉的情況。當(dāng)客戶端異常斷連closesocket()觸發(fā)WSAENOTCONN錯誤hEvent句柄變?yōu)闊o效后續(xù)WaitForSingleObject調(diào)用引發(fā)訪問沖突。解決在RecvThreadProc()循環(huán)內(nèi)每次WaitForSingleObject前增加句柄有效性檢查if (hEvent INVALID_HANDLE_VALUE || hEvent NULL) { Log(RecvThread: invalid hEvent, exit); return 0; } DWORD ret WaitForSingleObject(hEvent, 5000); // 改為 5 秒超時避免永久阻塞 if (ret WAIT_TIMEOUT) continue; // 超時則重試 if (ret ! WAIT_OBJECT_0) { Log(WaitForSingleObject failed, error%d, GetLastError()); break; }5. 驗證 Gh0st 服務(wù)端穩(wěn)定性用 Process Monitor 抓取 72 小時內(nèi)存泄漏與句柄泄漏基線編譯部署完成后不能僅靠“連接成功”判斷可用性。工業(yè)場景要求服務(wù)端連續(xù)運行 ≥72 小時無內(nèi)存增長、無句柄堆積、無 GDI 對象泄漏。我一般用 Sysinternals Process MonitorProcMon配合自定義過濾規(guī)則抓取關(guān)鍵指標(biāo)基線。這不是玄學(xué)而是每個合格 Windows 底層工程師的必修課。5.1 ProcMon 過濾配置只捕獲 Server.exe 的內(nèi)核對象操作啟動 ProcMon需管理員權(quán)限設(shè)置如下過濾器Filter → Filter...FieldOperatorValueProcess NameisServer.exeOperationisCreateFile,CreateThread,NtCreateKey,NtCreateSection,NtCreateEventPathcontains\\Device\\or\\BaseNamedObjects\\Resultis notSUCCESS為什么只抓這些CreateFile涉及 GDI 對象如\\Device\\Null用于屏幕截圖緩沖區(qū)CreateThread泄漏會導(dǎo)致線程數(shù)指數(shù)增長NtCreateEvent異常表明同步對象未釋放過濾RESULT ! SUCCESS可快速定位失敗調(diào)用避免海量 SUCCESS 日志淹沒關(guān)鍵信息。5.2 72 小時監(jiān)控腳本自動導(dǎo)出句柄與內(nèi)存快照手動監(jiān)控效率低我寫了一個 PowerShell 腳本monitor_gh0st.ps1每 30 分鐘記錄一次Server.exe的句柄數(shù)與私有字節(jié)數(shù)$proc Get-Process -Name Server -ErrorAction SilentlyContinue if ($proc) { $handles $proc.Handles $pm $proc.PrivateMemorySize64 / 1MB $time Get-Date -Format yyyy-MM-dd HH:mm $time, Handles$handles, PrivateMB$pm | Out-File -FilePath gh0st_monitor.csv -Append }將腳本加入計劃任務(wù)每30分鐘觸發(fā)72小時后用 Excel 繪制折線圖。健康基線標(biāo)準(zhǔn)句柄數(shù)波動范圍 ≤ ±5正常值 30–40私有內(nèi)存增長 ≤ 2MB/24小時初始約 8MB72小時后 ≤ 14MB若句柄數(shù)持續(xù)上升如從 35→120說明CloseHandle()調(diào)用缺失需檢查ScreenCapture.cpp中DeleteDC()與DeleteObject()是否成對出現(xiàn)。5.3 GDI 對象泄漏定位用 GDIView 精確定位泄漏源ProcMon 只能告訴你“有泄漏”GDIView 才能告訴你“哪里泄漏”。下載 GDIViewNirSoft 工具篩選Server.exe進(jìn)程重點關(guān)注Bitmap對象數(shù)正常應(yīng)穩(wěn)定在 1–3 個主截圖緩沖區(qū) 鼠標(biāo)光標(biāo)位圖DC對象數(shù)正常為 1主設(shè)備上下文若Bitmap數(shù) 10說明CreateCompatibleBitmap()調(diào)用后未配對DeleteObject()若DC數(shù) 2說明CreateDC()或GetDC()后未調(diào)用DeleteDC()或ReleaseDC()。我在ScreenCapture.cpp的CaptureScreen()函數(shù)中曾發(fā)現(xiàn)一處經(jīng)典泄漏HDC hdc CreateDC(LDISPLAY, NULL, NULL, NULL); // 創(chuàng)建DC HDC memDC CreateCompatibleDC(hdc); // 創(chuàng)建內(nèi)存DC HBITMAP hBmp CreateCompatibleBitmap(hdc, width, height); SelectObject(memDC, hBmp); // ... BitBlt 操作 // ? 遺漏 DeleteObject(hBmp) 和 DeleteDC(memDC) // ? 正確結(jié)尾 DeleteObject(hBmp); DeleteDC(memDC); DeleteDC(hdc);這種泄漏在 72 小時內(nèi)會累積數(shù)百個 GDI 對象最終觸發(fā) Windows 的 GDI 句柄耗盡上限 10000導(dǎo)致整個系統(tǒng)界面卡死。修復(fù)后GDIView 顯示Bitmap數(shù)恒為 2DC數(shù)恒為 1。希望幫到你。本文還有配套的精品資源點擊獲取