无处藏身：irtk 设计文档

.
├── config.py         # 配置模块
├── config.yaml       # 配置文件
├── downloads         # 存放从远程下载的文件
│   └── access.log    # 样例文件，可删除
├── main.py           # 主程序，python3 main.py
├── oss.py            # OSS 模块
├── output            # 存放输出的结果
│   └── xxx.md        # 样例输出结果，可删除
├── recon             # 信息收集模块
│   ├── basic.py
│   ├── cron.py
│   ├── env.py
│   ├── files.py
│   ├── __init__.py
│   ├── log.py
│   ├── network.py
│   ├── process.py
│   ├── recon.py
│   ├── rootkit.py
│   ├── service.py
│   ├── ssh.py
│   └── users.py
├── requirements.txt  # 存放 Python 依赖信息，pip install -r requirements.txt
├── server.py         # 配合钉钉机器人使用的服务器程序，nohup python3 server.py &
├── ti.py             # 威胁情报模块
├── util.py           # 工具函数模块
└── yuque.py          # 语雀模块，已废弃

mode: remote # 运行模式：local/remote

ssh_info: # SSH 相关配置
  host: x.x.x.x # SSH 主机
  port: 22 # SSH 端口
  username: root # SSH 用户名
  password: "xxx" # SSH 密码
  pkey: "/path/to/id_rsa" # SSH 私钥

file_transfer: # 文件传输相关配置
  upload_dir: /tmp/irtk_upload # 远程上传路径
  download_dir: ./downloads # 本地下载路径

recon: # 信息收集项开关配置
  users: true
  ssh: true
  process: true
  network: true
  cron: true
  log: true
  files: true
  env: true
  service: true
  rootkit: true

process: # 进程信息收集相关配置
  cpu_top: 20 # 收集 CPU 占用前 x 的进程
  mem_top: 20 # 收集内存占用前 x 的进程

log: # 日志信息收集相关配置
  custom_log_path: /var/log/yum.log # 自定义收集的日志路径

files: # 文件信息收集相关配置
  verbose: false # 是否进行部分较为耗时的操作，时间过长时可关闭
  mtime: 1 # 查找过去 x 天内被修改的文件
  ctime: 1 # 查找过去 x 天内被修改的文件
  large_files_threshold: 200M # 大文件阈值

ti: # 威胁情报相关配置
  ak: xxx # 威胁情报 API Key

mkdocs: # MkDocs 相关配置
  enabled: false # 是否输出结果到 MkDocs，local 模式下无效
  endpoint: http://x.x.x.x:8000 # MkDocs 服务地址
  path: /root/mkdocs/docs # 本地 MkDocs 文档目录

oss: # OSS 相关配置
  endpoint: https://oss-cn-hongkong.aliyuncs.com # OSS endpoint
  bucket: ir-transfer-station # OSS bucket
  tools_dir: Tools # OSS 中安全工具存放路径
  ak: xxx # OSS AccessKeyId
  sk: xxx # OSS AccessKey Secret