Agent 安装与加白
目标机部署与杀软加白说明。
文档正文仍以中文为主；顶栏可切换界面壳层语言。完整英译文档后续分期补齐。
交付分档（先选档）
实施签字请写明档位。默认勾选标准档，避免事后用标准档能力验收保守档环境。
| 档位 | 能力 | 加白要求 |
|---|---|---|
| 标准档（默认） | 上线、交互截屏、浏览器凭据含新版 Chrome/Edge（v20 / ABE） | 安装目录 + 进程；并允许写入 Edge/Chrome/Brave Application（或弹窗点允许）。凭据备份会短时写入 bcabe_*.exe |
| 保守档（需书面改签） | 上线、交互截屏；凭据可能仅部分明文（DPAPI） | 安装目录 + 进程即可；见 abe drop blocked → dpapi-only 属已知降级，不是包坏了（D-080） |
加白清单（摘要）
- 先加白，再安装；使用固定目录（推荐
C:\Program Files\HavocLab\...），避免长期只从桌面 / Temp 运行。 - 排除文件夹：
C:\Program Files\HavocLab\OpsAgent、C:\ProgramData\HavocLab\OpsAgent；进程OpsAgent.exe（Demon/打包名以实机为准，如demon.x64.exe/Qykernel.exe）。 - 标准档追加：信任上述进程写入 Edge/Chrome
Application目录（凭据备份会短时写入bcabe_*.exe）。360 弹「修改关键程序文件」时请允许，勿反复重出 Payload。 - 截屏与隐蔽桌面须交互桌面（目标用户已登录且在活跃会话中）；服务态/Session 0 直接采屏失败属 Windows 原生会话隔离机制。跨 Session 调度可通过 Token 模拟派生 Worker 或使用多用户并发 RDP 模块开启新会话。
- RDP 并发与隧道：开启多用户 RDP 严禁在目标机执行
netsh开放外网端口，必须使用 PC 端的反向端口转发（rportfwd）从本地 127.0.0.1 映射接入。 - 动态 BOF 模块：
rdp_concurrent、browser_creds与web3_vault均为纯内存按需加载执行，不留磁盘持久化可疑特征。
推荐流程（实验室 Demon）
- 默认按标准档加白（目录 + 进程 + 允许
bcabe_写入浏览器 Application）；仅客户拒绝时改签保守档。 - PC 客户端（Web 登录）按 生成与配置 Payload 生成 Windows Exe 并保存。
- 将 exe 与仓库
deploy/ops-agent/脚本拷到目标机；装到固定目录。 - 先加白，再以管理员运行安装脚本（若使用）。
- 在 Teamserver 客户端确认会话上线；冒烟：交互截屏 +
browser_creds backup（标准档期望abe ok；见dpapi-only先查加白，勿重出包）。