# LovelyHawk
项目地址：https://github.com/LovelyTeams/LovelyHawk
[](https://github.com/LovelyTeams/LovelyHawk#lovelyhawk)

**面向 Linux 与 Windows 的应急响应与安全运维桌面工作台**

基于 Rust 与 Tauri 2 构建的离线便携桌面工具（原名 LovelyRes / LovelyERes）。  
通过原生 **SSH / SFTP** 与 **Windows RDP 动态虚拟通道（DVC，仅需 TCP 3389）**，提供从环境识别、证据采集、关联排查、受控遏制到独立复核与恢复的完整工作流。

## 项目简介

[](https://github.com/LovelyTeams/LovelyHawk#%E9%A1%B9%E7%9B%AE%E7%AE%80%E4%BB%8B)

**LovelyHawk** 旨在同时服务一线应急响应人员与日常系统运维工程师：

*   **对新手友好**：无需死记复杂命令或底层参数。界面直接呈现当前目标状态、风险线索、关注原因、推荐排查步骤与处置影响，对关键术语原位解释。
*   **对专家高效**：支持全局与表内搜索、多维筛选、排序、原始证据复制、CSV / Markdown / HTML 导出、键盘快捷键、右键上下文处置菜单，以及带完整差异预览的计划执行。
*   **安全与留证优先**：所有远端操作绑定目标身份与会话代次（`TargetGuard`）；高风险变更强制经过“不可变计划 → 明确确认 → 单次执行 → 审计记录（Journal）→ 独立回读验证（Verify）→ 可恢复回滚（Restore）”闭环。
*   **开箱即用的便携设计**：单目录离线分发，所有字体、图标与规则库均内嵌于可执行文件中，运行时零外部 CDN 请求；运行数据统一保存在程序同级的 `data/` 目录下，不污染系统用户目录。

## 核心能力矩阵

[](https://github.com/LovelyTeams/LovelyHawk#%E6%A0%B8%E5%BF%83%E8%83%BD%E5%8A%9B%E7%9F%A9%E9%98%B5)

### 1\. Linux 应急响应与系统运维（SSH / SFTP）

| 模块       | 主要能力                                                                                              |
|----------|---------------------------------------------------------------------------------------------------|
| 连接与认证    | 支持密码、私钥（含口令）、OpenSSH 证书、键盘交互 MFA、SSH Agent 与跳板机（Bastion）；首次连接强校验主机指纹，按错误类型提供清晰中文诊断                |
| 终端与文件子窗口 | 独立多标签 SSH 终端窗口（内置选中输出 AI 解释）、双栏 SFTP 与本机文件浏览器、支持单次撤销的文件删除/改名/改权限、独立文件编辑器（含远端并发修改检测）、任意文件夹一键打开独立终端 |
| 主机全景     | 26 个细分视图覆盖主机概况、进程、网络连接、用户与组、登录历史、系统服务、定时任务、启动项、内核模块等，支持表格行右键直接排查或遏制                               |
| 应急命令工作台  | 分类只读排查目录；针对可疑 SUID / 可执行文件支持右键去执行位、同目录权限隔离与一键撤销；支持远端文件 SHA-256 留证下载并自动登记清单                        |
| 日志分析与留证  | 自动发现常规与非标日志路径，支持 .gz 及 RPM 式轮转日志在线解压分页阅读、敏感信息原位标注、自定义匹配规则、AI 辅助日志研判及原文件留证                         |
| 网络抓包     | 网卡识别、BPF 过滤表达式安全校验、实时数据包解析，以及远端 .pcap 抓包留证下载（双重 SHA-256 核验与中断自动清理）                                |
| 命令审计与完整性 | 命令审计包装器部署、移除与周期统计（自动识别 BusyBox / coreutils 多合一程序并拒绝误替换）；文件完整性基线创建、差异比对、一键隔离与恢复                    |
| Java 热更新 | 扫描运行中 Java 进程与关联 JAR（含 /proc/<pid>/fd 打开的通配类路径 JAR），在保持原属主与权限的前提下替换 .class 并支持逐字节恢复               |

![](/media/202610/80a0dc787f224e55a8fe30c110c48f455365.png)

### 4\. Windows 应急响应工作台（RDP DVC · 仅需 TCP 3389）

[](https://github.com/LovelyTeams/LovelyHawk#4-windows-%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94%E5%B7%A5%E4%BD%9C%E5%8F%B0rdp-dvc--%E4%BB%85%E9%9C%80-tcp-3389)

针对防火墙仅放行 `TCP 3389`、不通 WinRM / SSH / SMB 且不挂载本地磁盘的严苛内网现场，LovelyHawk 通过 `crates/lovelyhawk-win-dvc` 实现了**进程内 Rust COM LocalServer 插件**与动态虚拟通道（`DRDYNVC` / `dvc::lovelyhawk::winir`）：

*   **三步向导与内嵌远程桌面**：在工作台内直接注册当前用户插件并内嵌原生 `mstsc.exe` 远程桌面画面（支持自适应或固定预设分辨率，默认关闭磁盘/打印机重定向以防反向污染）。
*   **免落地脚本 / 独立 Agent 双模式**：支持一键复制 UTF-16LE Base64 编码的免落地 PowerShell 采集命令到远程会话运行，或手动复制独立采集端 `lovelyhawk-win-agent.exe` 运行。
*   **19 个排查、取证与处置模块**：
    *   **主机与方案**：主机总览（BIOS、补丁、网卡、Defender 与防火墙概况）、**14 类常见应急响应方案（Playbooks）**（覆盖初查、勒索、挖矿、木马、异常登录、计划任务/WMI 驻留、脚本、凭据转储、横向移动、IIS、驱动、防护异常、外传与域控分流，可直接联动对应采集入口）。
    *   **活动与持久化调查**：进程分析（进程树/列表切换、PID 关联网络/服务/DLL、单进程与进程树固定计划终止及退出复核）、**命令监控**（汇总并实时监控 4688 / Sysmon 1 / PowerShell 4104 / PSReadLine 命令活动）、网络连接、启动项（19 类持久化位置分类统计）、服务、驱动、计划任务（按对象查看运行/触发器/依赖详情，支持快捷启停、禁用、受保护删除与配置恢复）、本地账户。
    *   **取证分析**：调查时间线（事件、进程、文件、账户多源聚合与 CSV 导出）、事件日志（16 类快速查询预设与 6 个常见日志目录联动）、**Defender 解析**（威胁检出、处置状态、排除项与防篡改变更）、文件排查（32 个常用目录预设、目录树、SHA-256、文本/Hex/PE 预览、ACL 与进程/服务/驱动占用诊断、单文件 8 MiB 完整性校验拉取）、**Webshell 查杀**（多线程扫描 Web 目录，检测 PHP/ASP/ASPX/JSP 一句话后门、冰蝎/哥斯拉特征与高熵混淆脚本）、注册表（37 个常用位置预设与完整键树）。
    *   **基线配置与独立通道窗口**：**69 项（15 类）安全基线检测**，其中 19 项注册表策略支持原值备份、差异预览、逐项回读与并发保护恢复；专用 **`windows-channel` 独立窗口**管理采集任务、已接收文件另存、命令检查台（含 28 个只读命令预设）与通信日志。

### 5\. 支撑工具与全局体验

[](https://github.com/LovelyTeams/LovelyHawk#5-%E6%94%AF%E6%92%91%E5%B7%A5%E5%85%B7%E4%B8%8E%E5%85%A8%E5%B1%80%E4%BD%93%E9%AA%8C)

*   **安全速查、笔记、命令历史、AI 历史、应用日志、处置报告**（支持纯文本、Markdown、HTML 预览与安全导出）。
*   **16 套内置主题配色**：内置 10 套浅色主题（月白、樱花、桃夭、庭芜绿、东方既白、春辰、挼蓝、林野脉冲、珊瑚警报、霓虹频谱、小小火花）与 6 套深色主题（玄青、事件画布、深海薄荷绿、午夜蓝紫、咖棕焦糖、墨绿玫瑰）。宿主在窗口首帧绘制前注入原生底色，杜绝启动闪白。

应急响应桌面工作台