用途：从 Agent Tesla RAT（基于 .NET 的远控木马与键盘记录器）样本中提取内嵌配置，还原其外传方式与相关凭据，用于授权安全测试、恶意样本分析、红队演练及检测能力建设。
主要能力：识别并提取 SMTP 服务器地址与邮箱、FTP 端点、Telegram bot token 与 chat_id、Discord webhook、密码与端口等配置项；尝试对字符串加密、资源加密及 Base64 混淆进行解码；分析外传方法（SMTP/FTP/Telegram/Discord）；输出原始配置与外传方法报告。验证要点包括外传方式、服务器地址与凭据、目标应用列表、键盘记录与截屏设置、持久化机制及可用于网络阻断的 IOC。
使用方式：需准备 dnSpy 或 ILSpy 进行 .NET 反编译，Python 3.9+ 配合 dnlib 或 pythonnet 做自动化提取，de4dot 用于 .NET 去混淆，并理解 .NET IL 与 Reflection；动态分析建议使用 ANY.RUN、CAPE 等沙箱。示例脚本以命令行方式运行：python3 脚本名 <agent_tesla_sample>，先提取可读字符串与常见配置模式，再对高熵字节序列尝试 XOR 解密，最后汇总外传方法并以 JSON 输出。
适用场景：授权渗透测试、红队演练、恶意样本与攻击痕迹分析、基于攻击技术理解构建检测规则。
限制：仅限授权测试与受控环境使用；配置常被字符串加密、资源加密或自定义加载器（通过 .NET Reflection 内存执行）保护，提取可能失败或需人工逆向；示例中的解密逻辑仅覆盖部分版本，其他版本需自行分析；资料未提供具体收费、平台支持范围与效果保证。