反向木馬的隱身術與破解思路

反向木馬為繞過動態 IP 限制，必須主動連回控制端，核心要素是反向連線域名。木馬雖能在系統層隱藏進程、檔案、埠口、服務，但 DNS 查詢請求必須經由物理網路傳輸——這就是突破口。本文構建「筆電（受害機）+ PC（監聽機）+ HUB + ADSL MODEM」拓撲，利用 HUB 廣播特性，在 PC 上以 WinDump 捕獲筆電所有網路封包，繞過系統層隱藏機制。

實戰演練：以灰鴿子為例

環境準備：筆電感染灰鴿子，用 IceSword 發現隱藏服務 lente、隱藏進程 IEXPLORER，禁用無關啟動項、將 lente 改為手動啟動。
第一輪監聽：監聽筆電向預設 DNS（202.96.209.6）查詢，發現只詢問 ns1.3322.net（希網動態 DNS 主伺服器），推測木馬故意繞路掩飾。
第二輪監聽：改監聽筆電與 ns1.3322.net 通訊，捕獲關鍵查詢：MX 記錄查詢 65200.huigezi.org。Bingo！此即反向連線域名。Ping 驗證 IP 與 IceSword 顯示的 IEXPLORER 連線 8000 埠 IP 一致，確認無誤。
技術疑問：為何直接查詢權威 DNS 而非遞歸查詢？推測為木馬自我保護機制，繞過本地 DNS 快取與日誌。

取得域名後的戰術選項

掌握反向域名即掌握主動權：可隨時查詢駭客上線狀態、地理位置，甚至嘗試域名劫持將受控機器導向己方伺服器。若遭破壞嚴重（如硬碟數據被刪），報警找網警是正道。技術手段雖強，法律才是終極武器。

心得與致謝

過程中歷經雜訊干擾、重啟無數次，但「創新思路比工具更重要」。物理層旁路嗅探原理上對抗所有反向木馬，故筆者極少使用此類木馬。致敬 LOVEBOOM 等大神反編譯灰鴿子客戶端提取配置，技術無國界，交流俱進。