前言

反向木馬透過 IE 漏洞、BT 下載、不明軟體植入動態 IP 用戶端，必須使用「反向連線域名」才能長久控制。掌握該域名即可追蹤幕後黑手、甚至進行域名劫持反制。本文分享實戰封包偵測方法與網路拓撲佈建技巧。

核心原理

木馬必須先向 DNS 伺服器查詢域名對應 IP，再連線主控端。木馬雖可隱藏系統層面的網路輸出，但 DNS 查詢封包必須經實體網路線/無線訊號傳出，無法在物理層隱藏。

實驗網路拓撲

• 一台筆電（受害機）與一台 PC（監聽機）接於同一 HUB。
• ADSL Modem 接 HUB UPLINK 埠（注意：UPLINK 埠與相鄰埠不可同時使用）。
• 選用 HUB 而非路由器：HUB 會將任一埠資料轉發至所有其他埠，筆電所有網路資料（含木馬隱藏流量）將無保留暴露於 PC 網卡。

工具準備

• 監聽工具：WinDump (Windows 版 tcpdump) + WinPcap 3.1。
• 入侵偵測工具：IceSword（可查看所有隱藏程序/服務）。

實戰步驟：以「灰鴿子」木馬為例

1. 確認筆電中毒：IceSword 發現隱藏程序 IEXPLORER 及服務 lente，禁止該服務。
2. 若無 IceSword：進入安全模式，搜尋 system32\_hook.dll，發現 systen_Hook.dll（灰鴿子特徵），登錄檔搜尋 systen 找到關聯服務 lente。
3. 停用所有第三方網路自啟程式，防止干擾 DNS 查詢。
4. 將 lente 服務改為「手動」，啟動服務。
5. 在 PC 上啟動 WinDump 監聽，觀察 DNS 查詢封包，即可捕獲反向連線域名。

進階應用

• 掌握域名後可持續監控黑手上線狀態。
• 可嘗試域名劫持，將所有受控機器導向自己設定的 IP，徹底瓦解控制鏈。
• 方法通用性強，可套用於其他反向木馬。

結語

物理層封包偵測繞過了木馬在系統層的隱藏手段，是揪出反向連線域名最直接有效的手法。掌握此技術，資安人員可從被動防禦轉為主動溯源反制。