背景與原理

反向木馬主要透過 IE 漏洞、BT 下載誤執行、不明來源軟體植入。受害者多為動態 IP 個人用戶，若非反向連線（伺服器端主動連回控制端），駭客無法長期控制。木馬反向連線必須先向 DNS 伺服器查詢域名對應 IP，再連接主控端。許多木馬透過修改系統檔、進程注入、API Hook 實現服務/進程/檔案/連接埠隱藏，系統輸出不可靠（封包可能被竄改）。但域名查詢請求必須經實體網路線/無線訊號傳出，此為溯源突破口。

實驗拓撲

• 筆電（受害機，IP 192.168.1.2）與 PC（監聽機，IP 192.168.1.3）接於 HUB。
• ADSL Modem 接 HUB UPLINK 埠（注意：UPLINK 與相鄰埠不可同時使用）。
• 選用 HUB 而非路由器：HUB 將任一埠資料轉發至其他所有埠，筆電資料無保留暴露於 PC 網卡。

工具準備

• 監聽工具：WinDump (Windows 版 tcpdump) + WinPcap 3.1
• 入侵偵測工具：IceSword（查看隱藏進程/服務）

實驗過程（以灰鴿子為例）

1. 確認筆電中毒：IceSword 發現 IEXPLORER 進程與 lente 服務隱藏。禁止 lente 服務（或安全模式搜尋 _hook.dll → systen_Hook.dll，登錄表搜尋 systen 關聯服務名）。
2. 停用筆電所有第三方網路自啟程式，避免干擾。將 lente 服務改為「手動」，啟動服務，PC 端觀察監聽結果。
3. 筆電預設 DNS：202.96.209.6（無備用 DNS）。

階段一：監聽筆電 → 預設 DNS (202.96.209.6)

命令：windump -vvnXi2 src 192.168.1.2 and dst 202.96.209.6
結果：灰鴿子啟動過程中僅查詢 ns1.3322.net 的 IP，DNS 回應 61.177.95.125，查詢類型 A。ns1.3322.net 為希網動態域名主 DNS，非真正反向連線域名，推測為掩人耳目改用他家 DNS。

階段二：監聽筆電 → ns1.3322.net (61.177.95.125)

停止原監聽，改監聽筆電與 ns1.3322.net 通訊。
結果：筆電向 ns1.3322.net 發送查詢 65200.huigezi.org，查詢類型 MX（郵件交換記錄）。DNS 回應 MX 記錄指向同域名。
確認反向連線域名：65200.huigezi.org。Ping 驗證 IP 與 IceSword 所見 IEXPLORER 連接的 8000 埠 IP 一致，結果準確。

技術疑問與後續利用

疑問：nslookup 顯示 huigezi.org 的 NS 為 ns1.3322.net，為何木馬直接查詢 ns1.3322.net 而非遞迴查詢？推測為木馬自我保護機制（繞過本地 DNS 緩存/記錄）。

取得域名後可進行域名劫持等反制（技術門檻較高），或報警處理（110 找網警）。

心得與花絮

• 監聽過程遇干擾（其他程式存取網路導致輸出狂閃），多次重啟系統調整，技術靈活運用與創新思路關鍵。
• 原理上對所有反向連線木馬有效，故筆者極少使用反向連線木馬（早覺不安全）。
• 花絮：中毒源於 BT 下載《死神》漫畫，檔名 bleach000.exe 偽裝 JPG 圖示（系統隱藏已知副檔名），手快點擊中招。