BackdoorvsC2

Backdoor

Backdoor 是攻击者在目标系统中植入的隐蔽访问通道，绕过正常认证直接获取控制权。后门可以是修改的系统文件、隐藏的用户账户或植入的恶意代码。

C2

C2 是攻击者与被入侵主机之间的通信通道，用于下发指令、窃取数据和维持持久化访问。Cobalt Strike 是最知名的 C2 框架，被红队和真实攻击者广泛使用。

Backdoor

• 绕过认证的隐蔽访问通道
• 攻击者维持持久访问的手段
• 可能存在于软件、硬件或固件中

C2

• C2 通信常伪装成正常 HTTP/DNS 流量
• Cobalt Strike 是最流行的商业 C2 框架
• 检测 C2 通信是防御方的核心任务

Backdoor

绕过正常认证机制的隐蔽系统访问通道

C2

攻击者用于远程控制被入侵主机、下发指令和回传数据的通信基础设施

Backdoor

• 渗透测试后的持久化验证
• 系统完整性的审计
• 供应链安全的检测

C2

• 红队演练的攻击基础设施
• 恶意软件分析中的通信追踪
• 网络威胁检测和响应

Backdoor

后门的形式多样：Web Shell（PHP/JSP 一句话木马）、SSH 公钥植入、隐藏管理员账户、修改的系统二进制文件、供应链后门（如 xz-utils 事件）。后门的检测依赖文件完整性监控、异常登录检测和网络流量分析。供应链后门是最难检测的类型，因为恶意代码隐藏在可信软件中。

C2

C2 基础设施是高级攻击的核心组件，攻击者通过它远程控制被植入后门的主机（Bot）。现代 C2 框架支持多种通信协议（HTTP、DNS、SMB）和加密方式来规避检测。防御方需要通过网络流量分析、行为检测和威胁情报来识别 C2 通信。C2 的演进趋势包括：使用合法云服务作为中转、域前置（Domain Fronting）隐藏真实 C2 地址、以及去中心化 C2 架构。