BotnetvsC2

Botnet

Botnet 是由恶意软件感染并远程控制的大量计算机（Bot）组成的网络，攻击者通过 C2 服务器统一指挥，用于 DDoS 攻击、垃圾邮件、加密货币挖矿等。

C2

C2 是攻击者与被入侵主机之间的通信通道，用于下发指令、窃取数据和维持持久化访问。Cobalt Strike 是最知名的 C2 框架，被红队和真实攻击者广泛使用。

Botnet

• 大量被控计算机组成的网络
• 通过 C2 服务器统一指挥
• 用于 DDoS、垃圾邮件、挖矿等

C2

• C2 通信常伪装成正常 HTTP/DNS 流量
• Cobalt Strike 是最流行的商业 C2 框架
• 检测 C2 通信是防御方的核心任务

Botnet

由大量被恶意软件感染并远程控制的计算机组成的僵尸网络

C2

攻击者用于远程控制被入侵主机、下发指令和回传数据的通信基础设施

Botnet

• 大规模 DDoS 攻击
• 垃圾邮件和钓鱼邮件分发
• 加密货币挖矿

C2

• 红队演练的攻击基础设施
• 恶意软件分析中的通信追踪
• 网络威胁检测和响应

Botnet

Botnet 的生命周期：传播（漏洞利用、钓鱼）→ 感染（植入 Bot 程序）→ 注册（连接 C2 服务器）→ 执行（接收并执行命令）。著名 Botnet：Mirai（IoT 设备，发动了 1.2Tbps DDoS）、Emotet（银行木马转 Botnet）。现代 Botnet 使用 P2P 架构替代中心化 C2，更难被摧毁。

C2

C2 基础设施是高级攻击的核心组件，攻击者通过它远程控制被植入后门的主机（Bot）。现代 C2 框架支持多种通信协议（HTTP、DNS、SMB）和加密方式来规避检测。防御方需要通过网络流量分析、行为检测和威胁情报来识别 C2 通信。C2 的演进趋势包括：使用合法云服务作为中转、域前置（Domain Fronting）隐藏真实 C2 地址、以及去中心化 C2 架构。