查出反向木马的反向连接域名

其中192.168.1.2是NOTEBOOK的IP地址，202.96.209.6是NOTEBOOK的主域名服务器，并且没有设置辅助域名服务器。 PC机的IP地址是192.168.1.3，这不太重要，因为是通过HUB连接的，只要启用网卡，无论设置成怎么样都会监听到NOTEBOOK的数据。
 
  监听NOTEBOOK向默认域名服务器（202.96.209.6）的域名查询请求（图3）：

PC机命令行输入：
windump –vvnXi2 src 192.168.1.2 and dst 202.96.209.6
命令中vv表示更详细的显示输出,n表示用数字表示服务端口和用IP表示已知域名的IP
src 192.168.1.2 and dst 202.96.209.6表示只监听来自192.168.1.2并且目标是202.96.209.6的数据包，当然可以根据需要随机应变。

监听NOTEBOOK接受到默认域名服务器（202.96.209.6）的域名查询响应

从以上监听数据来看，灰鸽子服务的启动过程中只向域名服务器查询了ns1.3322.net的IP地址，并且域名服务器返回的结果告诉我 ns1.3322.net的IP地址是61.177.95.125，查询类型为A，即最普通的域名到IP的查询。当然ns1.3322.net绝不可能是那个反向连接域名，因为这是希网动态域名解析的主DNS服务器。灰鸽子居然向我的默认DNS服务器查询另外一个DNS服务器的IP，或许是使用别的域名服务器，为了掩人耳目？我停止了PC机上的监听，准备改成监听ns1.3322.net和NOTEBOOK之间的数据，果然不出所料，得到以下结果。

上一页  [1] [2] [3] 下一页