跳到正文
ITDWeb 安全平台
ITD
搜索

术语表

#C2#事件响应#威胁情报#检测

C2（命令与控制）是什么：入侵后攻击者远程操控终端的通信

C2（命令与控制／C&C）是被入侵终端回连攻击者服务器、接收命令和外传数据的远程操控通道。讲解检测线索（定期信标通信、已知恶意目的地）与出口控制、DNS 监控等防御。

发布于 2026-06-11 更新于 2026-10-06 2 分钟阅读
本页目录

C2 是攻击者在入侵之后持续操控终端所用的通信。本文讲解它的原理，以及察觉与防范的方法（不涉及攻击工具与运用方式）。

在攻击流程中的位置

C2 不是「入侵本身」，而是在其之后到来的。

① 入侵（例如：RCE·钓鱼·恶意软件）
↓
② 终端向攻击者服务器「回连」（信标＝定期的存活确认）
↓
③ 接收命令·外传数据（远程操控）
入侵之后，终端会回连攻击者服务器（C2）。那里正是检测与阻断的机会。

这里重要的是，②的外向通信正是检测与阻断的机会。即便要 100% 防住入侵很难，也仍有在外向通信阶段察觉并拦下的余地。

C2、后门与僵尸网络的区别

这几个词常被混用。按角色区分如下。

术语含义与 C2 的关系
C2（C&C）攻击者与被入侵终端之间的远程操控通道，以及发送命令的服务器—
后门留在终端上、绕过正常认证的入口常常与 C2 通信以接收命令
僵尸网络大量被劫持的终端，同时接收来自同一 C2 的命令C2 从一处操控大量终端
RCE能远程执行任意代码的漏洞实现 C2 之前那次入侵的手段之一
信标终端以固定间隔发给 C2 的简短消息C2 仍在活动的迹象

为什么它能混入正常通信

整理攻击者手法的 MITRE ATT&CK 把 C2 列为独立的阶段（TA0011）：攻击者试图与被入侵的系统通信以操控它们。其中列出的典型手法，是利用网页、DNS 等日常协议，混入现有通信，以躲避检测和过滤。

所以，只封锁特定的端口号是不够的。ATT&CK 列出的缓解措施是过滤网络通信和网络入侵防御。实务上有两种思路有效：

  • 按目的地限制：用允许清单决定服务器可以访问哪些目的地，封锁其他外向通信
  • 按形态察觉：不看内容，而看目的地、间隔、数据量以及是哪个程序在通信

如何察觉（检测的线索）

线索看什么
信标（定期通信）以固定间隔发往同一目的地的规律性外向通信
陌生的目的地可疑的域名/IP（与已知恶意目的地＝IOC 比对）
可疑的 DNS向陌生域名的查询·异常增多的 DNS
意料之外的路径在意料之外的端口/协议上的外向通信

如何防御

1

从源头上不让其入侵（基础措施）

打补丁（CVE 监控）·最小权限·MFA·不要把机密以明文形式存放。C2 处于「入侵之后」的阶段，因此越能防止入侵，C2 出现的机会就越少。
2

限制外向通信（egress）

把服务器或终端的外向通信限制为只允许必要的目的地与端口（egress 过滤）。即便被入侵，只要无法向外回连，C2 也就难以成立。
3

监控 DNS 与通信日志

让自己处于能够察觉可疑定期通信·陌生目的地·异常 DNS 的状态（→ IOA＝靠行为察觉）。
4

比对并拦截已知的恶意目的地

把威胁情报分发的已知 C2 目的地（IOC）与自己的通信日志和防火墙加以比对并拦截。

真实案例：外向通信成为线索的情形

在本站报道的 Codecov 入侵事件（2021 年）中，在 CI 中运行的分发脚本被篡改，据报道约两个月间，机密信息从客户的 CI 环境被发送到外部服务器。被篡改的代码不是客户自己的代码，所以审查自己的代码也发现不了。

事后可以核查的线索，是从 CI 发往陌生目的地的外向通信。如果 CI 的外向通信被限制为必要的目的地、其他通信都留有记录，就有余地挡下发送或更早察觉。无论是 C2 还是数据窃取，入侵之后的攻击要达成目的，都必须与外部通信。

如何在自己的环境中检查

  1. 列出当前的外向连接：在 Windows 上，Get-NetTCPConnection -State Established 会显示每个目的地及其 OwningProcess（正在通信的程序的 ID），用 Get-Process -Id <ID> 可以查到程序名。在 Linux 上，ss -tunp 起同样的作用
  2. 复查云服务的出站规则：例如 AWS 的默认安全组允许所有出站通信。写下服务器真正需要访问的目的地（操作系统更新、支付或邮件 API 等），限制其余的
  3. 检查 DNS 查询历史：在路由器或 DNS 服务的日志中，查找以固定间隔反复出现的陌生域名查询
  4. 按目的地统计：把代理或防火墙日志按目的地汇总，查找一整天以相同间隔发送少量数据的通信。找到后，确认目的地的所有者，判断它是否是正常的更新检查
  5. 与公开的目的地比对：在日志中搜索监管机构或厂商公布的 C2 目的地（IOC）

本站的视角：外向通信也要防护，确认没有 C2 也是调查的一部分

C2 这一思路带来的最大启示是：防守不只是防止入侵。即便完全防止入侵很难，也仍有限制外向通信、察觉可疑回连的余地。本站在把「让其无法入侵的设计（打补丁·最小权限·MFA）」作为首选的同时，建议把出口控制与通信监控作为最后一层防御一并具备。此外，在怀疑发生入侵时的调查中，确认不存在常驻的 C2（后门或非法的定期通信）是关键的一环。要得出「影响有限」的结论，对外向通信的确认不可或缺。

出处（一手资料）

  • MITRE ATT&CK，“Command and Control (TA0011)” — attack.mitre.org（C2 阶段的定义）
  • MITRE ATT&CK，“Application Layer Protocol (T1071)” — attack.mitre.org（混入现有通信，以及通信过滤等缓解措施）
  • AWS，“Default security groups for your VPCs” — docs.aws.amazon.com（默认的出站规则）
  • Codecov 的出处列在案例文章中

接下来阅读

分类编号

CWE 对导致漏洞的弱点类型进行分类，MITRE ATT&CK 对攻击者的技术进行分类。两者均由 MITRE 维护，广泛用于标注漏洞信息和检测规则。

ATT&CK（攻击技术）

© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. MITRE ATT&CK and ATT&CK are registered trademarks of The MITRE Corporation. The MITRE Corporation (MITRE) hereby grants you a non-exclusive, royalty-free license to use ATT&CK® for research, development, and commercial purposes. Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ATT&CK Terms of Use

FAQ

QC2（命令与控制）是什么？
A

它是被入侵的终端（感染了恶意软件、或被漏洞攻陷的 PC 或服务器）「回连」攻击者的服务器，从那里接收命令、或把窃取的数据外传出去的远程操控通道。放到攻击的流程里看，它处于入侵（例如 RCE）成功「之后」、攻击者用来持续操控终端的环节。

Q如何察觉 C2？
A

主要线索是「外向的通信」。被感染的终端常常会以固定的间隔向攻击者服务器发送「存活确认」通信（信标）。向异常目的地发出的规律性定期通信，向陌生域名发起的 DNS 查询，以及意料之外的端口/协议上的外向通信等，都是线索。这些既可以用痕迹（IOC）捕捉，也可以用行为（IOA）捕捉。

Q防御 C2 的基本做法是什么？
A

①从源头上不让其入侵（打补丁·最小权限·MFA），②限制外向通信（「egress 过滤」），③监控 DNS 与通信日志，以察觉可疑的定期通信或目的地，④比对威胁情报提供的已知 C2 目的地（IOC）并加以拦截。重要的思路是：攻击不仅能在入侵时拦下，也能在外向通信的阶段拦下。

QC2 和 C&C 有什么区别？
A

两者意思相同。C&C（Command and Control）是较早的缩写，如今 C2 更常用。「C&C 服务器」和「C2 服务器」都指向被入侵终端发送命令的攻击者一方的服务器。

QC2 信标是什么？
A

被入侵的终端以固定间隔发给 C2 服务器的简短消息，用来报告自己仍在运行、并确认是否有新命令。它的特征是按固定时间表向同一目的地发送少量数据，因此把通信日志按目的地排序就可能发现它。软件更新检查等正常通信看起来也一样，所以要先确认目的地是什么再下判断。

Q用 HTTPS 加密的 C2 通信也能检测吗？
A

即使看不到内容，线索依然存在：发往哪个目的地、间隔多长、数据量多少、终端上是哪个程序在发送。陌生的域名、固定的间隔、本不应联网的程序发起的网络通信，即使加密也都看得到。而且，只要把外向通信限制为必要的目的地，无论是否加密，这些通信都会被挡下。