远程控制(command&control,C2)---Fast flux

Single Flux

顾名思义，single flux是只有一层变化的fast flux，一个域名拥有一个不断变化的IP地址列表，列表可能包含成百上千条IP地址。为了实现频繁的IP地址变化，控制者控制最底层域名服务器，这个服务器返回频繁变化的C2服务器IP地址，如果使用别人提供的域名服务器，频繁的更改IP表容易被管理者检测出来，导致僵尸网络暴露。

Double Flux

较single flux多一层变化。控制者部署多个底层域名服务器来解析C2服务器域名，并不断修改顶级域名服务器中对应底层域名服务器的IP地址。于是就有了两层变化，一个是C2服务器的IP地址不断变化，一个是查询C2服务器地址的底层域名服务器不断变化，但是底层域名服务器的变化频率要低很多，因为顶级域名服务器不是控制者私有，容易被检测到频繁的变化，暴露僵尸网络。

由于这需要很多个C2服务器，但是这些C2服务器并不是控制者自己的机器，往往会使用控制者控制的某些僵尸主机，这导致控制者向C2服务器发送命令比较困难，于是实际情况中，只有控制者控制的C2主机保存控制命令，其他僵尸C2主机只进行命令的转发和作为查询命令的跳板功能。

资料：https://www.freebuf.com/articles/network/136423.html