**1. 干什么** 反弹 Shell 是被控进程主动向攻击者监听地址发起 connect，再经 dup2 把标准流改接到该 TCP 连接，最后 execve 启动 Shell。无特殊后门通道，全部使用公开系统调用。 **2. 谁在调** * 用户态主体：被控机上由 Web 服务或命令触发的进程。 * C 库封装层：`socket`、`connect`、`dup2`、`execl`/`execve`。 * 内核态主体：协议栈完成外连握手，文件描述符表复制，映像替换。 **3. 做什么业务** 被控进程先 socket 取得 fd，connect 连回攻击者监听端口，内核完成握手。随后 dup2 把该 fd 复制为标准输入 0、标准输出 1、标准错误 2。最后 execve 启动`/bin/sh`。Shell 默认从标准输入读命令、向标准输出写结果，三条标准流改接 TCP 后，命令自网络进入、结果经网络返回，Shell 不感知输入输出来源。 **4. 组件清单** * 外连 socket 与 connect * dup2 标准流重定向（0/1/2） * ex