①受到木马控制的PC将数据封装到DNS数据报文里，向位于内网的本地域名服务器请求查询baidu.com.
②本地域名服务器透过防火墙向根域名服务器发送查询请求
③经过大量的递归重定向，查询请求发到baidu.com的（伪造）权威域名服务器
④baidu.com（伪造）权威域名服务器是在攻击者控制下，解析并发送响应包
⑤dns响应包穿透内网防火墙
⑥进入内网
⑦本地域名服务器将响应包返回给受控客户端
⑧受控客户端解析DNS响应包中的数据，获取指令几种常见DNS隧道工具流量分析
1、dns2tcp