Tunnel 先發確認資料報告存在 → 發新連接索取攻擊資料並處理從 HTTP 埠來的資料 → 執行入侵者想要操作。因為是「正常」資料傳輸，防火牆同樣看不見。目標若未開 80 埠？擅自開埠等於自殺。但入侵者不會忘記可愛的 NetBIOS 埠——長年開放的 139 埠，共享資料，何樂不為？Tunnel 技術讓後門隱蔽性再升級，但非無懈可擊：有經驗管理員可用 Sniffer 見異常…… Tunnel 被擊潰，更可怕的入侵正偷偷進行。
ICMP (Internet Control Message Protocol) 最常見網路封包，近年大量用於洪水攻擊，鮮人注意其也偷偷參與木馬戰爭。最常見 PING 為類型 8 ICMP 資料，規定遠端機收到回類型 0 應答「我在線」。但 ICMP 封包可攜帶資料，註定成入侵者得力助手。ICMP 由系統核心處理、不佔用埠、極高優先權，像核心親戚不受門衛阻攔。使用特殊 ICMP 攜帶資料的後門悄然流行，看似正常資料在防火牆監視下堂而皇之操控受害機，即使資深管理員也想不到這些「正常」ICMP 封包在吞噬機器。抓包？實際應用中傳輸資料的 ICMP 多半加密，怎麼查？對策：乾脆禁用所有 ICMP 傳輸，雖影響部份正常功能，但為避免被親戚謀殺只能忍痛。
網路建立在 IP 資料報基礎上，任何東西都要和 IP 打交道。IP 報文分首部（地址/識別資料，如信封）與主體（資料，如信紙）。我們只留意信紙，忽略信封是否塗氰酸鉀。這是協定規範缺陷（SYN 攻擊亦源於此）。IP 協定規定首部有特定長度放旗標/附加資料，導致幾位元組空白。別小看空白，能攜帶劇毒。混入受害機的郵遞員記錄信封「多餘」內容，拼湊成攻擊指令時進攻啟動。入侵者用簡短攻擊資料填滿 IP 首部空白，資料多則多發幾封。
後門技術發展至今，不再是死板機器對機器戰爭，它們學會考驗人類。防禦若仍停留在簡單資料判斷，將被無數新型後門擊潰。真正防禦必須以人工管理操作為主體，而非一味依賴機器代碼，否則機器將被腐蝕面目全非。
