设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [10418] 2016-08-22_追踪溯源希拉里邮箱泄露事件 ...
返回列表 发新帖
查看: 0|回复: 0

[10418] 2016-08-22_追踪溯源希拉里邮箱泄露事件

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2016-08-22_追踪溯源希拉里邮箱泄露事件 追 踪 溯 源   |   希 拉 里 邮 箱 泄 露 事 件 苏 哲   F r e e B u f   2 0 1 6 - 0 8 - 2 2 看 了 国 外 的 几 篇 针 对 希 拉 里 邮 箱 泄 露 事 件 的 溯 源 分 析 ， 感 觉 基 本 上 溯 源 算 是 失 败 了 。 黑 了 希 拉 里 的 人 是 什 么 动 机 ？ 来 自 哪 看 了 国 外 的 几 篇 针 对 希 拉 里 邮 箱 泄 露 事 件 的 溯 源 分 析 ， 感 觉 基 本 上 溯 源 算 是 失 败 了 。 黑 了 希 拉 里 的 人 是 什 么 动 机 ？ 来 自 哪 里 ？ 是 川 普 派 来 的 么 ？ 是 第 二 次 水 门 事 件 么 ？ 最 终 ， 答 案 都 是 不 知 道 。 里 ？ 是 川 普 派 来 的 么 ？ 是 第 二 次 水 门 事 件 么 ？ 最 终 ， 答 案 都 是 不 知 道 。 因 为 这 个 事 情 太 热 了 ， 以 至 于 国 外 的 安 全 公 司 不 得 不 跟 。 但 确 实 也 无 太 多 信 息 可 以 跟 。 在 整 个 溯 源 过 程 中 ， 大 家 用 的 方 法 却 有 很 多 值 得 借 鉴 和 学 习 ， 尤 其 是 未 来 在 追 踪 A P T 的 过 程 中 可 以 用 到 。 黑 了 希 拉 里 的 小 伙 自 称 ” G u c c i f e r ” ,   把 希 拉 里 的 邮 件 发 给 了 一 个 政 治 网 站 ， 也 发 到 了 w i k i l e a k s 。 如 果 你 只 对 希 拉 里 的 邮 件 感 兴 趣 ， 可 以 直 接 访 问 h t t p s [ : ] / / w i k i l e a k s [ . ] o r g / c l i n t o n - e m a i l s / 。 G u c c i f e r 用 G u c c i f e r 2 0 @ a o l . f r 发 邮 件 给 了 T h e   H i l l ， 一 个 美 国 的 政 治 网 站 。 所 以 安 全 公 司 追 踪 他 的 发 邮 件 源 : 从 邮 件 头 的 ” r e c e i v e d   f r o m ” 的 地 方 ， 可 以 看 到 发 信 的 I P 地 址 是 9 5 . 1 3 . 1 5 . 3 4 。 这 个 I P 是 最 后 的 发 件 地 址 。 是 法 国 的 I P 。 这 个 I P 有 意 思 的 地 方 是 ， 威 胁 情 报 网 站 定 义 该 I P 为 僵 尸 网 络 。 h t t p s : / / x . t h r e a t b o o k . c n / i p / 9 5 . 1 3 0 . 1 5 . 3 4 同 时 在 2 0 1 5 年 1 0 月 7 日 ， 被 记 录 曾 经 出 现 过 W o r d P r e s s 的 爆 破 行 为 。
然 后 安 全 人 员 想 根 据 这 个 i p 来 深 挖 。 于 是 想 知 道 I P 再 往 上 一 层 的 信 息 。 他 们 去 s h o d a n 做 了 查 找 : （ 吐 槽 下 国 产 Z o m e e y e 需 要 提 高 啊 … . . ） h t t p s : / / w w w . s h o d a n . i o / h o s t / 9 5 . 1 3 0 . 1 5 . 3 4 我 也 重 新 拿 起 工 具 扫 了 一 下 ， 发 现 已 经 扫 不 通 了 ， 所 有 端 口 都 关 了 。 一 点 额 外 的 信 息 都 没 有 。 但 从 s h a d o n 的 历 史 记 录 来 看 ， 他 之 前 至 少 开 过 3 个 端 口 。 安 全 人 员 通 过 S S H 的 f i n g e r p r i n t 来 在 s h o d a n 上 做 进 一 步 的 搜 索 ， 锁 定 了 6 台 机 器 ： 备 注 : 用 F i n g e r p r i n t 来 确 认 主 机 同 一 性 的 方 法 并 不 是 绝 对 的 可 靠 。 可 以 参 考 。 发 现 6 台 机 器 都 是 同 一 网 段 的 ， 下 一 步 是 要 解 决 ， 这 几 个 I P 到 底 是 做 什 么 的 ？ 把 每 个 I P 都 做 了 下 反 查 ， 发 现 9 5 . 1 3 0 . 9 . 1 9 8 这 个 I P 上 绑 定 了 f r 1 . v p n - s e r v i c e . u s 这 个 域 名 。 h t t p s : / / x . t h r e a t b o o k . c n / i p / 9 5 . 1 3 0 . 9 . 1 9 8 9 5 . 1 3 0 . 9 . 1 9 8   9 5 . 1 3 0 . 1 5 . 3 6   9 5 . 1 3 0 . 1 5 . 3 7   9 5 . 1 3 0 . 1 5 . 3 8   9 5 . 1 3 0 . 1 5 . 4 0     9 5 . 1 3 0 . 1 5 . 4 1
这 个 域 名 的 相 关 信 息 : h t t p s : / / x . t h r e a t b o o k . c n / d o m a i n / v p n - s e r v i c e . u s
分 析 太 多 这 个 网 站 的 注 册 人 并 无 太 多 意 义 ， 因 为 从 页 面 访 问 是 这 样 的 : 查 到 这 里 是 个 里 程 碑 。 从 e m a i l 的 I P ， s s h 的 指 纹 ， 找 到 网 段 ， 索 引 到 这 个 点 ， 确 定 这 是 一 个 V P N 。 这 一 套 组 合 拳 非 常 赞 。 虽 然 结 论 是 这 是 一 个 V P N 。 其 实 想 想 也 是 ， G u c c i f e r 说 自 己 做 好 了 所 有 防 护 措 施 ， 发 信 怎 么 可 能 不 用 跳 板 呢 。 但 如 果 因 为 这 个 V P N 页 面 访 问 是 俄 文 ， 据 此 就 推 断 ， 那 攻 击 者 应 该 是 个 俄 罗 斯 人 。 这 对 于 溯 源 ， 对 于 安 全 追 踪 来 说 ， 这 种 证 据 站 不 住 脚 。 何 况 这 个 网 站 还 支 持 英 文 版 。 这 中 间 少 了 关 键 的 一 环 。 之 后 安 全 人 员 在 一 个 打 码 平 台 ( 中 国 叫 打 码 ， 指 代 收 短 信 ， 假 手 机 号 ) ， 找 到 了 这 个 i p 曾 经 在 1 1 个 月 前 ， 注 册 了 打 码 平 台 并 且 接 受 了 短 信 从 接 受 的 短 信 是 俄 语 ， 希 望 佐 证 攻 击 者 是 俄 罗 斯 人 。 但 这 就 像 一 个 证 明 题 ， 有 两 个 问 题 你 需 要 证 明 : 这 个 I P 既 然 是 V P N 平 台 ， 就 要 证 明 这 个 I P 一 直 是 攻 击 者 在 使 用 ， 而 不 是 随 机 分 配 I P 的 要 证 明 1 1 个 月 前 ， 攻 击 者 已 经 注 册 了 这 个 平 台 。 可 惜 都 无 法 证 明 。 到 这 里 溯 源 基 本 上 进 入 死 胡 同 了 。 从 追 踪 溯 源 的 角 度 来 看 ， 这 次 跟 踪 证 据 链 比 较 弱 ， 挖 的 东 西 形 不 成 链 路 ， 至 少 无 法 说 服 我 。 R e f e r e n c e : h t t p : / / w w w [ . ] t h e s m o k i n g g u n [ . ] c o m / d o c u m e n t s / c r i m e / d n c - r e s e a r c h e d - c l i n t o n - s p e e c h e s - t r a v e l - r e c o r d s - 6 2 1 9 8 5 h t t p : / / t h e h i l l [ . ] c o m / p o l i c y / c y b e r s e c u r i t y / 2 8 7 5 5 8 - g u c c i f e r - 2 0 - d r o p s - n e w - d n c - d o c s h t t p s : / / w w w [ . ] t h r e a t c o n n e c t [ . ] c o m / g u c c i f e r - 2 - a l l - r o a d s - l e a d - r u s s i a / h t t p s : / / w w w . c r o w d s t r i k e . c o m / b l o g / b e a r s - m i d s t - i n t r u s i o n - d e m o c r a t i c - n a t i o n a l - c o m m i t t e e / h t t p : / / w w w [ . ] f o x n e w s [ . ] c o m / t e c h / 2 0 1 6 / 0 6 / 2 1 / a f t e r - d n c - a t t a c k - h a c k e r - g u c c i f e r - 2 - 0 - r e l e a s e s - h i l l a r y - c l i n t o n - d o s s i e r [ . ] h t m l * 本 文 作 者 ： 苏 哲 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 12:57 , Processed in 0.293807 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表