设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21878] 2021-04-16_红蓝对抗溯源的基本思路
返回列表 发新帖
查看: 2|回复: 0

[21878] 2021-04-16_红蓝对抗溯源的基本思路

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-16_红蓝对抗溯源的基本思路 红 蓝 对 抗 溯 源 的 基 本 思 路 转 自 乌 雲 安 全   L e m o n S e c   2 0 2 1 - 0 4 - 1 6 作 者 ： s h a n f e n g l a n 7 博 客 ： b l o g . c s d n . n e t / q q _ 4 1 8 7 4 9 3 0 且 本 文 部 分 内 容 由 B y p a s s 整 理 发 布 ， 转 载 请 保 留 出 处 1 . 概 述 溯 源 整 个 流 程 我 认 为 有 三 个 部 分 。 攻 击 源 捕 获 。 溯 源 信 息 输 出 攻 击 者 画 像 攻 击 源 的 捕 获 是 为 了 获 得 攻 击 者 的 i p 、 黑 客 i d 、 手 机 号 、 邮 箱 等 信 息 。 溯 源 信 息 是 为 了 定 位 黑 客 到 具 体 的 人 。 输 出 攻 击 者 画 像 是 为 了 给 这 个 人 一 个 格 式 化 的 档 案 方 便 下 次 查 找 与 信 息 存 储 。 2 . 攻 击 源 捕 获 攻 击 源 捕 获 主 要 分 为 以 下 几 个 方 法 ： 安 全 设 备 报 警 ， 如 E D R 告 警 等 。
日 志 分 析 ， 获 取 攻 击 者 指 纹 信 息 与 攻 击 方 式 。 服 务 器 资 源 异 常 ， 如 服 务 器 上 多 了 w e b s h e l l 文 件 或 者 计 划 任 务 。 蜜 罐 告 警 ， 获 取 攻 击 者 指 纹 信 息 。 邮 件 钓 鱼 ， 其 中 一 般 有 木 马 文 件 ， 通 过 对 木 马 文 件 逆 向 分 析 获 取 攻 击 者 信 息 。 如 果 直 接 得 到 攻 击 者 i p ， 那 么 直 接 到 溯 源 信 息 阶 段 ， 如 果 无 法 得 到 攻 击 者 i p 则 选 择 上 机 排 查 。 上 机 排 查 的 时 候 如 果 是 l i n u x 电 脑 ， 则 查 看 h i s t o r y 信 息 还 有 文 件 修 改 信 息 ， 这 就 涉 及 到 了 l i n u x 应 急 响 应 的 知 识 。 如 果 是 w i n d o w s 电 脑 ， 就 查 看 登 录 日 志 4 6 2 5 ， 通 过 l o g o n t y p e 的 类 型 来 分 辨 攻 击 者 如 何 登 陆 的 机 器 并 回 推 攻 击 方 法 。 l o g o n t y p e 对 照 表 如 下 ： 得 到 攻 击 者 基 础 信 息 的 方 式 ： 得 到 攻 击 者 基 础 信 息 的 方 式 ： 看 恶 意 邮 件 的 邮 件 头 获 取 恶 意 域 名 逆 向 分 析 恶 意 木 马 获 取 恶 意 i p 或 者 域 名 查 看 机 器 回 连 i p 获 取 恶 意 i p 地 址 查 看 日 志 获 取 恶 意 i p 查 看 蜜 罐 或 其 他 安 全 设 备 告 警 信 息 获 取 恶 意 i p 如 果 黑 客 使 用 近 源 渗 透 如 直 接 用 手 机 号 打 电 话 ， 则 可 直 接 得 到 手 机 号 查 看 w e b s h e l l 的 编 写 方 式 有 可 能 直 接 获 取 黑 客 i d ， 因 为 不 少 黑 客 喜 欢 将 自 己 的 i d 设 为 w e b s h e l l 链 接 密 码 3 . 溯 源 信 息 阶 段 获 得 攻 击 者 真 实 i p 或 者 域 名 之 后 我 们 进 行 溯 源 信 息 阶 段 。 第 一 步 ： 针 对 I P 或 者 域 名 通 过 公 网 已 有 的 开 放 信 息 进 行 查 询 h t t p s : / / x . t h r e a t b o o k . c n / h t t p s : / / t i . q i a n x i n . c o m / h t t p s : / / t i . 3 6 0 . c n / l o c a l   W I N D O W S _ R D P _ I N T E R A C T I V E   =   “ 2 ” l o c a l   W I N D O W S _ R D P _ U N L O C K   =   “ 7 ” l o c a l   W I N D O W S _ R D P _ R E M O T E I N T E R A C T I V E   =   “ 1 0 ” l o c a l   W I N D O W S _ S M B _ N E T W O R K   =   “ 3 ”
h t t p s : / / w w w . r e g 0 0 7 . c o m /   # 通 过 手 机 号 或 者 邮 箱 获 取 用 户 注 册 过 的 网 站 h t t p s : / / w w w . v e n u s e y e . c o m . c n / h t t p s : / / c o m m u n i t y . r i s k i q . c o m / 第 二 步 ： 定 位 目 标 利 用 精 确 i p 定 位 进 行 目 标 的 位 置 定 位 。 第 三 步 ： 收 集 互 联 网 侧 的 用 户 I D 收 集 手 机 号 与 互 联 网 上 的 各 种 I D 信 息 ( 利 用 g o o g l e   h a c k i n g ) 。 通 过 黑 客 I D 进 行 信 息 收 集 ： ( 1 )   百 度 信 息 收 集 ： “ i d ”   （ 双 引 号 为 英 文 ） ( 2 )   谷 歌 信 息 收 集 ( 3 )   s r c 信 息 收 集 （ 各 大 s r c 排 行 榜 ） ( 4 )   微 博 搜 索 （ 如 果 发 现 有 微 博 记 录 ， 可 使 用 t g 查 询 w e i b o 泄 露 数 据 ） ( 5 )   微 信 I D 收 集 ： 微 信 进 行 I D 搜 索 ( 6 )   如 果 获 得 手 机 号 （ 可 直 接 搜 索 支 付 宝 、 社 交 账 户 等 ） 注 意 ： 获 取 手 机 号 如 果 自 己 查 到 的 信 息 不 多 ， 直 接 上 报 工 作 群 （ 利 用 共 享 渠 道 对 其 进 行 二 次 社 工 ） ( 7 )   豆 瓣 / 贴 吧 / 知 乎 / 脉 脉   你 能 知 道 的 所 有 社 交 平 台 ， 进 行 信 息 收 集 ( 8 )   C S D N   I D ， 利 用 C S D N 老 用 户 的 一 个 漏 洞 ， 爆 破 I D 手 机 号 第 四 步 ： 通 过 蜜 罐 设 备 指 纹 进 行 识 别 前 提 是 我 方 部 署 了 蜜 罐 并 且 攻 击 者 踩 了 蜜 罐 且 获 取 到 攻 击 者 的 设 备 指 纹 。 基 本 流 程 说 明 ： 1 、 我 方 发 现 了 攻 击 者 的 设 备 指 纹 I D
2 、 某 参 演 单 位 1 也 部 署 了 该 厂 家 蜜 罐 ， 捕 获 到 某 攻 击 者 设 备 指 纹 I D 和 百 度 I D 3 、 某 参 演 单 位 2 也 部 署 了 该 厂 家 蜜 罐 ， 捕 获 到 某 攻 击 者 设 备 指 纹 I D 和 新 浪 I D 4 、 某 参 演 单 位 N 也 部 署 了 该 厂 家 蜜 罐 ， 捕 获 到 某 攻 击 者 设 备 指 纹 I D 和 优 酷 I D 5 、 厂 家 经 过 查 询 比 对 ， 将 相 关 社 交 I D 反 馈 给 我 方 第 五 步 ： 进 入 跳 板 机 进 行 信 息 收 集 如 果 有 能 力 控 制 了 红 队 的 跳 板 机 ， 则 可 进 入 跳 板 机 进 行 信 息 收 集 ， 查 看 命 令 执 行 的 历 史 记 录 与 日 志 等 。 如 果 主 机 桌 面 没 有 敏 感 信 息 ， 可 针 对 下 列 文 件 进 行 信 息 收 集 ： l a s t ： 查 看 登 录 成 功 日 志 c a t   ~ / . b a s h _ h i s t o r y   ： 查 看 操 作 指 令 p s   - a u x   # 查 看 进 程 c a t   / e t c / p a s s w d （ 查 看 是 否 有 类 似 I D 的 用 户 重 点 关 注   u i d   为 5 0 0 以 上 的 登 录 用 户 n o l o g i n 为 不 可 登 录 ） 4 . 输 出 攻 击 者 画 像 与 攻 击 路 径 攻 击 者 画 像 模 版 如 下 ： 姓 名 / I D ： 攻 击 I P ： 地 理 位 置 ： Q Q : I P 地 址 所 属 公 司 ： 是 否 挂 代 理 ： I P 地 址 关 联 域 名 ： 邮 箱 ： 手 机 号 ： 微 信 / 微 博 / s r c / i d 证 明 ：
人 物 照 片 ： 跳 板 机 （ 可 选 ） ： 关 联 攻 击 事 件 ： 攻 击 路 径 模 版 ： 攻 击 目 的 ： 拿 到 权 限 、 窃 取 数 据 、 获 取 利 益 、 D D O S 等 网 络 代 理 ： 代 理 I P 、 跳 板 机 、 C 2 服 务 器 等 攻 击 手 法 ： 鱼 叉 式 邮 件 钓 鱼 、 W e b 渗 透 、 水 坑 攻 击 、 近 源 渗 透 、 社 会 工 程 等 5 . 参 考 文 章 h t t p s : / / w w w . c n b l o g s . c o m / x i a o z i / p / 1 3 8 1 7 6 3 7 . h t m l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 公 众 号 推 荐 ： 公 众 号 推 荐 ： 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:35 , Processed in 0.211801 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表