搜索

[17966] 2021-04-16_蓝队神器基于微步情报API的威胁情报收集溯源工具TIG

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-04-16_蓝队神器基于微步情报API的威胁情报收集溯源工具TIG 蓝 队 神 器   基 于 微 步 情 报 A P I 的 威 胁 情 报 收 集 溯 源 工 具   T I G w g p s e c   H a c k i n g 黑 白 红   2 0 2 1 - 0 4 - 1 6 引 用 来 源 ： 微 信 公 众 号   W g p S e c   狼 组 安 全 团 队 0 x 0 0   前 言 解 决 问 题 T I G   ( T h r e a t   I n t e l l i g e n c e   G a t h e r i n g )   即 威 胁 情 报 收 集 在 蓝 队 进 行 溯 源 工 作 时 ， 通 常 有 以 下 场 景 ： 1 、 需 要 对   I P   的 威 胁 情 报 信 息 、 域 名 反 查 备 案 、 I P   存 活 等 信 息 进 行 查 询 2 、 需 要 对 多 个 攻 击   I P   进 行 查 询 为 了 提 高 蓝 队 在 进 行 这 项 工 作 时 的 效 率 ， 为 此 简 单 编 写 了 一 个 威 胁 情 报 收 集 的 小 工 具 。 工 具 代 码 完 全 开 源 ， 放 心 使 用 ， 绝 不 是 钓 鱼 ！ ！ 工 具 代 码 完 全 开 源 ， 放 心 使 用 ， 绝 不 是 钓 鱼 ！ ！ X D M 有 问 题 可 以 在 有 问 题 可 以 在 G i t H u b 提 提 i s s u e 或 者 关 注 底 部 公 众 号 加 入 团 队 官 方 或 者 关 注 底 部 公 众 号 加 入 团 队 官 方 交 流 群 交 流 群 ~ 我 们 也 会 根 据 大 家 反 馈 的 内 容 持 续 完 善 ！ 我 们 也 会 根 据 大 家 反 馈 的 内 容 持 续 完 善 ！ 工 具 介 绍 T I G   项 目 地 址 （ 完 全 开 源 ） h t t p s : / / g i t h u b . c o m / w g p s e c / t i g h t t p s : / / g i t e e . c o m / w g p s e c / t i g 当 前 该 工 具 获 取   I P   的 信 息 有 以 下 几 个 角 度 ： 1 、 微 步 情 报 信 息 ： 获 取 到   I P   的 标 签 信 息 、 是 否 恶 意   I P 、 地 理 位 置 等 等 2 、 I P   域 名 反 查 ： 获 取 到   I P   对 应 的 域 名 ， 从 而 根 据 域 名 查 询 到 备 案 信 息 和   W h o i s   信 息 3 、 F o f a   信 息 ： 获 取 到   I P   可 能 开 放 的 端 口 和   I P   对 应 的 域 名 信 息 4 、 P i n g   存 活 检 测 ： 判 断   I P   是 否 存 活 假 设 在 获 取 到 的 信 息 最 大 化 情 况 下 ， 通 过   T I G   可 以 一 键 发 现   I P   对 应 的 情 报 标 签 、 域 名 、 域 名 注 册 人 、 备 案 邮 箱 、 备 案 号 、 备 案 单 位 、 域 名 注 册 商 、 I P   开 放 端 口 、 地 理 位 置 等 等 信 息 。
后 续 将 集 成 更 多 模 块 ， 如 有 好 的 建 议 或 遇 到   B u g   欢 迎 提   i s s u e 0 x 0 1   安 装 该 工 具 需 要   p y t h o n 3   环 境 支 持 ， 直 接 到   p y t h o n . o r g   或   p a n . w g p s e c . o r g   下 载 对 应 自 己 系 统 的 安 装 包 安 装 即 可 。 安 装 好   P y t h o n 3   环 境 之 后 运 行 以 下 命 令 即 可 完 成   T I G   的 安 装 。   （ 如 遇 到 网 络 问 题 可 以 使 用 国 内 镜 像 源   h t t p s : / / g i t e e . c o m / w g p s e c / t i g . g i t ） g i t   c l o n e   h t t p s : / / g i t h u b . c o m / w g p s e c / t i g . g i t c d   t i g
看 到 评 论 区 有 害 怕 g i t 命 令 执 行 命 令 执 行 的 朋 友 ， 可 以 直 接 下 载 打 包 好 的 仓 库 h t t p s : / / g i t e e . c o m / w g p s e c / t i g / r e p o s i t o r y / a r c h i v e / m a s t e r . z i p h t t p s : / / g i t h u b . c o m / w g p s e c / t i g / a r c h i v e / r e f s / h e a d s / m a s t e r . z i p 0 x 0 2   使 用 使 用 介 绍 帮 助 信 息 ： 在 开 始 使 用 工 具 之 前 ， 为 了 获 取 到 更 多 的 信 息 ， 可 以 选 择 将 您 的   A P I   添 加 到 配 置 文 件 中 。 只 要 运 行 一 下 程 序 就 会 自 动 生 成 配 置 文 件 ， 默 认 配 置 文 件 如 下 ： p i p 3   i n s t a l l   - r   r e q u i r e m e n t s . t x t p y t h o n 3   t i g . p y - h ,   - - h e l p   查 看 帮 助 信 息 - c   C O N F I G   指 定 配 置 文 件 ， 默 认   . / c o n f i g . i n i - f   F I L E   I P   文 本 ， 一 行 一 个 - i   I P   目 标   I P - p   P R O X Y   指 定 代 理 ， 比 如 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 0 8 0   或 者   s o c k s 5 : / / 1 2 7 . 0 . 0 . 1 : 1 0 8 0 [ T h r e a t   I n t e l l i g e n c e ] #   微 步 威 胁 情 报 查 询 ， 查 看   a p i   地 址 ： h t t p s : / / x . t h r e a t b o o k . c n / n o d e v 4 / v b 4 / m y A P I （ 每 天   5 0   次 的 免 费 额 度 ） T h r e a t B o o k _ e n a b l e   =   t r u e T h r e a t B o o k _ a p i   =   ' ' [ I P   P a s s i v e   I n f o r m a t i o n ] #   I P   反 查 ， 调 用   h t t p : / / a p i . h a c k e r t a r g e t . c o m / r e v e r s e i p l o o k u p /   和   h t t p : / / a p i . w e b s c a n . c c /   的   a p i   接 口 I P _ r e v e r s e _ e n a b l e   =   t r u e #   I C P   备 案 信 息 查 询 ， 调 用   h t t p s : / / a p i . v v h a n . c o m / a p i / i c p   的   a p i ， 如 果 目 标   I P   没 有 反 查 到 域 名 ， 该 项 即 使 开 启 也 不 会 有 输 出
在 配 置 文 件 中 ， 需 要 配 置   A P I   的 地 方 有 两 处 ， 分 别 为 微 步   A P I   和   F o f a   A P I 。 查 看 自 己 微 步   A P I   K e y   的 地 址 为 ： h t t p s : / / x . t h r e a t b o o k . c n / n o d e v 4 / v b 4 / m y A P I ， 免 费 账 户 有 每 天   5 0   次 的 限 额 。 查 看 自 己   F o f a   A P I   K e y   的 地 址 为 ： h t t p s : / / f o f a . s o / p e r s o n a l D a t a ， 普 通 会 员 每 次 免 费 前   1 0 0   条 ， 高 级 会 员 每 次 免 费 前   1 0 0 0 0   条 。 示 例 例 如 这 里 要 获 取 某 个   I P   的 信 息 ， 直 接 使 用   - i   命 令 即 可 。 对 于 获 取 多 个   I P   的 情 况 ， 可 以 将 要 查 询 的   I P   放 到 一 个   t x t   文 件 里 ， 之 后 使 用   - f   命 令 指 定   t x t   文 件 即 可 。 I C P _ b e i a n _ e n a b l e   =   t r u e #   W h o i s   信 息 查 询 ， 调 用   h t t p s : / / a p i . d e v o p s c l u b . c n / a p i / w h o i s q u e r y   的   a p i W h o i s _ e n a b l e   =   t r u e #   F o f a   i p   信 息 查 询 ， 查 看   a p i   地 址 ： h t t p s : / / f o f a . s o / p e r s o n a l D a t a （ 付 费 ， 普 通 会 员 每 次 1 0 0 条 ， 高 级 会 员 每 次 1 0 0 0 0 条 ） F o f a _ e n a b l e   =   t r u e F o f a _ e m a i l   =   ' ' F o f a _ a p i   =   ' ' [ I P   A c t i v e   I n f o r m a t i o n ] #   利 用   p i n g   命 令 对   I P   进 行 存 活 检 测 I P _ s u r v i v e _ e n a b l e   =   t r u e
实 战 在 实 际 在 使 用 中 ， 可 以 直 接 使 用   T I G   查 看 目 标   I P   威 胁 情 报 信 息 ， 从 而 快 速 判 断 该   I P   是 否 具 有 溯 源 价 值 ， 以 提 高 整 个 溯 源 过 程 的 效 率 。 比 如 如 果 通 过   T I G   判 断 目 标   I P   是   I D C   机 房 恶 意   I P ， 同 时 主 机 能   p i n g   通 ， 而 且 还 可 能 开 放 了 一 些 端 口 ， 这 时 就 可 以 多 花 些 时 间 看 看 这 个   I P 。
如 果 通 过   T I G   判 断 目 标   I P   是 动 态 非 恶 意   I P ， 而 且 也 不 能   p i n g   通 ， 那 就 可 以 少 花 些 时 间 在 这 个   I P   上 或 者 直 接 看 下 一 个   I P 。
0 x 0 3   最 后 如 果 各 位 师 傅 在 使 用 工 具 的 过 程 中 发 现 存 在   b u g   或 者 有 好 的 建 议 ， 欢 迎 多 多 提   i s s u e 。 如 果 感 觉 使 用 起 来 还 不 错 ， 欢 迎 师 傅 赏 个   s t a r   ！ ！ ！ ！  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理