搜索

[1022] 2020-10-15_安全攻击溯源思路及案例

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2020-10-15_安全攻击溯源思路及案例 安 全 攻 击 溯 源 思 路 及 案 例 原 创   B y p a s s   B y p a s s   2 0 2 0 - 1 0 - 1 5 在 攻 防 的 视 角 里 ， 进 攻 方 会 占 据 比 较 多 的 主 动 性 ， 而 防 守 方 则 略 显 被 动 ， 因 为 作 为 防 守 方 ， 你 永 远 也 不 知 道 攻 击 会 在 什 么 时 候 发 生 。 你 所 能 做 的 是 ， 做 好 自 己 该 做 的 一 切 ， 准 备 好 自 己 该 准 备 的 一 切 ， 耐 心 等 待 对 手 犯 错 的 机 会 。 在 发 现 有 入 侵 者 后 ， 快 速 由 守 转 攻 ， 进 行 精 准 地 溯 源 反 制 ， 收 集 攻 击 路 径 和 攻 击 者 身 份 信 息 ， 勾 勒 出 完 整 的 攻 击 者 画 像 。 1 、 攻 击 源 捕 获 、 攻 击 源 捕 获 2 、 溯 源 反 制 手 段 、 溯 源 反 制 手 段 安 全 设 备 报 警 ， 如 扫 描 I P 、 威 胁 阻 断 、 病 毒 木 马 、 入 侵 事 件 等 日 志 与 流 量 分 析 ， 异 常 的 通 讯 流 量 、 攻 击 源 与 攻 击 目 标 等 服 务 器 资 源 异 常 ， 异 常 的 文 件 、 账 号 、 进 程 、 端 口 ， 启 动 项 、 计 划 任 务 和 服 务 等 邮 件 钓 鱼 ， 获 取 恶 意 文 件 样 本 、 钓 鱼 网 站 U R L 等 蜜 罐 系 统 ， 获 取 攻 击 者 行 为 、 意 图 的 相 关 信 息 I P 定 位 技 术         根 据 I P 定 位 物 理 地 址 - - 代 理 I P         溯 源 案 例 ： 通 过 I P 端 口 扫 描 ， 反 向 渗 透 服 务 器 进 行 分 析 ， 最 终 定 位 到 攻 击 者 相 关 信 息 I D 追 踪 术
3 、 攻 击 者 画 像 、 攻 击 者 画 像 4 、 溯 源 案 例 篇 、 溯 源 案 例 篇 案 例 一 ： 邮 件 钓 鱼 攻 击 溯 源 案 例 一 ： 邮 件 钓 鱼 攻 击 溯 源 攻 防 场 景 ： 攻 击 者 利 用 社 会 工 程 学 技 巧 伪 造 正 常 邮 件 内 容 ， 绕 过 邮 件 网 关 的 查 杀 ， 成 功 投 递 到 目 标 邮 箱 ， 诱 骗 用 户 点 击 邮 件 链 接 或 下 载 附 件 文 件 。 信 息 收 集 ： 通 过 查 看 邮 件 原 文 ， 获 取 发 送 方 I P 地 址 、 域 名 后 缀 邮 箱 、 钓 鱼 网 站 或 恶 意 附 件 样 本 等 信 息 。 溯 源 方 式 ： 第 一 种 ， 可 以 通 过 相 关 联 的 域 名 / I P 进 行 追 踪 ； 第 二 种 ， 对 钓 鱼 网 站 进 行 反 向 渗 透 获 取 权 限 ， 进 一 步 收 集 攻 击 者 信 息 ； 第 三 种 ， 通 过 对 邮 件 恶 意 附 件 进 行 分 析 ， 利 用 威 胁 情 报 数 据 平 台 寻 找 同 源 样 本 获 取 信 息 ， 也 能 进 一 步 对 攻 击 者 的 画 像 进 行 勾 勒 。 比 如 ， 收 到 一 个 邮 件 Q Q 空 间 钓 鱼 网 站 ， 反 手 插 入 一 个 X S S 语 句 ， 盗 取 后 台 c o o k i e ， 在 审 查 管 理 台 源 代 码 里 找 到 作 者 的 q q 联 系 方 式 。         I D 追 踪 术 ， 搜 索 引 擎 、 社 交 平 台 、 技 术 论 坛 、 社 工 库 匹 配         溯 源 案 例 ： 利 用 I D 从 技 术 论 坛 追 溯 邮 箱 ， 继 续 通 过 邮 箱 反 追 踪 真 实 姓 名 ， 通 过 姓 名 找 到 相 关 简 历 信 息 网 站 u r l         域 名 W h o i s 查 询 - - 注 册 人 姓 名 、 地 址 、 电 话 和 邮 箱 。 - - 域 名 隐 私 保 护         溯 源 案 例 ： 通 过 攻 击 I P 历 史 解 析 记 录 / 域 名 ， 对 域 名 注 册 信 息 进 行 溯 源 分 析 恶 意 样 本         提 取 样 本 特 征 、 用 户 名 、 I D 、 邮 箱 、 C 2 服 务 器 等 信 息 - - 同 源 分 析         溯 源 案 例 ： 样 本 分 析 过 程 中 ， 发 现 攻 击 者 的 个 人 I D 和 Q Q ， 成 功 定 位 到 攻 击 者 。 社 交 账 号         基 于 J S O N P 跨 域 ， 获 取 攻 击 者 的 主 机 信 息 、 浏 览 器 信 息 、 真 实   I P 及 社 交 信 息 等         利 用 条 件 ： 可 以 找 到 相 关 社 交 网 站 的 j s o n p 接 口 泄 露 敏 感 信 息 ， 相 关 网 站 登 录 未 注 销 攻 击 路 径         攻 击 目 的 ： 拿 到 权 限 、 窃 取 数 据 、 获 取 利 益 、 D D O S 等         网 络 代 理 ： 代 理 I P 、 跳 板 机 、 C 2 服 务 器 等         攻 击 手 法 ： 鱼 叉 式 邮 件 钓 鱼 、 W e b 渗 透 、 水 坑 攻 击 、 近 源 渗 透 、 社 会 工 程 等 攻 击 者 身 份 画 像         虚 拟 身 份 ： I D 、 昵 称 、 网 名         真 实 身 份 ： 姓 名 、 物 理 位 置         联 系 方 式 ： 手 机 号 、 q q / 微 信 、 邮 箱         组 织 情 况 ： 单 位 名 称 、 职 位 信 息
案 例 二 ： 案 例 二 ： W e b 入 侵 溯 源 入 侵 溯 源 攻 防 场 景 ： 攻 击 者 通 过 N D A Y 和 0 D A Y 漏 洞 渗 入 服 务 器 网 段 ， W e b s h e l l   触 发 安 全 预 警 或 者 威 胁 检 测 阻 断 了 C & C 域 名 的 通 讯 。 溯 源 方 式 ： 隔 离 w e b s h e l l 样 本 ， 使 用 W e b 日 志 还 原 攻 击 路 径 ， 找 到 安 全 漏 洞 位 置 进 行 漏 洞 修 复 ， 从 日 志 可 以 找 到 攻 击 者 的 I P 地 址 ， 但 攻 击 者 一 般 都 会 使 用 代 理 服 务 器 或 匿 名 网 络 （ 例 如 T o r ） 来 掩 盖 其 真 实 的 I P 地 址 。 在 入 侵 过 程 中 ， 使 用 反 弹 s h e l l 、 远 程 下 载 恶 意 文 件 、 端 口 远 程 转 发 等 方 式 ， 也 容 易 触 发 威 胁 阻 断 ， 而 这 个 域 名 / I P ， 提 供 一 个 反 向 信 息 收 集 和 渗 透 测 试 的 路 径 。 案 例 三 ： 蜜 罐 溯 源 案 例 三 ： 蜜 罐 溯 源
攻 防 场 景 ： 在 企 业 内 网 部 署 蜜 罐 去 模 拟 各 种 常 见 的 应 用 服 务 ， 诱 导 攻 击 者 攻 击 。 溯 源 方 式 ： 在 攻 击 者 入 侵 蜜 罐 时 ， 蜜 罐 可 以 记 录 攻 击 者 的 入 侵 行 为 ， 获 取 攻 击 者 的 主 机 信 息 、 浏 览 器 信 息 、 甚 至 是 真 实   I P 及 社 交 信 息 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理