设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [17054] 2021-07-21_记一次“受到攻击后不开心从而进行 ...
返回列表 发新帖
查看: 0|回复: 0

[17054] 2021-07-21_记一次“受到攻击后不开心从而进行溯源”的安全溯源事件

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-07-21_记一次“受到攻击后不开心从而进行溯源”的安全溯源事件 记 一 次 “ 受 到 攻 击 后 不 开 心 从 而 进 行 溯 源 ” 的 安 全 溯 源 事 件 追 鳄 小 组 _ r e t u r n 0   F r e e B u f   2 0 2 1 - 0 7 - 2 1 2 0 2 1 年 的 7 月 注 定 是 雨 水 充 沛 的 一 个 月 ， 站 在 公 交 车 站 台 的 我 看 着 窗 外 浸 没 过 车 轮 的 雨 水 ， 不 时 对 公 交 车 的 本 质 产 生 了 思 考 ， 我 所 在 的 城 市 下 水 系 统 有 点 问 题 ， 每 年 大 概 在 雨 水 充 沛 的 季 节 里 ， 有 几 个 星 期 ， 我 更 想 称 呼 它 为 “ 公 交 船 ” 。 我 想 它 自 己 也 不 会 想 到 它 被 设 计 出 来 是 要 用 来 渡 河 的 ， 就 好 像 我 们 大 学 毕 业 之 前 也 从 未 想 过 ， 之 后 的 有 段 日 子 是 要 用 来 打 工 的 ， 打 工 是 不 可 能 的 ， 这 辈 子 … … 哎 ， 师 傅 ， 等 一 下 ， 我 还 没 上 车 呢 ， 我 上 班 要 迟 到 了 ， 等 等 我 …   … 情 况 简 介 情 况 简 介 2 0 2 1 年 7 月 某 日 ， 坐 在 电 脑 前 百 无 聊 赖 的 我 ， 思 考 着 自 己 今 后 的 人 生 “ 我 想 吃 ， 我 想 喝 ， 我 想 暴 富 ” ， 正 在 沉 浸 在 幻 想 的 时 候 突 然 平 台 多 了 一 条 告 警 。 点 开 详 情 看 看 ， 普 普 通 通 的 命 令 执 行 ， 万 变 不 离 其 宗 ， 无 非 就 是 删 除 / t m p / 目 录 w g e t 恶 意 软 件 ， 再 增 加 7 7 7 权 限 后 执 行 。 作 为 常 年 态 势 感 知 工 具 人 的 我 ， 已 经 不 再 像 当 年 刚 毕 业 时 那 么 紧 张 兮 兮 了 。 看 下 响 应 码 4 0 3 ， 攻 击 失 败 ， 复 制 p a y l o a d 测 试 一 下 ， 页 面 无 响 应 ， 告 知 防 火 墙 管 理 员 封 禁 一 下 恶 意 I P ， 结 束 。 但 是 想 想 ， 处 理 过 那 么 多 告 警 ， 几 乎 都 是 这 样 放 过 对 面 ， 这 次 我 不 想 放 过 了 ， 即 使 只 是 一 个 来 自 于 互 联 网 的 盲 打 攻 击 ， 我 也 想 看 看 到 底 是 什 么 人 干 的 ， 于 是 就 有 了 这 篇 溯 源 文 章 …   … 安 全 分 析 安 全 分 析 1 .   2 0 2 1 年 7 月 某 日 下 午 ， 态 势 感 知 平 台 收 到 告 警 ， 将 告 警 p a y l o a d 如 下 展 示 ， 避 免 出 现 各 种 问 题 ， 我 这 边 对 真 实 I P 内 容 进 行 隐 藏 ， 其 他 内 容 如 下 ： 2 . 以 我 浅 薄 的 分 析 经 验 来 看 ， 一 般 这 种 用 于 提 供 下 载 服 务 的 机 器 通 常 都 是 攻 击 者 通 过 互 联 网 公 开 漏 洞 抓 取 的 傀 儡 机 ， 没 有 必 要 花 时 间 在 反 制 傀 儡 机 上 。 于 是 打 开 v m w a r e 虚 拟 机 将 上 述 p a y l o a d 中 的 M o z i . m 文 件 下 载 下 来 进 行 查 看 发 现 这 是 个 p o w e r s h e l l 命 令 文 件 ， 具 体 内 容 如 下 ： 3 . 熟 不 熟 悉 ， 意 不 意 外 我 一 眼 就 看 出 你 不 是 人 ， 大 威 天 龙 ！ 抱 歉 ， 串 戏 了 ， 这 段 很 明 显 是 c o b a l t   s t r i k e 的 p o w e r s h e l l 攻 击 的 信 标 脚 本 。 但 是 我 产 生 了 一 个 问 题 ， 你 用 w g e t 下 载 这 个 文 件 并 增 加 权 限 ， 这 不 都 是 l i n u x 下 操 作 吗 ， 你 为 什 么 要 在 l i n u x 里 下 载 一 个 w i n d o w s 的 恶 意 文 件 呢 ？ 这 让 我 一 度 对 人 生 产 生 了 疑 惑 ， 难 道 黑 客 和 我 一 样 菜 ， 难 道 这 是 什 么 高 级 的 攻 击 方 式 …   … 算 了 ， 黑 客 大 佬 的 思 维 不 是 我 这 等 凡 人 能 想 通 的 ， 通 过 b a s e 6 4 解 码 最 后 获 得 了 攻 击 者 的 I P 相 关 信 息 。
4 . 通 过 互 联 网 上 对 该 I P 的 被 动 查 询 ， 发 现 这 个 I P 果 然 是 个 c o b a l t s t r i k e 的 s e r v e r ： 攻 击 反 制 攻 击 反 制 1 、 这 里 就 得 对 黑 客 做 个 吐 槽 了 ， 我 作 为 一 个 非 攻 击 队 的 底 层 安 全 人 员 ， 都 知 道 给 c o b a l t s t r i k e 注 册 一 个 域 名 ， 并 通 过 修 改 证 书 增 加 c d n 服 务 器 对 系 统 进 行 隐 匿 。 好 家 伙 ， 你 直 接 默 认 端 口 跑 在 互 联 网 上 ， 这 是 我 没 想 到 的 ， 难 道 这 大 哥 c o b a l t s t r i k e 为 了 方 便 也 用 的 弱 口 令 ， 试 试 。 好 家 伙 ， 密 码 p a s s w o r d ， 我 无 语 了 … … 2 . 在 这 里 跟 大 家 稍 微 解 释 点 基 础 ， c s 软 件 有 几 种 生 成 b e c o n 的 方 式 ， p o w e r s h e l l 是 其 中 一 种 ， 这 种 方 式 在 攻 击 w i n d o w s 的 时 候 属 于 无 文 件 落 地 攻 击 。 3 . 对 被 该 服 务 端 进 行 调 查 ， 再 次 将 该 c s 主 机 称 呼 为 1 号 机 ， 发 现 该 1 号 机 建 立 针 对 其 他 主 机 的 监 听 。 该 监 听 执 行 一 个 美 国 的 I P 1 0 7 . X X . X X . X X ， 说 明 在 一 号 机 不 是 幕 后 主 使 的 机 器 ， 暂 且 先 把 2 号 机 定 为 幕 后 主 使 得 机 器 ， 谁 知 道 后 面 还 有 多 少 层 ， 对 2 号 机 在 f o f a 上 进 行 溯 源 发 现 其 也 未 进 行 证 书 伪 装 （ 手 法 一 致 ） ： ）
4 、 在 威 胁 情 报 库 对 该 I P 进 行 查 询 分 析 发 现 这 个 I P 非 常 恶 意 5 、 在 情 报 留 言 处 发 现 有 情 报 将 其 标 记 为 另 一 I P ， 对 其 进 行 信 息 查 询 发 现 于 该 i p 相 关 的 I P 为 a p t 组 织 相 关 I P 到 此 溯 源 分 析 工 作 完 毕 ， 毕 竟 得 罪 不 起 a p t 大 佬 ， 也 没 能 耐 能 得 罪 人 家 收 尾 工 作 收 尾 工 作 对 白 象 a p t 组 织 做 一 个 简 单 的 介 绍 ：
总 结 总 结 溯 源 和 反 制 大 部 分 时 候 护 网 蓝 队 干 的 比 较 多 ， 不 知 道 有 没 有 人 是 专 门 进 行 黑 客 追 踪 的 ， 如 果 有 这 方 面 的 大 佬 可 以 带 带 老 弟 。 分 析 过 程 中 会 发 现 好 多 问 题 ， 也 许 溯 源 很 长 时 间 一 下 线 索 断 了 ， 对 个 人 信 心 打 击 比 较 大 ， 但 对 于 我 这 样 没 心 没 肺 的 来 说 ， 就 那 样 吧 。 但 是 希 望 和 我 一 同 做 分 析 的 人 ， 最 主 要 的 一 点 就 是 不 要 随 便 拼 凑 证 据 ， 这 样 最 后 的 结 果 也 会 有 问 题 ， “ 有 一 个 目 标 ， 然 后 学 习 一 堆 技 能 ， 而 不 是 反 过 来 ” ， 所 以 有 大 佬 能 带 带 我 吗 ： ） 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.541312 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表