设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18309] 2021-03-11_2021HW之蓝队溯源手册
返回列表 发新帖
查看: 0|回复: 0

[18309] 2021-03-11_2021HW之蓝队溯源手册

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-03-11_2021HW之蓝队溯源手册 2 0 2 1 H W 之 蓝 队 溯 源 手 册 H A C K 之 道   2 0 2 1 - 0 3 - 1 1 以 下 文 章 来 源 于 乌 雲 安 全   ， 作 者 冷 非 2 0 2 1 年 H W 预 计 4 月 份 开 始 ， 目 前 红 蓝 双 方 正 处 于 招 兵 买 马 阶 段 ， 现 对 蓝 队 溯 源 手 段 做 一 下 梳 理 ， 供 各 位 同 学 参 考 。 去 年 H W 中 蓝 队 通 过 溯 源 得 分 ， 需 要 完 整 得 还 原 攻 击 链 条 ， 溯 源 到 攻 击 者 的 虚 拟 身 份 、 真 实 身 份 ， 溯 源 到 攻 击 队 员 ， 甚 至 反 控 攻 击 方 主 机 ， 并 根 据 程 度 阶 梯 给 分 。 溯 源 报 告 需 要 提 交 得 要 素 如 下 ： 通 过 梳 理 ， 攻 击 溯 源 的 技 术 手 段 ， 主 要 包 括 i p 定 位 、 I D 定 位 与 攻 击 者 定 位 。 通 过 i p 可 定 位 攻 击 者 所 在 位 置 ， 以 及 通 过 i p 反 查 域 名 等 手 段 ， 查 询 域 名 的 注 册 信 息 ， 域 名 注 册 人 及 邮 箱 等 信 息 。 通 过 I D 定 位 可 获 取 攻 击 者 常 用 的 网 络 I D ， 查 询 攻 击 者 使 用 同 类 I D 注 册 过 的 微 博 或 者 博 客 、 论 坛 等 网 站 ， 通 过 对 网 络 I D 注 册 以 及 使 用 情 况 的 查 询 ， 定 位 攻 击 者 所 在 公 司 、 手 机 号 、 邮 箱 、 Q Q 等 信 息 。 或 通 过 其 他 手 段 定 位 攻 击 者 ， 如 反 制 攻 击 者 v p s ， 获 取 攻 击 者 v p s 中 的 敏 感 信 息 、 反 钓 鱼 、 恶 意 程 序 分 析 溯 源 等 手 段 。 通 过 对 手 机 号 码 定 位 ， 一 是 通 过 添 加 某 信 好 友 查 看 头 像 、 昵 称 、 城 市 等 ； 二 是 通 过 添 加 某 宝 ， 可 以 查 看 其 部 分 实 名 信 息 、 头 像 、 城 市 、 动 态 等 ； 三 是 可 以 假 装 送 外 卖 、 送 快 递 的 ， 询 问 是 不 是 某 人 ， 某 地 址 等 ， 进 一 步 核 实 信 息 。 通 过 对 邮 箱 定 位 ， 一 是 通 过 添 加 某 宝 ， 查 看 其 部 分 实 名 信 息 、 头 像 、 城 市 、 动 态 等 （ 可 以 未 通 过 邮 箱 主 持 ） ； 二 是 发 送 钓 鱼 邮 件 ， 控 制 邮 箱 或 者 掌 握 I P 地 址 。 乌 雲 安 全 乌 雲 安 全   . 乌 雲 安 全 ， 致 力 于 红 队 攻 防 实 战 、 内 网 渗 透 、 代 码 审 计 、 社 工 、 安 卓 逆 向 、 C T F 比 赛 技 巧 、 安 全 运 维 等 技 术 干 货 分 享 ， 并 预 警 最 新 漏 洞 ， 定 期 分 享 常 用 渗 透 工 具 、 教 程 等 资 源 。 姓 名 / I D ： 攻 击 I P ： 地 理 位 置 ： Q Q : I P 地 址 所 属 公 司 ： I P 地 址 关 联 域 名 ： 邮 箱 ： 手 机 号 ： 微 信 / 微 博 / s r c / i d 证 明 ： 人 物 照 片 ： 跳 板 机 （ 可 选 ） ： 关 联 攻 击 事 件 ：
过 程 中 若 掌 握 攻 击 者 的 照 片 ， 可 以 通 过 百 度 、 g o o g l e 等 以 图 搜 图 的 方 式 关 联 攻 击 者 其 他 图 片 信 息 。 一 、 一 、 i p 定 位 技 术 定 位 技 术 通 过 安 全 设 备 或 其 他 技 术 手 段 抓 取 攻 击 者 的 I P ， 对 I P 进 行 定 位 ， 查 询 此 I P 为 I D C 的 I P 、 C D N 的 I P 还 是 普 通 运 营 商 的 出 口 I P ， 通 过 I P 反 查 可 能 会 查 询 到 攻 击 者 使 用 的 w e b 域 名 、 注 册 人 、 邮 箱 等 信 息 。 一 般 常 用 的 I P 查 询 工 具 及 开 源 情 报 、 开 放 端 口 分 析 查 询 工 具 如 下 ： 1 、 、 I P 定 位 工 具 定 位 工 具 1 .   高 精 度 I P 定 位 ： h t t p s : / / w w w . o p e n g p s . c n / D a t a / I P / L o c H i g h A c c . a s p x 2 .   r t b a s i a （ I P 查 询 ） ： h t t p s : / / i p . r t b a s i a . c o m / 3 .   i p p l u s 3 6 0 （ I P 查 询 ） ： h t t p : / / w w w . i p p l u s 3 6 0 . c o m / i p / 4 .   I P 信 息 查 询 ： h t t p s : / / w w w . i p i p . n e t / i p . h t m l / 5 .   I P 地 址 查 询 在 线 工 具 ： h t t p s : / / t o o l . l u / i p / 2 、 威 胁 情 报 工 具 、 威 胁 情 报 工 具 1 .   微 步 在 线 ： h t t p s : / / x . t h r e a t b o o k . c n / 2 .   奇 安 信 ： h t t p s : / / t i . q i a n x i n . c o m / 3 .   3 6 0 : h t t p s : / / t i . 3 6 0 . c n / 4 .   h t t p s : / / w w w . v e n u s e y e . c o m . c n / 5 .   h t t p s : / / c o m m u n i t y . r i s k i q . c o m / 6 .   h t t p s : / / w w w . z o o m e y e . o r g / 7 .   h t t p s : / / w w w . s h o d a n . i o / 当 发 现 某 些 I P 的 攻 击 后 ， 可 以 尝 试 通 过 此 I P 去 溯 源 攻 击 者 ， 具 体 实 现 过 程 如 下 ： 首 先 通 过 i p i p . n e t 网 站 或 者 其 他 接 口 ， 查 询 此 I P 为 I D C 的 I P 、 C D N 的 I P 还 是 普 通 运 营 商 的 出 口 I P 。 如 果 I P 反 查 到 域 名 就 可 以 去 站 长 之 家 或 者 w h o i s . d o m a i n t o o l s . c o m 等 网 站 去 查 询 域 名 的 注 册 信 息 。
通 过 收 集 到 的 这 些 信 息 ， 就 比 较 容 易 定 位 到 人 。 在 通 过 I P 定 位 技 术 溯 源 过 程 ， 应 注 意 以 下 情 况 ： 假 如 I P 反 查 到 的 域 名 过 多 ， 考 虑 就 是 C D N 了 ， 就 没 必 要 继 续 去 查 了 。 假 如 是 普 通 运 营 商 的 出 口 I P 只 能 使 用 一 些 高 精 度 I P 定 位 工 具 粗 略 估 计 攻 击 者 的 地 址 ， 如 果 需 要 具 体 定 位 到 人 ， 则 需 要 更 多 的 信 息 。 二 、 二 、 I D 追 踪 技 术 追 踪 技 术 在 通 过 I P 定 位 后 技 术 追 踪 攻 击 者 ， 可 通 过 指 纹 库 、 社 工 库 等 或 其 他 技 术 手 段 抓 取 到 攻 击 者 的 微 博 账 号 、 百 度 I D 等 信 息 ， 一 般 通 过 以 下 技 术 手 段 实 现 ： 1 .   进 行 Q Q 等 同 名 方 式 去 搜 索 、 进 行 论 坛 等 同 名 方 式 搜 索 、 社 工 库 匹 配 等 。 2 .   如 I D 是 邮 箱 ， 则 通 过 社 工 库 匹 配 密 码 、 以 往 注 册 信 息 等 。 3 .   如 I D 是 手 机 号 ， 则 通 过 手 机 号 搜 索 相 关 注 册 信 息 ， 以 及 手 机 号 使 用 者 姓 名 等 。 例 如 ， 当 通 过 I D 追 踪 技 术 手 段 定 位 到 某 攻 击 者 的 Q Q 号 、 Q Q 网 名 等 信 息 ， 通 过 专 业 社 工 库 可 以 进 一 步 追 踪 攻 击 者 使 用 的 Q Q 号 注 册 过 的 其 它 网 络 I D ， 从 而 获 取 更 多 攻 击 者 信 息 ， 从 而 确 定 攻 击 者 的 真 实 身 份 。 三 、 攻 击 程 序 分 析 三 、 攻 击 程 序 分 析 攻 击 者 如 果 在 攻 击 过 程 中 对 攻 击 目 标 上 传 攻 击 程 序 （ 如 钓 鱼 软 件 ） ， 可 通 过 对 攻 击 者 上 传 的 恶 意 程 序 进 行 分 析 ， 并 结 合 I P 定 位 、 I D 追 踪 等 技 术 手 段 对 攻 击 进 行 分 析 溯 源 ， 常 用 的 恶 意 程 序 分 析 网 站 有 ： Ø     微 步 在 线 云 沙 箱 ： h t t p s : / / s . t h r e a t b o o k . c n / Ø     V i r u s t o t a l ： h t t p s : / / w w w . v i r u s t o t a l . c o m / g u i / h o m e / u p l o a d Ø     火 眼 （ h t t p s : / / f i r e e y e . i j i n s h a n . c o m ） Ø     A n u b i s （ h t t p : / / a n u b i s . i s e c l a b . o r g ） Ø     j o e （ h t t p : / / w w w . j o e s e c u r i t y . o r g ） 四 、 蜜 罐 四 、 蜜 罐 蜜 罐 技 术 为 网 络 安 全 中 的 一 种 入 侵 诱 饵 ， 目 的 是 引 诱 黑 客 前 来 攻 击 ， 并 收 集 黑 客 相 关 的 证 据 和 信 息 。
蜜 罐 溯 源 实 战 案 例 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 2 4 6 0 6 0 . h t m l 作 者 ： 冷 非 ， 原 创 投 稿 E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D E N D ● 干 货 | 渗 透 学 习 资 料 大 集 合 （ 书 籍 、 工 具 、 技 术 文 档 、 视 频 教 程 ）
点 击 上 方 ， 关 注 公 众 号 点 击 上 方 ， 关 注 公 众 号 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ”
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:32 , Processed in 0.277472 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表