设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18322] 2021-03-28_蓝队溯源与反制
返回列表 发新帖
查看: 44|回复: 0

[18322] 2021-03-28_蓝队溯源与反制

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 19:41:55 | 显示全部楼层 |阅读模式
2021-03-28_蓝队溯源与反制 蓝 队 溯 源 与 反 制 S u n f 0 w e r   H A C K 之 道   2 0 2 1 - 0 3 - 2 8 本 文 简 单 写 下 红 蓝 对 抗 过 程 中 蓝 队 的 一 些 溯 源 与 反 制 方 法 。 一 、 蜜 罐 反 制 一 、 蜜 罐 反 制 （ 1 ） 商 用 型 近 年 来 越 来 越 多 的 厂 商 选 择 部 署 商 用 蜜 罐 来 诱 导 攻 击 者 ， 衡 量 蜜 罐 好 坏 的 关 键 因 素 为 诱 捕 能 力 ， 即 为 诱 惑 捕 捉 能 力 。 利 用 蜜 罐 可 以 做 到 ： 获 取 攻 击 者 的 P （ 真 实 I P ， 代 理 I P 等 ） 、 I D 、 操 作 系 统 、 设 备 信 息 等 ， 也 可 通 过 诱 饵 进 行 钓 鱼 反 制 。 蜜 罐 常 见 形 式 可 以 直 观 的 分 为 w e b 页 面 型 ， 命 令 行 型 ， w i n d o w s 型 等 。 w e b 页 面 例 如 w e b l o g i c 、 p h p m y a d m i n 、 c r m 等 ， 攻 击 者 可 进 行 弱 口 令 登 陆 ， 暴 力 破 解 ， 历 史 漏 洞 ， 后 台 s h e l l 等 ， 蜜 罐 页 面 中 会 插 入 溯 源 j s o n p ， 例 如 百 度 、 1 6 3 、 腾 讯 、 新 浪 的 对 攻 击 者 的 I D 进 行 溯 源 蓝 队 也 可 以 根 据 这 个 思 路 自 己 收 集 一 些 j s o n p 用 于 自 制 蜜 罐 中 。 w e b 型 蜜 罐 的 识 别 方 法 为 查 看 数 据 包 ， 如 果 数 据 包 中 出 现 了 很 多 的 不 属 于 该 网 站 的 j s 信 息 ， 很 大 程 度 上 为 蜜 罐 。 另 外 溯 源 j s 经 常 会 在 页 面 上 产 生 一 个 细 小 的 像 素 点 ， 通 过 像 素 点 也 可 以 来 判 断 是 否 踩 到 了 蜜 罐 。 命 令 行 的 例 如 r e d i s （ 最 常 见 也 是 攻 击 者 最 容 易 踩 到 的 ） 、 s s h 等 ， 此 类 获 取 到 的 信 息 偏 向 于 I P ， 对 于 I D 有 一 定 难 度 。 w i n d o w s 蜜 罐 例 如 w i n 7 ， x p 等 ， 其 中 包 含 一 些 历 史 漏 洞 ， 可 以 对 攻 击 者 进 行 反 制 。 现 在 的 蜜 罐 除 了 上 述 的 基 本 功 能 外 ， 都 有 一 些 自 己 的 花 样 ， 例 如 诱 饵 （ 邮 件 诱 饵 ， g i t h u b 等 ） ， 反 制 诱 饵 等 。 这 里 的 反 制 诱 可 以 理 解 为 红 队 的 钓 鱼 文 件 ， 例 如 在 某 网 站 下 载 链 接 嵌 入 一 个 反 制 e x e ， 当 攻 击 者 点 开 始 便 可 获 得 攻 击 者 电 脑 权 限 ， 利 用 查 看 文 件 等 操 作 溯 源 ， 从 而 达 到 反 制 的 目 的 。 （ 2 ） 开 源 型 比 较 出 名 的 开 源 蜜 罐 有 b e e f 、 h f i s h 等 ， b e e f 自 带 功 能 强 大 ， 可 以 部 署 出 一 套 完 整 的 蜜 网 来 进 行 迷 惑 攻 击 者 。 二 、 钓 鱼 邮 件 溯 源 二 、 钓 鱼 邮 件 溯 源 红 队 有 时 会 采 用 钓 鱼 邮 件 的 方 式 来 进 行 攻 击 ， 一 些 安 全 意 识 薄 弱 的 员 工 便 会 打 开 该 邮 件 从 而 上 钩 ， 如 果 钓 到 了 运 维 ， 并 且 运 维 电 脑 上 存 有 未 加 密 的 公 司 服 务 器 信 息 等 ， 可 以 说 差 不 多 是 沦 陷 。 攻 击 者 在 伪 造 钓 鱼 邮 件 时 ， 有 时 出 于 疏 忽 ， 会 泄 露 自 己 的 邮 件 服 务 器 地 址 ， 从 而 被 溯 源 ， 下 边 来 看 一 个 例 子 。
红 队 在 发 送 邮 件 诱 饵 时 ， 没 有 进 行 伪 造 ， 导 致 自 己 的 邮 件 服 务 器 泄 露 ， 从 而 被 蓝 队 溯 源 到 真 人 。 三 、 三 、 I P 进 行 溯 源 进 行 溯 源 在 对 入 侵 I P 进 行 分 类 时 发 现 一 个 I P ， 应 该 为 攻 击 者 的 代 理 断 掉 了 ， 通 过 微 步 等 工 具 进 行 信 息 查 询 发 现 其 备 案 域 名 ， 域 名 指 向 某 公 司 接 下 来 对 域 名 进 行 w h o i s
根 据 邮 箱 手 机 号 进 行 社 工 库 查 询 ， 从 而 获 取 攻 击 者 信 息 。 四 、 红 队 遗 留 工 具 进 行 溯 源 四 、 红 队 遗 留 工 具 进 行 溯 源 案 例 1 、 某 单 位 服 务 器 沦 陷 ， 登 上 服 务 器 对 其 进 行 溯 源 ， 在 e 盘 找 到 了 红 队 人 员 自 己 编 写 的 工 具 上 边 留 有 攻 击 者 q q 在 社 工 库 中 进 行 查 询 从 而 溯 源 获 取 红 队 真 实 身 份 信 息 案 例 2 、 对 攻 击 者 上 传 的 工 具 进 行 分 析 ， 物 理 路 径 中 包 含 了 文 件 的 名 称
在 g i t h u b 进 行 搜 索 找 到 该 项 目 和 攻 击 者 I D 在 知 乎 ， 微 博 等 平 台 对 该 用 户 进 行 搜 索 综 合 ， 或 者 利 用 支 付 宝 微 信 转 账 的 方 式 获 取 攻 击 者 真 实 信 息 。 五 、 反 制 红 队 服 务 器 五 、 反 制 红 队 服 务 器 蓝 队 可 以 对 红 队 I P 进 行 收 集 ， 批 量 进 行 扫 描 攻 击 者 踩 到 了 蜜 罐 ， 并 尝 试 进 行 反 弹 s h e l l 发 现 攻 击 者 使 用 的 为 c s 的 服 务 器
服 务 器 存 在 目 录 遍 历 漏 洞 ， 其 中 存 有 攻 击 者 的 攻 击 日 志 有 一 条 日 志 暴 露 了 攻 击 者 的 t e a m s e r v e r 密 码 登 录 攻 击 者 t e a m s e r v e r ， 找 到 被 攻 击 主 机 的 外 网 地 址
一 段 时 间 后 t e a m s e r v e r 上 线 了 一 台 新 的 主 机 上 线 日 志 如 下 ， 可 能 是 攻 击 者 反 弹 s h e l l 后 自 己 访 问 的 登 录 信 息 定 位 成 功 作 者 ： S u n f 0 w e r ， 转 载 于 先 知 社 区 。 ● 干 货 | 渗 透 学 习 资 料 大 集 合 （ 书 籍 、 工 具 、 技 术 文 档 、 视 频 教 程 ）
点 击 上 方 ， 关 注 公 众 号 点 击 上 方 ， 关 注 公 众 号 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-4-19 22:04 , Processed in 0.596828 second(s), 25 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表