54、网站取证调查：识别攻击证据

网站取证调查：识别攻击证据

1. 客户端依赖重定向分析

对客户端依赖重定向与浏览器指纹识别进行了分析，相关结果如下表所示：
| #crawls | 描述 |
| ---- | ---- |
| 1:0:1 | 359 次，客户端依赖重定向与浏览器指纹识别 |
| 0:1:1 | 117 次，客户端依赖重定向与浏览器指纹识别 |
| 1:1:1 | 149 次，客户端依赖重定向与浏览器指纹识别 |
| 0:0:1 | 209 次，模拟器规避、时间依赖重定向等 |
| 1:1:0 | 226 次，具有 DGA 域名和/或随机路径的恶意网站 |
| 0:1:0 | 91 次，具有 DGA 域名和/或随机路径的恶意网站 |
| 1:0:0 | 370 次，简单恶意网站（5%在小区域内，20%在特定尺寸范围，72%在显示区域外） |

同时，对来自受损网页内容的重定向路径进行了调查，发现 33%的重定向路径包含语义间隙边缘，这增加了分析的难度。

2. 目标客户端环境评估

评估了系统是否能够识别哪个客户端环境被重定向到恶意 URL。客户端环境基于网站的观察期和网站获取的浏览器指纹对每个插件进行了模拟。每个环境的爬取结果分为三组：包含恶意 URL 的检测爬取、包含可疑 URL 的可疑爬取以及两者都不包含的未知爬取。
通过比较每个网站的爬取结果，发现 625 个（30.4%）网站存在客户端依赖重定向，这些网站会根据插件版本的不同改变目标 URL。将检测到的和/或可疑的爬取结果绘制在图中，横轴表示 Flash 版本（左侧为 2011 - 2013 年的漏洞利用工具包，右侧为 2