蓝队分析、溯源、反制总结（非常详细）零基础入门到精通，收藏这一篇就够了

原创 最新推荐文章于 2026-04-06 09:17:18 发布 2.7k 阅读 AI写同款
程序员_大白
程序员_大白 博客等级 码龄5年 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 2.7k累计阅读 2.8k平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要
1万+粉丝4001篇原创
关注
2022年蓝队初级护网测试总结 阅读详情
AI摘要

本文总结了在护网行动期间蓝队的实战经验，包括内网攻击、企图告警、爆破行为和成功失陷等场景的分析与应对策略，并介绍了常见的溯源方式和工具。

监测/分析经验小结

在护网期间，蓝队主要就是通过安全设备看告警信息，后续进行分析研判得出结论及处置建议，在此期间要注意以下内容。

内网攻击莫忽视

内网攻击告警需格外谨慎，可能是进行内网渗透。

1. 攻击IP是内网IP，攻击行为不定，主要包括：扫描探测行为、爆破行为、命令执行等漏扫行为。

2. 资产属性-内网攻击IP资产属性。

3. 研判告警行为是否为攻击动作，如弱口令、SQL注入漏洞可能是业务行为。

4. 上级排查与客户一起进一步确认设备问题。

企图告警需排查

企图类告警需格外谨慎，可能是“已经成功”。

1. 告警主要包括：后门程序、代码行为、命令执行行为。

2. 资产属性+流量确认。

3. 综合判断告警是否成功（成功的话就需要提供证据给规则反馈）。

4. 上级排查与客户一起进一步确认设备问题。

爆破行为也要看

爆破攻击告警需格外谨慎，可能是“正在进行时”。

1. 告警主要包括：客户对外端口的服务对外开放。

2. 资产属性+流量确认。

3. 综合判断业务是否对外开放（及时确认是否需要规避风险点）。

成功失陷追仔细

成功失陷追仔细，可能是”溯源不够细致，遗漏蛛丝马迹“。

1. 告警主要包括：成功+失陷的告警。

2. 资产属性+流量确认+告警确认+数据分析+兄弟产品跟进。

3. 协助客户上机排查，书写防守或溯源报告。

**常见溯源方式
**

在发现资产被攻击之后，防守方需要及时进行溯源和排查，通常情况下，溯源需要获取到目标攻击者的一部分个人信息，比如手机号，邮箱，QQ 号，微信号等，通过这些信息在互联网可以进一步追溯攻击者的更多暴露信息。方便进一步溯源，下述介绍了一些整理了一些常见的方法和工具。

1. 域名、ip 反查目标个人信息

首先通过威胁情报平台确认攻击ip是否为威胁 ip，常用的平台通常有如下

https://x.threatbook.cn/ 微步在线威胁情报社区

https://ti.qianxin.com/ 奇安信威胁情报中心

https://ti.360.cn/ 360威胁情报中心

https://www.venuseye.com.cn/ VenusEye威胁情报中心

当发现IP的为攻击IP后，可以尝试通过此IP去溯源攻击者，具体实现过程通常会用到下述方法：

  1. ip 反查域名

  2. 域名查 whois 注册信息

  3. 域名查备案信息、反查邮箱、反查注册人

  4. 邮箱反查下属域名

  5. 注册人反查下属域名

IP/域名定位常用网址

站长之家IP查询网址：https://ip.tool.chinaz.com/ipbatch

IP138查询网：https://www.ip138.com/

高精度IP定位：https://www.opengps.cn/Data/IP/LocHighAcc.aspx

IP信息查询：https://www.ipip.net/ip.html/

IP地址查询在线工具：https://tool.lu/ip/

多地Ping检测：http://ping.chinaz.com/

Whois查询：https://whois.chinaz.com/

2. 攻击者ID等方式追踪

定位到攻击者ip后，可以通过社工库、社交软件、指纹库等其它方式捕获到攻击者个人社交账号捕获到更精准的敏感信息，可以采取以下思路。

  1. 支付宝转账，确定目标姓氏

  2. 进行QQ账号、论坛、贴吧、等同名方式去搜索

3. 淘宝找回密码，确定目标名字

4. 企业微信手机号查公司名称

5. REG007 通过邮箱、手机号查注册应用、网站
  1. 度娘、谷歌、src、微博、微信、知乎、脉脉等知道的各大平台上搜索

3. 通过攻击程序分析

攻击者如果在恶意攻击过程中对目标资产上传攻击程序（如后门、恶意脚本、钓鱼程序等），我们可通过对攻击者上传的恶意程序进行分析，并通过IP定位等技术手段对攻击进行分析溯源，常用的恶意程序分析网站有：

微步在线云沙箱：https://s.threatbook.cn/

腾讯哈勃：https://habo.qq.com/

Virustotal：https://www.virustotal.com/gui/home/upload

火眼：https://fireeye.ijinshan.com

魔盾安全分析：https://www.maldun.com/analysis/

4. 蜜罐

简介：

蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。

蜜罐溯源的两种常见方式：

一种是在伪装的网站上插入特定的js文件，该js文件使用攻击者浏览器中缓存的cookies去对各大社交系统的jsonp接口获取攻击者的ID和手机号等。另一种是在伪装的网站上显示需要下载某插件，该插件一般为反制木马，控制了攻击者的主机后查询敏感文件、浏览器访问记录等个人敏感信息从而锁定攻击者。

5. 常见案例链接分享

整理了一下常见的溯源案例链接，希望能对大家起到帮助

https://www.freebuf.com/articles/web/246060.html //记一次蜜罐溯源

https://www.freebuf.com/articles/web/254538.html //从溯源中学到新姿势

https://www.secpulse.com/archives/141438.html //蓝队实战溯源反制手册分享

https://blog.youkuaiyun.com/u014789708/article/details/104938252 //记一次溯源恶意ip僵尸网络主机的全过程

https://mp.weixin.qq.com/s/xW2u4s8xCTnLCkpDoK5Yzw //记一次反制追踪溯本求源

常见反制方式

通过蜜罐反制

主要就是下述反制手段做操作

  1. 可克隆相关系统页面，伪装“漏洞”系统

  2. 互联网端投饵，一般会在Github、Gitee、Coding上投放蜜标（有可能是个单独的网站地址、也有可能是个密码本引诱中招）

  3. 利用JSONP、XSS、CSRF等前端类漏洞获取访问蜜标的攻击者网络身份（网络画像）

邮件钓鱼反制

安全防护基础较好的厂商，一般来说除了出动0day，物理近源渗透以外，最常见的就是邮件钓鱼了，在厂商收到邮件钓鱼的情况下，我们可以采取化被动为主动的方式，假装咬钩，实际上诱导攻击者进入蜜网。

渗透工具漏洞

可以尝试挖掘蚁剑、冰蝎、菜刀、BurpSuite、SQLmap、AWVS的0day漏洞（需要一定的技术水平），或利用历史漏洞部署相关环境进行反打

OpenVPN配置后门

OpenVPN配置文件（OVPN文件，是提供给OpenVPN客户端或服务器的配置文件）是可以修改添加命令的。

盲打攻击反制

攻击者可能通过盲打漏洞方式来获取权限，一般盲打都具备一个数据回传接口（攻击者需要接收Cookie之类的数据），接口在JavaScript代码中是可以寻找到的，我们可以利用数据回传接口做以下两件事情，并后续引导攻击者进入我们部署好的蜜罐。

  1. 打脏数据回传给XSS平台

  2. 打虚假数据回传给XSS平台

通过攻击服务器端口/web 等漏洞

攻击者可能是通过自己搭建的公网服务器进行攻击的，或者是通过此服务器与后门进行通讯。其中服务器可能运行诸多服务，且未打补丁或设置强密码，导致防守方可以进行反打。

应急响应工具箱

在hvv期间，或者是在平常工作时间段，难免会碰到一些应急场景，这里推荐GitHub上一个大佬的应急工具箱，整合了诸多的分析文章和常见工具。

**地址链接：**https://github.com/No-Github/1earn/blob/master/1earn/Security/BlueTeam/%E5%BA%94%E6%80%A5.md

参考及部分引用资料

天眼分析经验总结

https://www.cnblogs.com/123456ZJJ/p/13261049.html

浅谈蓝队反制手段

https://mp.weixin.qq.com/s/qjM7Fh0u0Edsz5C7L_ErGQ

`黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

标签
#网络 #安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
网络安全 hw 蓝队实战之溯源 记一次网络安全 hw 蓝队实战之溯源 阅读详情

相关推荐

【杂项网络篇】网络安全面试

服务端解密客户端发送的参数，然后按照同样的算法计算出协商密钥，并通过客户端发送的encrypted_handshake_message验证有效性，验证通过，发送该报文，告知客户端，以后可以拿协商的密钥来通信了。当发送方和接收方在一个速率较慢的链路时，如果一开始发送的数据太多，可能导致耗尽路由器的缓存空间，从而引发网络崩溃，所以tcp在进行数据发送时，选择逐步增加分组的数量来避免此类问题。1、https在七层协议里面属于应用层，他基于tcp协议，所以，https握手的过程，一定先经过tcp的三次握手。

大河之犬的博客 1942

护网|蓝队防猝死手册（新手必知必会）

在HVV期间，蓝队主要就是通过安全设备看告警信息，后续进行分析研判得出结论及处置建议，在此期间要注意以下内容。

MachineGunJoe666 5649

OpenFOAM-v2006重叠网格挖洞问题实战：如何手动修复overset代码中的边缘识别缺陷

本文深入探讨了OpenFOAM-v2006中重叠网格挖洞问题的实战解决方案，重点修复overset代码中的边缘识别缺陷。通过逆向工程解析挖洞决策机制，设计最小侵入式的函数override方案，并建立多级验证体系，有效解决了网格挖洞区域覆盖不全的问题，提升了计算流体动力学模拟的准确性和可靠性。

weixin_29216049的博客 433

护网蓝队（初级）

以linux为主（一般都会问linux的），查看/var/log/secure系统日志，查看登录失败的记录，还有Linux历史命令-->home目录的bash\_histor，查看执行过的命令。参考见：https://blog.youkuaiyun.com/scanf\_linux/article/details/100995055。开始检测漏洞，如XSS,XSRF,sql注入，代码执行，命令执行，越权访问，目录读取，任意文件读取，下载，文件包含，远程命令执行，弱口令，上传，编辑器漏洞，暴力破解等。

AiENG_07的博客 6400

手把手教学，Python 游戏编程之实现飞机大战(含源代码)

我想大家都是有玩过类似飞机大战的射击类游戏，也享受目标被消除通过后带来的愉悦感。那么如果用Python来实现飞机大战游戏？下面就跟大家一起用Python来做一个小游戏，不仅可以从中感受到乐趣，还可以提升自己的能力。

veratata的博客 1万+

STM32实战——七段数码管动态扫描技术详解

本文详细解析了STM32控制七段数码管的动态扫描技术，包括硬件连接、CubeMX配置及编程实现。通过分时复用原理和优化代码逻辑，实现稳定显示效果，并解决亮度不均、闪烁等常见问题。适合嵌入式开发者快速掌握STM32数码管驱动技术。

weixin_42561143的博客 279

蓝队分析、溯源、反制总结（非常详细），零基础入门到精通，看这一篇就够了

蓝队分析、溯源、反制总结（非常详细），零基础入门到精通，看这一篇就够了

隔壁王叔的博客 1355

[前沿技术] AMD FSR 1.0源码解析：EASU算法实现细节与优化策略

本文深入解析了AMD FSR 1.0技术的核心——EASU（边缘自适应空间升频）算法。通过剖析其源码，详细阐述了EASU如何利用12-tap采样窗口、基于Lanczos滤波器的多项式近似以及自适应的边缘检测机制，在无需AI模型的情况下实现高质量图像放大。文章重点揭示了其极致的GPU优化策略，包括寄存器利用、采样优化和避免动态分支，为理解高性能图形算法提供了绝佳范例。

docker7nomad的博客 540

蓝队分析、溯源、反制总结

蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。在发现资产被攻击之后，防守方需要及时进行溯源和排查，通常情况下，溯源需要获取到目标攻击者的一部分个人信息，比如手机号，邮箱，QQ 号，微信号等，通过这些信息在互联网可以进一步追溯攻击者的更多暴露信息。

aihua002的博客 2540

单目视觉定位：深入解析PNP算法在机器人导航中的实战应用

本文深入解析了PNP算法在机器人单目视觉定位中的核心原理与实战应用。通过拆解坐标变换四步，详细阐述了如何从二维图像点反求相机三维位姿。文章结合OpenCV的solvePnP函数，提供了算法选择、参数调优及结果后处理的实用指南，并针对机器人导航中的特征匹配、尺度不确定性等挑战，给出了鲁棒性优化与实时性平衡的解决方案。

weixin_29083649的博客 419

Python爬虫实战：利用Playwright与异步技术高效抓取链家十万级二手房数据

在开始编写代码之前，我们首先需要为项目选择合适的技术栈。1. 传统方案：Requests + BeautifulSoup优点： 简单、轻量、学习成本低。直接发送HTTP请求获取HTML，然后解析。缺点： 对于大量由JavaScript动态渲染的内容无能为力。现代网站（包括链家）大量使用JS来加载数据和实现交互，简单的HTTP请求无法获取到完整的页面内容。此外，容易被基于IP或请求头特征的反爬机制拦截。2. 进阶方案：Selenium优点。

2201_76125261的博客 891

蓝队溯源与反制

本文简单写下红蓝对抗过程中蓝队的一些溯源与反制方法。 一、蜜罐反制 （1）商用型 近年来越来越多的厂商选择部署商用蜜罐来诱导攻击者，衡量蜜罐好坏的关键因素为诱捕能力，即为诱惑捕捉能力。 利用蜜罐可以做到：获取攻击者的P（真实IP，代理IP等）、ID、操作系统、设备信息等，也可通过诱饵进行钓鱼反制。 蜜罐常见形式可以直观的分为web页面型，命令行型，windows型等。 web页面例如weblogic、phpmyadmin、crm等，攻击者可进行弱口令登陆，暴力破解，历史漏洞，后台shell等，蜜罐页面中会

zhangge3663的博客 4602

【推荐100个unity插件】实现逼真的雪与雨系统——Weatherade: Snow and Rain System

Weatherade是一款Unity雪天/雨天场景创建系统，支持内置RP和URP渲染管线，提供雪/雨覆盖着色器、地形支持、雪痕效果等特性。安装后需配置URP渲染器，通过添加覆盖实例和转换材质实现效果，支持手动调整或批量转换工具快速应用。系统包含完整演示场景，可通过官方文档了解更多配置细节。下载地址：Unity Asset Store或百度网盘学习版。

向宇的博客，专注php/web全栈 unity游戏开发，欢迎大家评论纠错 1221

第120篇：蓝队溯源之蚁剑、sqlmap、Goby反制方法的复现与分析

当红队人员点开蚁剑开始连接webshell时，将会在不知情的情况下，执行反弹shell的nodejs代码，从而被蓝队人员反制。的命令，我的测试结果是，无论如何修改nodejs代码，都始终测试不成功，目前原因不得而知。公众号专注于网络安全技术，包括安全咨询、APT事件分析、红队攻防、蓝队分析、渗透测试、代码审计等，99%原创，敬请关注。例如，一些红队人员习惯通过。进行注入测试时，如果未对参数进行严格校验，便可能在不知情的情况下触发反弹s。时，就会在不知情的情况下执行蓝队人员事先植入的命令，从而达到反制效果。

ABC_123的技术博客 1381

8、干式变压器

干式变压器的发展，是人类不断挑战材料科学和热物理极限的过程，每一次技术突破，都是在。温度升高，ε_r反而下降（因为分子活动性增强，极化响应变慢）。：固体导热的热阻比液体对流大一个数量级，这是无法逾越的物理规律。Nomex在高温下不是逐渐分解，而是保持性能直到一个临界点。如果 T_a = 40°C，则 T_c = 146.7°C。干式变压器（固体介质分隔）：热场、电场、流场（空气）形成三维氢键网络，即使在高温下也能保持机械强度。：不是在现有技术上修修补补，而是寻找新的。仍在H级绝缘允许范围内（≤180°C）

renpeng2692873032的博客 228

android 蓝牙通讯demo

android 下蓝牙通讯demo，实现了发现蓝牙，使能蓝牙，通过蓝牙发送消息。
上一篇： 运维那些事| 五年蜕变：资深IT运维人员的职业规划与转型
下一篇： 最新kali linux入门及常用简单工具从零基础入门到精通，看完这一篇就够了
点赞 7
评论 0
书签 书签 19
程序员_大白
程序员_大白
博客等级 码龄5年 1万+粉丝 4001原创
+ 关注
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值