实战|记一次溯源真实案例—网络安全零基础入门到精通实战教程！

本文链接：https://blog.youkuaiyun.com/cxyxx12/article/details/146092148

前言

事情起因就是我同事发现上报人员上报上来的告警信息IP很可疑，然后的话也因为要写技战法也需要有溯源反制等等内容，所以我同事就把该IP信息简单的进行了一个溯源，不过他护网期间确实太忙太累了，就让我帮他看看，这篇文章从此而来…

溯源流程

某安全厂商全流量探针设备告警信息，发现非常规访问流程，分析研判确定此攻击IP为真实告警攻击，立即上报进行封禁等处置措施，原图就不给了，大概界面和结构就如下图：
在这里插入图片描述

通过告警设备IP信息先进行查询此IP归属地，发现为北京阿里云的云主机
在这里插入图片描述

我们直接fofa搜一下，看看有没有搭建什么网站，是否能够打进去拿到数据什么的，发现此IP一共搭建了两个比较重要的网站，一个为vue框架前后端分离的游戏网站，一个为开源的GreaterWMS仓库管理系统，并没有什么实际利用价值，也没爆出过什么有用的漏洞，因此web方面暂时走不通，那咱们就换另一种方式

在这里插入图片描述

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

微步在线情报社区走起，直接搜IP信息，发现微步在线直接报红，恶意IP，这还得了。

在这里插入图片描述

直接通过反查域名功能查看域名解析情况，发现存在多个域名解析问题，那这里我们就惊喜了啊，国内厂商阿里云，购买域名必须备案，浏览器使用域名访问下网站看下是否存在备案号啊，没有的话我们也可疑通过域名备案查询获取到网站所属用户信息

在这里插入图片描述

而且我们可以直接通过微步在线提供的溯源功能可简单的发现该IP的指向关系等信息

在这里插入图片描述

域名访问网站也能够发现备案号信息

在这里插入图片描述

访问GreaterWMS仓库管理系统端口，发现该域名对应的IP确实匹配的

在这里插入图片描述

通过阿里云账号密码找回功能中的密码找回账号可以进一步断定我们的猜想

在这里插入图片描述

通过站长之家whois查询也可证明该网站的真实姓名信息
在这里插入图片描述

再通过官网备案网站直接查询即可发现和微步在线以及阿里云账号找回密码查询结果是一样的，那么从多方面认证即可断定该恶意IP的真实姓名为付X成.
那这还不好办啊，通过备案查询出该攻击者真实姓名，再通过备案信息中的豫可以知道该攻击者的备案信息为河南，所以猜测攻击者为河南人

在这里插入图片描述

直接使用magic通过社工库，直接搜索三要素，年龄30以下，名字XXX，地址河南，存在两个符合要求的信息，第一个有手机号，通过手机号去搜索VX，ZFB，WB等账号信息去发现更多线索，不过这都是后话了，因为太废时间的缘故，都是后面统一有人去做这种事情。

在这里插入图片描述

总结

此次溯源反制主要还是依靠平时的积累以及社工库的强大，其实通过社工库搜索到许多的信息，但是都因为年龄不符合（50-70岁）所以都被筛出来了，我这里其实并没有很细心而且使用的社工库都是免费的，如果使用氪金的那结果说不定就不一样了，所以还得有团队，有队友才能更强大走的更远。此次溯源结果虽然有点收获，但是我猜测此云主机已经被劫持为肉鸡当成跳板机再使用了，因为从微步在线给出的信息来看此网站已经多次发起攻击但是作为一个红队人员肯定不会使用这么chun的攻击手法来进行攻击。

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，请看下方扫描即可前往获取