安全运营之告警如何区分自己人

“A9 Team 甲方攻防团队，成员来自某证券、微步、青藤、长亭、安全狗等公司。成员能力涉及安全运营、威胁情报、攻防对抗、渗透测试、数据安全、安全产品开发等领域，持续分享安全运营和攻防的思考和实践。”

01

—

工具使用C#编写，需要依赖于.net环境，支持windows和linux系统。

环境安装，访问https://aka.ms/dotnet-core-applaunch，下载对应操作系统的.net包，这里推荐使用.net 8.0。

windows系统直接跟着提示下一步安装完成即可运行，linux需要解压环境包，配置环境变量，命令如下：

#将环境包解压到opt目录tar -zxvf dotnet-sdk-8.0.203-linux-x64.tar.gz -C /opt/dotnet/#给dotnet添加执行权限chmod +x /opt/dotnet/dotnet#确认环境可以正常运行/opt/dotnet/dotnet --version8.0.203#配置环境变量vim /etc/bash.bashrcexport DOTNET_ROOT=/opt/dotnet/export PATH=$PATH:$DOTNET_ROOT:$DOTNET_ROOT/tools#重新加载环境变量source /etc/bash.bashrc#执行dotnet命令，确认环境部署成功dotnetUsage: dotnet [options]Usage: dotnet [path-to-application]Options:  -h|--help         Display help.  --info            Display .NET information.  --list-sdks       Display the installed SDKs.  --list-runtimes   Display the installed runtimes.path-to-application:  The path to an application .dll file to execute.

做好上面环境配置后，运行代理程序，根据提示进行设置。

这里有一个细节需要注意，如果我们要解析https请求需要自定义证书，证书格式为.pfx，将证书保存到程序目录，并命名为cert.pfx，证书密码设置为xiaobaogua。

证书可以通过BurpSuite导出，操作如下图。

当代理程序运行后，我们只需要将BurpSuite的代理配置为程序代理，这样所有经过的流量请求就会被记录，并且会在包中添加请求头。

请求记录

请求头信息

工具链接放下面了，使用过程中有问题或建议可以通过邮箱和笔者联系。

https://github.com/xbaogua/BaoGuaSocks5ProxyServer

这里特别说明下，使用windows控制台程序偶尔会出现程序被暂停的情况，这是windows的问题笔者解决不了，可以尝试关闭cmd的快速编辑模式，情况会有所缓解，推荐在linux环境下运行。

另外，在编写程序过程中学习到的一些相关知识，与大家分享：

Socks5认证定义如下：

https://datatracker.ietf.org/doc/html/rfc1929

使用wireshark抓包可查账号密码

在服务器设置账号密码

使用错误密码尝试

使用正确密码

查看抓包情况