HW蓝队必备技能-溯源反制

首要条件：拿到攻击IP

一、获取到IP与其余信息

单位如果部署了蜜罐等反制设备，监测到攻击IP的同时获取到攻击人员其余平台账号信息。目前市面上一些蜜罐设备会利用JSONP劫持漏洞进行反制。

什么是JSONP劫持漏洞？

JSONP 是 JSON with padding（填充式 JSON 或参数式 JSON）的简写。JSONP实现跨域请求的原理是动态创建<script>标签，然后利用<script>的src不受同源策略约束来跨域获取数据。在CORS出现之前，解决跨域请求的技术，可以让网页从不满足同源策略的其它域名获取数据。

通过JSONP技术可以实现数据的跨域访问，必然会产生安全问题，如果网站B对网站A的JSONP请求没有进行安全检查直接返回数据，则网站B 便存在JSONP 漏洞，网站A利用JSONP漏洞能够获取用户在网站B上的数据。

反制流程

话不多说，直接上例子！

这里我们通过蜜罐获取到了攻击者的百度账号信息：用户名、手机号前三位和后四位。

通过搜索IP归属地发现该IP来自北京，在CSDN上利用团队师傅写的脚本未能遍历出手机号，判断该手机号不是北京的，最后通过穷举成功获取到攻击人员手机号。

脚本可以参考我们先前的文章《溯源反制之脱敏手机号复原》

对遍历到的手机号进行核对，验证成功

有了这些信息，就可以在github、简书等平台或社工库获取相关信息了。

最后可以通过支付宝转账等方式验证信息

二、只能获取到IP

IP反查域名

如果只获取到了攻击IP的情况，这就需要一定的运气了，可以通过IP反查域名来看该IP是否绑定过域名

链接：https://site.ip138.com/

然后可以通过whois来查询域名的注册信息

链接：https://whois.chinaz.com/

或通过域名备案来进行查询：https://beian.miit.gov.cn/

顺利的话就可以通过各平台获取到个人信息了。

反向攻击

    如果获取的IP是目标的VPS的话，可以扫描VPS开放端口并识别服务，如果部署有历史漏洞的服务的话可以拿下目标VPS。

知识星球

高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。分享行业内最新动态，解答交流各类技术问题。

涉及方向包括Web渗透、免杀绕过、红蓝攻防、代码审计、应急响应、安全培训、CTF、小白入门、职业规划和疑难解答。CatalyzeSec，安全技术水平的催化者，星球针对成员的技术问题，快速提供思考方向及解决方案，并为星友提供多种方向的学习资料、安全工具、POC&EXP以及各种学习笔记等，以引导者和催化剂的方式助力安全技术水平的提升。
我们是一个快速成长的team，团队的发展方向与每一位星友的学习方向密切相关，加入我们，一起成为更好的自己！
PS：随着星球内知识的积累，人员的增加，星球价格也会随之增加，前一百位加入我们的师傅可享受99元朋友价！

团队内部独家知识库

原文始发于微信公众号（CatalyzeSec）：HW蓝队必备技能-溯源反制