实战|记一次溯源真实案例

文章作者：nnosuger（先知社区）

前言

每年的七月至八月对于安全圈的小伙伴来说那肯定是忙碌的两个月，各行各业都在开展不大不小的攻防演练，本人作为安全圈中的一个小白肯定也是被卷入了其中，这不，护网才开始不久就有情况了，事情起因就是我同事发现上报人员上报上来的告警信息IP很可疑，然后的话也因为要写技战法也需要有溯源反制等等内容，所以我同事就把该IP信息简单的进行了一个溯源，不过他护网期间确实太忙太累了，就让我帮他看看，这篇文章从此而来......

溯源流程

某安全厂商全流量探针设备告警信息，发现非常规访问流程，分析研判确定此攻击IP为真实告警攻击，立即上报进行封禁等处置措施，原图就不给了，大概界面和结构就如下图：

通过告警设备IP信息先进行查询此IP归属地，发现为北京阿里云的云主机

我们直接fofa搜一下，看看有没有搭建什么网站，是否能够打进去拿到数据什么的，发现此IP一共搭建了两个比较重要的网站，一个为vue框架前后端分离的游戏网站，一个为开源的GreaterWMS仓库管理系统，并没有什么实际利用价值，也没爆出过什么有用的漏洞，因此web方面暂时走不通，那咱们就换另一种方式

微步在线情报社区走起，直接搜IP信息，发现微步在线直接报红，恶意IP，这还得了。

直接通过反查域名功能查看域名解析情况，发现存在多个域名解析问题，那这里我们就惊喜了啊，国内厂商阿里云，购买域名必须备案，浏览器使用域名访问下网站看下是否存在备案号啊，没有的话我们也可疑通过域名备案查询获取到网站所属用户信息

而且我们可以直接通过微步在线提供的溯源功能可简单的发现该IP的指向关系等信息

域名访问网站也能够发现备案号信息

访问GreaterWMS仓库管理系统端口，发现该域名对应的IP确实匹配的

通过阿里云账号密码找回功能中的密码找回账号可以进一步断定我们的猜想

通过站长之家whois查询也可证明该网站的真实姓名信息

再通过官网备案网站直接查询即可发现和微步在线以及阿里云账号找回密码查询结果是一样的，那么从多方面认证即可断定该恶意IP的真实姓名为付X成.
那这还不好办啊，通过备案查询出该攻击者真实姓名，再通过备案信息中的豫可以知道该攻击者的备案信息为河南，所以猜测攻击者为河南人

直接使用magic通过社工库，直接搜索三要素，年龄30以下，名字XXX，地址河南，存在两个符合要求的信息，第一个有手机号，通过手机号去搜索VX，ZFB，WB等账号信息去发现更多线索，不过这都是后话了，因为太废时间的缘故，都是后面统一有人去做这种事情。

总结

此次溯源反制主要还是依靠平时的积累以及社工库的强大，其实通过社工库搜索到许多的信息，但是都因为年龄不符合（50-70岁）所以都被筛出来了，我这里其实并没有很细心而且使用的社工库都是免费的，如果使用氪金的那结果说不定就不一样了，所以还得有团队，有队友才能更强大走的更远。此次溯源结果虽然有点收获，但是我猜测此云主机已经被劫持为肉鸡当成跳板机再使用了，因为从微步在线给出的信息来看此网站已经多次发起攻击但是作为一个红队人员肯定不会使用这么chun的攻击手法来进行攻击。

原文始发于微信公众号（HACK之道）：实战|记一次溯源真实案例