22 lines
2.1 KiB
Markdown
22 lines
2.1 KiB
Markdown
### 拿到攻击者 IP 怎么溯源
|
|
|
|
**第一步：信息收集**
|
|
|
|
这一步是溯源的基础，我们通过已有的安全日志和数据包，快速获取攻击者的初步信息
|
|
|
|
- **获取攻击者 IP 和攻击方式**：这是溯源的起点。你需要从 Web 服务器日志、WAF、IPS、蜜罐等安全设备中，提取出攻击者的源 IP 地址，并分析其攻击方式（如 SQL 注入、命令执行、WebShell 上传等）
|
|
- **威胁情报平台分析**：利用威胁情报平台（如微步、安恒威胁情报中心、VirusTotal）对攻击者 IP 进行快速检测
|
|
- **判断 IP 性质**：它是一个常规的云服务器、代理IP，还是已知的恶意 IP？
|
|
- **获取基础信息**：查看IP地址的归属地（国家、地区）、所属的 ISP（互联网服务提供商）
|
|
- **端口和服务探测**：利用 Shodan 等工具，探测该 IP 地址开放了哪些端口，运行着哪些服务，这有助于了解该 IP 是否被用作 C&C 服务器或其他恶意用途
|
|
|
|
**第二步：反制**
|
|
|
|
在获取初步信息后，我们需要进行更深层次的关联分析，试图找到更多关于攻击者的线索
|
|
|
|
- **域名和 Whois 查询**：如果攻击者使用了特定的域名，或者你通过日志关联到了一些域名，利用 `WHOIS` 查询这些域名的注册信息。这可能提供注册人的姓名、邮箱或电话，为后续的社工提供线索
|
|
- **反向渗透**：如果攻击者 IP 是云服务器，你可以对其进行**有限制的反向渗透**
|
|
- **服务探测**：探测服务器上运行的服务，看是否有未知的 WebShell、木马或 C&C 通信
|
|
- **目录遍历**：尝试访问一些常见的 WebShell 路径或目录，看是否有意外发现
|
|
- **注意**：反向渗透有法律风险，必须非常谨慎，通常仅限于对公开服务进行被动侦查
|
|
- **流量和网络路径追踪**：利用 `traceroute`、`ping` 等工具，可以追踪攻击流量经过的路由器、网关和 ISP 等信息。这能帮助我们了解攻击流量的来源地点，并验证其 IP 地址的真实性 |