护网蓝队-记一次不成功的溯源


    近期,接客户通知开展HW攻防演练,于是和团队人员投入HW演练监控中。在某日监控中发现  监控设备出现数条告警信息,疑似攻击队对我方资产进行攻击。于是第一时间进行预警,并尝试溯源 攻击者。


护网蓝队-记一次不成功的溯源监控设备告警日志

首先通过对监控设备捕捉到的有效攻击行为进行简单分析,得出两个有效信息:一是攻击IP为119.X.X.X,二是攻击者尝试利用NMAP工具对资产进行扫描探测,于是开展对攻击IP溯源工作。

护网蓝队-记一次不成功的溯源

护网蓝队-记一次不成功的溯源


护网蓝队-记一次不成功的溯源威胁情报平台查找相关信息

通过微步威胁情报平台查询关于此IP的相关信息,发现该IP被判断为恶意攻击,并查到历史解 析域名。并进一步对该IP进行探测,以求发现更有价值的信息。

微 步 威 胁 情 报 平 台 :https://x.threatbook.cn/ 

安恒威胁情报平台:https://ti.dbappsecurity.com.cn/

护网蓝队-记一次不成功的溯源

查询历史解析域名whois信息,发现注册机构为:XXXX院。

护网蓝队-记一次不成功的溯源

利用ipuu对IP进行定位,发现该IP在北京市某城区某某四季别墅附近。

护网蓝队-记一次不成功的溯源


护网蓝队-记一次不成功的溯源对该IP进行端口探测

利用Nmap对该IP进行全端口扫描,发现该攻击IP仅开放25、110端口。

护网蓝队-记一次不成功的溯源

25 端口:SMTP邮件服务, 对应服务漏洞:邮件伪造、未授权访问、弱口令。110 端口:POP3,对应服务漏洞:弱口令。对其进行一番尝试,并未发现可利用的漏洞。一波操作猛如虎,一 看战绩0-5.

常 见 漏 洞 及 对 应 服 务 漏 洞 可 参 见 :https://mp.weixin.qq.com/s/3QzpyAiGl3LI78Neqi7K7g。


护网蓝队-记一次不成功的溯源子域名并进行溯源

通过oneforall、xray对其子域进行发掘。发现其存在较多子域,逐一进行整理并测试。oneforall项目地址:https://github.com/shmilylty/OneForAll

xray项目地址:https://github.com/chaitin/xray oneforall探测结果:

护网蓝队-记一次不成功的溯源

xray探测结果:

护网蓝队-记一次不成功的溯源

整理结果:

护网蓝队-记一次不成功的溯源

最后发现a.xxx.cn可访问且提供web服务,于是对该子域进行测试。

访问a.xxx.cn,发现该域名为资产及实验室运维管理系统登录页面,且没有验证码进行验证。弱 口令进行尝试,发现该系统存在任意用户登录,但登入系统仍返回该页面。

护网蓝队-记一次不成功的溯源

于是将请求抓包重放,寻找有效信息。

护网蓝队-记一次不成功的溯源

在响应包,发现了某职员的姓名、手机号等有效信息,整理如下。

护网蓝队-记一次不成功的溯源


护网蓝队-记一次不成功的溯源写在最后

此次从安全设备监控到攻击IP至溯源结束,中间经历IP信息查询、whois查询、端口探测、IP反 查域名、子域名爆破、漏洞发掘等等,共计耗时近6小时。最终也发现了部分有效信息,但我并不认 为这是一次成功的溯源。因为通过子域获取的部分信息,并不能证明就是该人进行的攻击。写此文的 目的只是记录一下溯源的部分思路,希望今后能有次真正意义上的成功溯源,到时再与各位表哥们分享。


护网蓝队-记一次不成功的溯源

护网蓝队-记一次不成功的溯源



版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/764.html

发表评论

登录后才能评论