有趣的溯源/反制案例&&思路
有意思的反制案例
漫漫长夜,身为一只值守的小牛马,突然看见蜜罐上上线了一个奇怪的告警~
oh~有攻击者被反制上鱼了
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/6-1719895995.png)
看看上线的机器都有什么信息呢?
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/2-1719895995.png)
嗯,手机号有了,报告稳了!
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/5-1719895996.png)
wifi信息确认了大概的单位名,结合ip定位可以大致印证一下是否有溯偏,我这里用埃文免费查了一次发现两个信息是对得上的
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/10-1719895996.png)
趁着机器还在线,去找找攻击者MacOS上的宝藏
路径东西倒是不少呢,录用通知书都出来了,这里可以写完整报告了
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/0-1719895998.png)
折腾完毕,在访问其他路径的时候估计是触发了MacOS的弹窗,被攻击者发现,清理离线了
那么根据当前的情况,过滤一下攻击者的ip,还原一下攻击者的上线经过,完善整体的反制路径
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/5-1719895998.png)
根据日志得知攻击者在通过git扫描的钓鱼页面的时候被反制了,之后没看见对我们单位有什么动作,估计是因为git反制的原理导致的,他日后估计还会多次上线。
既然上线了那就只好把你写进我的报告啦~
常见的几种溯源/反制手法
现代化蜜罐都做了哪些溯源/反制的操作呢?
-
1. 可克隆相关系统页面,伪装“漏洞”系统,以此进行反制。常见的有git反制、svn反制、goby反制、cs反制、还有一些应用的 0 day和 n day等。
-
2. 可克隆相关系统页面,伪装内部应用下载,以此诱导攻击者运行网站的木马程序进行反制。
-
3. 互联网端投饵,一般会在Github、Gitee、Coding上投放蜜标(有可能是个单独的网站地址、也有可能是个密码本引诱中招)。
-
4. 利用JSONP、XSS、CSRF等前端类漏洞获取访问蜜标的攻击者网络身份(网络画像)。
溯源社交平台到验证身份
所有的社交id都是为了得到 攻击者手机号/网络ID 以便于进一步得到攻击者详细信息
例如网络id可以拿到Google、Github、各大src等平台中访问搜索。
百度、微博、qq号都是可以尝试查看发布的公开信息的。
例如百度可以通过 baidu贴吧 –> qq号 –> 手机号 –> 支付宝查询真实姓名
良好的案例:
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/1-1719896000.png)
百度贴吧的回帖中发现红队老哥泄露了自己的联系方式
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/4-1719896001.png)
搜索QQ查看一些基本信息
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/7-1719896001.png)
SG库检索QQ号获取到了手机号
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/1-1719896002.png)
手机号检索到了微信号、脉脉等信息
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/6-1719896003.png)
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/0-1719896003.png)
支付宝转账验证,得到真实姓名
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/3-1719896004.png)
如果是打马中间四位数的手机号,可以去找找在线去空号的接口,或者付费去空号。
得到可用手机号之后,再给安卓手机批量导入剩余非空号的号码,去脉脉、百度贴吧等地方查看攻击者的详细信息,筛选定位出具体的攻击者。
手机号可以通过支付宝转账获得攻击者的真实姓名(可配合银行卡转账信息),得到完整手机号。
通过在线的各种信息检测接口来得到更多的信息。例如:https://privacy.aiuys.com/
![反制取证典范with思路 反制取证典范with思路](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/07/8-1719896004.png)
得到进一步的更多信息,坐实攻击者身份
原文始发于微信公众号(安全光圈):反制取证典范with思路