网络安全溯源实战教学文档

1. 溯源案例背景

• 时间背景：7-8月网络安全攻防演练期间
• 发现方式：通过全流量探针设备告警发现非常规访问流程
• 初步判断：确认为真实攻击IP后立即进行封禁处置

2. 基础信息收集

2.1 IP归属查询

• 使用工具：常规IP查询工具
• 发现信息：攻击IP为北京阿里云云主机

2.2 资产探测

• 使用工具：FOFA搜索引擎
• 发现资产：
  • Vue框架前后端分离的游戏网站
  • 开源的GreaterWMS仓库管理系统
• 评估结果：无已知可利用漏洞，Web层面暂时无法突破

3. 威胁情报分析

3.1 微步在线查询

• 查询结果：IP被标记为恶意IP
• 关键功能使用：
  • 反查域名功能
  • 溯源功能（显示IP的指向关系）

3.2 域名备案信息

• 查询方法：
  1. 直接访问网站查看备案号
  2. 通过站长之家whois查询
  3. 通过官方备案网站查询
• 关键发现：
  • 备案信息一致（姓名：付X成）
  • 备案地区：河南

4. 身份信息挖掘

4.1 阿里云账号信息

• 利用方法：通过账号密码找回功能
  • 使用"密码找回账号"功能
  • 验证备案姓名真实性

4.2 社工库查询

• 使用工具：Magic社工库
• 查询条件：
  • 姓名：付X成
  • 年龄：30岁以下
  • 地区：河南
• 结果：匹配到两个符合条件的信息
  • 其中一个包含手机号

4.3 关联信息拓展

• 手机号用途：
  • 搜索微信、支付宝、微博等账号
  • 获取更多关联信息

5. 攻击者画像分析

• 攻击特征：

  • 使用云主机作为攻击源
  • 可能已被劫持为肉鸡/跳板机
  • 攻击手法较为初级（非专业红队行为）

• 身份推测：

  • 河南籍
  • 30岁以下
  • 可能拥有阿里云账号

6. 溯源技术要点总结

1. 多源验证：

   • 结合FOFA、微步在线、whois、备案系统等多渠道信息交叉验证

2. 备案信息利用：

   • 国内域名备案制度的溯源价值
   • 备案号→真实姓名→地区信息的完整链条

3. 社工库使用技巧：

   • 三要素组合查询（姓名+年龄+地区）
   • 免费与付费社工库的差异

4. 关联信息挖掘：

   • 从手机号到社交账号的拓展方法
   • 信息真实性的验证方法

7. 防御与反制建议

1. 攻击源处理：

   • 确认为恶意IP后及时封禁
   • 向云服务商提交滥用报告

2. 溯源深度建议：

   • 团队协作分工（信息收集、验证、拓展）
   • 付费情报服务的价值
   • 长期监控攻击IP活动

3. 防护建议：

   • 对开源系统（如GreaterWMS）保持更新
   • 云主机安全配置检查
   • 异常流量监控告警

8. 案例局限性

1. 可能误判：

   • 云主机可能已被入侵作为跳板
   • 备案信息可能不是实际攻击者

2. 信息不足：

   • 免费社工库数据有限
   • 缺少攻击者实际身份验证

3. 法律边界：

   • 社工信息使用的合规性
   • 隐私保护考量

9. 技能提升路径

1. 工具掌握：

   • FOFA、微步在线等工具的熟练使用
   • 社工库的合理运用

2. 信息关联能力：

   • 从碎片信息构建完整画像
   • 多源信息验证技巧

3. 团队协作：

   • 分工配合提高效率
   • 信息共享机制

4. 法律意识：

   • 网络安全法相关规定
   • 溯源过程中的合规操作

10. 总结

本案例展示了从安全告警到攻击者身份挖掘的完整溯源流程，重点在于：

• 多源信息的交叉验证
• 国内备案制度的有效利用
• 社工信息的合理挖掘
• 团队协作的价值体现

通过此类实战案例的积累，可以不断提升网络安全防护和事件响应能力。