记一次艰难的溯源故事（对不起学长）
字数 1297 2025-08-05 08:17:20

Fastjson漏洞利用与攻击者溯源实战教学

0x01 攻击发现与初步分析

攻击行为特征：

  • 发现Fastjson漏洞利用行为
  • 攻击者使用DNSLOG域名特征：字母数字组合+fastjson.xxx.yuns*.org
  • 历史记录显示该域名已被标记为DNSLOG用途

情报收集步骤：

  1. 对攻击域名进行子域名枚举，发现admin.yuns*.org
  2. 关联到活跃IP：47.75.*.230
  3. 确认该IP去年10月也有DNSLOG活动记录

0x02 攻击者身份初步追踪

IP反向解析：

  • 通过47...230解析找到关联域名mas*.me
  • 该域名为一个安全从业人员的个人博客

信息收集方法：

  1. 检查博客内容，发现作者关注Chrome 0day漏洞
  2. 查找"打赏"页面，发现作者姓名全拼域名
  3. 通过Link页面收集：
    • 安全网站友链
    • 作者邮箱
    • 其他社交账号

获取的个人信息：

  • 姓名
  • QQ号码
  • 毕业院校
  • 生日信息

0x03 深入渗透与服务器访问

子域名发现：

  • 找到img.mas*.org文件上传站点
  • 确认是PHP 5.6环境

文件上传绕过技术：

  1. 测试上传TXT文件成功
  2. 直接上传PHP Webshell失败（连接重置）
  3. 使用<?php echo 1;?>测试成功
  4. 确认存在内容过滤机制

权限提升技术：

  • 使用LD_PRELOAD绕过disable_functions限制
  • 推荐工具：蚁剑插件自动bypass disable_functions

服务器内发现：

  1. 找到博客源码和数据库配置
  2. 发现admin.yuns*.org相关配置
  3. 获取历史漏洞整理链接
  4. 确认之前找到的QQ号

0x04 社会工程学技巧

伪装身份准备：

  1. 使用高等级QQ小号
  2. 设置资料匹配攻击者背景：
    • 99年出生
    • 18届学生
    • 同院校计算机专业
  3. 空间布置真实校园照片

交流策略：

  1. 以"学弟咨询就业"为由接触
  2. 强调自己是开发方向（降低警惕）
  3. 避免直接询问公司信息
  4. 通过以下方式侧面获取信息：
    • 内推公众号分析
    • 安全文章内容分析
    • 众测邀请截图分析

交流注意事项：

  1. 准备应对可能的验证问题
  2. 实时搜索相关信息应对提问
  3. 保持自然对话节奏
  4. 避免过度追问引起怀疑

0x05 防御与反制措施

攻击者视角的防御点：

  1. 域名隐私保护
  2. 个人信息最小化公开
  3. 服务器安全配置：
    • 及时升级PHP版本
    • 严格文件上传过滤
    • 合理设置disable_functions

溯源防御建议：

  1. 不同平台使用不同身份信息
  2. 社交账号信息一致性检查
  3. 警惕异常的好友请求
  4. 建立验证机制确认身份真实性

0x06 技术要点总结

  1. Fastjson漏洞特征：

    • 典型DNSLOG域名模式
    • 历史IP关联分析

  2. OSINT信息收集：

    • 域名反向查询
    • Github项目分析
    • 支付信息关联

  3. Web渗透技巧：

    • 内容过滤绕过
    • PHP 5.6环境利用
    • LD_PRELOAD提权

  4. 社会工程学：

    • 身份伪装细节
    • 对话节奏控制
    • 信息间接获取

本教学文档完整呈现了一次从技术漏洞发现到社会工程学应用的完整攻击者溯源过程，强调了技术手段与心理学技巧的结合运用，同时提供了防御视角的思考。

Fastjson漏洞利用与攻击者溯源实战教学 0x01 攻击发现与初步分析 攻击行为特征 ： 发现Fastjson漏洞利用行为 攻击者使用DNSLOG域名特征： 字母数字组合+fastjson.xxx.yuns*.org 历史记录显示该域名已被标记为DNSLOG用途 情报收集步骤 ： 对攻击域名进行子域名枚举，发现 admin.yuns*.org 关联到活跃IP：47.75.* .230 确认该IP去年10月也有DNSLOG活动记录 0x02 攻击者身份初步追踪 IP反向解析 ： 通过47. . .230解析找到关联域名 mas*.me 该域名为一个安全从业人员的个人博客 信息收集方法 ： 检查博客内容，发现作者关注Chrome 0day漏洞 查找"打赏"页面，发现作者姓名全拼域名 通过Link页面收集： 安全网站友链 作者邮箱 其他社交账号 获取的个人信息 ： 姓名 QQ号码 毕业院校 生日信息 0x03 深入渗透与服务器访问 子域名发现 ： 找到 img.mas*.org 文件上传站点 确认是PHP 5.6环境 文件上传绕过技术 ： 测试上传TXT文件成功 直接上传PHP Webshell失败（连接重置） 使用 <?php echo 1;?> 测试成功 确认存在内容过滤机制 权限提升技术 ： 使用LD_ PRELOAD绕过disable_ functions限制 推荐工具：蚁剑插件自动bypass disable_ functions 服务器内发现 ： 找到博客源码和数据库配置 发现 admin.yuns*.org 相关配置 获取历史漏洞整理链接 确认之前找到的QQ号 0x04 社会工程学技巧 伪装身份准备 ： 使用高等级QQ小号 设置资料匹配攻击者背景： 99年出生 18届学生 同院校计算机专业 空间布置真实校园照片 交流策略 ： 以"学弟咨询就业"为由接触 强调自己是开发方向（降低警惕） 避免直接询问公司信息 通过以下方式侧面获取信息： 内推公众号分析 安全文章内容分析 众测邀请截图分析 交流注意事项 ： 准备应对可能的验证问题 实时搜索相关信息应对提问 保持自然对话节奏 避免过度追问引起怀疑 0x05 防御与反制措施 攻击者视角的防御点 ： 域名隐私保护 个人信息最小化公开 服务器安全配置： 及时升级PHP版本 严格文件上传过滤 合理设置disable_ functions 溯源防御建议 ： 不同平台使用不同身份信息 社交账号信息一致性检查 警惕异常的好友请求 建立验证机制确认身份真实性 0x06 技术要点总结 Fastjson漏洞特征 ： 典型DNSLOG域名模式 历史IP关联分析 OSINT信息收集 ： 域名反向查询 Github项目分析 支付信息关联 Web渗透技巧 ： 内容过滤绕过 PHP 5.6环境利用 LD_ PRELOAD提权 社会工程学 ： 身份伪装细节 对话节奏控制 信息间接获取 本教学文档完整呈现了一次从技术漏洞发现到社会工程学应用的完整攻击者溯源过程，强调了技术手段与心理学技巧的结合运用，同时提供了防御视角的思考。