拿到攻击者 IP 怎么溯源

第一步：信息收集

这一步是溯源的基础，我们通过已有的安全日志和数据包，快速获取攻击者的初步信息

• 获取攻击者 IP 和攻击方式：这是溯源的起点。你需要从 Web 服务器日志、WAF、IPS、蜜罐等安全设备中，提取出攻击者的源 IP 地址，并分析其攻击方式（如 SQL 注入、命令执行、WebShell 上传等）
• 威胁情报平台分析：利用威胁情报平台（如微步、安恒威胁情报中心、VirusTotal）对攻击者 IP 进行快速检测
  • 判断 IP 性质：它是一个常规的云服务器、代理IP，还是已知的恶意 IP？
  • 获取基础信息：查看IP地址的归属地（国家、地区）、所属的 ISP（互联网服务提供商）
  • 端口和服务探测：利用 Shodan 等工具，探测该 IP 地址开放了哪些端口，运行着哪些服务，这有助于了解该 IP 是否被用作 C&C 服务器或其他恶意用途

第二步：反制

在获取初步信息后，我们需要进行更深层次的关联分析，试图找到更多关于攻击者的线索

• 域名和 Whois 查询：如果攻击者使用了特定的域名，或者你通过日志关联到了一些域名，利用 WHOIS 查询这些域名的注册信息。这可能提供注册人的姓名、邮箱或电话，为后续的社工提供线索
• 反向渗透：如果攻击者 IP 是云服务器，你可以对其进行有限制的反向渗透
  • 服务探测：探测服务器上运行的服务，看是否有未知的 WebShell、木马或 C&C 通信
  • 目录遍历：尝试访问一些常见的 WebShell 路径或目录，看是否有意外发现
  • 注意：反向渗透有法律风险，必须非常谨慎，通常仅限于对公开服务进行被动侦查
• 流量和网络路径追踪：利用 traceroute、ping 等工具，可以追踪攻击流量经过的路由器、网关和 ISP 等信息。这能帮助我们了解攻击流量的来源地点，并验证其 IP 地址的真实性