如何抓到入侵网站的黑客？
今天看到知友的一些回答我觉得有些东西忘了说了。 对于追踪来说一般有这么三种套路： IP-＞域名-＞Whois信息-＞社交网络信息->真实信息：这个套路对于现在来说可能用处不是特别大，但是根据历史Whois信息也是可以得出一些启发性的结论的，当然这些威胁情报数据可能付费。 IP-＞VPN-＞IP->社交网络信息：这种情况一般是大多数，解决方法是通过查询IP反连记录，解析操作和一些fingerprint获得他的虚拟身份信息，当然也是要收费的 IP->botnet-＞IP->社交网络信息：这种广泛分布于挖矿、刷票、DDoS这种肉鸡类型的，可以想办法截获起botnet样本进行逆向分析，获取其c&c服务器地址，然后对服务器进行反连查询。没错还是要收费的。 再说多了估计黑产大哥要把我腿打断了 —————————— 最近刚好在帮客户追溯攻击者，先mark，等有时间在来答 —————————— 攻击溯源，其实是数据驱动的企业内部安全运营的一部分，需要大量数据的支撑以及分析才能找到攻击者，而企业内部我们见到最多的数据无非就是日志了，所以日志的分析和内网威胁情报的提取是非常重要的一环。 针对安全运营来说，我个人认为所有的攻击者不可避免的都会产生操作日志，针对内网内的安全设备也好，非安全设备也好，肯定或多或少的存在日志。 针对企业内部的日志，大体上可分为四类：安全设备日志、非安全设备日志、传感器日志和外部数据。 安全设备日志：这些日志来源可以是硬件也可以是软件，首先就硬件来说注入IDS/WAF或者SIEM中的日志、硬件防火墙等等日志，软件日志包括防病毒软件、安全Agent、准入系统等软件系统的日志。这些日志一般都是攻击者进行攻击时会进行被动触发，这样的话可以检索到很多攻击信息，诸如使用的IP、端口、工具指纹等等。 非安全设备日志：诸如路由器、交换机、网关、网闸等硬件设备以及操作系统、应用软件、服务器软件日志等软件日志，这些日志中可以分析出攻击者的目的，是为了单纯渗透玩一下还是想要通过控制机器作为跳板机进行进一步的渗透工作，还是说仅仅是安全部门进行扫描产生的日志。 传感器日志：企业内部通常会部署一些蜜罐系统、流量传感器等，这些设备一方面可以有攻击预警和反横向渗透的效果，但是里面也会存在一些攻击者的行为，比如SSH蜜罐会存下攻击者在这台机器上的操作，流量传感器会对数据包进行DPI解析方便流量分析，这些数据中肯定残存着一些有用的信息可以帮助我们确定攻击者的行为、技能点，甚至可以进一步判断该攻击者的能力，是脚本小子还是大黑阔。 外部日志：一些常用服务的日志，比如说邮件、DNS等日常服务的日志，这些日志可以帮我们确定攻击者是否是一种APT攻击，或者是是否是来种植Botnet的。同样可以确定攻击者的动机。 说完了日志，我们紧接着可以说一下攻击者的动机判定，攻击者想要入侵一个系统肯定会对这个系统进行侦查，诸如端口扫描、脆弱性检测、exp测试等手段，这里面很容易和安全部门的安全常规巡检的日志起冲突，大多数公司都会把扫描机群放到白名单里。这样产生了类似的日志就会触发报警，我们可以进一步分析这些日志提取出一些攻击者的行为、动机等等，以及他的目的甚至他的技能点，我们都可以初步判断。 通过对以上日志的分析，我们可以基本上确定攻击者是什么途径进来的，用何种攻击方式拿到机器权限，有没有执行什么敏感的操作，是否有进一步渗透的趋势，是不是在尝试提权之类的操作等等，这样我们就对攻击者有一个大概的了解。 接下来我们就需要借助外部威胁情报的力量来获取攻击者的身份，我个人比较喜欢国内的微步在线和国外的PassiveTotal这两个平台，尤其是后者，数据比较全而且覆盖度很广。当然不差钱的各位可以选择去买威胁情报服务，更专业。 简单说一下威胁情报可以帮我们干什么，威胁情报其实就是根据上面获得残破的攻击者画像变得完整，威胁情报一般可以获得这个攻击者有哪些常用的IP，这些IP分别都是干什么的，有没有什么社交信息，社交信息又有什么关联。举个不恰当的例子就是相当于你知道一个人的身份证号，然后警察用这个身份证号去查这个人有多少钱，资产有多少等等（说到这里如有犯法的请提醒一下，谢谢）。这样你就可以获得一个较为完整的攻击者画像。 到了这里其实我们知道了攻击者的信息，就可以选择怎么解决，拉倒办公室弹jj10分钟是一个解决方案，扭送到警察蜀黍那里也是解决方案，但是需要提醒大家注意执法力度和执法手段，不要知法犯法（逃。 其实广大安全运营工程师只是希望自保，对于这种他们是不care的，但是对于安全研究人员，尤其是搞技术侦查想要搞黑产的，其实黑产的结构很简单，上图不bb： 其实跟企业内部管理很类似，有统筹规划的CEO（金主）、有负责开发的CTO（写病毒木马）、有负责抓鸡的硬件采购COO（抓鸡）、有负责IT架构管理的CIO（shell管理员）、同时还有对外接单的销售总监（渠道），这样的一整套背后都是金钱的交易，紧接着倒霉的，就是我们广大网民。。 黑产就跟传销一样，进去出不来的，建议大家珍爱生命远离黑产。