浅谈IP地址溯源方法

CVES实验室

      “CVES实验室”(www.cves.io)由团队旗下SRC组与渗透组合并而成，专注于漏洞挖掘、渗透测试与情报分析等方向。近年来我们报送漏洞总数已达八万余个，其中包含多个部级单位、多个通信运营商、Apache、Nginx、Thinkphp等，获得CNVD证书、CVE编号数百个，在不同规模的攻防演练活动中获奖无数，协助有关部门破获多起省督级别的案件。

前言

不以溯源到身份信息为目的溯源不是好溯源，有不到位的地方还请多多包涵。

溯源方法

一、常规思路

常规思路主要就是比较常见的思路，耳熟能详，这里只是做个小汇总吧可以说，

1.威胁情报

在得到IP地址之后，可以通过威胁情报平台查询关联的事件以及特征，但对溯源到人头上还是有困难的。

https://x.threatbook.com/

https://ti.360.cn/

https://tix.qq.com/

https://ti.qianxin.com/

https://ti.nsfocus.com/

https://www.antiycloud.com/

https://ti.sangfor.com.cn/

https://ti.dbappsecurity.com.cn/

https://exchange.xforce.ibmcloud.com/

https://www.virustotal.com/

2.空间测绘

和威胁情报差不多，但如果目标是服务器IP，那么可以使用空间测绘C段进行一个开放服务收集，如果有拿掉再横向移动的可能，那么就相对好溯源到人头上了。

https://fofa.info/

https://quake.360.net/

https://www.zoomeye.org/

https://hunter.qianxin.com/

https://www.shodan.io/

https://0.zone/

3.IP查询

反查ASN机构，可以用于收集更多的IP段（空间测绘可能不全）

https://asn.cymru.com/

https://search.dnslytics.com/

https://whois.ipinsight.io/

收集注册信息、历史dns等，解析记录等

https://who.is/

https://centralops.net/

https://dnsdumpster.com/

https://securitytrails.com/

我个人经常用的是securitytrails

二、非常规思路

非常规思路是我加的一些基于狭义、广义社工的IP溯源思路，虽然有一定的理想化成分，但不失为一种思路开拓吧。

1.国内服务器

很多云服务商都有用户名找回功能，我目前只发现腾讯云和阿里云有这个功能，所以拿他们两个举例子。

https://cloud.tencent.com/account/recover

找回账号功能支持使用IP找回

这样就能得到注册手机号的前2后2位，然后呢？可以把各种qq安全群，src群的qq成员dump下来，批量跑一下手机号绑定（可以用社工库也可以跑密保），筛一下复合的。几率不大，但是“理论可行”。

https://account.aliyun.com/find_loginid/findLoginId.htm

阿里云没有通过IP找回用户名的功能，但是如果IP可以反查到历史绑定域名的话就可以尝试一下。

可以看到阿里云这边查到的信息更多一些，信息越多也就越容易进行广义社工。

2.家庭IP

家庭IP最有效的溯源方法其实是社工运营商。在pppoe时代，我不知道大家记不记得啊，网赚圈有个很火的东西叫做刷宽带钻，基本原理就是破解出别人的宽带账号和IP地址然后代理上去开通相关业务。所以家庭IP如果能确定出具体的运营商（地级），也是可以通过某些手段查出宽带信息的。