摘要：
IP地址是互联网上每台计算机的唯一标识,通过分析IP地址我们可以获取大量有关该IP地址的信息。我们可以通过Whois查询来了解IP地址的所有者信息,包括注册人、注册时间、到期时间等... IP 地址是互联网上每台计算机的唯一标识,通过分析 IP 地址我们可以获取大量有关该 IP 地址的信息。我们可以通过 Whois 查询来了解 IP 地址的所有者信息,包括注册人、注册时间、到期时间等。这些信息可以帮助我们判断 IP 地址的合法性,以及是否存在恶意使用的风险。
我们还可以通过 IP 地址反向解析的方式获取与之关联的域名信息。域名信息可以进一步帮助我们了解 IP 地址的用途,以及是否存在安全隐患。例如,IP 地址对应的域名带有 "hack"、"crack" 等关键词,那很可能是一个存在安全问题的网站。
我们还可以利用一些在线工具对 IP 地址进行端口扫描和漏洞检测,以发现该 IP 地址可能存在的安全问题。发现端口存在开放或者存在已知漏洞,那就需要相应的安全防护措施。
域名是互联网上的地址,通过分析域名信息也可以获取大量有价值的安全信息。我们可以利用 Whois 查询,了解域名的注册信息,包括注册人、注册时间、到期时间等。这些信息可以帮助我们判断域名的合法性,以及是否存在恶意注册的情况。
我们还可以通过一些在线工具对域名进行扫描,了解该域名是否存在安全隐患。例如,可以检测域名是否存在被 DNS 劫持、被篡改等问题,以及是否存在恶意链接或者挂马等情况。
我们还可以利用 SSL/TLS 证书信息来判断域名的安全性。域名使用的 SSL/TLS 证书存在问题,比如证书即将到期、证书颁发者不可信等,那就意味着该域名存在安全隐患,需要引起重视。
通过对 IP 地址和域名的独立分析,我们可以获取大量有价值的安全信息。但如果将这两者结合起来进行综合分析,就可以挖掘出更多的安全问题。
例如,一个 IP 地址对应的域名存在安全问题,那就很有可能该 IP 地址也存在安全隐患。我们可以进一步对该 IP 地址进行深入的端口扫描和漏洞检测,以发现更多的安全问题。
另外,一个 IP 地址同时对应多个域名,或者一个域名同时解析到多个 IP 地址,那也可能存在安全风险。我们需要进一步分析这些域名和 IP 地址之间的关联性,以确定是否存在恶意行为。
通过对 IP 地址和域名的全方位分析,我们可以挖掘出大量有价值的安全信息,为网络安全检查提供有力的支撑。只有充分利用这两个关键要素,我们才能更好地保护网络系统的安全。
通过ip查询域名信息
在数字化世界中，网站的访问流量往往牵动着无数用户的心。 然而，对于黑客而言，这些流量不仅意味着潜在的目标，更是一场无声的较量。 他们通常会先通过一系列细致的探测，摸清目标网站的域名和IP地址，这是他们发起攻击的第一步。 使用Ping命令，是最常见的探测手段。 在命令提示符中输入如“Ping ”，如图1-12所示，可以迅速获取到“”对应的IP地址，即14.215.177.39，这意味着这个网站的信息存储在那个特定的服务器中。 然而，Ping的探测范围有限。 若需查询一个IP地址绑定的所有域名，专业的在线工具能提供更全面的信息。 例如，访问，在查询框输入目标IP，如图1-13所示，将展示详细的域名列表。 对于更深层次的域名系统信息，Nslookup命令则大有裨益。 它不仅能够查询A记录（域名到IP的映射）、MX记录（邮件服务器信息）和NS记录（域名服务器的解析），还能通过“nslookup ”获取CNAME记录（别名记录）。 图1-15至1-18分别展示了这些记录查询的结果。 Nslookup的交互式查询更为灵活。 通过命令提示符，直接输入“nslookup”后，输入目标域名，如图1-20所示，黑客可以动态获取网站的IP地址列表，这对于他们的策略调整至关重要。 因为当一个攻击无法突破时，他们可能会尝试利用这些额外的IP作为新的入口点。 总的来说，通过IP查询域名信息，黑客可以对目标网站形成全面的了解，这无疑增加了防御的复杂性和挑战。 了解和掌握这些工具，对于保护网站安全至关重要。 在网络安全的世界里，每一步都是较量，而这些基础的探测技术，是黑客和防护者之间的无声战争。
如何利用“IP地址欺骗”
深入分析研究防火墙技术，利用防火墙配置和实现 的漏洞，可以对它实施攻击。 通常情况下，有效的攻击都是从相关的子网进行的，因为这些网址得到了防火墙的信赖，虽说成功与否尚取决于机遇等其他因素，但对攻击者而言很值得一试。 突破防火墙系统最常用的方法是IP地址欺骗，它同时也是其他一系列攻击方法的基础。 之所以使用这个方法，是因为IP自身的缺点。 IP协议依据IP头中的目的地址项来发送IP数据包。 如果目的地址是本地网络内的地址，该IP包就被直接发送到目的地。 如果目的地址不在本地网络内，该IP包就会被发送到网关，再由网关决定将其发送到何处。 这是IP路由IP包的方法。 IP路由IP包时对IP头中提供的IP源地址不做任何检查，并且认为IP头中的IP源地址即为发送该包的机器的IP地址。 当接收到该包的目的主机要与源主机进行通讯时，它以接收到的IP包的IP头中IP源地址作为其发送的IP包的目的地址，来与源主机进行数据通讯。 IP的这种数据通讯方式虽然非常简单和高效，但它同时也是IP的一个安全隐患，很多网络安全事故都是因为IP这个的缺点而引发的。 黑客或入侵者利用伪造的IP发送地址产生虚假的数据分组，乔装成来自内部站的分组过滤器，这种类型的攻击是非常危险的。 关于涉及到的分组真正是内部的还是外部的分组被包装得看起来象内部的种种迹象都已丧失殆尽。 只要系统发现发送地址在其自己的范围之内，则它就把该分组按内部通信对待并让其通过。 通常主机A与主机B的TCP连接(中间有或无防火墙)是通过主机A向主机B提出请求建立起来的，而其间A和B的确认仅仅根据由主机A产生并经主机B验证的初始序列号ISN。 具体分三个步骤：主机A产生它的ISN，传送给主机B，请求建立连接；B接收到来自A的带有SYN标志的ISN后，将自己本身的ISN连同应答信息ACK一同返回给A；A再将B传送来ISN及应答信息ACK返回给B。 至此，正常情况，主机A与B的TCP连接就建立起来了。 B ---- SYN ----> AB <---- SYN+ACK ---- AB ---- ACK ----> A假设C企图攻击A，因为A和B是相互信任的，如果C已经知道了被A信任的B，那么就要相办法使得B的网络功能瘫痪，防止别的东西干扰自己的攻击。 在这里普遍使用的是SYN flood。 攻击者向被攻击主机发送许多TCP- SYN包。 这些TCP-SYN包的源地址并不是攻击者所在主机的IP地址，而是攻击者自己填入的IP地址。 当被攻击主机接收到攻击者发送来的TCP-SYN包后，会为一个TCP连接分配一定的资源，并且会以接收到的数据包中的源地址（即攻击者自己伪造的IP地址）为目的地址向目的主机发送TCP-（SYN+ACK）应答包。 由于攻击者自己伪造的IP地址一定是精心选择的不存在的地址，所以被攻击主机永远也不可能收到它发送出去的TCP-（SYN+ACK）包的应答包，因而被攻击主机的TCP状态机会处于等待状态。 如果被攻击主机的TCP状态机有超时控制的话，直到超时，为该连接分配的资源才会被回收。 因此如果攻击者向被攻击主机发送足够多的TCP-SYN包，并且足够快，被攻击主机的TCP模块肯定会因为无法为新的TCP连接分配到系统资源而处于服务拒绝状态。 并且即使被攻击主机所在网络的管理员监听到了攻击者的数据包也无法依据IP头的源地址信息判定攻击者是谁。 当B的网络功能暂时瘫痪，现在C必须想方设法确定A当前的ISN。 首先连向25端口，因为SMTP是没有安全校验机制的，与前面类似，不过这次需要记录A的ISN，以及C到A的大致的RTT(round trip time)。 这个步骤要重复多次以便求出RTT的平均值。 一旦C知道了A的ISN基值和增加规律，就可以计算出从C到A需要RTT/2 的时间。 然后立即进入攻击，否则在这之间有其他主机与A连接，ISN将比预料的多。 C向A发送带有SYN标志的数据段请求连接，只是信源IP改成了B。 A向B回送SYN+ACK数据段，B已经无法响应，B的TCP层只是简单地丢弃A的回送数据段。 这个时候C需要暂停一小会儿，让A有足够时间发送SYN+ACK，因为C看不到这个包。 然后C再次伪装成B向A发送ACK，此时发送的数据段带有Z预测的A的ISN+1。 如果预测准确，连接建立，数据传送开始。 问题在于即使连接建立，A仍然会向B发送数据，而不是C，C仍然无法看到A发往B的数据段，C必须蒙着头按照协议标准假冒B向A发送命令，于是攻击完成。 如果预测不准确，A将发送一个带有RST标志的数据段异常终止连接，C只有从头再来。 随着不断地纠正预测的ISN，攻击者最终会与目标主机建立一个会晤。 通过这种方式，攻击者以合法用户的身份登录到目标主机而不需进一步的确认。 如果反复试验使得目标主机能够接收对网络的ROOT登录，那么就可以完全控制整个网络。 C(B) ---- SYN ----> AB <---- SYN+ACK ---- AC(B) ---- ACK ----> AC(B) ---- PSH ----> AIP欺骗攻击利用了RPC服务器仅仅依赖于信源IP地址进行安全校验的特性，攻击最困难的地方在于预测A的ISN。 攻击难度比较大，但成功的可能性也很大。 C必须精确地预见可能从A发往B的信息，以及A期待来自B的什么应答信息，这要求攻击者对协议本身相当熟悉。 同时需要明白，这种攻击根本不可能在交互状态下完成，必须写程序完成。 当然在准备阶段可以用netxray之类的工具进行协议分析。 虽然IP欺骗攻击有着相当难度，但我们应该清醒地意识到，这种攻击非常广泛，入侵往往由这里开始。 预防这种攻击还是比较容易的。 IP本身的缺陷造成的安全隐患目前是无法从根本上消除的。 我们只能采取一些弥补措施来使其造成的危害减少到最小的程度。 防御这种攻击的最理想的方法是：每一个连接局域网的网关或路由器在决定是否允许外部的IP数据包进入局域网之前，先对来自外部的IP数据包进行检验。 如果该IP包的IP源地址是其要进入的局域网内的IP地址，该IP包就被网关或路由器拒绝，不允许进入该局域网。 这种方法虽然能够很好的解决问题，但是考虑到一些以太网卡接收它们自己发出的数据包，并且在实际应用中局域网与局域网之间也常常需要有相互的信任关系以共享资源，这种方案不具备较好的实际价值。 另外一种防御这种攻击的较为理想的方法是当IP数据包出局域网时检验其IP源地址。 即每一个连接局域网的网关或路由器在决定是否允许本局域网内部的IP数据包发出局域网之前，先对来自该IP数据包的IP源地址进行检验。 如果该IP包的IP源地址不是其所在局域网内部的IP地址，该IP包就被网关或路由器拒绝，不允许该包离开局域网。 这样一来，攻击者至少需要使用其所在局域网内的IP地址才能通过连接该局域网的网关或路由器。 如果攻击者要进行攻击，根据其发出的IP数据包的IP源地址就会很容易找到谁实施了攻击。 因此建议每一个ISP或局域网的网关路由器都对出去的IP数据包进行IP源地址的检验和过滤。 如果每一个网关路由器都做到了这一点，IP源地址欺骗将基本上无法奏效。
网络安全信息收集之域名探测
在进行站点渗透测试前，渗透测试人员通常会使用漏洞扫描器对目标站点进行扫描渗透。 若目标站点没有漏洞，渗透测试员则需进行信息收集，以完成后续渗透。 下面，让我们跟随安全专家了解域名信息是如何被收集的。 根据主域名，可以获取二级域名、三级域名等。 以下是收集子域名的常见方法：【1】DNS域传送漏洞：若存在此漏洞，不仅可搜集子域名，还能轻松找到漏洞。 例如，若SRC一级域名不多，可在kali下使用dnsenum 进行操作。 【2】备案号查询：这是一种独特的技巧，通过查询系统域名备案号，再反查备案号相关的域名，往往能获得丰富的信息。 网站备案查询地址：[此处应填写具体网址]。 【3】SSL证书：通过查询SSL证书，获取的域名存活率很高，这也是一个不错的思路。 查询网址：[此处应填写具体网址]。 【4】google搜索C段：这种方法在国内使用较少，可尝试使用bing或网络。 在无进展时，可能会有意外惊喜。 方法一：参考GoogleHack用法；方法二：使用k8工具，前提条件是注册bing接口。 【5】APP提取：反编译APP可提取相关IP地址，同时在APP上挖掘漏洞时，可以发现前面招式找不到的域名。 APP中包含大量接口IP和内网IP，同时可获取不少安全漏洞。 【6】微信公众号：企业的另一通道，渗透相关公众号，往往会有意外收获：不少漏洞+域名。 有关Burp如何抓取微信公众号数据，可参考Burp APP抓包。 【7】字典枚举法：这是一种传统查找子域名的技术，相关工具有DNSReconcile、Layer子域名挖掘机、DirBuster等。 【8】公开DNS源：Rapid7下Sonar项目发布的DNS历史解析。 【9】威胁情报查询：华为安全情报。