电子工业出版社-网上书店

当你的组织被网络犯罪分子盯上时，你需要做好反击准备。调查安全攻击事件通常是组织自己的责任，因此，开发一个能够帮助你追踪犯罪分子的强大工具包是必不可少的。本书提供了多种经验证的技术来分析非法网络流量的来源，从公开可用的网络资源中获取情报，追踪那些对你的组织造成威胁的网络罪犯。本书通过易于理解的示例，为调查网络安全事件提供了重要指导。哪怕只有一个IP地址，你也可以开启一次调查之旅，挖掘用来加强防御、协同执法部门甚至将黑客绳之以法的必要信息。本书可以让我们了解到Vinny Troia（作者）在调查网络恐怖组织“黑暗霸主”成员过程中使用的独特方法和实用技术。除了展现作者的专业知识，本书还引入了其他行业专家的智慧（包括Alex Heid, Bob Diachenko, Cat Murdoch, Chris Hadnagy, Chris Roberts, John Strand, Jonathan Cran, Leslie Carhart, Nick Furneux, Rob Fuller, Troy Hunt和William Martin等）。

目  录

第1章  准备开始	001
1.1  本书的独到之处	001
1.2  你需要知道的	003
1.3  重要资源	004
1.4  加密货币	008
1.5  小结	014
第2章  调查威胁行为者	015
2.1  调查之路	015
2.2  黑暗领主	021
2.3  小结	030
第一部分  网络调查
第3章  人工网络调查	032
3.1  资产发现	033
3.2  钓鱼域名和近似域名	043
3.3  小结	047
第4章  识别网络活动（高级NMAP技术）	048
4.1  准备开始	048
4.2  对抗防火墙和入侵检测设备	050
4.3  小结	060
第5章  网络调查的自动化工具	061
5.1  SpiderFoot工具	062
5.2  SpiderFoot HX（高级版本）	067
5.3  Intrigue.io	069
5.4  Recon-NG	078
5.5  小结	085
?
第二部分  网络探索
第6章  网站信息搜集	088
6.1  BuiltWith	088
6.2  Webapp信息搜集器（WIG）	090
6.3  CMSMap	094
6.4  WPScan	098
6.5  小结	105
第7章  目录搜索	106
7.1  Dirhunt	106
7.2  Wfuzz	109
7.3  Photon	111
7.4  Intrigue.io	114
7.5  小结	117
第8章  搜索引擎高级功能	118
8.1  重要的高级搜索功能	118
8.2  自动化高级搜索工具	125
8.3  小结	129
第9章  Whois	130
9.1  Whois简介	130
9.2  Whoisology	135
9.3  DomainTools	139
9.4  小结	147
第10章  证书透明度与互联网档案	148
10.1  证书透明度	148
10.2  小结	164
第11章  域名工具IRIS	165
11.1  IRIS的基础知识	165
11.2  定向Pivot搜索	166
11.3  信息融合	175
11.4  小结	181
?
第三部分  挖掘高价值信息
第12章  文件元数据	183
12.1  Exiftool	183
12.2  Metagoofil	185
12.3  Recon-NG元数据模块	187
12.4  Intrigue.io	193
12.5  FOCA	196
12.6  小结	200
第13章  藏宝之处	201
13.1  Harvester	202
13.2  Forums	206
13.3  代码库	212
13.4  维基网站	218
13.5  小结	221
第14章  可公开访问的数据存储	222
14.1  Exactis Leak与Shodan	223
14.2  CloudStorageFinder	226
14.3  NoSQL Database3	228
14.4  NoScrape	237
14.5  小结	244
第四部分  狩猎威胁行为者
第15章  探索人物、图像和地点	247
15.1  PIPL	248
15.2  公共记录和背景调查	251
15.3  Image Searching	253
15.4  Cree.py和Geolocation	260
15.5  IP地址跟踪	263
15.6  小结	263
第16章  社交媒体搜索	264
16.1  OSINT.rest	265
16.2  Skiptracer	273
16.3  Userrecon	282
16.4  Reddit Investigator	284
16.5  小结	286
第17章  个人信息追踪和密码重置提示	287
17.1  从哪里开始搜索TDO	287
17.2  建立目标信息矩阵	288
17.3  社会工程学攻击	290
17.4  使用密码重置提示	297
17.5  小结	307
第18章  密码、转存和Data Viper	308
18.1  利用密码	309
18.2  获取数据	312
18.3  Data Viper	319
18.4  小结	328
第19章  与威胁行为者互动	329
19.1  让他们从“阴影”中现身	329
19.2  WhitePacket是谁	330
19.3  YoungBugsThug	335
19.4  建立信息流	339
19.5  小结	344
第20章  破解价值1000万美元的黑客虚假信息	345
20.1  GnosticPlayers	346
20.2  GnosticPlayers的帖子	349
20.3  与他联系	354
20.4  把信息汇聚在一起	357
20.5  到底发生了什么	363
20.6  小结	367
后记	368

前  言
我最近参与了一起针对市值达数十亿美元企业的黑客攻击的调查工作，被盗的数据在“地下圈子”兜售。在发现这一点后，我立刻联系了这家企业，他们问了我很多问题。由于我在此次调查的前期已经开展了大量工作，所以，这家企业让我代表他们与威胁行为者联系，试图获取关于此次违规行为是如何发生的等更多信息。
以下内容是名为NSFW的威胁行为者提供的文章的一部分，我们将在本书后续更加详细地介绍这个人和他的组织。文章详细描述了他是如何入侵该组织的网络的，其过程非常复杂，绝非普通的黑客所能达到。
整个入侵过程是精心组织并实施的。
文中的敏感信息已修改。

黑客专稿：NSFW
首先，我意识到GitHub将在一周内添加新的设备验证机制，因此，我尝试获取尽可能多的开发人员的信息，通过登录他们的GitHub账号以访问组织的私有数据库。
然后，我发现公司的软件开发人员在使用LinkedIn平台。在通过公开信息查询每人的Gmail账号后，我锁定了Bob。
我通过数据库搜索希望发现Bob重复使用的口令或口令风格（撞库），从而使我能够以合法身份登录。
果不其然，我通过这一方式进入了Bob的GitHub账号，他重复使用了口令“BobsTiger66”（虽然GitHub在页面上用红色消息框提示他该口令不安全，但他显然忽略了这一信息）。这一口令还被他在多个私有数据库和一个公共数据库（ArmorGames）上重复使用。
登录后，我必须迅速采取行动，以避免GitHub的新机器学习算法对使用新IP地址进行账号登录的锁定风险。我立即使用ssh-keygen将新的公共SSH密钥添加到用户配置文件，同时我意识到Bob添加了Okta SSO防止私有数据库的复制操作，为了绕过这一点，我查看了相关的集成配置。
CircleCI是一种流行的CI/CD（持续集成/交付）工具，通过SSH密钥或PAT（个人访问令牌）与企业组织连接。虽然可以利用这一过程来访问私有数据库，但我并不需要。Bob的组织使用AWS添加了一个奇怪的Okta STS实现以生成限时访问令牌，我意识到这个过程在每次新的编译阶段开始时都会被触发，因此，我通过访问Circle调试模式，设法提取了这些限时访问令牌，并使用它们下载了内部私有数据库。
不幸的是，这些令牌没有开放更多的权限，否则，我将通过CLI获得对RDS的访问权限，并将整个数据库的快照复制下来。

读到这里，我对文章作者在这一攻击事件中付出的努力印象深刻。抛开结果不谈，客户同样也非常吃惊。
这次攻击事件有一个圆满的结局。我向客户提供的有用情报能够让他们确定违规是如何发生的，他们将采取适当的保护措施来确保类似的情况不会再出现。
我们的工作原点不应该像许多威胁情报公司所做的那样，为客户提供与假想的威胁行为者相关的通用TTP（策略、技术和程序）的无用文章，而是尽可能给出威胁行为者是如何破坏他们系统的详细信息。
很多公司对黑客这一群体的认知仅来源于阅读分析报告，但从未真正从核心上了解攻击是如何发生的。实际上，作为狩猎威胁行为者的一个环节，调查者可以直接与他们进行交谈。他们通常非常开放，并乐于吹嘘他们是如何做到的，因为在某种程度上，所有黑客都想出名，虚荣心总会战胜安全操作（Operation Security，OPSEC）。
我之前也与NSFW谈论了与他有关的其他几位黑客们的事情，他也很爽快地坦白了他是如何完成攻击的。
如果读者足够细心，将会注意到他提供的文本中的几个拼写错误和独特的写作风格。常见的拼写错误或区域差异（如organisation与organization）是非常重要的调查线索，我将在本书中讨论。
在进一步探讨之前，让读者了解我是谁很重要，这能说明是什么让我与众不同，也可以让读者更早习惯全书中将会充斥的枯燥幽默和讽刺文法。

我的故事
开始写这本书时，我问过自己一个简单的问题：我有资格写这本书吗？直到今天，我的回答仍然是“可能不会”。我不相信一个人可以掌握关于某个领域的全部知识，这就是你会在本书中找到来自其他行业专家提供的技巧和故事的原因。
我钦佩并尊重为本书做出贡献的每个人。我非常了解他们的工作，因而我相信他们独特的观点都成为我在本书中随后讨论内容的有力佐证和补充。
在开始之前，下面有一些关于我是谁，以及我为什么做这件事的理由。

1. 往事
当我父亲带回家一台IBM PS/2时，我大约10岁。虽然我不知道它是什么、能做什么，但我被迷住了。那是Windows 3.1之前的时代，我仍然记得启动这台计算机之后出现的DOS提示符，它使我感觉非常震撼。整个事情就像一个巨大的谜题，深深地吸引了我。
我是一个狂热的拼图迷，越复杂的事情越对我的胃口。我的优势（也是公认的弱点）之一就是除非我找到复杂问题的解决方案，否则我决不认输。有些人将这种行为称为“强迫症”，我同意，也承认这一结论。
有时凌晨4点我仍然在工作，因为我就是停不下来。工作是我的一部分，也是我觉得自己非常擅长做某些事情（不论是试图入侵系统，还是在刑事调查背后还原事情的真相）的重要原因。

2. 寻根锐舞
20世纪90年代后期，我作为Web开发人员开始了编写HTML和JavaScript的职业生涯。
我在新泽西州长大，一直很喜欢电子音乐。我也对锐舞文化 着迷，像Limelight和Tunnel这样的夜总会对我而言非常重要，我渴望成为其中的一员。
不幸的是，这些俱乐部对会员有21岁以上的年龄要求。这很麻烦，因为当时我只有16岁。所以，我自学了HTML，并提出为俱乐部的一位常驻DJ建立一个免费网站。从那时起，我就可以和他一起进入俱乐部，因为我是他的“网络伙计”。
相比之下，渗透测试并没有太大的不同，关键是要了解规则是什么，然后找出绕过规则的方法。这就是我一生都在以某种方式进行渗透测试的原因。
我一直很擅长寻找绕过规则的方法，我认为这是大多数渗透测试人员的共同特点。
不要误会我的意思，规则仍然很重要。有些人喜欢在定义明确的沙盒中生活，而另一些人则喜欢应对挑战、尝试突破，我属于后者。

3. 开发商业模型（使用激光！）
2011年的一个晚上，我在正在访问的网站上启用了Burp套件并开始运行被动风险扫描，这是我和大多数同行浏览互联网的一致模式。
我告诉我的妻子有一个很棒的网站，那里出售不同颜色的高功率激光器，我希望她能让我买一个。虽然这一请求被断然否定了，但令我惊讶的是，Burp套件在这个网站中发现了一个被动SQL注入漏洞。
对此我必须检查一下。我没费什么力气就找到了用户列表，以及对应的口令散列值。如果想以管理员身份登录，那么我必须破解管理员口令的散列值。由于管理员口令是类似“Admin123”的变体，我通过在线哈希破解器立刻找到了它。
我顺利登录了网站，能够访问包括系统记录、用户账号、订单信息等在内的所有内容。
  
说明
我后来意识到这个行为并不完全是“合法的”，但请不要用道德准则评判我，因为做任何事情都必须从“某个地方”开始。此外，这个故事有一个美好的结局。

正是在那一刻，我感受到了创业的火花。如果我将获取这些信息的方法提供给站点所有者，让他们能够修复SQL注入错误，从而防止其他人以同样的方式再度入侵，那么他们肯定会用一些很棒的高功率激光器来回报我的善举吧。
我现在拥有一台2000mW蓝色激光器和一台1000mW绿色激光器。激光确实很强大，它们能烧坏许多东西。
相比该站点修复了SQL注入漏洞更重要的是，我拥有了一套为需要帮助的人们提供服务的商业模型。
在这个过程中，我学到了非常宝贵的经验：如果你先入侵一个网站，再尝试向客户提供修复漏洞的解决方案，同时要求以他们网站上出售的产品作为“小费”，那么这种行为可以被解释成“敲诈勒索”，而这显然不是我的意图。虽然我认为我在与该网站CEO的电子邮件沟通中进行了明确陈述，但回想起来，我当时的确有可能会陷入麻烦中。因此，虽然这种特殊的实践对我来说十分奏效，但显然我需要进一步努力来完善我的商业模式。

4. 教育经历
我在美国国防部工作时，某天我从一位高级领导那里听说他将招募一位刚刚通过“道德黑客”（也称为白帽子）认证的人加入他的团队。
我认为我也可以做到这一点，因为我已经拥有了破解事物的技能，并且我一生都在这样做。“道德黑客”听起来是一条很好的职业道路，可以做一些我真正喜欢的事情，于是我立刻开始着手研究。
这时，我已经有了学士学位。我在高中时就开始从事技术支持工作，后来只上了一个学期的大学就辍学了。直到很久以后，我才决定去完成我的在线学士学位。
经过一番研究，我在西部州长大学（WGU）找到了一个专门研究信息安全的硕士课程，并将道德黑客（CEH）认证和黑客取证调查员（CHFI）认证作为攻读硕士学位课程的一部分。
几年后，我取得了硕士学位，并获得了所有我想得到的证书。回想起来，我觉得当时我很像阿甘跑遍美国那个场景：既然我已经做到了这一步，那么我还不如继续前进。我决定跳过CISSP认证这一“规定动作”，去攻读博士学位。
我又花了大约4年的时间参加在线课程，撰写了名为《不同行业CISO对网络安全框架有效性的认知》的论文，并于2018年获得博士学位。

5. 创建夜狮安全
在与多家大型组织合作，包括担任RSM（排名前5的会计师事务所）的安全服务总监后，我对如何执行渗透测试和风险评估形成了独特的见解。我知道我能够提供更好的东西。
2014年，我决定创办自己的安全咨询公司——Night Lion Security。我的愿景是组建一支由黑客和渗透测试人员组成的精英队伍，为客户提供全面而有用的调查报告。
成为一家初创网络安全咨询公司本身就已经够难的了，试图与Optiv、毕马威、SecureWorks、AT＆T等巨头竞争就更加困难了。
我觉得我们能够在这样一个过度饱和的市场中脱颖而出的重要原因，是我们积极接触新闻和媒体并频繁出现在电视上。这也是客户愿意与一家从未听说过的小型初创企业合作的核心原因之一。
虽然我因为在电视上进行“自我推销”而受到批评，但我觉得这是值得的，因为这样能让我以一种难以替代的方式回馈社会。
我们最近完成了对一家大型上市银行的渗透测试。测试结束时，银行的安全副总裁特意告诉我，我们的测试是他们开展过的“首次实质性渗透测试”。过去所有经董事会批准为他们提供服务的大型网络安全公司，都只是进行了例行的漏洞扫描工作，而我们能够为他们提供更有价值的东西。我非常感谢他告诉我这一点，同时对此感到非常自豪，因为这正是我创办公司的初衷。

6. 数字调查与数据泄露
我向数字调查工作的过渡是如此无缝，以至于根本称不上过渡。我甚至不会说我“转向”了它，因为我平常所做的事情就是数字调查：处理事件响应案例、渗透测试、解决复杂问题。它们本质上是一样的，都是为了破解谜题。
在很多个客户案例（识别数据泄露和非法使用）中，如何妥善处置事件调查的后果，有时比事件查找和曝光的过程本身更具挑战性。
我破获了一些备受瞩目的数据泄露事件，包括Exactis、Apollo.io、Verifications.io等（将在第14章中详细讨论），这些事件披露后带来的后果都大不一样。
Verifications.io特别有趣，因为我们发现其泄露的数据实际上是从其他人那里窃取的。事实证明，这家公司完全是假的，在我们介入调查后，他们关闭了全部网站。
也有很多次，我绕着圈子向数十家公司发送数据副本，试图找出数据的所有者。
需要注意的是：如果向一家公司询问与他们有关的数据非法使用（或泄露）事件，该公司没有义务透露数据是否真正属于他们。
尽管各个行业的人可能都在努力做正确的事情，但公司不得不公开承认数据非法使用（或泄露）将会为他们带来重大后果——因为几乎总是有人会被解雇，或者更糟糕。
在第14章中，我详细介绍了对Exactis数据泄露事件的发现过程。当他们的CEO在周六晚上给我发短信询问，我为什么要毁了他的事业时，这一点也不有趣（也不轻松）。一切都会起起落落，但归根结底，我喜欢我所做的事情。
我用现实生活中的故事、场景和技巧填满了这本书，它是我过去二十年生命的巅峰之作。希望有一天它能帮助你开展自己的网络调查。
那么，让我们进入正题吧。

本书配套资源下载

对不起，暂无音视频资源！

狩猎网络罪犯——黑客视角的开源情报实战