我朋友在創(chuàng)業(yè)，聽(tīng)說(shuō)他公司網(wǎng)站被人搞了，請(qǐng)我去幫忙看下。
我發(fā)現(xiàn)他們公司服務(wù)器會(huì)反鏈一個(gè)域名叫http://yk.syncn.org。于是我查了下這個(gè)域名
https://www.virusbook.cn/domain/yk.syncn.org
手機(jī)號(hào)明顯是假的不用說(shuō)了，郵件看著倒是真的，順藤摸瓜看了下這個(gè)人的gmail找回手機(jī)號(hào)：*********67。
于是看了下這個(gè)人注冊(cè)的相關(guān)域名。
除了yk.syncn.org, 還注冊(cè)了http://spacework.co、http://btsoso.org、http://xiasidiele.com。別著急,咱們一個(gè)一個(gè)的看。
我發(fā)現(xiàn)“btsoso.org”在百度中居然還能搜到一些東西。有名為“space”和“spac”的網(wǎng)民對(duì)該域名進(jìn)行過(guò)推廣，并留有qq(956308460)聯(lián)系方式
這個(gè)QQ號(hào)的昵稱叫SB
照著這個(gè)QQ號(hào)人肉一番，發(fā)現(xiàn)這個(gè)QQ號(hào)做名字在“紅客聯(lián)盟”、“暗組技術(shù)論壇”、“合購(gòu)網(wǎng)”等多個(gè)黑客交流論壇發(fā)布信息。那就，翻了下他帖子?發(fā)現(xiàn)主要關(guān)注“webshell”、“木馬免殺”、“遠(yuǎn)程控制”。想在深入挖掘下，于是就想起了QQ特么不是有郵箱么!
用http://threatbook.cn查了下956308460@qq.com注冊(cè)的網(wǎng)站，發(fā)現(xiàn)大部分都叫kong ge。太沒(méi)新意了，你說(shuō)這幫做黑客的就不能摒棄"哥"這個(gè)占便宜的稱謂么，袁哥，黑哥，泉哥，能不能有點(diǎn)新意!能不能!?(最后發(fā)現(xiàn)人家其實(shí)叫空 格........可見(jiàn)我對(duì)安全圈哥哥哥之類的稱謂深惡痛絕)
拿著"空哥"的郵箱，去翻了下已經(jīng)公開(kāi)的社公庫(kù)，發(fā)現(xiàn)這個(gè)郵箱跟另一個(gè)郵箱高度關(guān)聯(lián)1039151694@qq.com。而且登錄賬號(hào)的地址都是廣東省清遠(yuǎn)市。社公庫(kù)里沒(méi)找到手機(jī)相關(guān)的信息。
然后拿著兩個(gè)qq號(hào)，去各個(gè)網(wǎng)站找回密碼等地方去碰撞，終于把手機(jī)碰出5位。是"132****5767"。中間的星號(hào)看不見(jiàn)。我們?cè)O(shè)置為x。玩笑。。。
但其實(shí)中間4位是能猜的，地址是廣東清遠(yuǎn)，前三位是132，排查下就能知道，手機(jī)號(hào)是13232815767。然后根據(jù)手機(jī)號(hào)翻微信，用1039151694翻微信，發(fā)現(xiàn)都是一個(gè)人，基本上確認(rèn)沒(méi)錯(cuò)。
然后用這個(gè)手機(jī)號(hào)再去社公庫(kù)查下，發(fā)現(xiàn)能找到這個(gè)人的身份證441801******144617(我打碼了)。
身份證手機(jī)號(hào) 都知道了。拿著這個(gè)手機(jī)號(hào)翻支付寶，發(fā)現(xiàn)這個(gè)人叫曾劍鋒，支付寶的郵箱是spacesyn@163.com。又有新信息可以清洗了，還可以再拿這個(gè)郵箱再查。但沒(méi)必要了，想知道的都知道了。
這大概就是追查流程。
蘇公網(wǎng)安備32050802010292號(hào)