APT拓线分析指南（自研工具RongIOC实战）

最新推荐文章于 2026-02-04 03:46:47 发布

原创最新推荐文章于 2026-02-04 03:46:47 发布 · 1k 阅读

28 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

绪论

如果各位师傅觉得有用的话，可以给我点个关注~~ 如果师傅们有什么好的建议也欢迎联系我~~ 感谢各位师傅的支持~~

正文部分

APT拓线的基础

什么是APT拓线

本质上就是通过已知的样本信息，例如exe，域名，hash，ip等等，去构建该APT组织的特征，然后通过该特征去获取到更多的有关于该组织的APT线索的过程，而对于网络空间测绘中的APT拓线，其道理也和这个类似

基本流程

对于网络空间测绘中的APT拓线，一般的流程是下面这四步：

1. 基础的IOC信息

2. 寻找组织站点

3. 指纹构建

4. 获取更多的IOC信息

基础的IOC信息

基础IOC的来源有很多，推特，自己公司的情报信息，开源共享的IOC信息，微步等情报社区，利用已知样本进行VT沙箱等等

微步社区

GitHub开源的IOC共享项目

maltrail/trails/static/malware at master · stamparm/maltrail^[1]

推特

VT沙箱

寻找组织站点

可以利用Fofa，quake，微步等引擎进行搜索

特征提取

通过其站点的特征信息，例如title，body，header，hash，ico等等等去进行特征收集

、

获取更多的IOC信息

通过特征的对比，获取到指纹，在进行特征的搜索获取到更多IOC

QUAKE : dom_hash:"50e5d69b47dd1f0e6c9563afc6657370"

就可以获取到更多的IOC特征

domain:"qizong.xyz"
domain:"77.qizong.xyz"
dom_hash:"50e5d69b47dd1f0e6c9563afc6657370"
...

FOFA:
banner="HTTP/1.1 404 Not Found
Content-Type: text/html; charset=us-ascii
Server: Microsoft-HTTPAPI/2.0
Date: Sun, 28 Jan 2024 15:20:36 GMT
Connection: close
Content-Length: 315"

APT拓线的实战

本实战案例使用到了RongIOC

项目地址：

https://github.com/WingBy-Fkalis/RongIOC

欢迎各位师傅进行交流，点点star~~

基础IOC获取

在微步中发现了有师傅分享了有关银狐的域名：yk.ggdy.com

https://x.threatbook.com/v5/circleArticle?circleId=7f41aa47952015736d39eb88a12e6f5a&id=49385

Fofa搜索获取站点

host="yk.ggdy.com"

寻找其公共特征

使用RongIOC自动提取并且进行过滤！！

通过公共特征再去获取新的站点

cert.subject.cn="iZd1oqhv95cz40Z"

获取到新的可疑域名，进行微步查询，发现所属为银狐

zd.youbi.co	恶意
tt3.ggdy.com	恶意
yk.youbi.co	恶意
tt2.ggdy.com	恶意
yk.ggdy.com	恶意
yk1.youbi.co	恶意
8003.ggdy.com	恶意
ttkk.youbi.co	恶意
3424.youbi.co	恶意
1197.youbi.co	恶意
7122.youbi.co	恶意
1219.youbi.co	恶意

拓线的小技巧

特征path确认

FOFA资产拓线实战系列：Ducktail犯罪组织

在有的时候，由于特征不明显，可能会导致我们拓线得到的资产可能会比较多，这时候我们通过一个个使用微步进行查询确认的方式就不太方便，这时候如果存在可疑的路径，就可以对资产进行可疑路径扫描，进一步确认可疑资产

通过httpx获取样本基础的状态码和长度

httpx -path /api/check -sc -cl

再通过httpx进行路径扫描，通过状态码和长度进行过滤

httpx -path /api/check -sc -cl -mc 200 -ml 355 -fc 404,403,401,500,400
其中：
-mc 200  //匹配状态码
-ml 355  //匹配返回长度
-path    //设置扫描路径
-fc 404,403,401,500,400  //设置排除的状态码

如果多个路径，也可以使用path.txt进行扫描

cat url.txt | httpx -sc -cl -path path.txt -mc 200

空条件查询/非空条件查询

用FOFA进行一场APT Bitter追踪的实战

在有的情况。对于一些特征字段，可能他的特征并不是固定的，但是他都满足存在这个信息，或者不存在这个信息，这时候可以添加空条件和非空条件进行查询

根据RongIOC获取到的空字段进行过滤

实现部分数据的过滤

引用链接

[1] maltrail/trails/static/malware at master · stamparm/maltrail: https://github.com/stamparm/maltrail/tree/master/trails/static/malware

知识星球

具体的星球介绍可以看一下这里~~

WingBy小密圈，他来了！

注意：帮会和星球是为了考虑大家的方便习惯，福利和内容是一致的，后续更新也是一致的~~~只需要进行一次付费就可以啦~~（建议还是使用帮会）

项目合作

有甲方大大，或者厂商师傅，或者其他的项目，欢迎咨询，我以及团队始终将客户的需求放在首位，确保客户满意度~~

目前主要的服务范围：

1. 渗透测试、漏洞扫描

2. 代码审计

3. 红蓝攻防

4. 重保以及其他攻防类项目

5. 红队武器化开发以及蓝队工具开发

6. CTF相关赛事的培训等

7. cnvd，cnnvd，edu，cve等证书

8. nisp，cisp等证书