我的匿名安全防护之道

关于我

无名小卒一枚

关于本文

莫名欠下边界安全两篇文章

本说是写一个境外大型网络渗透测试笔记

后来和95聊到个人安全这块的时候

决定写一篇保护自己的文章

相信很多新鸟都特别好奇这一方面

前文介绍

针对信息安全人员自我保护这块

网上文章不是太多

大家都去想着怎么入侵

关于自我保护这块我相信多数都是直接挂个VPN

最多VPN套VPN再拨3389之类的多层跳转

就目前的手段来说多层跳转能起到的作用不是太大

除非其中有多次跳转发生在境外

那样可以在一定程度上增加追查难度。

但是即使是在境外多次跳转

又如何保证不经过某些特殊节点？

你的VPN是高匿VPN？

诸如此类的问题还有很多，慢慢道来。

技术层面的防护

首先是线路

一条完全匿名的线路我觉得应该满足以下几点：

（1）网络接入点匿名

（2）途径节点匿名且加密

（3）使用的公网服务器匿名

1.网络接入点匿名

这是指让你的电脑接入公网的网络要匿名

要做到即使扒掉了你所有的伪装

找到了你的真实IP也找不到你人

很多人进行测试渗透的时候

直接使用家里、公司、学校或者公共wifi

用公共wifi多少还有点匿名性

（除了常出没的区域公共wifi）

而前面三种则是完全说不上匿名

追到这个IP的时候也就追到了你。

对接入点匿名的方法也有多种

其中最简单也是最方便的一种

是匿名4G上网卡配合匿名上网设备。

匿名卡与设备淘宝都有，数码城也有

至于购买也不能用自己的账户去买

哪怕4G卡买来不需要实名

也不要用自己的账户

或者认识的人的账户去买。

万一追查到售卡商

查交易记录你就原形毕露了

4G设备和4G卡一样

另外还有一点要注意

很多人以为4G上网设备这类东西

可以随便用在实际生活中

工作做完了以后

换张私人的卡自己用，觉得没什么

这是典型的作死行为

事实上各种网络设备都是『可以被实名』的。

2.途径节点匿名且加密

这里指的是VPN线路的匿名隐藏。

VPN我建议大家还是自行搭建

不要去用什么第三方的vpn客户端

毕竟，你不知道你用的VPN

背后是什么人在控制。

至于加密，PPTP众所周知早已不安全。

我建议搭建加密VPN，具体手法移步G哥

另外相信大家都有这样的情况：

VPN搞着搞着突然就断了

于是你的真实IP就这么出去了。

这两天热炒的是朝鲜黑客窃取8100W美刀

之所以指向朝鲜，很大部分原因是因为

恶意服务器上有那么一瞬间出现了

来自朝鲜的连接。

这只是一瞬间就被抓住了

而大家呢，有时候VPN断了好久才发现。

这是不是在作死。

这块我给大家提供一个解决办法

在下文会提及。

3.使用的公网服务器匿名

这里指的是尽量别自己去买

VPS之类的公网服务器

买也别用自己的账户买

最好还是挑选好用安全的肉鸡

每个项目用不同的肉鸡

绝不混用，避免关联

用完清空痕迹即废弃

必要的时候对硬盘进行多次覆盖

并毁掉系统，永不再连接。

上面是对线路方面的大概梳理

部分内容还要结合环境来谈

下面就开始说说攻击环境的搭建

首先介绍一下我的工作环境与配置

1：物理机 vm12 卡巴斯基 TrueCyrpt 禁用网卡，物理机不接入网络。此外除win自带软件再无其他软件

（别怀疑，现在这篇文档我都是在一台没有网卡的虚拟机里写的）

2：vm12里安装有

（1）用win7搭建的出口网关一台

（2）攻击用的linux&win机器若干台

（一项目一删，不建立快照，那东西就是证据）

（3）离线存储工具包的win7一台

（4）离线处理档案的win7一台（现在写稿子的这台）

网关和攻击机均设定在同一vlan

攻击机的DNS设置为网关的内网IP

且和物理机不互通

攻击机通过网关进出流量。

网关外接USB网卡

网卡连接上面说到的4G上网设备

网卡再通过开放了局域网共享的VPN

进入到公网。

这样就可以实现攻击机开机即走VPN线路

VPN断线或者网关没有启动的话攻击机立马断线

避免出现VPN线路不稳定暴露真实IP的情况。

虽然理想情况下用的上网卡也是匿名的

但是终归是能不暴露就不暴露。

同时有技术条件的情况下

最好在网关上搭建一个流量监控

或者Gscan之类的被动扫描器。

这里如果特别追求线路匿名

也可以部署Tor全局代理。

那样的话需要把网关换成基于linux

类似RouteOS，海蜘蛛之类的软路由

都可以实现。

不过之前做过，网速无法接受，于是放弃。

有极高的匿名需求的话可以做一下。

说完网络部署的基本情况

我们再看看我的虚拟机

大家可能会奇怪

为什么要这么多虚拟机

其实原因很简单：减少混用。

攻击机自然不用说

市面上大多数hack工具都有后门

攻击机不中后门都不科学

别信所谓的绝对无后门，只不过是你发现不了。

很多神器没有办法自己开发也只能将就着用

所以我们为了避免信息泄露

重要文件绝对不能放在攻击机上。

有人说物理机不就好了

那我提醒你一下：

非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，涉嫌非法侵入计算机信息系统罪

（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的；

（二）获取第（一）项以外的身份认证信息五百组以上的；

你确定你的数据都是合法的？

这能随便放物理机？

我单独开一台虚拟机存工具包

不是因为我有多少0day或者什么神器

而是为了防止被入侵

不知道你们有没有这样的经历

有一台公网服务器用来入侵

工具也传上去

做完一个站之后工具依然在上面。

哪天本地或者其他地方需要用了

正好直接从VPS上下载，感觉挺方便。

但是你有没有想过你下载下来的工具

是不是就是你当初传上去的那份工具呢？

有没有可能被人替换加马了呢？

就我知道的，有些人就栽在这上面了。

所以我建议工具收集好就放到固定的地方

没有必要就不要随便替换

版本老一些无所谓，好用就行。

就像有些注入老版本的sqlmap能跑出来

新版本的就不支持那种注入方式。

更重要的是出去的工具

绝对不要再回到本地再使用。

离线文档和离线数据库就不解释了

入侵时候经常需要去翻一些下载下来的文档

有些很敏感的不适合在攻击机打开

自然就需要一台专门处理文档的机器了

至于数据库，这么重要的东西当然要好好保存。

我正常工作的时候

同时开个4-5台虚拟机

虚拟机之间的互通有很多方式了

但是有一个底线就是攻击机

对其他机器只有读取权限

不给修改写入权限。

当然光靠这些显然不行

如果不幸被追到本人，物理机就落入人手

上面所做的一切都没用了。

所以还有很重要的一步：加密。

这里的加密指的是对磁盘的整体加密

所有和渗透搭边的文件全部放在单独的磁盘

并对磁盘加密。

要保证电脑除了一个系统盘之外

所有盘都加密。

或者说所有和渗透有关的硬盘都加密。

包括虚拟机文件这些，

每次工作的时候才解密并挂载。

我用的是TrueCyrpt，最新版已经无法使用了

大家可以用旧一版本的

或者直接使用windows自带的加密。

密码自然越强壮越好

别以为十几位无规则密码就算强壮了。

我的密码每次大概要输个两三分钟吧

在没输入错的情况下。

这样就保证即使别人拿到了我的电脑

我也不用担心他们能从我电脑里得到什么。

反正物理机是什么痕迹都没有。

说了这么多废话

其实是为了充字数应付95

简单总结一下就是：

（1）所有工作均在虚拟机进行

（2）流量统一经网关走VPN进出

（3）不同需求分配不同虚拟机

（4）文件独立

（5）全盘加密&拒绝弱密码

第二部分 个人习惯

第一部分说了技术层面的防护

其实也就是一些基本的设置防护。

要做到上面那样不难

很多人做的比我严谨（过分）多了。

个人觉得个人习惯比上面的更为重要。

常见的恶习有哪些：

（1）图省事物理机连VPN直接搞

这种情况基本意味着你没啥匿名可言

而且一般这么做的人

各种黑客软件也是直接在物理机运行。

妥妥的成别人肉鸡，还是会自觉上线的那种。

简直萌萌哒

（2）账户混用

比如在项目A中用了一个匿名邮箱

或者其他什么账户。

在项目B中继续使用。

这样的话有关机构很容易

根据这个邮箱把你的足迹关联起来

由B挖出A，可能你在B项目中其他都做得很好

没给别人机会追查你，但是

项目A由于是你早期做的项目

漏洞百出，给了他们追查你的机会。

（3）公私不分

最常见的就是随手把项目截图之类的东西

经由私人账户发到QQ微信

此外还有用私人邮箱，

手机号发送文件和信息。接收验证码之类。

（4）留特征值，这点多见于自写工具

脚本以及不少小伙子喜欢的黑页。

特征值一旦被确定了

就会被用来在互联网搜索有关信息

关联查询下很可能就会查到更多的信息。

另外也增加了被溯源的可能性。

（5）电脑不关机就离开

这点之所以要提

是因为你做磁盘加密的目的就是为了保护数据

如果在你挂载磁盘之后人离开了

恰巧这个时候被人家查了物理机

或者被别有用心的人窃取或植入什么

那加密还有什么意义。

所以最好做到离开即关机。

起码把加密磁盘解除卸载恢复加密状态。

（6）黑页

反正我是一直没明白这有啥意义。

你说要是前段时间萨德事件搞韩国挂挂黑页

还能理解为爱国。

平时日个站你挂黑页干吗

还把周围一群人带上，生怕人家查不到。

黑页一旦挂上去，就等于进了数据库

日后人家溯源你一查一个准。

自己作死没人管你，别把周围的朋友也坑了。

（7）密码通用，不解释。

（8）早期目标调研的时候用真实IP去访问

还记得之前习科道展针对某位前员工的攻击指证。

那位员工出问题的地方就在于

DDOS攻击前和攻击中都用真实IP去访问了目标。

（9）短时间就想到这么多了

我想每个人都有中枪的地方吧

大家可以补充补充。

一些隐藏和反追踪的小窍门：

（1）修改系统语言

根据你节点的地址修改语言

比如你的节点出口为日本

就把系统语言改为日语

装上日语包。这是伪造的第一步。

（2）修改系统时间

如果不做上面那一步的话就随意修改了

这步主要是为了避免别人

根据得到的文件时间戳来推测你的所在国家

（3）机器的用户名避免出现特征，因为类似office这些软件在保存文档的时候默认会把当前用户名保存到作者。

（4）如果在一个目标做完撤出后

想知道目标什么时候发现以及追查到什么程度

那可以故意在目标内网留下一组

用户名密码aaa/bbb并留下一台肉鸡的地址线索

比如肉鸡是win的，那就在3389做监听和过滤

如果监听到有aaa/bbb的尝试

就说明目标已经察觉并追查到那里

更深一步的话你还可以在不同位置

留下不同的用户名密码

监听到哪一组密码就说明目标已经追查到哪里。

全文暂时完。

下一篇境外大型网络渗透测试记录请期待

预计发表时间：二十天内

边界安全：

讲道理，这篇文章绝对干货

互联网极少见这方面的详细文章

常规渗透或者是一些新鸟没有必要学习

了解了解，涨涨姿势就好

对于本文的真实性我觉得大家不必怀疑

笔者是位老鸟， 技术很硬。

隐秘方向也确实保护的很好

包括这篇不起眼的稿子

经过了两层加密

通过谷歌邮箱的草稿箱方式传递给我

平时对话、传输文件交流也是加密通讯

这里有一些敏感的事情，笔者不让多说。