攻击 IP 基础溯源（OSINT）：从 IP 到身份画像的完整链路

本文仅面向授权环境下的安全测试、应急响应与防御研究，介绍基于公开信息的溯源分析方法，不构成对任何未授权目标的利用指导。

一、溯源思路：从攻击 IP 到身份画像

1.1 什么场景需要溯源

溯源通常发生在以下几类场景：

• 应急响应：服务器被入侵、出现 Webshell 或恶意流量后，根据攻击源 IP 反查攻击者的身份与手法，为处置和取证提供线索；
• WAF 告警反制：WAF 或态势感知平台记录到大量攻击请求，对攻击源进行溯源分析，判断是扫描器、肉鸡还是真人攻击者；
• 红蓝对抗复盘：蓝队对红队资产进行反向追踪，检验暴露面与监测能力；
• 钓鱼 / 诈骗溯源：针对钓鱼邮件、诈骗电话来源进行情报收集。

1.2 什么是 OSINT

OSINT（Open Source Intelligence，开源情报）指通过公开来源收集信息。溯源过程中我们不使用任何入侵手段，全部基于公开的查询接口、注册信息和正常业务功能（如账号找回、转账校验），因此门槛低、可复制、易取证。

1.3 完整溯源链路

一条典型的溯源链路如下：

攻击IP
 ├─ IP 定位 / 归属地 → 缩小地理范围
 ├─ IP whois / IANA → 确认 IP 段归属与注册机构
 ├─ IP 反查域名 → 找到关联域名
 │    ├─ SSL 证书反查 → 更多域名
 │    └─ 网络空间测绘 → 同源资产
 ├─ 域名 whois / ICP 备案 → 备案主体
 ├─ whois 反查 → 注册人关联的其他域名
 ├─ 信息关联（手机号 / 邮箱 / QQ / 昵称 / 图片）→ 身份线索
 └─ 画像整合 → IP + 地理位置 + 姓名 + 联系方式 + 社交账号 + 公司职位

二、IP 层溯源：定位、归属与反查

2.1 端口扫描与开放资产探测

拿到 IP 后，先对目标端口与开放资产做初步侦察，判断能否通过公开服务进一步获取信息：

• 无端口开放：若目标 IP 没有对外开放端口，通常说明部署了端口限制策略（防火墙白名单 / 访问控制）或处于 NAT（网络地址转换）之后。此时端口面无法直接利用，应转向测绘平台历史数据、域名反查等途径继续；
• 网络空间测绘：通过 FOFA、Shodan、NTI 等测绘平台查询该 IP 的历史开放端口与服务指纹。即使当前端口已关闭，历史快照仍可能暴露曾部署的资产；
• 获取域名：当 443/SSL 等服务开放时，可根据 SSL 证书反查证书绑定的域名，直接进入域名溯源链路；
• 开放网站：若 IP 上运行网站，可查询是否有备案号（有则通过备案主体溯源）、是否存在历史漏洞（结合公开漏洞库与历史暴露记录），进而利用暴露面还原攻击链（反制）。

2.2 IP 定位

拿到攻击 IP 后，第二步通常是定位归属地，判断攻击者所在城市、运营商，同时排除 CDN 与代理干扰（溯源前应先确认是否为真实源 IP）。

常用在线定位工具：

工具	链接
IP 地理位置定位	https://ip.rtbasia.com/?ipstr=
高精度 IP 定位	https://www.opengps.cn/Data/IP/LocHighAcc.aspx
查 IP 网段信息	https://chaipip.com/
IPIP 归属地查询	https://www.ipip.net/ip.html
IP 定位综合查询	https://www.hao7188.com/
高德坐标拾取器（经纬度转地址）	https://lbs.amap.com/tools/picker
站长工具 IP 查询	http://ip.tool.chinaz.com/
WhatIsMyIP 地址查询	https://www.whatismyip.com/ip-address-lookup/
WhatIsMyIP whois 查询	https://www.whatismyip.com/ip-whois-lookup/
DNS Checker IP whois	https://dnschecker.org/ip-whois-lookup.php?query=

局限：IP 定位只能到城市级 / 运营商级精度；攻击者使用代理、VPN、Tor、肉鸡时定位结果指向跳板而非真实位置，需结合其他线索判断。

2.3 IP whois 与 IANA 注册信息

IP whois 可以查到 IP 段的注册机构、国家 / 地区、维护单位（ISP 或云厂商），用于确认归属，也可通过注册邮箱等字段进一步关联。

• IANA WHOIS Service：https://www.iana.org/whois?q=，根据返回的 RIR（Regional Internet Registry，区域互联网注册机构）提示，再到对应 RIR 查询，如亚太区 whois.apnic.net；
• 常用 whois 工具：

工具	链接
DomainTools whois	https://whois.domaintools.com/
HackerTarget whois	https://hackertarget.com/whois-lookup/
Hashemian 反向 whois	https://www.hashemian.com/tools/reverse-whois.php
站长工具 IP whois	https://tool.chinaz.com/ipwhois

2.4 IP 反查域名

反查该 IP 上绑定了哪些域名，是溯源的关键一步 —— 找到域名后即可进入 whois / 备案链路。三类途径：

1. 反向 IP 查询平台：直接输入 IP 列出同主机上的域名；
2. SSL 证书反查：通过证书中的域名列表（SAN 字段）发现同证书签发的其他域名；
3. 网络空间测绘：通过 FOFA、Shodan 等测绘平台搜索 IP，返回该 IP 的端口、服务、域名与指纹信息。

工具	链接
DomainTools 反向 IP	https://reverseip.domaintools.com/search/?q=
DNSlytics 反向 IP	https://dnslytics.com/reverse-ip/
ViewDNS 反向 IP	https://viewdns.info/reverseip/
crt.sh 证书透明度反查	https://crt.sh/
站长工具 同 IP 网站	http://stool.chinaz.com/same
IPIP 域名反查	https://tools.ipip.net/ipdomain.php
微步在线（域名 / IP 查询）	https://x.threatbook.cn/
IP138 反查域名	https://site.ip138.com/
FOFA 测绘平台	https://fofa.info/
Shodan 测绘平台	https://www.shodan.io/
NTI 网络威胁情报测绘	微步 / 奇安信等平台内的测绘模块

2.5 IP 威胁情报

把 IP 丢进威胁情报平台，可以快速判断它是否有恶意历史（扫描、爆破、C2 等），辅助判断攻击性质。

平台	链接
奇安信威胁情报中心	https://ti.qianxin.com/
360 威胁情报中心	https://ti.360.cn/
绿盟威胁情报中心	https://ti.nsfocus.com/
微步在线	https://x.threatbook.cn/

2.6 IP 反查手机号

可通过云厂商账号找回流程、威胁情报平台的资产信息，反查与该 IP 关联的注册手机号：

• 腾讯云找回账号：https://cloud.tencent.com/account/recover（输入 IP / 域名等资产信息尝试找回账号）

• 微步在线：https://x.threatbook.cn/（查域名、查 whois、查关联信息）

2.7 邮件头分析

钓鱼邮件是常见攻击入口，邮件头中携带发件服务器 IP 与路由信息：

1. 在邮箱中打开邮件，选择 “查看原文 / 显示原始信息”，将完整邮件头复制出来；
2. 粘贴到邮件头分析工具进行解析；
3. 重点看 Received 字段（邮件经过的服务器与 IP）、Return-Path、X-Originating-IP 等，可提取发件方真实 IP 与邮件服务器，进入 IP 溯源链路。

工具	链接
WhatIsMyIP 邮件头分析器	https://www.whatismyip.com/email-header-analyzer/

三、资产与注册信息：域名、备案与 whois

3.1 域名 whois 与 ICP 备案

拿到域名后，域名 whois 可以查到注册人姓名 / 邮箱 / 电话、注册商、注册时间；国内站点可查 ICP 备案号获取备案主体（企业或个人名称）。

工具	链接
站长工具 whois	https://whois.chinaz.com/
狗狗查询 whois（含备案信息）	https://www.ggcx.com/main/whois
狗狗查询备案查询	https://www.ggcx.com/main/record
站长工具 ICP 备案查询	http://icp.chinaz.com/

备案主体信息常用于确认目标归属，是红蓝对抗资产信息收集的常用途径。

3.2 whois 反查注册人

whois 反查（Reverse Whois）用注册人的邮箱、姓名、电话反查其注册过的其他域名，是扩大溯源面的常用手段 —— 攻击者常把多个资产绑定在同一个注册邮箱下。

工具	链接
站长工具 whois 反查	https://whois.chinaz.com/
狗狗查询 whois 反查	https://www.ggcx.com/main/whoisReverse/
微步在线	https://x.threatbook.cn/

四、信息关联：从线索到身份

拿到手机号、邮箱、QQ、昵称等任意一个身份线索后，围绕它做交叉关联，可以不断扩大画像。

4.1 Google hacking 语法

用搜索引擎精确检索公开暴露的信息，常用语法：

语法	作用
inurl:	限定 URL 关键词
intitle:	限定标题关键词
site:	限定站点
filetype:	限定文件类型
intext:	限定正文关键词
ext:	限定扩展名

示例：intext:"手机号" filetype:xlsx 可检索公开暴露的含手机号的表格文件。

4.2 手机号信息收集

围绕手机号的关联途径：

• whois 反查：查询该手机号注册过的网站与账号；
• 账号找回流程：通过 QQ 密码找回、部分平台 “忘记密码” 页面确认手机号是否绑定；
• 社交平台：抖音、微博等平台以手机号 / 昵称检索；
• 泄露信息库（社工库）：可能关联出常用密码、关联 QQ、关联微博、家庭地址、身份证等 —— 注意其中大量数据本身来源非法，使用需评估法律风险。

工具 / 途径	说明
https://www.reg007.com/	手机号 / 邮箱注册网站反查
http://www.newx007.com/	上述工具的备用入口
https://aq.qq.com/v2/uv_aq/html/reset_pwd/pc_reset_pwd_input_account.html?v=3.0&old_ver_account=	QQ 密码找回入口
支付宝转账	通过 “转账 — 验证姓名” 校验手机号对应的真实姓名
抖音 APP	手机号关联账号检索

4.3 邮箱信息收集

• whois 反查：查邮箱注册过的网站；
• 注册情况批量探测：通过专门工具批量探测邮箱在各平台的注册情况；
• 密码找回 / 注册校验：通过平台的忘记密码页确认邮箱关联。

工具 / 途径	说明
https://www.reg007.com/	注册网站反查
https://github.com/megadose/holehe	邮箱在各平台的注册情况批量探测（开源工具）
https://passport.58.com/forgetpassword	58 同城密码找回
https://passport.taobao.com/ac/password_find.htm	淘宝账号密码找回
https://passport.baidu.com/?getpassindex	百度账号密码找回
https://reg.163.com/naq/findPassword#/verifyAccount	网易邮箱密码找回

4.4 QQ 信息收集

• Google hacking：检索 QQ 号关联的公开页面；
• QQ 昵称 / QQ 空间：空间资料、访客、相册常泄露真实信息；
• QQ 找回密码：通过找回流程确认绑定手机号，形成 “QQ → 手机号” 的关联。

4.5 网络 ID 昵称信息收集

同一个昵称 / ID 会出现在多个平台，用统一昵称在各平台检索，可拼出更完整的社交画像：

平台	检索方式
知乎	https://www.zhihu.com/people/ 后接 ID
微博 / 贴吧 / 豆瓣 / 脉脉	站内搜索昵称
GitHub	搜索用户名，常关联邮箱与真实项目
Facebook	昵称检索
Google hacking	site: 限定各平台检索

4.6 图片信息获取

图片可能携带 EXIF 元数据（拍摄设备、GPS 坐标、时间），对溯源有参考价值。上传图片即可提取元数据：

工具	链接
ExifData	https://exifdata.com/
Verexif	https://www.verexif.com/
exif.tools	https://exif.tools/

多数社交平台上传时会剥离 EXIF，该手段对原始图片（邮件附件、论坛直传）更有效。

五、画像整合与工具速查

5.1 画像维度与交叉验证

将各环节收集到的线索汇总，画像通常包含以下维度：

维度	来源
IP	攻击日志、WAF 告警
地理位置	IP 定位
真实姓名	备案主体、支付校验、whois
电话	whois、注册反查
邮箱	whois、反查平台
网络 ID	社交平台
公司及职位	脉脉 / 领英、备案主体
家庭地址	泄露数据（谨慎使用）
社交账号	昵称统一检索

验证原则：单一来源的线索不采信，至少两个独立来源交叉确认后才写入结论；所有信息记录来源与时间，便于后续取证。

5.2 工具速查表

各环节完整工具清单（按溯源链路顺序，均为写作时核验可访问的链接）：

环节	工具 / 链接
IP 定位	https://ip.rtbasia.com/?ipstr= · https://www.opengps.cn/Data/IP/LocHighAcc.aspx · https://chaipip.com/ · https://www.ipip.net/ip.html · https://www.hao7188.com/ · http://ip.tool.chinaz.com/ · https://lbs.amap.com/tools/picker · https://www.whatismyip.com/ip-address-lookup/ · https://www.whatismyip.com/ip-whois-lookup/ · https://dnschecker.org/ip-whois-lookup.php?query=
IP whois / IANA	https://whois.domaintools.com/ · https://hackertarget.com/whois-lookup/ · https://www.hashemian.com/tools/reverse-whois.php · https://tool.chinaz.com/ipwhois · https://www.iana.org/whois?q= → whois.apnic.net
IP 反查域名	https://reverseip.domaintools.com/search/?q= · https://dnslytics.com/reverse-ip/ · https://viewdns.info/reverseip/ · https://crt.sh/ · http://stool.chinaz.com/same · https://tools.ipip.net/ipdomain.php · https://site.ip138.com/ · https://x.threatbook.cn/ · FOFA/Shodan/NTI
IP 威胁情报	https://ti.qianxin.com/ · https://ti.360.cn/ · https://ti.nsfocus.com/ · https://x.threatbook.cn/
whois 反查	https://whois.chinaz.com/ · https://www.ggcx.com/main/whoisReverse/ · https://x.threatbook.cn/
域名 whois / 备案	https://www.ggcx.com/main/whois · https://whois.chinaz.com/ · https://www.ggcx.com/main/record · http://icp.chinaz.com/
手机号 / 邮箱关联	https://www.reg007.com/ · http://www.newx007.com/ · https://github.com/megadose/holehe · https://passport.58.com/forgetpassword · https://passport.taobao.com/ac/password_find.htm · https://passport.baidu.com/?getpassindex · https://reg.163.com/naq/findPassword#/verifyAccount
IP 反查手机号	https://cloud.tencent.com/account/recover · https://x.threatbook.cn/
邮件头分析	https://www.whatismyip.com/email-header-analyzer/
图片 EXIF	https://exifdata.com/ · https://www.verexif.com/ · https://exif.tools/