文章总结： 这篇文章记录了一次成功的HVV攻击溯源过程，作者通过蜜罐捕获攻击者的百度账号和京东ID，利用多种技术手段包括跨平台搜索、密码找回功能、手机号爆破、泄露数据查询等，最终成功定位到攻击者的真实身份信息，包括姓名、学校、手机号、身份证号等。文章展示了完整的溯源思路和方法，强调了多源信息关联和社交媒体分析在攻击溯源中的重要性，为安全人员提供了实用的溯源技术参考。
综合评分： 91
文章分类： 溯源分析,蜜罐技术,红队对抗,社会工程学,威胁情报
记录近期HVV的一次成功溯源
一个不正经的黑客
2025年8月4日 12:44
广东
编者荐语：
很不错的文章
以下文章来源于Z2O安全攻防
，作者Seven1an
Z2O安全攻防
.
From zero to one
免责声明：由于传播、利用本文所发布的而造成的任何直接或者间接的后果及损失，均由使用者本人承担
前言
起因是攻击者访问到了部署在外网的蜜罐，被捕获到了百度信息和京东id，从这些信息切入，成功溯源到了本次HVV红队攻击人员
周期差不多用了两天，感叹天时地利人和缺一不可
根据溯源拿到的信息加了联系方式后，当事人也是比较惊讶
image-20250720133205590
image-20250802211917378
Start
为了保护当事人隐私，涉及到个人信息的地方全部重度马赛克了
发现
幻阵告警攻击者访问事件
首次时间为2025-07-14 22:04:10
来自xx省xx市 攻击IP 为59.xx.3.xx 的攻击者，对蜜罐部署业务“xxx信息查询”进行了访问
image-20250720184855782
最后一次访问停止在2025-07-14 22:06:26
因为这蜜罐就一静态页面无任何交互，攻击者只驻留了两分钟，后面计划加强一下交互能力
溯源
攻击行为溯源
根据他的IP反查，移动基站直接放弃
在其他安全设备上查了一下他的行为，看了看流量包中的攻击手法，也没有发现有效线索，放弃
（因为之前有遇到过一些人自己写的工具，会携带一些有辨识度的特定字符，在github中搜索到后再通过提交记录取得邮箱地址）
捕获信息溯源
蜜罐捕获信息如下
-
• 百度账号用户名
-
• 百度账号UID
-
• 百度账号头像
-
• 京东ID
image-20250802220227544
百度账号用户名利用
微信搜索无果
百度搜索
image-20250720133010305
谷歌搜索
image-20250720133037763
搜狗搜索
image-20250720133243760
Github搜索
image-20250720143105629
Bilibili搜索
image-20250720143141711
抖音搜索
image-20250720143251461
百度网盘搜索
image-20250720143328716
得到攻击者新的昵称： mm****
百度贴吧搜索
image-20250720143536824
百度找回密码，百度支持用户名找回
image-20250720144058612
这里就得到了比较关键的线索，手机号前三位 1xx********
贴吧发言记录查询
image-20250720144433155
获取到六年前 在计算机吧、C语言、kali吧发布以及回复的帖子
image-20250720144657050
随便点进去一看，这里显示的名字为另一个，但网盘与百度主页确是蜜罐捕获到的，这个与百度早年间的业务有关。百度UID一致，经过测试后确认，发现贴吧昵称是可以单独设置的
得到攻击者百度贴吧主页
image-20250720145102260
这篇文章我几年前还看过…
看头像与UID和发帖 以及关注的吧【信息安全】【渗透】【kali】确认有安全行业学习经验，到此身份肯定是攻击者 这个不太可能会偏差了
再看看他的发帖，我几乎翻看了他所有发帖，最终在下面这个找到了突破点
image-20250720145640273
此人在攻击者发言的帖子下面，带了一个名字（为了方便记录，我后面称为：刘建龙），并且外带了一句亲属问候：i am your father
猜测这两位关系肯定非同一般，大家结合实际情况都知道，男生这种称呼对方，必然是超越了朋友的关系
那么攻击者的名字可能就叫他兄弟提到的这个：刘建龙，且百度账号的用户名为：XXLong，最后一个名符合昵称最后一个拼音，更加增加了确认因素，但还不能完全确定
切换检索目标，从攻击者兄弟这里入手
查看他朋友关注了什么吧
image-20250720150804593
这里有一个高中的吧，以及一个大学的吧，这个学校非常好，以及kali吧，同样具备了安全行业学习经验
再去查看他的发言
后面为了方便，我把这个学校写为：龙丽大学
找发现在龙丽大学吧的发帖
image-20250802214225464
image-20250802213745695
当然，他还发了其他学院新生群的二维码，所以从后面的发言中找到了些许线索
image-20250802214324862
根据峰哥的性压抑学说:
这位攻击者的兄弟喜欢在贴吧发帖，并且从上面关注吧的截图也可以看到，攻击者的兄弟关注了非常多看美女的吧，并且非常活跃，拉拢妹妹来自己学院也符合刻板印象，这样学妹就有了两个身份吧友+学妹，为了后面发展关系是非常方便的，所以我猜攻击者的兄弟必然是 龙丽大学2018级软件学院的学生
那么攻击者与他这位兄弟大概率在一个学校甚至一个学院或者宿舍
谷歌语法去搜一下学校+攻击者的兄弟留的名字
image-20250720152319447
文档没几个很快就找到了
https://jobs.xxxxxx.edu.cn/xxxxx.pdf
image-20250720152730166
攻击者兄弟在攻击者技术帖子中提到的名字就是攻击者实际的名字！攻击者姓名+学校=刘建龙+龙丽大学
百度账号UID利用
百度id仅在百度中存在，测试后发现无法自定义，各方查询后无果且暂无继续利用的可能，只能后续当参考判断因素
百度账号头像利用
蜜罐捕获的头像地址、网盘搜索返回头像路径、贴吧主页头像三个url均不一样，但头像内容一样，且是一个很大众的头像，没有指纹特征，只能后续当参考判断因素
众所周知搞网安的圈子很小，很多人为了混眼熟和beacon都不带换昵称和头像的，这个也可以当做溯源的线索，可惜这次没有
京东ID利用
百度系的到此为止，蜜罐还有jd_id
来到京东官网尝试找回密码
image-20250720154232340
输入jd_id找回，攻击者用jd还是非常多了，有三个方式可以找回
image-20250720154307103
这里得到了手机号的前3为以及后3位
再通过银行卡找回
image-20250720154528431
这里暴露了他的名字的最后一个字，也对应了我们前面的确认结果
并且，在这个请求https://m-acp.jd.com/acp/user/getCredentialsInfo中
返回包中返回了身份证头和尾
image-20250720154850002
几乎尝试了京东所有业务，包括寻找支持京东登录的业务，最终：
在京东养车找回密码处发现突破点
image-20250802220410667
输出jd_id找回后，这里除了已知的三位开头，返回了手机号码后四位
这样的话 手机号拼接出来就是1xx****xxxx
补全中间的四个，爆破只需9999个即可，还有一个归属地的线索
攻击者IP反查归属的西京，但就读学校在汉东省，那么只需要把这9999个跑出来，然后过滤归属地=西京+汉东省汉中市的即可，结果完全看运气
因为手机号不可能频繁更换，比如我身边好多人 包括我 还在用上学办的校园卡，就赌攻击者也没换
找了一个没有速率限制 也没有验证码的查询网站方便爆破
用我之前注销的手机号查询，他会返回地区+运营商
image-20250720160859595
0000-9999
image-20250720160649003
image-20250720160658384
这里纯为了补图，还有0001-1000的 忘记设置了，所以当时准备先跑这些，剩下的跑不出来再说
根据返回包Unicode编码匹配一下
image-20250802220502326
提取出所有西京+汉东省汉中市的
image-20250720162252474
根据已知的1xx开头和xxxx末尾拼接完整手机号
image-20250720162454024
最终差不多得到八十几个
image-20250720162639701
再次回到京东养车，这次用手机号找回密码，如果返回的jd_id与捕获的jd_id一致，那么手机号就确认了
这里得到了上天的眷顾，测到第十几个左右的时候，成功对比出手机号
image-20250720163409597
得到手机号
假设：手机号为 1888888888 懒得打马赛克了
支付宝转账核实 得到姓氏和第一个名
image-20250802220555598
云闪付转正核实 得到姓氏第一和第二个字
image-20250720163820866
验证正确
手机号搜索微信号
image-20250720164006398
搜索圈子群
我的加的安全群比较小没有搜到，同事搜到了好多
image-20250802220653335
还是群友这一块./
泄露数据查询
本来到此为止的，但是前面京东官网通过银行卡找回的时候返回了身份证开头和末尾还没有用上：3****************3
所以顺手查了一下
手机号直接返回了对应，看起来这个手机号用了好久了，本来想着再根据开头末尾和学校以及ip归属再判断一下
image-20250802220016755
这样身份证号码就拿到了
微信号跟QQ号的昵称一样
image-20250720164706144
以及博客地址
image-20250802220054748
还有公众号和星球介绍，不知道是否本人运营的
image-20250802214743530
15个共同好友关注， 阅读量也是非常高
image-20250802183521430
到此为止
得到的信息总结
来源：√
姓名：√
毕业院校：√
手机号：√
身份证号：√
百度昵称：√
百度主页：√
贴吧主页：√
贴吧昵称：√
微信昵称：√
QQ号码：√
博客：√
…
后续
梳理的时候感叹，上面的环节有一个地方卡住溯源都会停止
本来是准备钓鱼这位兄弟的，但系统没有被打进来，无继续的必要 确认到人即可，甚至溯源都是一时兴起且不加分
身份确认
现在人确定了，还不知道这位老哥是不是攻击队，后面加微信聊了聊直接坦白了
image-20250802214833660
发了一些信息这位师傅也是承认了
image-20250802215224515
至此 完美闭环 确认攻击者为本次HVV攻击队成员
后面聊了聊，这位师傅技术水平很高性格也很好，希望他斩获佳绩！
- •
感谢@M7-wacb师傅的问题让我延续出了新思路，没有他的问题，就没有我继续的可能
END
我的微信，欢迎技术交流
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：一个不正经的黑客 《记录近期HVV的一次成功溯源》