中国主机托管生态系统中的恶意软件 C2 基础设施分析
中国主机托管生态系统中的恶意软件 C2 基础设施分析一、概述1. 研究背景随着网络威胁的不断演变，恶意软件命令与控制（C2）基础设施的规模和复杂性持续增长。Hunt.io 通过其 Host Radar 平台对中国主机托管生态系统进行了大规模分析，发现了一个令人担忧的现象：超过 18000 个活跃的 C2 服务器分布在中国的 48 家主要基础设施提供商网络中。2. 研究意义这项研究揭示了威胁情报分析中的一个关键问题：传统的基于单一威胁指标（如 IP 地址或域名）的威胁狩猎方法存在局限性。当将恶意基础设施从国家层面进行系统性分析时，可以发现不同攻击活动之间共享的基础设施模式。3. 核心发现A. 基础设施规模在 90 天的观察期内，检测到 21629 个恶意基础设施指标，其中包括：超过 18000 个 C2 服务器2837 个钓鱼网站528 个恶意开放目录134 个公开的入侵指标（IOC）B. 分布特征中国联通单独承载了近一半的 C2 服务器（约 9100 个），阿里巴巴云和腾讯分别承载约 3300 个，显示出恶意活动在大型电信和云平台中的高度集中。二、中国恶意基础设施格局1. 按提供商分布的分析A. 中国联通中国联通作为中国最大的电信提供商之一，表现出最高的 C2 服务器数量，90 天内检测到 9000 个，同时还有 30 个恶意开放目录和 11 个 IOC。仅这一家提供商就占分析期间中国主机托管环境中观察到的所有 C2 基础设施的近一半。B. 阿里巴巴云作为领先的云服务提供商，阿里巴巴云显示出显著的 C2 存在，有 3300 个服务器和 37 个钓鱼网站。值得注意的是，它没有开放目录或 IOC，这反映了云环境主要用于弹性命令与控制操作，而不是暴露的恶意工件。C. 腾讯腾讯作为中国大型科技集团，展示了更多样化的恶意足迹。在 90 天内，它托管了 3300 个 C2 服务器、122 个开放目录、26 个 IOC 和 2400 个钓鱼网站，表明其广泛的面向互联网服务（包括社交媒体、游戏和电商平台）被大量滥用。D. 中国电信相比之下，中国电信显示适度的 C2 活动，同期有 617 个服务器和 42 个开放目录，反映了对国有电信基础设施的目标性利用。E. JD.comJD.com 作为主要的电商提供商，表现出最小的恶意活动，有 385 个 C2 服务器，没有开放目录、IOC 或钓鱼网站，这表明零售网络与大型电信和云平台相比，吸引力较低或被滥用程度较低。graph TD A[中国恶意基础设施分布] --> B[中国联通 9000 C2] A --> C[阿里巴巴云 3300 C2] A --> D[腾讯 3300 C2 + 2400 钓鱼] A --> E[中国电信 617 C2] A --> F[JD.com 385 C2] B --> G[占比 ~50%] C --> H[云平台滥用] D --> I[多样化恶意活动] E --> J[电信基础设施利用] F --> K[零售网络相对安全]2. 恶意基础设施类型分布A. C2 基础设施主导地位数据显示，C2 基础设施主导了观察到的恶意活动，约占所有观察到的恶意工件的 84%，其次是钓鱼基础设施约占 13%，而恶意开放目录和公开 IOC 合计贡献不到 4% 的观察活动。B. 前十大托管商按 C2 服务器检测数量排名的前十家公司中，中国联通是最大的贡献者，检测到 9100 个 C2 服务器，占此数据集中所有观察到的 C2 活动的近一半。阿里巴巴云和腾讯紧随其后，各自约有 3300 个 C2 检测，表明对大规模云环境的大量滥用，这些环境提供快速配置和高可用性。中国电信排名第四，有 620 个检测，而 JD.com 以 385 个 C2 服务器完成前五名。graph LR A[恶意基础设施分布] --> B[C2 服务器 84%] A --> C[钓鱼网站 13%] A --> D[开放目录 <4%] A --> E[公开 IOC <4%] B --> F[18000+ 服务器] C --> G[2837 网站] D --> H[528 目录] E --> I[134 IOC]三、恶意软件家族分布1. 主导恶意软件类型通过 HuntSQL 分析，中国网络中托管的 C2 基础设施按恶意软件家族分布如下：A. Mozi 恶意软件Mozi 以 9427 个唯一 C2 IP 为主导，占所有观察到的 C2 活动的一半以上。这是一个基于 IoT 的僵尸网络，通过针对物联网设备（特别是路由器和摄像头）进行传播。B. ARL 框架第二大集群 ARL（2878 个 C2）表明，红队或后渗透框架被大量重新用于恶意操作。C. 商业框架和商品僵尸网络中层威胁如 Cobalt Strike（1204）、Vshell（830）和 Mirai（703）表明商业攻击框架和商品僵尸网络的持续使用。值得注意的是，Cobalt Strike（包括未经验证的变体）在前十名中出现两次，强化了其作为高级威胁行为者首选 C2 框架的作用。D. 其他恶意活动Gophish 和 Acunetix 的存在进一步表明，钓鱼操作和漏洞扫描基础设施作为更广泛攻击链的一部分被积极部署。graph TD A[恶意软件家族分布] --> B[Mozi 9427 C2] A --> C[ALR 2878 C2] A --> D[Cobalt Strike 1204 C2] A --> E[Vshell 830 C2] A --> F[Mirai 703 C2] B --> G[IoT 僵尸网络主导] C --> H[红队框架滥用] D --> I[商业攻击框架] E --> J[后渗透工具] F --> K[传统僵尸网络]四、基础设施提供商的恶意软件多样性1. 多样性分析另一项 HuntSQL 查询显示，在中国过去三个月中托管最多样化恶意软件活动的组织包括：A. 腾讯云计算（北京）有限公司腾讯云计算领先于榜单，托管了 60 个恶意软件家族和近 2000 个 C2 端点。B. 阿里云计算有限公司阿里云计算紧随其后，在约 1956 个 C2 IP 中有 52 个恶意软件家族。C. 亚太网络信息中心（APNIC）亚太网络信息中心的活动与 27 个恶意软件家族相关联。D. 华为云服务华为云服务占 20 个不同家族，强调少数大型提供商如何被不同的威胁行为者反复利用。graph TD A[托管商恶意软件多样性] --> B[腾讯云 60 家族] A --> C[阿里云 52 家族] A --> D[APNIC 27 家族] A --> E[华为云 20 家族] B --> F[2000 C2 端点] C --> G[1956 C2 IP] D --> H[多家族托管] E --> I[系统性风险]五、实际恶意活动案例1. 商品 RAT 和传统恶意软件A. NanoCore 基础设施在 Wowrack.com 上托管的 NanoCore 基础设施被发现。B. Cobalt Strike 活动在 Starry Network Limited 上识别出 Cobalt Strike 活动，其中 IP 45.155.220.44 出现在每周威胁基础设施调查中。C. AsyncRAT 活动Hunt.io 将 AsyncRAT 活动与湖北飞讯网络科技有限公司相关联，端点 160.202.245.232 通过 threatfox.abuse.ch 被标记。D. Vshell 可疑基础设施在北京火山引擎科技有限公司上出现的可疑基础设施（vshell），其中 IP 115.190.200.230 出现在 VirusTotal 索引的遥测数据中。2. 钓鱼驱动的恶意软件交付A. 印度所得税钓鱼活动在北京百度网通科技有限公司上观察到的钓鱼驱动恶意软件交付，其中 45.113.192.102 与交付 NSecRTS.exe 的印度所得税主题钓鱼活动相关联。B. 针对车辆所有者的钓鱼活动在腾讯运营的基础设施上，发现在印度针对车辆所有者的钓鱼活动，通过短信威胁未支付电子罚款的法律行动，托管在 101.33.78.145 和 43.130.12.41。3. 僵尸网络和 OT 威胁A. Mirai 僵尸网络活动在周意卫星通信上识别出的僵尸网络和 OT 专注威胁，包括 185.245.35.68 的 Mirai 僵尸网络活动和 23.177.185.39 的针对路由器的攻击。B. RondoDox 僵尸网络中国教育和科研网络中心（CERNET）托管了 RondoDox 僵尸网络活动，位置在 202.120.234.124 和 202.120.234.163，两者都与 React2Shell 利用活动相关联。4. 漏洞利用活动A. React2Shell 漏洞利用React2Shell 漏洞的利用在多个提供商中大量出现。在 XNNET LLC 上，一个端点 43.247.134.215 与交付 XMRig 加密货币挖矿机和 Cobalt Strike 的 React2Shell 利用链相关联。B. Gogs 零日漏洞利用研究人员发现了 Gogs 中零日漏洞（CVE-2025-8110）的活跃利用，该漏洞允许经过身份验证的用户通过绕过符号链接保护来实现远程代码执行（RCE）。自动化活动已经 compromises 了约 50% 的暴露实例，部署 Supershell C2 有效载荷以实现持久的反向 SSH 访问。5. 高级持续性威胁（APT）活动A. BRONZE HIGHLAND 活动在泉州托管的基础设施上观察到的 APT 相关活动，两个 IP 106.126.3.56 和 106.126.3.78 与部署 MgBot 的 BRONZE HIGHLAND（Evasive Panda）活动相关联，确认了更广泛的中国主机托管生态系统中存在对齐国家的威胁活动。B. Gold Eye Dog (APT-Q-27) 活动Gold Eye Dog (APT-Q-27) 组织正在利用 AWS S3 存储桶交付复杂的、签名的后门，这些后门采用广泛的反规避检查和持久远程控制功能。此活动（43.154.170.196）标志着其工具集的演变，使用合法的云基础设施部署能够进行键盘记录、屏幕捕获和完整系统命令执行的有效载荷。C. Silver Fox 活动与 Silver Fox 活动相关的另一个目标钓鱼基础设施托管在阿里巴巴（美国）技术有限公司。该组织已将重点转移到印度组织，利用高度可信的所得税主题诱饵部署模块化 Valley RAT。此活动因其复杂的多阶段执行和成功规避传统安全边界而闻名。graph TD A[中国托管恶意活动] --> B[商品恶意软件] A --> C[钓鱼活动] A --> D[僵尸网络] A --> E[漏洞利用] A --> F[APT 活动] B --> B1[NanoCore] B --> B2[Cobalt Strike] B --> B3[AsyncRAT] C --> C1[印度所得税主题] C --> C2[车辆罚款主题] D --> D1[Mirai] D --> D2[RondoDox] E --> E1[React2Shell] E --> E2[Gogs CVE-2025-8110] F --> F1[BRONZE HIGHLAND] F --> F2[Gold Eye Dog] F --> F3[Silver Fox]六、基础设施可观察性分析1. Host Radar 数据聚合模型Host Radar 作为一个集中式聚合层，用于恶意基础设施遥测。来自 C2 检测、钓鱼识别、开放目录扫描和 IOC 提取的信号被组合，并用主机托管、ASN 和网络所有权上下文进行丰富。这种统一视图允许分析人员在提供商、网络和时间窗口之间进行转换，而无需依赖单个 IP 或域级别的指标，使国家和 ISP 级别的基础设施分析变得实用和可重复。graph LR A[C2 检测] --> E[Host Radar 聚合层] B[钓鱼识别] --> E C[开放目录扫描] --> E D[IOC 提取] --> E E --> F[主机托管上下文] E --> G[ASN 信息] E --> H[网络所有权] F --> I[提供商视图] G --> I H --> I I --> J[威胁情报分析]七、结论与建议1. 研究发现总结A. 基础设施集中化中国主机托管环境中，少数大型电信和云提供商占据了大多数观察到的命令与控制活动，支持从商品恶意软件和 IoT 僵尸网络到钓鱼操作和对齐国家的工具的一切。B. 威胁多样性同一基础设施提供商网络中同时存在网络犯罪和 APT 活动，RAT、加密货币挖矿机、钓鱼框架和对齐国家的恶意软件在同一环境中共存。C. 高信任网络滥用China169 骨干网、CHINANET 和 CERNET 表明了对电信和学术基础设施的利用。2. 防御建议A. 以主机为中心的威胁狩猎不要追逐快速过期的单个指标，而是将恶意活动映射回主机托管提供商、ISP 和云平台，揭示攻击者基础设施持续集中的位置以及它如何在活动之间被重用。B. 基础设施级别的检测策略通过大规模关联 C2 基础设施、恶意软件家族和公开报告的活动，这些模式在 IP 轮换和短命工件的情况下仍然可见。C. 优先级排序对于安全团队来说，这种方法可以实现更有弹性的检测、更快的优先级排序和基础设施级别的中断策略，这些策略很难被对手规避。3. 技术指标A. 关键统计数据分析周期：90 天观察到的恶意工件总数：21629C2 服务器数量：超过 18000 个涉及基础设施提供商：48 家主导恶意软件家族：前 10 个家族占绝大多数B. 高风险提供商中国联通：9000+ C2 服务器阿里巴巴云：3300+ C2 服务器，37 个钓鱼网站腾讯：3300+ C2 服务器，2400 个钓鱼网站中国电信：617 个 C2 服务器参考资料Inside China's Hosting Ecosystem: 18,000+ Malware C2 Servers Mapped Across Major ISPs
中国主机托管生态系统中的恶意软件 C2 基础设施分析一、概述1. 研究背景A. 问题提出威胁狩猎通常从单个指标开始，如可疑 IP 地址、信标域名或已知恶意软件家族。然而，单独查看这些指标会导致底层基础设施难以被发现。B. 核心发现Hunt.io 在分析中国主机托管环境中的恶意活动时，反复观察到相同的网络和提供商出现在不相关的活动中。商品化恶意软件、网络钓鱼操作和国家相关工具经常在同一基础设施中并存。C. 研究价值本研究揭示了基于指标 hunting 的局限性，展示如何通过主机为中心的方法在国家级尺度上观察恶意基础设施集群和持久性。2. 研究方法A. 数据来源Host Radar 平台聚合了 C2 检测、网络钓鱼识别、开放目录扫描和 IOC 提取的信号，并与主机托管、ASN 和网络所有权上下文进行关联。B. 分析周期2025 年 10 月 5 日至 2026 年 1 月 3 日，共计 90 天。C. 覆盖范围48 个中国基础设施提供商和网络实体。二、核心发现1. 关键数据A. 总体规模C2 服务器：18,000+ 个网络钓鱼站点：2,837 个恶意开放目录：528 个公共 IOC：134 个恶意工件总数：21,629 个B. 分布比例C2 基础设施占约 84%网络钓鱼基础设施占约 13%恶意开放目录和公共 IOC 合计占不到 4%2. 提供商分布A. Top 5 提供商排名提供商C2 服务器数量占比1中国联通9,100约 50%2阿里云3,300约 18%3腾讯3,300约 18%4中国电信620约 3%5京东385约 2%B. 基础设施集中度pie title 中国 C2 服务器分布（Top 5 提供商） "中国联通" : 50 "阿里云" : 18 "腾讯" : 18 "中国电信" : 4 "京东" : 2 "其他" : 8三、恶意基础设施分布1. 按提供商分析A. 中国联通C2 服务器：9,000 个（90 天内）恶意开放目录：30 个IOC：11 个特点：单一提供商占所有中国 C2 基础设施的近一半B. 阿里云C2 服务器：3,300 个网络钓鱼站点：37 个恶意开放目录：0 个IOC：0 个特点：云环境主要用于弹性 C2 操作，而非暴露工件C. 腾讯C2 服务器：3,300 个网络钓鱼站点：2,400 个恶意开放目录：122 个IOC：26 个特点：多样化的恶意足迹，大量滥用社交媒体、游戏和电商平台D. 中国电信C2 服务器：617 个恶意开放目录：42 个特点：国有电信基础设施的定向利用E. 京东C2 服务器：385 个恶意开放目录：0 个IOC：0 个网络钓鱼站点：0 个特点：零售网络相对较少被滥用2. 基础设施类型分布pie title 中国恶意基础设施类型分布 "C2 服务器" : 84 "网络钓鱼" : 13 "开放目录" : 2 "公共 IOC" : 1四、恶意软件家族分析1. Top 10 恶意软件家族排名恶意软件家族C2 IP 数量类型1Mozi9,427IoT 僵尸网络2ARL2,878红队框架3Cobalt Strike1,204商业 C2 框架4Vshell830后门5Mirai703IoT 僵尸网络6Gophish420网络钓鱼框架7NanoCore380RAT8AsyncRAT290RAT9Acunetix180漏洞扫描10XMRig150加密货币挖矿2. 恶意软件类型分布graph TD A[中国恶意软件 C2 基础设施] --> B[IoT 僵尸网络 52%] A --> C[红队/后门框架 28%] A --> D[RAT 远程访问 12%] A --> E[网络钓鱼/扫描 5%] A --> F[加密挖矿 3%] B --> B1[Mozi] B --> B2[Mirai] C --> C1[ARL] C --> C2[Cobalt Strike] C --> C3[Vshell] D --> D1[NanoCore] D --> D2[AsyncRAT] E --> E1[Gophish] E --> E2[Acunetix] F --> F1[XMRig]五、基础设施提供商风险分析1. 最高恶意软件多样性提供商排名提供商恶意软件家族数C2 端点数1腾讯云计算（北京）60~2,0002阿里云计算52~1,9563亚太网络信息中心（APNIC）27数据不足4华为公有云服务20数据不足2. 系统性风险评估graph LR A[高风险提供商] --> B[腾讯云] A --> C[阿里云] A --> D[APNIC] A --> E[华为云] B --> B1[60 恶意软件家族] B --> B2[2000+ C2 端点] B --> B3[重复利用跨活动] C --> C1[52 恶意软件家族] C --> C2[1956+ C2 端点] C --> C3[云环境弹性 C2] D --> D1[27 恶意软件家族] D --> D2[区域网络中心] E --> E1[20 恶意软件家族] E --> E2[企业云服务]六、真实恶意活动案例1. 商品化 RAT 和传统恶意软件A. NanoCore 基础设施托管提供商：Wowrack.comIP：192.169.69.26B. Cobalt Strike 活动托管提供商：Starry Network LimitedIP：45.155.220.44背景：出现在每周威胁基础设施调查中C. AsyncRAT 活动托管提供商：湖北飞讯网络科技有限公司IP：160.202.245.232来源：threatfox.abuse.ch2. 网络钓鱼驱动的恶意软件交付A. 印度所得税主题网络钓鱼托管提供商：北京百度网通科技有限公司IP：45.113.192.102交付载荷：NSecRTS.exeB. 印度车辆车主网络钓鱼托管提供商：腾讯云IP：101.33.78.145、43.130.12.41手段：SMS 威胁未缴电子罚单法律诉讼3. 僵尸网络和 OT 威胁A. Mirai 僵尸网络托管提供商：ZhouyiSat CommunicationsIP：185.245.35.68目标：物联网设备B. 路由器定向攻击托管提供商：ZhouyiSat CommunicationsIP：23.177.185.39背景：针对暴露网络设备的 OT 利用活动4. 漏洞利用和加密挖矿A. React2Shell 利用托管提供商：XNNET LLCIP：43.247.134.215交付载荷：XMRig 加密挖矿机、Cobalt StrikeB. 华为云可疑活动IP：123.60.143.74、124.70.52.134关联：L3MON RAT5. 学术和研究基础设施A. CERNET 上的 RondoDox 僵尸网络托管提供商：中国教育和科研计算机网网络中心IP：202.120.234.124、202.120.234.163背景：React2Shell 利用活动6. APT 相关活动A. Cobalt Strike Beacon托管提供商：中国电信北京天津河北大数据产业园分公司IP：117.72.242.9用途：横向移动或长期访问B. BRONZE HIGHLAND（Evasive Panda）活动托管提供商：泉州IP：106.126.3.56、106.126.3.78载荷：MgBotC. Gold Eye Dog（APT-Q-27）活动利用的 AWS S3 存储桶交付签名后门功能：键盘记录、屏幕捕获、完整系统命令执行D. Silver Fox 活动托管提供商：阿里巴巴（美国）科技有限公司IP：43.100.123.207目标：印度组织载荷：Valley RAT7. 零日漏洞利用A. Gogs CVE-2025-8110允许认证用户通过绕过符号链接保护实现 RCE自动化活动已入侵约 50% 的暴露实例载荷：Supershell C2（106.53.108.81）用途：持久反向 SSH 访问七、恶意活动时序分析sequenceDiagram participant A as 攻击者 participant H as 托管提供商 participant V as 受害者 participant C2 as C2 服务器 Note over A,C2: 阶段 1：基础设施建立 A->>H: 租用云服务器/VPS H-->>A: 分配 IP 地址 Note over A,C2: 阶段 2：恶意软件部署 A->>C2: 部署 C2 框架 A->>V: 网络钓鱼/漏洞利用 V->>C2: 建立连接 Note over A,C2: 阶段 3：恶意活动 C2->>V: 发送命令 V->>C2: 回传数据 A->>C2: 收集数据 Note over A,C2: 阶段 4：基础设施轮换 A->>H: 释放旧 IP A->>H: 租用新 IP H-->>A: 新 IP 地址八、网络基础设施滥用模式1. 高信任网络利用A. China169 骨干网DarkSpectre 活动托管于此IP：58.144.143.27影响：全球数百万感染B. CHINANET中国电信骨干网络被用于各种 C2 活动C. CERNET教育和科研网络高带宽优势被利用2. 云平台滥用特征graph TB A[云平台滥用] --> B[阿里云] A --> C[腾讯云] A --> D[华为云] B --> B1[弹性 C2 操作] B --> B2[网络钓鱼托管] B --> B3[无暴露工件] C --> C1[多样化服务滥用] C --> C2[社交媒体平台] C --> C3[游戏/电商] D --> D1[企业云服务] D --> D2[APT 基础设施]九、Host Radar 数据聚合模型1. 工作原理graph LR A[C2 检测] --> E[Host Radar 聚合层] B[网络钓鱼识别] --> E C[开放目录扫描] --> E D[IOC 提取] --> E E --> F[主机托管提供商] E --> G[ASN 信息] E --> H[网络所有权] F --> I[统一情报视图] G --> I H --> I I --> J[基础设施分析] I --> K[时间序列分析] I --> L[提供商风险评估]2. 分析优势A. 超越单个指标不依赖单个 IP 或域名揭示跨活动的基础设施重用模式B. 长期滥用模式可见即使 IP 地址频繁轮换长期模式仍然可见C. 国家级分析跨提供商、网络和时间窗口透视实用且可重复的基础设施分析十、结论与建议1. 核心结论A. 基础设施高度集中少数大型电信和云提供商占大部分 C2 活动中国联通单一提供商占近 50%B. 框架驱动而非碎片化前 10 大恶意软件家族占绝大多数 C2 服务器C2 滥用集中、可重复、框架驱动C. 网络犯罪与 APT 共存中国基础设施支持网络犯罪和 APT 活动RAT、加密挖矿机、网络钓鱼框架、国家相关恶意软件共存D. 高信任网络被积极滥用China169 骨干网、CHINANET、CERNET电信和学术基础设施被利用2. 安全建议A. 安全团队采用主机为中心的威胁狩猎方法专注于共享基础设施而非单个恶意软件变体实施基础设施级别的检测策略B. 提供商加强 C2 基础设施监控建立跨活动关联分析能力与威胁情报平台合作C. 研究人员使用 Host Radar 等工具进行大规模分析关注提供商级别的滥用模式发布基础设施级别情报3. 未来方向A. 检测改进更有弹性的检测方法更快的优先级排序基础设施级别的破坏策略B. 数据共享大规模遥测与灵活分析工作流结合分析师驱动的调查工作流参考资料Inside China's Hosting Ecosystem: 18,000+ Malware C2 Servers Mapped Across Major ISPs
wtfis 被动式主机名域名IP查询工具技术分析
wtfis 被动式主机名域名IP查询工具技术分析一、概述1. 项目简介A. 是什么wtfis 是一个命令行工具，用于通过多种 OSINT（开源情报）服务收集域名、FQDN 或 IP 地址的相关信息。该工具专为人类用户设计，提供美观易读的输出结果，而非机器可解析的原始数据。B. 为什么需要传统 whois 工具输出格式不友好，难以阅读安全研究人员需要快速了解目标主机的威胁情报手动查询多个威胁情报平台效率低下需要一个集成化的信息汇总工具C. 项目背景项目名称源于对 whois 工具的重新诠释GitHub Star 数 1.7k，Fork 数 82最新版本 v0.14.0（2025 年 12 月 3 日发布）支持 Python 3.14采用 MIT 开源许可证二、核心功能1. 支持的查询类型域名（Domain）完全限定域名（FQDN）IP 地址2. 数据来源wtfis 整合了多个 OSINT 服务的 API，提供全面的目标情报：graph TB Input[用户输入 域名/FQDN/IP] --> wtfis[wtfis 处理核心] subgraph 必需服务 VT[VirusTotal] end subgraph 可选服务 Abuse[AbuseIPDB] Grey[GreyNoise] IP2Loc[IP2Location] IP2Who[IP2Whois] IPinfo[IPinfo] IPWho[IPWhois] Shodan[Shodan] URLhaus[URLhaus] end wtfis --> VT wtfis --> Abuse wtfis --> Grey wtfis --> IP2Loc wtfis --> IP2Who wtfis --> IPinfo wtfis --> IPWho wtfis --> Shodan wtfis --> URLhaus VT --> Output[汇总输出] Abuse --> Output Grey --> Output IP2Loc --> Output IP2Who --> Output IPinfo --> Output IPWho --> Output Shodan --> Output URLhaus --> OutputA. VirusTotal（必需）威胁分析统计与厂商详情信誉评分（基于社区投票）流行度排名（Alexa、Cisco Umbrella 等）厂商分类解析记录Whois 信息（备用）B. AbuseIPDB滥用置信度评分（0-100）举报次数C. GreyNoiseNoise 状态：是否经常扫描互联网RIOT 状态：是否属于常见商业应用分类：良性、恶意、未知D. IP2Location / IPWhois / IPinfo地理位置信息ASN 和组织信息代理检测域名信息E. IP2Whois域名 Whois 数据注册人信息F. Shodan开放端口和服务列表操作系统识别Shodan 标签G. URLhaus在线恶意 URL 数量DNSBL 和 SURBL 块列表状态历史标签三、系统架构1. 工作流程sequenceDiagram participant U as 用户 participant W as wtfis participant VT as VirusTotal participant OS as 其他OSINT服务 participant D as 数据聚合模块 participant R as 结果渲染模块 U->>W: 输入目标 + 参数 W->>VT: 请求基础情报（必需） W->>OS: 请求增强情报（可选） par 并行查询 VT-->>D: 返回分析数据 OS-->>D: 返回增强数据 end D->>D: 数据整合与去重 D->>R: 格式化数据 R->>U: 渲染面板输出2. 设计原则API 调用最小化：避免达到免费层配额限制人类可读性：结果以面板形式组织，易于理解模块化设计：每个数据源独立实现可扩展性：易于添加新的数据源3. 技术栈语言：Python 99.5%包管理：PyPI、conda-forge、Homebrew容器化：Docker 支持四、安装与配置1. 安装方式A. 通过 pip 安装pip install wtfisB. 通过 conda 安装conda install -c conda-forge wtfisC. 通过 Homebrew 安装brew install wtfisD. 通过 Docker 安装make docker-image2. 环境配置A. 必需配置VT_API_KEY：VirusTotal API 密钥（必需）B. 可选配置ABUSEIPDB_API_KEY：AbuseIPDB API 密钥GREYNOISE_API_KEY：GreyNoise API 密钥IP2LOCATION_API_KEY：IP2Location API 密钥IP2WHOIS_API_KEY：IP2Whois API 密钥SHODAN_API_KEY：Shodan API 密钥URLHAUS_API_KEY：URLhaus API 密钥C. 高级配置WTFIS_DEFAULTS：默认布尔参数GEOLOCATION_SERVICE：地理位置服务选择D. 配置文件方式在用户主目录创建 .env.wtfis 文件：# 配置文件示例 VT_API_KEY=your_vt_api_key SHODAN_API_KEY=your_shodan_api_key GREYNOISE_API_KEY=your_greynoise_api_key GEOLOCATION_SERVICE=ipwhois WTFIS_DEFAULTS=-s -1安全建议：chmod 400 ~/.env.wtfis五、使用方法1. 基本用法wtfis example.com wtfis 1.1.1.1 wtfis api.google.com2. 命令行参数A. 增强选项-A, --all：启用所有可能的增强功能-s, --use-shodan：使用 Shodan 增强 IP 查询-g, --use-greynoise：启用 GreyNoise-a, --use-abuseipdb：启用 AbuseIPDB-u, --use-urlhaus：启用 URLhausB. 显示选项-m N, --max-resolutions N：最大解析记录数（默认 3，最大 10）-n, --no-color：无颜色输出-1, --one-column：单列显示C. 服务选择--geolocation-service：地理位置服务选择3. 使用示例A. 基本查询wtfis google.comB. 启用所有增强功能wtfis -A example.comC. 查询特定 IP 并启用 Shodanwtfis -s 1.1.1.1D. 单列显示wtfis -1 example.comE. 更改地理位置服务GEOLOCATION_SERVICE=ipinfo wtfis 1.1.1.1F. Docker 运行docker run --env-file=${HOME}/.env.wtfis -it wtfis example.com六、技术特性分析1. 输出设计A. 面板化布局信息分类展示：基本信息、威胁情报、网络信息颜色编码：不同风险级别使用不同颜色可点击链接：终端支持时可直接跳转到原始数据源B. 智能输入处理支持 defanged 输入格式：api[.]google[.]com自动识别输入类型（域名/FQDN/IP）2. API 优化策略A. 配额管理最小化 API 调用次数默认禁用低配额服务（如 GreyNoise 每周仅 50 次请求）智能缓存机制B. 降级策略IP2Whois 不可用时回退到 VirusTotal Whois部分服务失败不影响整体功能3. 扩展性设计A. 模块化架构每个数据源独立模块统一的数据接口易于添加新数据源B. 配置灵活性环境变量配置默认参数设置命令行覆盖七、应用场景1. 安全研究快速评估可疑主机威胁等级收集目标基础设施情报追踪恶意软件 C2 服务器2. 威胁情报分析识别恶意 IP 地址分析域名解析历史检测已知的恶意软件分发点3. 网络侦察了解目标组织的网络资产识别开放的服务和端口收集地理位置和 ISP 信息4. 事件响应快速验证攻击来源收集入侵指标（IOC）评估攻击者的基础设施八、项目优势与局限1. 优势人类友好的输出格式多数据源集成最小化 API 调用开源免费跨平台支持丰富的安装方式2. 局限依赖第三方 API 配额需要注册多个服务账号某些服务需要付费GreyNoise 免费配额极低不支持批量查询3. 与同类工具对比工具优势劣势wtfis人类可读、多数据源、界面美观API 依赖重whois无需 API、原生工具输出格式不友好theHarvester数据源丰富主要用于邮件收集Maltego图形化界面、强大商业软件、复杂九、最佳实践1. API 密钥管理使用 .env.wtfis 文件集中管理设置文件权限为 400不要将密钥提交到版本控制系统2. 配额管理优先使用必需的 VirusTotal按需启用低配额服务合理设置解析记录上限3. 输出处理使用 -n 参数重定向到文件使用 -1 参数方便复制粘贴结合脚本进行批量处理十、未来发展方向1. 潜在改进添加更多 OSINT 数据源支持批量查询JSON 输出格式结果缓存机制Web 界面2. 社区贡献6 位贡献者活跃的 Issue 和 PR持续的版本迭代参考资料wtfis GitHub 仓库VirusTotal API 文档GreyNoise 社区 APIShodan API 文档AbuseIPDB API