尝试对UDP反射攻击溯源

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

import openpyxl
import ipdb

# 加载IP数据库
db = ipdb.City("ipipfree.ipdb")
# 打开Excel文件
wb = openpyxl.load_workbook('1.xlsx')
ws = wb.active

# 从第2行开始，查找A列IP的省份和城市，写入G列和H列
for row in range(2, ws.max_row + 1):
    ip = ws[f'A{row}'].value
    if ip:
        ipinfo=db.find_map(ip, "CN")
        country=ipinfo["country_name"]
        province= ipinfo["region_name"]
        city= ipinfo["city_name"]
        ws[f'G{row}'] = country
        ws[f'H{row}'] = province
        ws[f'I{row}'] = city
# 保存到新文件
wb.save('2.xlsx')
print('已完成IP到省市的写入。')

安装ipdb：

Censys 的核心数据来源是主动互联网扫描。它使用开源网络扫描工具 ZMap 对全球 IPv4 地址空间进行端口扫描，并结合应用层扫描器 ZGrab/ZGrab2 对常见服务协议进行探测innovationpartnerships.umich.edudocs.censys.com。通过快速扫描，Censys 可以在短时间内探测数十亿个 IP 及端口，并收集设备响应（如 TCP/UDP 握手和协议 banner）。此外，Censys 也采用被动数据源进行补充：证书透明日志 (Certificate Transparency, CT) 中会同步收录公开发行的 TLS/SSL 证书信息，被动 DNS 数据库（DNS 解析记录和历史解析记录）以及WHOIS 注册信息等都被纳入关联分析docs.censys.comdocs.censys.com。通过融合主动扫描数据和这些公开信息，Censys 能够更全面地识别互联网上的资产和服务。

扫描技术
Censys 的扫描引擎覆盖广泛的网络协议和端口：它对整个公网 IPv4 地址空间上的所有 65,535 个端口进行定期扫描docs.censys.comdocs.censys.com。具体调度策略为：热门端口高频扫描——例如每日扫描流量排名前 100 的端口；大端口集定期扫描——对前 2,500 个热门端口每 10 天全网扫描一次prnewswire.com。发现新服务后，Censys 还会优先刷新老旧数据——任何超过 24 小时未更新的已知服务都将在次日重新扫描docs.censys.comdocs.censys.com。此外，Censys 设计了“预测扫描”机制，根据历史数据动态生成扫描目标，对云服务 IP 段（AWS、Azure、GCP 等）等高风险区域进行重点扫描。扫描节点分布在全球（美洲、欧洲、亚洲）多地，以达到近 99% 的监听主机覆盖率并降低丢包风险prnewswire.comdocs.censys.com。

在协议层面，Censys 支持对数百种网络协议的探测。扫描器默认使用 TCP 作为传输层，并针对 IANA 指定协议端口尝试对应握手（如对 TCP 23 端口尝试 Telnet 握手）docs.censys.com；如果连接到非标准端口或协议响应不匹配，系统会尝试其他协议（自动协议检测）。部分协议使用 UDP 扫描（例如 DNS 查询通常使用 UDP），而 HTTP 协议检测则可通过 HTTP/3 (QUIC) 兼容方式进行docs.censys.com。应用层面，Censys 对 HTTP(S) 服务会请求根页面并跟随重定向，收集网站标题、响应头和服务标识；对常见数据库、邮件、IoT、VoIP、文件共享、SCADA 等协议均执行特定握手或 banner 抓取docs.censys.comdocs.censys.comdocs.censys.com。值得注意的是，无论协议类型，Censys 扫描都只读取公开信息，不尝试登录或验证访问任何系统docs.censys.com。

域名与 IP 地址关联
Censys 通过扫描过程中收集的多种信号，将域名与其托管的 IP 进行关联。首先，在 TLS/SSL 扫描时会记录证书中的域名信息（证书中的 Common Name 和 Subject Alternative Name 列表）docs.censys.com，以及 握手中的 SNI（Server Name Indication） 字段；这允许 Censys 知道一个 IP 在提供哪一主机名的证书。其次，在 HTTP 层面，Censys 解析 HTTP(S) 响应中的 Host 头或虚拟主机（Virtual Hosts）信息来确定域名。实际应用时，同一台服务器常通过 SNI 和 Host 承载多个域名，Censys 会将从中解析出的所有域名记录为该 IP 的关联域名。

另外，Censys 利用 DNS 数据来补充域名映射：它可能对扫描到的 IP 进行正反向 DNS 查询，或使用被动 DNS 库查找历史 A/AAAA 记录，从而获取域名到 IP 的映射关系。WHOIS 注册信息虽然不直接揭示 IP，但可为域名归属和组织提供背景。总之，Censys 综合利用协议自带字段（SNI、HTTP Host 等）和外部数据源，实现了域名和 IP 的多角度映射docs.censys.comdocs.censys.com。

利用公开信息和数据泄露来源增强关联
除了实时扫描数据，Censys 大量依赖公开可用的信息来丰富资产关联。例如，它同步采集证书透明日志中的所有公开 TLS/SSL 证书docs.censys.com。这些证书通常包含域名，即便该证书所用 IP 未被当前扫描捕获，也能通过历史数据发现新域或新服务器。类似地，Censys 可接入被动 DNS（Passive DNS）数据库和 DNS 历史记录，通过第三方或自建数据源追踪域名解析变化，了解某个域名曾映射到的 IP 列表。WHOIS 数据则用于确认域名注册商及所有者信息，帮助判断机构所有权和潜在关联资产。在资产发现与追踪的场景中，Censys 甚至结合公共泄露数据（如开放漏洞库、互联网路由数据）进行上下文分析，但核心依旧是证书和 DNS 等公开记录。这些外部数据源与主动扫描结果相结合，使 Censys 能更全面地绘制网络地图，从而有效揭示主机、服务与域名之间的关联docs.censys.comdocs.censys.com。