WHOIS (T1596.002)

一句话通俗理解

WHOIS就是查询域名的注册信息。

30秒速查卡

难度等级

⭐⭐ 中级 - 需要一定的技术基础和实践经验

前置知识检查

读这个文件需要什么？

• 互联网搜索基础、DNS/子域名概念、搜索引擎高级语法dork
• 网络协议基础（HTTP/DNS/TCP）
• 信息源分类能力（OSINT vs 商业情报）

技术描述

通俗解释：

过渡段： 不要误以为网络侦察只是简单的’谷歌搜索’——在攻击者手中，这是系统化的情报收集过程。每个公开信息源都可能泄露攻击者需要的关键数据，从子域名到技术栈版本，经过交叉验证后就能拼出完整的攻击面地图。 查询域名的注册信息，如注册人、注册时间

🔍 打个比方：就像在图书馆查公开资料了解目标情况——攻击者通过WHOIS查询获取域名的注册信息（注册人、邮箱、电话）。

技术原理： T1596.002 是 搜索开放技术数据库（T1596）的子技术，专注于WHOIS这一特定方面。攻击者在侦察阶段，通过WHOIS来获取目标系统或组织的相关信息，为后续攻击步骤做准备。

用途与影响：

• 为后续攻击提供关键信息支撑
• 提高攻击的成功率和精准度
• 降低攻击被发现的概率

真实攻击流程

graph TD
    A["确定目标域名"] --> B["向WHOIS服务器发送域名查询请求"]
    B --> C["提取注册人姓名、邮箱和联系电话"]
    C --> D["通过反向WHOIS查询关联域名"]
    D --> E["汇总目标组织注册的所有域名资产"]
    style C fill:#ff6b6b,stroke:#333,stroke-width:2px

步骤详解：

1. 域名确定 - 确定要查询的目标域名
2. WHOIS查询 - 使用whois命令或在线工具向WHOIS服务器发送查询请求
3. 信息提取 - 提取注册人姓名、组织机构、邮箱、电话和地址信息
4. 反向查询 - 使用注册人邮箱或名称反向查询其注册的其他域名
5. 资产汇总 - 汇总目标组织注册的所有域名和服务列表

典型场景

攻击流程

graph LR
    A["确定目标域名<br/>company.com"] --> B["WHOIS查询<br/>whois命令/在线工具"]
    B --> C["提取注册人信息<br/>姓名/邮箱/电话"]
    C --> D["反向WHOIS关联<br/>查找同注册人域名"]
    D --> E["汇总组织资产<br/>域名/IP/品牌清单"]
    style A fill:#4a90e2,stroke:#333,stroke-width:2px,color:#fff
    style E fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff

关键步骤说明：

1. 确定目标域名 - 锁定侦察对象的主域名（如company.com），作为WHOIS查询的起点，必要时收集目标已知的所有域名用于后续批量查询。
2. WHOIS查询 - 使用whois命令行工具或WhoisXML API、DomainTools等在线服务，向注册局WHOIS服务器查询目标域名的注册记录，获取注册人、注册商、注册时间、到期时间和DNS服务器等信息。
3. 提取注册人信息 - 从WHOIS响应中解析出注册人姓名、组织机构、联系邮箱、电话号码和注册地址，这些信息是后续社会工程学攻击和反向关联的关键输入。
4. 反向WHOIS关联 - 使用DomainTools Reverse WHOIS或WhoisXML API，以注册人邮箱或姓名为关键字反向查询其在历史记录中注册的其他域名，发现目标组织未公开的关联资产和影子域名。
5. 汇总组织资产 - 整合正向和反向WHOIS查询结果，形成目标组织的完整域名资产清单，包括主域名、子域名、备用域名和品牌保护域名，为后续主动扫描和钓鱼攻击提供目标范围。

真实案例

案例1：APT组织使用WHOIS进行攻击准备

• 时间: 2023-2024年
• 目标: 多行业目标组织
• 攻击组织: 多个APT组织
• 手法: 攻击者在攻击初期大量使用WHOIS技术收集目标信息，为后续定向攻击做准备
• 影响: 攻击成功率显著提高，防御者难以及时发现侦察行为
• 参考链接: MITRE ATT&CK - T1596.002

案例2：红队演练中的WHOIS应用

• 时间: 2024-2025年
• 目标: 授权测试的企业客户
• 攻击组织: 红队团队
• 手法: 在授权的红队演练中，WHOIS被用于模拟真实攻击者的信息收集行为，测试企业安全监控体系能否及时发现侦察活动
• 影响: 帮助企业发现信息暴露面和安全监控盲区
• 参考链接: 红队演练报告（内部资料）

红队视角

⚠️ 免责声明：以下内容仅用于合法的安全测试、渗透测试和教育目的。未经授权对他人系统进行测试是违法行为。

实战技巧

1. 隐蔽优先：在侦察阶段使用被动方式收集信息，避免触发安全告警
2. 信息验证：对收集到的信息进行交叉验证，确保准确性和时效性
3. 工具选择：根据目标环境选择合适的工具，避免使用已被广泛检测的工具
4. OPSEC意识：使用匿名网络、临时环境进行操作，防止溯源

常用工具

注意事项

• 仅在授权范围内使用WHOIS技术
• 注意操作的隐蔽性，避免被蓝队发现
• 记录操作日志，用于后续分析和报告编写

蓝队视角

检测要点

1. 异常信息收集行为：监控来自内部系统的异常数据查询和收集行为
2. 可疑工具使用：检测与WHOIS相关的工具在内部网络中的使用
3. 异常网络流量：监控对外部信息收集平台的可疑网络连接
4. 权限异常：关注非授权用户的信息收集和查询行为

监控建议

• 部署信息收集行为的检测规则
• 建立基准行为模型，及时发现异常
• 定期审计敏感信息的访问记录

避坑指南

新手常犯的错误：过度依赖单一信息源。专业的侦察需要多个来源交叉验证。

检测建议

网络层检测

检测方法： 监控与WHOIS相关的网络流量特征

具体规则/命令示例：

# 监控异常DNS查询
tcpdump -i eth0 port 53 | grep -E "可疑域名"

主机层检测

Windows事件ID：

• 事件ID 4688：可疑进程创建
• 事件ID 4104：PowerShell脚本块日志

Linux日志：

• 日志文件：/var/log/syslog
• 关键字段：可疑命令执行

应用层检测

用人话说： 攻击者像查房产登记记录一样，使用WHOIS查询工具获取目标域名背后的注册人信息。这些信息包括：注册人姓名、公司名称、联系电话、邮箱地址、注册和到期日期。如果目标公司没有开启WHOIS隐私保护，攻击者就能直接拿到管理员的工作邮箱甚至个人手机号。更妙的是，攻击者会利用这些信息交叉搜索：用同一个邮箱找这个人还注册了哪些域名，从而发现目标公司尚未公开的子品牌网站或测试域名。这些“被遗忘“的域名往往疏于防护，攻击者会优先攻破它们作为跳板。如果你发现有人在交叉查询你们公司域名的WHOIS信息，并用注册人邮箱反查其他关联域名，这就是在拓展攻击面。

Sigma规则示例：

title: Suspicious WHOIS Activity
status: experimental
description: Detects potential WHOIS behavior
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\\可疑工具.exe'
  condition: selection
level: medium
tags:
  - attack.T1596/002

缓解措施

优先级1：关键措施

措施名称： 敏感信息保护

具体实施步骤：

1. 识别和分类组织内的敏感信息
2. 对敏感信息实施访问控制和加密
3. 部署信息泄露防护（DLP）解决方案

优先级2：重要措施

措施名称： 员工安全意识培训

具体实施步骤：

1. 定期开展信息安全意识培训
2. 教育员工识别社交工程攻击
3. 建立信息报告和响应机制

优先级3：建议措施

措施名称： 安全配置加固

具体实施步骤：

1. 限制公开可访问的系统信息
2. 配置合适的日志记录和告警策略
3. 定期进行安全评估和渗透测试

动手实验

⚠️ 重要提示：所有实验必须在隔离的实验室环境中进行，禁止对未授权的真实系统进行测试。

实验环境准备

推荐靶场/实验平台：

所需工具：

• 根据具体技术需求准备相应工具

环境搭建：

# 准备隔离的实验环境
# 具体命令根据实验内容而定

实验1：基础实践（初级）

实验目标： 理解和练习WHOIS的基本操作

实验步骤：

1. 在隔离环境中搭建实验系统
2. 按照技术描述执行基本操作
3. 观察和记录实验现象

预期结果： 成功完成WHOIS的基本操作

学习要点： 理解WHOIS的原理和操作方法

术语解释

被引用情况

以下父技术文档引用了本子技术：

• T1596 - 搜索开放技术数据库

参考资料

📚 官方文档（深入了解）

• MITRE ATT&CK - T1596
• MITRE ATT&CK - T1596.002
• MITRE ATT&CK - T1596.002 检测

📰 安全报告（真实攻击）

• CISA Known Exploited Vulnerabilities
• Microsoft Security Blog

学习资源

• MITRE ATT&CK 官方文档
• ATT&CK STIX Data