RongIOC

网络空间测绘APT自动化拓线工具
(Cyberspace Mapping APT Automated Line Extension Tool )

浏览文档 »

中文 | English

团队官网 · 反馈 Bug · 请求新功能 · 联系作者

注意事项
关于本项目
- 构建工具
开始
- 依赖
- 安装
使用方法
TODO
贡献
许可证
联系作者
交流群
致谢

注意事项

本项目会调用大量的FOFA接口,可能会导致当日访问次数超过的情况,不建议开启F点消耗使用！！
本项目将持续更新，目前TODO中还有很多没有更新，并不能满足全部的APT拓线情况
本项目完全免费，仅作为学习使用，请不要进行非法破坏
本项目为RongIOC的公开版本

关于本项目

一款用于APT威胁情报收集(APT网络资产拓线构建)的自动化工具
Rong系列工具之一(RongScan,RongFofa,RongHack等工具暂不开源,团队内部使用,有需要联系作者审核)
项目地址: https://github.com/WingBy-Fkalis/RongIOC
项目所属团队: WingBY网络安全团队
第一作者: Fkalis

在遇到各种APT攻击的时候，我们不仅需要进行防御当前的攻击，也需要基于当前的样本,指纹,等信息去构建更多的指纹，也就是所说的拓线，在进行了大量开源IOC的尝试其基本流程是固定的尝试将其进行自动化，减少工作量，提升效率

基本流程参考下图（在给某公司进行APT培训的时候的课件）

(返回顶部)

构建工具

直接使用打包好的exe即可

(返回顶部)

开始

这是一份在本地构建项目的指导的例子。要获取本地副本并且配置运行，你可以按照下面的示例步骤操作。

依赖

exe
```
直接使用打包好的exe即可
```

安装

下面是一个指导你的受众如何安装和配置你的应用的例子。这个模板不需要任何外部依赖或服务。

克隆本仓库

git clone https://github.com/WingBy-Fkalis/RongIOC.git

来到RongIOC目录
```
cd RongIOC
```
运行RongIOC.exe
```
RongIOC.exe -h
```

(返回顶部)

使用方法

1. 查看帮助

RongIOC.exe -h

-h, --help            show this help message and exit
-e EMAIL, --email EMAIL
                     fofa账号
-k KEY, --key KEY     fofa密钥
-i IOC, --ioc IOC     基础ioc (语法+时间) (例如:(domain="neger.site" || domain="semain.tech" || domain="aliit.org") && before="2024-01-04"
-f FILE, --file FILE  域名,ip的基础ioc文件列表 (测试阶段,可能有bug)
-l LINE, --line LINE  想要获取的拓线数量 (默认为3)
-n NUMBER, --number NUMBER
                     单条拓线的最大误差(最大资产量) (默认为:2500)
-t THREAD, --thread THREAD
                     并发线程数 (默认为:3)

2. 快速进行拓线

-e 输入fofa的账户 -k 输入fofa的密钥 -i 基础IOC语法 (推荐使用域名+发现时间的方式(如下))

RongIOC.exe -e xxx -k xxx -i "(domain=\"neger.site\" || domain=\"semain.tech\") && before=\"2024-01-04\""

3. 自动拓线获取ioc

4. 获取拓线信息

5. 自动化成果展示

RongIOC.exe -e xxx -k xxx -i "(domain=\"neger.site\" || domain=\"semain.tech\") && before=\"2024-01-04\""

构建的拓线

----------数量: 119-----------
base_protocol="tcp" && (banner=" 2023 " && banner=" GMT

Content-Type: text/html

Content-Length: 183

Connection: keep-alive" && banner=", 23 ") && server="nginx"
----------数量: 103-----------
cert.issuer.org="Let's Encrypt" && base_protocol="tcp" && (banner=" 2023 " && banner=" GMT

Content-Type: text/html

Content-Length: 183

Connection: keep-alive" && banner=", 23 ")
----------数量: 102-----------
cert.issuer.cn="R3" && cert.issuer.org="Let's Encrypt" && base_protocol="tcp" && (banner=" 2023 " && banner=" GMT

Content-Type: text/html

Content-Length: 183

Connection: keep-alive" && banner=", 23 ")
----------{空字符串特征,可根据需求添加}------------
os="" && icp="" && cert.subject.org="" && cname=""