H3NRYBAIT/4-week-cti-learning-journey

GitHub: H3NRYBAIT/4-week-cti-learning-journey

一个为期 30 天的网络威胁情报自学计划，通过每周真实案例调查和免费 OSINT 工具，系统性地教授从基础设施追踪到情报产出的全流程分析技能。

Stars: 0 | Forks: 0

# 30 天网络威胁情报计划 *一次从零到威胁分析师的自学之旅 —— 每次只专注一个调查。* [![状态](https://img.shields.io/badge/Status-Week%201%20Complete-brightgreen?style=for-the-badge)](.) [![工具](https://img.shields.io/badge/Tools-13%20Free%20OSINT-blue?style=for-the-badge)](.) [![方法](https://img.shields.io/badge/Method-Passive%20OSINT%20Only-orange?style=for-the-badge)](.)

## 这是什么？本仓库记录了我的**30天自学网络威胁情报 (CTI) 计划** —— 这是一套结构化的课程，我每周仅使用免费的被动 OSINT 工具来调查真实的、活跃的威胁基础设施。没有模拟。没有 CTF 实验室。**真实的钓鱼域名。真实的恶意软件基础设施。真实的威胁行为者。** 每周结束时，我都会撰写一份完整的调查报告发布在 Medium 上，并在此处记录 IOC、技术和调查结果。 ## 进度 | 周 | 重点领域 | 天数 | 状态 | 案例研究 | 报告 | |------|------------|------|--------|------------|----------| | **第 1 周** | 基础设施情报 | 1–7 | ✅ 已完成 | `fatturapagamento.click` | [📖 在 Medium 上阅读](https://medium.com/@H3NRYB41T/how-i-traced-a-fake-aruba-payment-portal-back-to-its-infrastructure-using-12-free-osint-tools-1dfe398bc7f5) | | **第 2 周** | 恶意软件情报 | 8–14 | 🔄 进行中 | 即将推出 | 即将推出 | | **第 3 周** | 威胁行为者情报 | 15–21 | ⏳ 待定 | — | — | | **第 4 周** | 情报产出 | 22–30 | ⏳ 待定 | — | — | ## 完整的 30 天课程

📁 第 1 周 —— 基础设施情报 ✅

| 天 | 主题 | 状态 | |-----|-------|--------| | 第 1 天 | 基础设施 Pivoting | ✅ | | 第 2 天 | 证书情报 | ✅ | | 第 3 天 | Web 指纹识别 | ✅ | | 第 4 天 | Shodan 与 Censys | ✅ | | 第 5 天 | DNS 情报 | ✅ | | 第 6 天 | 基础设施聚类 | ✅ | | 第 7 天 | 每周调查 #1 —— fatturapagamento.click | ✅ | **我构建的内容：**从一个单一的 URL 映射出包含 4 个域名的实时钓鱼活动，直至完整的基础设施暴露 —— 包括攻击者敞开的管理面板。 [→ 查看第 1 周文件](./week-1/)

📁 第 2 周 —— 恶意软件情报 🔄

| 天 | 主题 | 状态 | |-----|-------|--------| | 第 8 天 | 恶意软件生态系统 | 🔄 | | 第 9 天 | 配置提取 | ⏳ | | 第 10 天 | 活动聚类 | ⏳ | | 第 11 天 | 恶意软件时间线 | ⏳ | | 第 12 天 | 基础设施重用 | ⏳ | | 第 13 天 | ATT&CK 画像 | ⏳ | | 第 14 天 | 每周调查 #2 | ⏳ | [→ 查看第 2 周文件](./week-2/)

📁 第 3 周 —— 威胁行为者情报 ⏳

| 天 | 主题 | 状态 | |-----|-------|--------| | 第 15 天 | 行为者筛选 | ⏳ | | 第 16 天 | 受害者学 | ⏳ | | 第 17 天 | 基础设施历史 | ⏳ | | 第 18 天 | 操作行为 | ⏳ | | 第 19 天 | 金融生态系统 | ⏳ | | 第 20 天 | 归因评估 | ⏳ | | 第 21 天 | 每周调查 #3 | ⏳ | [→ 查看第 3 周文件](./week-3/)

📁 第 4 周 —— 情报产出 ⏳

| 天 | 主题 | 状态 | |-----|-------|--------| | 第 22 天 | 情报需求 | ⏳ | | 第 23 天 | 收集规划 | ⏳ | | 第 24 天 | 战略报告 | ⏳ | | 第 25 天 | 运营报告 | ⏳ | | 第 26 天 | 威胁狩猎计划 | ⏳ | | 第 27 天 | 检测工程 | ⏳ | | 第 28 天 | 最终调查 | ⏳ | | 第 29 天 | 作品集审查 | ⏳ | | 第 30 天 | 高级工具深度探索 | ⏳ | [→ 查看第 4 周文件](./week-4/)

## 工具库 | 类别 | 工具 | |----------|-------| | 钓鱼情报 | PhishTank, urlscan.io | | 恶意软件与 URL 分析 | VirusTotal, AlienVault OTX | | 域名与 DNS | WHOIS, crt.sh, MXToolbox | | 互联网扫描 | Shodan, Censys, FOFA | | IP 信誉 | AbuseIPDB, GreyNoise, Criminal IP | ## 第 1 周亮点 **fatturapagamento.click** —— 一项针对意大利语用户的实时 Aruba 冒充活动，于 2026 年 8 月 1 日发现。 **主要发现：** - 🔴 单个 IP 同时托管了 **4 个钓鱼活动** - 🔴 从一个单一的 pivot 映射出 **20 个域名** - 🔴 攻击者的 **Virtualmin 管理面板暴露**在端口 10000 上 - 🔴 通过 **backup-exodus.com** 运行完整的邮件服务栈 (SMTP/POP3/IMAP) - 🔴 **0/60 个邮件黑名单** —— 信誉良好，随时可以投递 - 🔴 在 urlscan.io 上发现了 **10,000+ 个类似的钓鱼页面** [在 Medium 上的完整报告]([https://medium.com/@abdullahhassan](https://medium.com/@H3NRYB41T/how-i-traced-a-fake-aruba-payment-portal-back-to-its-infrastructure-using-12-free-osint-tools-1dfe398bc7f5?sharedUserId=H3NRYB41T)) · [📂 案例研究文件](./week-1/case-study-fatturapagamento.md) · [🔴 IOC](./week-1/iocs.txt)

标签：ESC4, OSINT, 威胁情报, 学习资源, 安全培训, 开发者工具, 管理员页面发现, 网络安全, 防御加固, 隐私保护