一.背景: 在很多时候,应急会发现.卧槽,异常连接,只有一个域名或者IP. 怎么办?上防火墙看记录,查域名对应的记录累成狗,自己把之前的代码改了改,写了个小工具,一条命令查询DNS相关记录,也可以指定内网服务器查询. 二.分析思路: 1.首先排查一下流量通信情况,采集远端IP.域名.及其对应的解析记录. 2.国内推荐使用我们360,以及threatbook.还有老东家tianjipartner的的威胁情报源分析是否有关联威胁,如果有采取第一波止损措施,马上下策略隔绝断网.重要的机器可以直接先断了…