IP地址查询：藏在近期安全事件背后的溯源线索

做安全的人都有一个体会：发起方最难抹掉的痕迹，往往不是代码里的漏洞，而是网络通信留下的IP地址。

2026年过去的大半年里，几起值得关注的安全事件都印证了这一点。无论是大规模的木马控制网络、路由劫持事件，还是自动化密码喷洒，IP地址解析始终是安全分析首先要做的一步。

一、银狐木马：恶意IP清单成为处置起点

2026年9月23日，CNCERT披露了"银狐"木马专项打击行动的阶段性进展，公开了近期控制规模较大的TOP 10恶意网络资产。这批恶意IP的归属地主要分布于中国香港地区，其中排名首位的IP日控制规模为6,549台设备。

这组数据揭示了一个现实：木马控制端并非凭空存在，它们依托于具体的IP地址和端口运行。安全人员拿到这份恶意IP清单后，首先要做的就是排查内网流量中是否出现与这些IP的通信记录，并结合访问时间、源IP、终端信息等做关联分析。

IP地址查询在这里的作用十分明确——它可以将公开的恶意资产清单，转化为可在企业内网执行的排查规则。

二、BGP劫持：IP前缀异常变更暴露事件

2026年8月底，一起针对托管软件厂商Softaculous的BGP劫持事件引发行业关注。8月28日20:57（UTC），有人向全球路由表宣告了更具体的IP前缀162.55.80.0/24。该地址段原本属于Hetzner（AS24940）的162.55.0.0/16范围，依托互联网路由的最长前缀匹配规则，原本发往合法地址段的流量被引流至劫持路由，整个过程持续约33小时。

这起事件的特点是披着"合法外衣"实施异常操作。宣告的AS路径经过NexonHost（AS62390）、Zet.net（AS6204），但起源位置仍挂着Hetzner的AS24940，ROA记录恰好允许该前缀长度，使得这条路由在RPKI验证下依然显示为有效；发起方还搭配了一张技术上有效的TLS证书，向少量安装环境投递了被篡改的Virtualizor更新包。被劫持的IP前缀表面上仍属于正常厂商，但路由路径已经发生改变。

安全团队需要持续监控IP前缀的宣告来源、AS路径变化以及RPKI验证状态，才能及时发现异常。这也说明，IP地址查询的作用早已不限于"查询归属地"——在路由安全场景中，查询IP前缀的归属AS与路由历史，是发现BGP劫持的核心手段。

三、大规模密码喷洒：IPv6地址段锁定源头

2026年6月12日至26日，安全厂商Huntress发现名为LSHIY的异常活动针对Azure CLI环境发起了大规模密码喷洒。14天内，发起方共尝试了超过8,100万次登录，波及64个组织，至少78个账号被得手。

这起活动之所以能得手，关键在于滥用了OAuth的ROPC流程（Resource Owner Password Credentials，即由客户端直接提交账号密码换取令牌的认证方式）。Azure CLI原生支持这一已不建议使用的认证方式，用户名和密码被直接送到令牌端点换取访问凭据，跳过了交互式认证环节，导致许多组织通过条件访问策略配置的多重认证在这条路径上根本没有被触发。

溯源工作还发现，本次异常流量几乎全部来自IPv6地址段2a0a:d683::/32，该地址段以AS32167对外宣告，由名为LSHIY LLC的基础设施提供商控制。发起方选择这一地址段的原因很简单：集中化的IP资源更便于开展大规模自动化活动，也便于不断更换来源地址、削弱基于IP的识别。

通过查询源IP的归属AS与运营主体，研究人员可以快速锁定异常基础设施的提供方，进而对该地址段的其他关联活动展开进一步分析。

四、IP地址查询在安全工作中的实际用法

从上述案例可以看出，IP地址查询在安全场景中主要发挥三方面作用：

• 一是快速定位恶意资产。 拿到可疑IP后，通过查询其归属地、ASN、网络类型和历史风险标签，就能快速判断该IP属于普通用户的正常访问，还是来自数据中心或中转节点的异常流量。

• 二是关联分析异常基础设施。 单个IP往往不是孤立存在的，通过查询同一ASN或同一IP段下的其他地址，可以发现发起方可能使用的备用控制端或跳板节点。安全团队排查银狐木马时对同网段剩余地址进行扩线排查、发现更多可疑资产，就是这种用法。

• 三是建立可执行的阻断策略。 IP查询的最终目的不是"获知信息"，而是"落地处置"。确认恶意IP后，将其加入防火墙限制名单、在WAF中配置阻断规则，或在终端安全产品中设置告警，都是IP查询结果的实际落地方式。

五、结语

IP地址是网络异常活动中最难掩盖的核心痕迹。无论发起方借助中转、跳板还是路由劫持开展活动，最终的数据通信都会锚定在某个IP地址上。

对于安全从业者而言，IP地址查询算不上一项"高深"的技术，却是日常工作中使用得很多、落地效果很直接的基础能力。用好这项能力，就能在事件发生时，从日志开头的几行里找到突破口。