搜索

[15643] 2020-07-24_Brim：网络数据包分析神器

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-07-24_Brim：网络数据包分析神器 B r i m ： 网 络 数 据 包 分 析 神 器 l a n g y a j i e k o u   F r e e B u f   2 0 2 0 - 0 7 - 2 4 相 信 各 位 做 流 量 分 析 和 应 急 响 应 的 朋 友 经 常 需 要 使 用 W i r e S h a r k 进 行 网 络 流 量 包 分 析 ， 比 如 N T A 的 全 流 量 包 ， 但 不 得 不 说 ， 一 旦 数 据 包 过 大 ， 日 志 条 目 过 多 ， 加 载 就 变 得 异 常 缓 慢 ， 分 析 起 来 也 是 特 别 麻 烦 ， W i r e S h a r k 也 会 显 得 力 不 从 心 。 而 最 近 ， 我 了 解 到 B r i m 神 器 ， 在 试 用 过 之 后 ， 觉 得 真 是 懒 人 的 福 音 ， 所 以 特 来 介 绍 给 大 家 。 B r i m 的 官 方 网 站 ： h t t p s : / / w w w . b r i m s e c u r i t y . c o m / B r i m 被 打 包 成 桌 面 应 用 ， 和 S l a c k 一 样 用 E l e c t r o n 构 建 ， 免 费 ， 开 源 。 安 装 后 ， 你 可 以 用 B r i m 打 开 一 个 P C A P 包 ， 它 将 把 P C A P 包 转 换 成 Z N G 格 式 的 Z e e k 日 志 。 通 过 B r i m 可 以 搜 索 日 志 ， 也 可 以 协 同 W i r e S h a r k 来 深 入 分 析 来 自 特 定 流 量 的 数 据 包 。 目 前 B r i m 仅 支 持 桌 面 端 搜 索 ， 将 来 也 会 支 持 云 端 ， 集 群 搜 索 功 能 。 大 家 一 般 都 是 使 用 W i r e S h a r k 来 解 析 特 定 的 流 量 或 协 议 。 但 是 ， W i r e S h a r k 如 上 所 述 ， 有 个 不 得 不 面 对 的 问 题 ， 如 果 加 载 的 是 一 个 巨 大 的 P C A P 包 ， 并 需 要 针 对 这 个 P C A P 包 进 行 分 析 ， 那 就 会 非 常 痛 苦 了 。 而 有 了 B r i m ， 你 可 以 快 速 地 加 载 巨 大 的 P C A P 包 ， 并 可 以 立 即 开 始 搜 索 ， 且 在 几 秒 钟 内 得 到 响 应 ， 当 你 发 现 需 要 刻 意 分 析 的 流 量 条 目 时 ， 还 可 以 直 接 解 析 到 W i r e S h a r k 来 进 行 分 析 。 一 个 多 G B 的 P C A P 包 一 般 会 提 炼 出 几 百 M B 的 Z N G 日 志 ， 用 B r i m 搜 索 起 来 很 轻 松 。
安 装 是 非 常 简 单 的 ， 我 们 从 官 网 下 载 h t t p s : / / w w w . b r i m s e c u r i t y . c o m / d o w n l o a d / 后 双 击 允 许 即 可 ， 并 没 有 复 杂 的 安 装 界 面 和 配 置 界 面 ， 打 开 直 接 可 以 使 用 。 B r i m 载 入 P c a p 包 之 后 ， 会 以 K V 的 结 构 显 示 所 有 数 据 内 容 ， 每 一 个 B L O C K 块 均 为 一 个 键 名 = 键 值 ， 比 如 截 图 中 所 示 ， ” C b L Z F m 1 3 m b z 1 B V u u 8 8 ” 是 键 名 为 ” u i d ” 的 键 值 ， 使 用 鼠 标 悬 停 到 键 名 的 位 置 即 可 看 到 键 名 。
每 一 个 值 均 对 应 了 一 个 键 名 ， 当 想 要 搜 索 的 时 候 ， 可 以 简 单 的 直 接 输 入 键 名 或 者 通 过 K = V 的 方 式 输 入 匹 配 的 键 值 对 ， 那 么 搜 索 的 结 果 更 加 准 确 ， 快 速 。 B r i m 的 界 面 没 有 太 多 可 以 设 置 的 需 要 ， 也 非 常 简 单 ， 不 需 要 花 时 间 去 对 菜 单 进 行 一 一 解 释 了 。 我 们 以 实 战 者 的 角 度 来 使 用 B r i m 进 行 数 据 分 析 . 那 么 我 们 先 来 看 看 如 何 在 W i r e s h a r k 里 面 查 找 D H C P 流 量 中 的 主 机 信 息 任 何 在 网 络 中 产 生 流 量 的 主 机 都 应 该 有 三 个 标 识 符 ： M A C 地 址 、 I P 地 址 和 主 机 名 。 在 大 多 数 情 况 下 ， 可 疑 活 动 的 警 报 是 基 于 I P 地 址 的 。 如 果 你 捕 获 到 了 网 络 流 量 的 完 整 数 据 包 ， 那 么 在 内 部   I P   地 址 上 检 索 的   p c a p   包 应 该 会 显 示 相 关 的   M A C   地 址 和 主 机 名 。 我 们 如 何 使 用 W i r e s h a r k 找 到 这 样 的 主 机 信 息 呢 ？ 我 们 对 两 种 类 型 的 活 动 进 行 过 滤 ， D H C P 或 N B N S 。 D H C P 流 量 可 以 帮 助 识 别 连 接 到 网 络 中 的 几 乎 所 有 类 型 的 计 算 机 的 主 机 。 N B N S 流 量 则 主 要 由 运 行 M i c r o s o f t   W i n d o w s 的 计 算 机 或 运 行 M a c O S 的 苹 果 主 机 产 生 。 我 们 先 试 用 D H C P 过 滤 流 量 包 数 据 。 选 择 其 中 一 个 在 信 息 栏 中 显 示 D H C P 请 求 的 帧 。 转 到 帧 详 细 信 息 部 分 ， 展 开 D H C P 协 议 （ 请 求 ） 的 行 ， 如 图 所 示 。 展
开 C l i e n t   I d e n t i f i e r 和 H o s t   N a m e 的 行 。 客 户 端 标 识 符 详 细 信 息 应 显 示 分 配 给 1 7 2 . 1 6 . 1 [ . ] 2 0 7 的 M A C 地 址 ， 主 机 名 详 细 信 息 应 显 示 主 机 名 。 那 么 如 果 是 B r i m 进 行 搜 索 的 话 ， 又 是 一 种 什 么 情 况 呢 ？ 同 样 一 个 包 拉 进 B r i m 后 ， 在 搜 索 框 中 输 入 d h c p 我 们 可 以 看 到 结 果 已 经 直 接 被 显 示 出 来 了 。
又 比 如 我 要 查 询 U s e r - A g e n t 的 信 息 ， 在 W i r e s h a r k 中 可 能 需 要 先 通 过 过 滤 器 查 找 h t t p . r e q u e s t ， 然 后 使 用 F o l l o w   - >   T C P S t r e a m 去 展 示 我 们 需 要 了 解 到 的 U s e r - A g e n t 信 息 。
那 么 我 们 在 B r i m 中 ， 右 键 点 击 数 据 流 ， 然 后 选 择 F i l t e r   =   V a l u e   或 者 直 接 手 打 _ p a t h = ” h t t p ” ， B r i m 会 立 即 将 我 们 需 要 的 H T T P 数 据 流 呈 现 出 来 ， 如 下 图 所 示
直 接 就 可 以 看 到 所 对 应 的 U s e r - A g e n t 信 息 同 样 的 ， 当 我 们 想 要 知 道 流 量 包 中 的 用 户 名 的 时 候 ， 在 W i r e s h a r k 中 ， 我 们 需 要
这 样 ， 我 们 就 可 以 获 得 用 户 名 或 者 在 过 滤 器 中 使 用 “ k e r b e r o s . C N a m e S t r i n g   a n d   ! ( k e r b e r o s . C N a m e S t r i n g   c o n t a i n s   $ )   “ 而 b r i m 中 则 直 接 输 入 k e r b e r o s ， 则 会 非 常 快 捷 地 显 示 相 关 信 息
下 面 我 们 来 分 析 一 下 N e t W i r e R C 病 毒 的 流 量 包 ， 将 包 导 入 b r i m 之 后 ， 我 们 了 解 到 这 是 一 个 H T T P 请 求 ， 简 单 输 入 h t t p 后 ， 我 们 直 接 发 现 可 疑 文 件 右 键 可 疑 的 I n v o i c e & M S O - R e q u e s t . d o c 文 件 ， 点 击 O p e n   D e t a i l s 将 展 开 该 包 的 详 细 信 息
点 击 c o n n 按 钮 ， 将 显 示 握 手 协 议 处 理 情 况 如 果 该 数 据 包 为 文 件 类 型 ， 点 击 ” f i l e s ” 标 签 则 将 显 示 该 文 件 的 具 体 信 息 ， 比 如 这 个 将 会 显 示 访 问 的 是 一 个 w o r d 文 件 ， 也 会 显 示 其 M D 5 / S H A 1 哈 希 值 ， 通 过 右 键 点 击 V i r u s T o t a l 查 询 反 病 毒 引 擎 检 查 结 果 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理