搜索

[21020] 2020-05-11_AWD流量分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-05-11_AWD流量分析 A W D 流 量 分 析 L e m o n S e c   2 0 2 0 - 0 5 - 1 1 简 介 A W D 比 赛 中 我 们 会 进 行 流 量 监 控 ， 通 过 l i n u x 中 的 t c p d u m p 进 行 流 量 记 录 ， 我 们 记 录 了 流 量 之 后 可 以 对 他 们 的 攻 击 进 行 流 量 分 析 ， 我 们 通 过 w i r e s h a r k 查 看 流 量 包 对 我 们 哪 里 进 行 了 攻 击 并 且 可 以 对 其 溯 源 ， 然 后 防 御 并 且 编 写 脚 本 得 分 。 工 具                 W i r e s h a r k ：                 是 一 个 网 络 封 包 分 析 软 件 。 网 络 封 包 分 析 软 件 的 功 能 是 网 络 封 包 ， 并 尽 可 能 显 示 出 最 为 详 细 的 网 络 封 包 资 料 。 w i r e s h a r k 使 用 w i n p c a p 作 为 借 口 ， 直 接 与 网 卡 进 行 数 据 报 文 交 换 .                 t c p d u m p :                 l i n u x 作 为 网 络 服 务 器 ， 特 别 是 作 为 路 由 器 和 网 关 时 ， 数 据 的 采 集 和 分 析 是 不 可 少 的 。 t c p d u m p 时 l i n u x 中 强 大 的 网 络 数 据 采 集 分 析 工 具 之 一 。                 用 简 单 的 化 来 定 义 t c p d u m p ， 就 是 ： d u m p   t h e   t r a f f i c   o n   a   n e t w o r k , 根 据 使 用 者 的 定 义 对 网 络 上 的 数 据 包 进 行 截 获 的 包 分 析 工 具 。 W i r e s h a r k 分 析 T C P 三 次 握 手 协 议         第 一 次 握 手 ： 客 户 端 的 应 用 程 序 主 动 打 开 ， 并 向 服 务 端 发 出 请 求 报 文 段 。 其 首 部 中 S Y N = 1 ， s e q = x 。         第 二 次 握 手 ： 服 务 器 应 用 被 动 打 开 。 若 同 意 客 户 端 的 请 求 ， 则 发 回 确 认 报 文 。 其 首 部 中 ： S Y N = 1 ， A C K = 1 ， a c k = x + 1 ， s e q = y 。         第 三 次 握 手 ： 客 户 端 收 到 确 认 报 文 之 后 ， 通 知 上 层 应 用 进 程 已 建 立 ， 并 向 服 务 器 发 出 确 认 报 文 。 其 首 部 A C K = 1 ， a c k = y + 1 。 C o m p a r i n g   o p e r a t o r s （ 比 较 运 算 符 ） ：
L o g i c a l   e x p r e s s i o n s （ 逻 辑 运 算 符 ） ： 过 滤 规 则 过 滤 I P 地 址 过 滤 端 口 过 滤 M A C 地 址 h t t p 请 求 方 式 过 滤         ( 1 )   i p . a d d r   = =   1 9 2 . 1 6 8 . 1 . 1   / / 只 显 示 源 / 目 的 I P 为 1 9 2 . 1 6 8 . 1 . 1 的 数 据 包         ( 2 )   n o t   i p . s r c   = =   1 . 1 . 1 . 1   / / 不 显 示 源 I P 为 1 . 1 . 1 . 1 的 数 据 包         ( 3   i p . s r c   = =   1 . 1 . 1 . 1   o r   i p . d s t   = =   1 . 1 . 1 . 2   / / 只 显 示 源 I P 为 1 . 1 . 1 . 1 或 目 的 I P 为 1 . 1 . 1 . 2 的 数 据 包         ( 1 )   t c p . p o r t   e q   8 0   # 不 管 端 口 是 来 源 还 是 目 的 都 显 示 8 0 端 口         ( 2 )   t c p . p o r t   = =   8 0         ( 3 )   t c p . p o r t   e q   2 7 2 2         ( 4 )   t c p . p o r t   e q   8 0   o r   u d p . p o r t   e q   8 0         ( 5 )   t c p . d s t p o r t   = =   8 0   # 只 显 示 t c p 协 议 的 目 标 端 口 8 0         ( 6 )   t c p . s r c p o r t   = =   8 0   # 只 显 示 t c p 协 议 的 来 源 端 口 8 0         ( 7 )   u d p . p o r t   e q   1 5 0 0 0         ( 8 )   t c p . p o r t   > =   1   a n d   t c p . p o r t   < =   8 0   # 过 滤 端 口 范 围     ( 1 )   e t h . d s t   = =   M A C 地 址   # 过 滤 目 标 M A C     ( 2 )   e t h . s r c   e q   M A C 地 址   # 过 滤 来 源 M A C     ( 3 ) e t h . a d d r   e q   M A C 地 址   # 过 滤 来 源 M A C 和 目 标 M A C 都 等 于 M A C 地 址 的         ( 1 )   h t t p . r e q u e s t . m e t h o d   = =   “ G E T ”         ( 2 )   h t t p . r e q u e s t . m e t h o d   = =   “ P O S T ”         ( 3 )   h t t p . h o s t   m a t h e s   “ w w w . b a i d u . c o m | b a i d u . c n ”   # m a t c h e s 可 以 写 多 个 域 名         ( 4 )   h t t p . h o s t   c o n t a i n s   “ w w w . b a i d u . c o m ”   # c o n t a i n 只 能 写 一 个 域 名         ( 5 )   h t t p   c o n t a i n s   “ G E T ”         例 如 ：         h t t p . r e q u e s t . m e t h o d   = = “ G E T ”   & &   h t t p   c o n t a i n s   " H o s t :   "
T C P d u m p 分 析 基 本 界 面 详 细 参 数 ：         h t t p . r e q u e s t . m e t h o d   = = “ G E T ”   & &   h t t p   c o n t a i n s   " H o s t :   "         h t t p . r e q u e s t . m e t h o d   = =   “ G E T ”   & &   h t t p   c o n t a i n s   " U s e r - A g e n t :   "         h t t p . r e q u e s t . m e t h o d   = = “ P O S T ”   & &   h t t p   c o n t a i n s   " H o s t :   "         h t t p . r e q u e s t . m e t h o d   = =   “ P O S T ”   & &   h t t p   c o n t a i n s   " U s e r - A g e n t :   "         h t t p   c o n t a i n s   “ H T T P / 1 . 1   2 0 0   O K ”   & &   h t t p   c o n t a i n s   " C o n t e n t - T y p e :   "         h t t p   c o n t a i n s   “ H T T P / 1 . 0   2 0 0   O K ”   & &   h t t p   c o n t a i n s   " C o n t e n t - T y p e :   "         t c p d u m p 采 用 命 令 行 方 式 ， 它 的 命 令 格 式 为 ： t c p d u m p   [ - a d e f l n N O p q S t v x 0 ]   [ - c   数 量 ]         [ - F   文 件 名 ]   [ - i   网 络 接 口 ]         [ - r   文 件 名 ]   [ - s   s n a p l e n ]         [ - T   类 型 ]   [ - w   文 件 名 ]   [ 表 达 式 ]
端 口 过 滤 网 络 过 滤 协 议 过 滤 转 载 自 ： h t t p s : / / b l o g . c s d n . n e t / g d _ 9 9 8 8 / a r t i c l e / d e t a i l s / 1 0 4 6 2 9 9 8 6 ? u t m _ m e d i u m = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 2 . n o n e c a s e & d e p t h _ 1 - u t m _ s o u r c e = d i s t r i b u t e . p c _ r e l e v a n t . n o n e - t a s k - b l o g - B l o g C o m m e n d F r o m M a c h i n e L e a r n P a i 2 - 2 . n o n e c a s e 抓 取 所 有 经 过 e n s 3 3 ， 目 的 或 源 端 口 2 2 的 网 络 数 据 ： t c p d u m p   - i   e n s 3 3   p o r t   2 2 指 定 源 端 口 ： t c p d u m p   - i   e n s 3 3   s e c   p o r t   2 2 指 定 目 的 端 口 :   t c p d u m p   - i   e n s 3 3   d s t   p o r t   2 2 t c p d u m p   - i   e n s 3 3   n e t   1 9 2 . 1 6 8 . 1 . 1 t c p d u m p   - i   e n s 3 3   s r c   n e t   1 9 2 . 1 6 8 . 1 . 1   # 源 端 口 t c p d u m p   - i   e n s 3 3   d s t   n e t   1 9 2 . 1 6 8 . 1 . 1   # 目 的 端 口 t c p d u m p   - i   e n s 3 3   a r p t c p d u m p   - i   e n s 3 3   i p t c p d u m p   - i   e n s 3 3   t c p t c p d u m p   - i   e n s 3 3   u d p t c p d u m p   - i   e n s 3 3   i c m p t c p d u m p   - w   1 . p c a p   # 抓 所 有 包 保 存 到 1 . p c a p 中 然 后 使 用 w i r e s h a r k 分 析  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理