搜索

[21119] 2020-07-06_恶意流量分析训练二

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-06_恶意流量分析训练二 恶 意 流 量 分 析 训 练 二 L e m o n S e c   2 0 2 0 - 0 7 - 0 6 通 过 该 实 验 了 解 使 用 w i r e s h a r k 进 行 恶 意 流 量 分 析 ， 本 次 实 验 涉 及 知 识 包 括 操 作 系 统 指 纹 识 别 、 域 环 境 、 E m o t e t 银 行 木 马 流 量 特 征 等 。 环 境 ： 局 域 网 段 ： 1 7 2 . 1 6 . 3 . 0 / 2 4 （ 1 7 2 . 1 6 . 3 . 0   到   1 7 2 . 1 6 . 3 . 2 5 5 ） 域 ： e g g n o g s o u p . c o m 域 控 ： 1 7 2 . 1 6 . 3 . 2 - E g g N o g S o u p - D C 网 关 ： 1 7 2 . 1 6 . 3 . 1 广 播 地 址 ： 1 7 2 . 1 6 . 3 . 2 5 5 使 用 w i r e s h a r k 打 开 数 据 包 如 图 所 示 Q 1 : 域 里 有 多 少 台 存 活 的 主 机 ， 分 别 给 出 他 们 的 地 址 域 里 有 多 少 台 存 活 的 主 机 ， 分 别 给 出 他 们 的 地 址 点 击 上 方 的 菜 单 - > 统 计 - > c o n v e r s a t i o n s 选 中 i p v 4 选 项 卡 ， 点 击 a d d r e s s   A ， 就 会 按 照 a d d r e s s   A 排 序 了
然 后 就 按 照 a d d r e s s   A 这 一 列 来 写 出 属 于 1 7 2 . 1 6 . 3 . 0 / 2 4 的 各 个 主 机 的 i p 1 7 2 . 1 6 . 3 . 1 8 9 1 7 2 . 1 6 . 3 . 1 8 8 1 7 2 . 1 6 . 3 . 1 3 3 1 7 2 . 1 6 . 3 . 1 2 2 1 7 2 . 1 6 . 3 . 1 1 4 1 7 2 . 1 6 . 3 . 1 1 2 1 7 2 . 1 6 . 3 . 1 1 1 1 7 2 . 1 6 . 3 . 1 1 0 1 7 2 . 1 6 . 3 . 1 0 9 1 7 2 . 1 6 . 3 . 2 Q 2 . 哪 个 主 机 的 操 作 系 统 是 哪 个 主 机 的 操 作 系 统 是 u b u n t u ？ ？ 这 个 问 题 考 到 一 个 知 识 点 ， 就 是 访 问 网 页 时 ， 用 户 的 h t t p 请 求 包 的 头 部 的 u s e r - a g e n t 可 能 会 泄 露 对 应 的 操 作 系 统 的 部 分 信 息 。 部 分 u s e r   a g e n t 如 下 所 示 ： 那 么 回 到 题 目 ， 我 们 使 用 w i r e s h a r k 的 过 滤 命 令 来 过 滤 出 有 u b u n t u 关 键 字 不 就 好 了 吗 。 随 便 打 开 一 条 ， 右 键 追 踪 t c p 流 F i r e f o x M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 ;   r v : 3 4 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 3 4 . 0 M o z i l l a / 5 . 0   ( X 1 1 ;   U ;   L i n u x   x 8 6 _ 6 4 ;   z h - C N ;   r v : 1 . 9 . 2 . 1 0 )   G e c k o / 2 0 1 0 0 9 2 2   U b u n t u / 1 0 . 1 0   ( m a v e r i c k )   F i r e f o x / 3 . 6 . 1 0 S a f a r i M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 4 . 5 7 . 2   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 5 . 1 . 7   S a f a r i / 5 3 4 . 5 7 . 2 c h r o m e M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 3 9 . 0 . 2 1 7 1 . 7 1   S a f a r i / 5 3 7 . 3 6 M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 )   A p p l e W e b K i t / 5 3 7 . 1 1   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 2 3 . 0 . 1 2 7 1 . 6 4   S a f a r i / 5 3 7 . 1 1 M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   e n - U S )   A p p l e W e b K i t / 5 3 4 . 1 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 1 0 . 0 . 6 4 8 . 1 3 3   S a f a r i / 5 3 4 . 1 6
可 以 从 u s e r   a g e n t 看 到 确 实 是 u b u n t u 的 关 键 字 。 Q 3 ： ： i p 地 址 为 地 址 为 1 7 2 . 1 6 . 3 . 1 8 8 的 是 什 么 类 型 的 主 机 ？ 的 是 什 么 类 型 的 主 机 ？ 根 据 题 目 对 应 的 过 滤 为 i p . a d d r   e q   1 7 2 . 1 6 . 3 . 1 8 8 可 以 看 到 发 起 的 d n s 请 求 是 查 询 i c l o u d 的 。
我 们 知 道 i c l o u d 是 苹 果 的 域 名 ； 或 者 从 其 m a c 地 址 也 可 以 看 出 是 苹 果 设 备 。 那 么 是 i p h o n e ， i p a d 还 是 m a c 呢 ？ 。 还 是 用 上 一 步 的 做 法 ， 看 u s e r   a g e n t U s e r   a g e n t 是 在 h t t p 请 求 头 部 中 带 的 ， 所 以 过 滤 命 令 加 上 h t t p . r e q u e s t 右 键 跟 踪 t c p 流 可 以 看 到 是 i p h o n e 8 Q 4 : 哪 个 哪 个 i p 地 址 最 有 可 能 是 地 址 最 有 可 能 是 A m a z o n   F i r e   t a b l e t 这 是 亚 马 逊 的 一 款 平 板 电 脑 。 这 时 候 还 是 用 找 u b u n t u 的 方 法 能 行 吗 ？ 可 以 看 到 只 有 一 条 数 据 ， 追 踪 t c p 流 看 到 的 u s e r   a g e n t 和 A m a z o n   F i r e   t a b l e t 关 系 并 不 大 。 那 么 也 就 是 说 这 种 方 法 失 效 了 。 还 有 别 的 方 法 吗 ？ 记 得 在 上 一 题 的 时 候 我 们 发 现 d n s 协 议 的 回 去 查 询 苹 果 的 域 名 ， 那 么 亚 马 逊 平 板 的 流 量 是 不 是 也 会 去 查 询 A m a z o n 的 域 名 呢 ？
我 们 试 试 过 滤 看 。 d n s . q r y . n a m e   c o n t a i n s   a m a z o n 可 以 看 到 对 应 的 i p 有 三 个 ： 1 7 2 . 1 6 . 3 . 1 2 2 , 1 7 2 . 1 6 . 3 . 1 1 1 , 1 7 2 . 1 6 . 3 . 1 0 9 还 有 其 他 方 法 进 一 步 判 断 吗 ？ 我 们 知 道 亚 马 逊 的 网 上 采 用 了 h t t p s ， 我 们 可 以 尝 试 过 滤 出 h t t p s 域 名 中 有 a m a z o n 的 s s l . h a n d s h a k e . t y p e   = =   1   a n d   i p   c o n t a i n s   a m a z o n 可 以 看 到 这 时 候 只 剩 两 个 i p 了 ： 1 7 2 . 1 6 . 3 . 1 2 2 , 1 7 2 . 1 6 . 3 . 1 0 9 那 进 一 步 怎 么 缩 小 范 围 呢 ？ 看 M A C 看 1 7 2 . 1 6 . 3 . 1 2 2 的 ， 可 以 看 到 这 是 苹 果 的 设 备 再 看 1 7 2 . 1 6 . 3 . 1 0 9 的 。 可 以 看 到 这 是 亚 马 逊 的 设 备 所 以 答 案 就 是 1 7 2 . 1 6 . 3 . 1 0 9
其 实 还 有 一 个 思 路 ， 也 是 看 u a ， 不 过 用 的 关 键 字 不 是 a m a z o n ， 那 么 时 候 什 么 呢 ？ 我 们 知 道 u s e r   a g e n t 也 会 有 浏 览 器 的 特 征 ， 比 如 f i r e f o x , c h r o m e 等 ， 那 么 这 个 平 板 上 的 浏 览 器 是 什 么 呢 ？ 通 过 关 键 字 可 以 看 到 其 特 有 的 浏 览 器 是 S i l k ， 那 么 我 们 试 试 使 用 s i l k 关 键 字 来 过 滤 。 这 次 看 到 只 有 一 个 i p 符 合 ， 就 是 1 7 2 . 1 6 . 3 . 1 0 9 。 Q 5 : 哪 些 哪 些 w i n d o w s 主 机 曾 经 连 接 到 域 控 上 ？ 主 机 曾 经 连 接 到 域 控 上 ？ 先 来 理 清 楚 概 念 ： 域 建 立 后 会 有 一 个 管 理 域 成 员 的 目 录 列 表 ， 称 之 为 活 动 目 录 A c t i v e   D i r e c t o r y ( A D ) , 而 A D 默 认 使 用 K e r b e r o s 处 理 认 证 请 求 。 所 以 我 们 考 虑 使 用 k e r b e r o s 关 键 字 进 行 过 滤 将 第 一 条 展 开 如 图 。
从 C N a m e S t r i n g 就 可 以 看 出 是 哪 台 w i n d o w s 连 入 了 。 为 了 方 便 查 看 所 有 连 入 的 w i n d o w s 的 信 息 ， 我 们 选 中 这 一 行 ， 右 键 - 》 应 用 为 列 。 然 后 就 可 以 看 到 多 了 一 列 C N a m e S t r i n g 所 以 连 接 到 w i n d o w s 上 的 域 控 主 机 有 ： 1 7 2 . 1 6 . 3 . 1 4 4 , 1 7 2 . 1 6 . 3 . 1 3 3 , 1 7 2 . 1 6 . 3 . 1 8 9 Q 6 : 下 面 三 台 主 机 中 哪 一 台 主 机 有 感 染 下 面 三 台 主 机 中 哪 一 台 主 机 有 感 染 E m o t e t 银 行 木 马 的 迹 象 ？ 银 行 木 马 的 迹 象 ？ （ 1 7 2 . 1 6 . 3 . 1 1 4 , 1 7 2 . 1 6 . 3 . 1 3 3 , 1 7 2 . 1 6 . 3 . 1 8 9 ） 我 们 看 一 下 给 出 的 流 量 图
注 意 到 这 里 的 栏 目 与 w i r e s h a r k 默 认 的 不 同 ， 所 以 先 调 整 为 同 样 的 栏 ， 方 便 后 续 比 对 分 析 （ 调 整 过 程 请 参 考 h t t p s : / / u n i t 4 2 . p a l o a l t o n e t w o r k s . c o m / u n i t 4 2 - c u s t o m i z i n g - w i r e s h a r k - c h a n g i n g - c o l u m n - d i s p l a y / ） ， 调 整 完 毕 后 使 用 下 列 命 令 过 滤 。 ( h t t p . r e q u e s t   o r   s s l . h a n d s h a k e . t y p e   = =   1 )   a n d     ! ( u d p . p o r t   e q   1 9 0 0 )   a n d   i p . a d d r   e q   i p 1 7 2 . 1 6 . 3 . 1 1 4 如 下 1 7 2 . 1 6 . 3 . 1 3 3 如 下 1 7 2 . 1 6 . 3 . 1 8 9 如 下
结 合 多 种 特 征 （ 比 如 i n f o 栏 中 g e t , c l i e n t   h e l l o 的 顺 序 、 频 率 等 ） 比 对 后 可 以 发 现 1 3 3 机 器 最 符 合 感 染 后 的 通 信 特 征 。 Q 7 : 运 行 着 安 卓 运 行 着 安 卓 8 . 0 . 0 的 的 i p 地 址 是 多 少 ？ 是 什 么 牌 子 和 型 号 ？ 地 址 是 多 少 ？ 是 什 么 牌 子 和 型 号 ？ 同 样 使 用 u s e r   a g e n t 的 方 法 h t t p . r e q u e s t   a n d   i p   c o n t a i n s   " 8 . 0 . 0 " 跟 踪 t c p 流 确 实 是 安 卓 8 . 0 . 0 ， 型 号 为 m o t o   e 5   p l a y 地 址 是 1 7 2 . 1 6 . 3 . 1 1 1
如 果 觉 得 文 章 对 你 有 帮 助 ， 请 点 击 右 下 角 “ 在 看 ” 版 权 声 明 ： 本 文 为 C S D N 博 主 「 N e i l - Y a l e 」 的 原 创 文 章 ， 遵 循 C C   4 . 0   B Y - S A 版 权 协 议 ， 转 载 请 附 上 原 文 出 处 链 接 及 本 声 明 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / y a l e c a l t e c h / a r t i c l e / d e t a i l s / 1 0 4 1 7 6 5 4 8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理