搜索

[21125] 2020-07-09_恶意流量分析训练五

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-09_恶意流量分析训练五 恶 意 流 量 分 析 训 练 五 L e m o n S e c   2 0 2 0 - 0 7 - 0 9 通 过 该 实 验 了 解 恶 意 流 量 分 析 的 基 本 技 能 ， 本 次 实 验 涉 及 包 括 ： 从 数 据 包 导 出 文 件 ， 通 过 该 实 验 了 解 恶 意 流 量 分 析 的 基 本 技 能 ， 本 次 实 验 涉 及 包 括 ： 从 数 据 包 导 出 文 件 ， h a s h 计 算 、 计 算 、 v i r u r t o t a l 使 用 、 使 用 、 t r i c k b o t 恶 意 软 件 ， 恶 意 软 件 ， b o o t p ， ， k e r b e r o s 等 。 等 。 本 次 任 务 需 要 你 查 出 主 机 受 感 染 的 时 间 、 主 机 的 信 息 （ i p ， m a c ， h o s t n a m e   , u s e r   a c c o u n t   n a m e ） ， 感 染 什 么 类 型 的 恶 意 软 件 ， 感 染 源 ， 受 感 染 的 指 标 （ i p , 域 名 ， 端 口 ， u r l ， 文 件 h a s h 等 ） 前 面 的 分 析 经 验 告 诉 我 们 ， 首 先 看 h t t p , h t t p s 的 流 量 ， 基 本 大 多 数 的 攻 击 流 程 都 是 通 过 网 页 挂 马 或 者 钓 鱼 之 类 的 活 动 诱 使 受 害 者 主 机 有 意 或 无 意 地 下 载 恶 意 软 件 ， 然 后 在 主 机 上 打 开 其 他 端 口 通 信 或 者 伪 装 为 正 常 浏 览 通 信 ， 或 者 通 过 d h c p , i c m p 等 隧 道 通 信 。 不 论 怎 样 ， 最 开 始 的 步 骤   一 定 是 和 h t t p , h t t p s 有 关 的 ， 所 以 先 过 滤 出 对 应 的 流 量 。 第 二 条 通 过 h t t p   g e t 方 式 获 取 到 恶 意 二 进 制 程 序 第 三 条 流 量 是 使 用 m y e x t e r n a l . c o m 网 站 查 询 出 口 i p 第 二 个 就 是 在 t c p   4 4 7   4 4 9 端 口 上 的 加 密 通 讯 流 量 ， 我 们 可 以 尝 试 将 其 作 为 s s l 解 密 ， 具 体 步 骤 如 下 ： 选 择 a n a l y z e - > d e c o d e   a s 点 击 左 下 角 加 号
每 个 列 都 可 以 双 击 后 选 择 所 需 的 配 置 配 置 如 下 所 示 ， 然 后 点 击 o k
前 面 提 到 通 过 h t t p   g e t 方 式 拿 到 了 恶 意 二 进 制 文 件 ， 我 们 可 以 尝 试 将 其 导 出 f i l e - > e x p o r t - > h t t p 选 中 可 以 的 后 缀 为 b i n 的 二 进 制 程 序 点 击 s a v e 即 可 保 存
我 们 首 先 看 看 这 个 文 件 是 什 么 类 型 的 然 后 我 们 可 以 通 过 计 算 它 的 s h a 2 5 6 哈 希 去 v i r u s t o t a l 看 看 这 是 否 是 可 疑 文 件 打 开 v i r u s t o t a l s e a r c h 然 后 在 输 入 框 中 输 入 h a s h 值 点 击 右 边 的 放 大 镜 搜 索 搜 索 结 果 如 下
从 下 面 的 c o m m e n t 可 以 看 出 这 可 能 是 t r i c k b o t 恶 意 软 件
接 下 来 我 们 看 看 是 什 么 时 候 从 哪 儿 感 染 的 t r i c k b o t 可 以 看 到 书 2 0 1 8 - 0 4 - 1 0 的 晚 上 8 点 1 4 分 通 过 h t t p 请 求 ， 从 c a v e a u d e l e t e a t r o . i t 获 取 恶 意 文 件 感 染 的 我 们 统 计 下 流 量 ， s t a t i s t i c s - > i p v 4   s t a t i c s - > a l l   a d d r e s s 如 下 图 所 示
可 以 看 到 流 量 基 本 都 是 与 1 0 . 1 0 . 1 0 . 2 0 9 有 关 接 下 来 我 们 需 要 得 到 的 是 其 m a c 和 h o s t n a m e m a c 很 容 易 拿 到 ， 随 便 选 中 一 条 1 0 . 1 0 . 1 0 . 2 0 9 的 流 量 就 能 看 到 接 下 来 要 找 h o s t n a m e ， 经 过 前 面 几 次 流 量 分 析 训 练 ， 找 h o s t n a m e 应 该 也 不 难 了 ， 可 以 使 用 d h c p 看 看 这 里 注 意 ， d h c p 前 身 是 b o o t p ， 直 接 在 w i r e s h a r k 中 使 用 d h c p 过 滤 可 能 无 效 ， 我 们 使 用 b o o t p 就 行 了 这 样 就 能 找 到 h o s t n a m e 了 过 滤 出 d h c p 还 有 一 种 方 法 ， 就 是 通 过 端 口 过 滤 d h c p 的 端 口 是 u d p   6 7 和 u d p   6 8
同 样 拿 到 了 h o s t n a m e 其 实 我 们 注 意 到 数 据 包 中 还 有 n b n s 流 量 ， 所 以 可 以 尝 试 使 用 n b n s 来 获 取 h o s t n a m e ， 直 接 使 用 n b n s 过 滤 即 可 接 下 来 我 们 要 找 到 账 户 名 ， 这 里 注 意 ， 账 户 名 是 指 u s e r   a c c o u n t   n a m e , 有 h o s t n a m e 没 有 任 何 关 系 ， 可 能 相 同 ， 可 能 不 同 。 既 然 前 面 我 们 知 道 了 又 n b n s 的 流 量 ， n b n s 全 称 是 n e t b i o s   n a m e   s e r v i c e ， 是 n e t b i o s 的 流 量 ， 这 是 w i n d o w s 下 特 有 的 ， 所 以 我 们 可 以 知 道 现 在 分 析 的 是 w i n d o w s 的 环 境 ， 既 然 是 w i n d o w s 环 境 下 ， 让 我 们 找 u s e r   a c c o u n t   n a m e , 我 们 之 前 学 过 两 种 方 法 ， 一 种 是 看 h t t p ， 一 种 是 看 k e r b e r o s ， 我 们 试 试 k e r b e r o s 行 不 行 注 意 ， 我 上 图 的 语 法 只 适 用 于 2 . x 的 版 本 ， 如 果 不 是 2 . x 的 版 本 请 使 用 这 条 命 令 。 i p . a d d r   e q   1 0 . 1 0 . 1 0 . 2 0 9   a n d   K e r b e r o s . c n a m e _ e l e m e n t   a n d   k e r b e r o s . K e r n e r o s S t r i n g   a n d   ! ( k e r b e r o s . K e r b e r o s S t r i n g   c o n t a i n s   $ ) 要 查 看 自 己 的 w i r e s h a r k 的 版 本 号 可 以 h e l p - > w i r e s h a r k 可 以 看 到 我 的 版 本 是 2 . x 的 所 以 现 在 总 结 下 我 们 的 回 答 ：
i p : 1 0 . 1 0 . 1 0 . 2 0 9 m a c 地 址 ： 0 0 : 3 0 : 6 7 : f a : 2 d : 6 3 h o s t n a m e : b a t i s t e - p c u s e r   a c c o u n t   n a m e : w i n f o r d . b a t i s t e i n d i c a t o r s ( 指 标 ) ： 9 5 . 1 1 0 . 1 9 3 . 1 3 2 - 8 0 端 口 -   c a v e a u d e l t e a t r o . o t   - G E T   / s e r 0 4 1 0 . b i n - 获 取 T r i c k b o t   二 进 制 文 件 7 8 . 4 7 . 1 3 9 . 1 3 2 - 8 0 端 口 - m y e x t e r n a l i p . c o m - G E T   / r a w   – 受 感 染 主 机 查 找 自 身 出 口 i p 8 2 . 2 1 4 . 1 4 1 . 1 3 4 - 4 4 9 端 口 — T r i c k B o t 产 生 的 S S L / T L S   流 量 8 2 . 6 1 . 1 6 0 . 5 0 - 4 4 7 端 口 - r i c k B o t 产 生 的 S S L / T L S   流 量 S H A 2 5 6   H a s h :   c 2 c 1 e 2 c 2 2 f 6 7 d d a 6 5 5 3 c b c c 1 7 3 6 9 4 b 6 8 6 7 7 b 7 7 3 1 9 2 4 3 6 8 4 9 2 5 e 8 d c 3 f 7 8 b 3 d b f 8 文 件 大 小 ： 1 . 4 M 文 件 描 述 ： 从 c a v e a u d e l t e a t r o . o t   下 载 的 t r i c k b o t 二 进 制 文 件       没 有 专 业 运 营 团 队 ， 纯 个 人 凭 着 空 闲 时 间 的 学 习 ， 通 过 网 络 搜 集 与 学 习 整 理 的 资 料 记 录 并 分 享 。           如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 版 权 声 明 ： 本 文 为 C S D N 博 主 「 N e i l - Y a l e 」 的 原 创 文 章 ， 遵 循 C C   4 . 0   B Y - S A 版 权 协 议 ， 转 载 请 附 上 原 文 出 处 链 接 及 本 声 明 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / y a l e c a l t e c h / a r t i c l e / d e t a i l s / 1 0 4 1 7 8 9 0 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理