搜索

[15258] 2020-04-16_USB流量取证分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-16_USB流量取证分析 U S B 流 量 取 证 分 析 p o l e m o   F r e e B u f   2 0 2 0 - 0 4 - 1 6 U S B 是 是   U n i v e r s a l S e r i a l   B u s （ 通 用 串 行 总 线 ） 的 缩 写 ， 是 一 个 外 部 总 线 标 准 ， 用 于 规 范 电 脑 与 外 部 设 备 的 连 接 和 通 讯 ， 例 如 键 盘 、 鼠 标 、 打 印 机 、 磁 盘 或 网 络 适 配 器 等 等 。 通 过 对 该 （ 通 用 串 行 总 线 ） 的 缩 写 ， 是 一 个 外 部 总 线 标 准 ， 用 于 规 范 电 脑 与 外 部 设 备 的 连 接 和 通 讯 ， 例 如 键 盘 、 鼠 标 、 打 印 机 、 磁 盘 或 网 络 适 配 器 等 等 。 通 过 对 该 接 口 流 量 的 监 听 ， 我 们 可 以 得 到 键 盘 的 击 键 记 录 、 鼠 标 的 移 动 轨 迹 、 磁 盘 的 传 输 内 容 等 一 系 列 信 息 。 接 口 流 量 的 监 听 ， 我 们 可 以 得 到 键 盘 的 击 键 记 录 、 鼠 标 的 移 动 轨 迹 、 磁 盘 的 传 输 内 容 等 一 系 列 信 息 。 在 L i n u x 中 ， 可 以 使 用 l s u s b 命 令 ， 如 图 所 示 ： 我 们 这 里 主 要 演 示 U S B 的 鼠 标 流 量 和 键 盘 流 量 。 L i n u x 下 的 分 析 已 经 比 较 多 了 ， 下 面 的 环 境 均 在 W i n d o w s 下 进 行 。 一 、 鼠 标 流 量 一 、 鼠 标 流 量 1 . 1   特 点 分 析 特 点 分 析 U S B 鼠 标 流 量 的 规 则 如 下 所 示 ： 1 . 2   使 用 使 用 W i r e s h a r k 捕 获 和 分 析 捕 获 和 分 析 要 想 使 用 W i r e s h a r k 进 行 捕 获 ， 需 要 在 安 装 时 勾 选 上 u s b p c a p 工 具 选 项 ， 这 样 你 的 W i r e s h a r k 中 会 有 一 个 u s b 接 口 的 选 项 ， 点 击 就 可 以 进 行 抓 包 了 。 下 图 是 我 点 击 鼠 标 左 键 在 屏 幕 上 画 圆 圈 的 流 量 ： 有 的 鼠 标 可 能 协 议 不 是 很 标 准 ， 会 导 致 分 析 不 了 。 W i r e s h a r k 中 捕 获 的 U S B 流 量 集 中 在 L e f t o v e r   C a p t u r e   D a t a 模 块 ， 我 们 可 以 使 用 t s h a r k 工 具 来 进 行 提 取 。 在 W i n d o w s 中 安 装 t s h a r k . e x e 的 目 录 中 输 入 ： t s h a r k . e x e   - r   b . p c a p   - T   f i e l d s   - e   u s b . c a p d a t a   > b . t x t   / / 这 里 b . p c a p 是 我 抓 捕 的 数 据 包 名 字 ， b . t x t 是 把 提 取 的 数 据 输 入 到 b . t x t 中 查 看 b . t x t 的 内 容 会 发 现 ， 因 为 有 的 数 据 包 无 用 所 以 出 现 了 很 多 空 行 ， 在 进 行 下 一 步 之 前 ， 我 们 需 要 把 空 行 去 掉 。
把 空 行 去 掉 之 后 ， 根 据 鼠 标 流 量 的 规 则 绘 制 像 素 坐 标 ， 最 后 通 过 画 图 工 具 （ 如 m a t l a b 或 者 p y t h o n 的 m a t p l o t l i b 进 行 绘 制 图 像 即 可 ） 了 解 原 理 之 后 ， 为 了 方 便 ， 可 以 直 接 使 用 王 一 航 大 佬 的 工 具 进 行 提 取 ， 输 入 ： p y t h o n   U s b M i c e D a t a H a c k e r . p y   b . p c a p   L E F T   / / 其 中 b . p c a p 是 我 抓 捕 的 数 据 包 的 名 字 运 行 之 后 就 可 以 看 到 画 面 ： 需 要 注 意 的 是 这 个 工 具 必 须 在 p y t h o n 2 环 境 下 ， 同 时 保 证 安 装 了 m a t p l o t l i b 和 n u m p y 。 二 、 键 盘 流 量 二 、 键 盘 流 量 2 . 1   特 点 分 析 特 点 分 析 键 盘 数 据 包 的 数 据 长 度 为 8 个 字 节 ， 击 键 信 息 集 中 在 第 3 个 字 节 ， 每 次 击 键 都 会 产 生 一 个 数 据 包 。 所 以 如 果 看 到 给 出 的 数 据 包 中 的 信 息 都 是 8 个 字 节 ， 并 且 只 有 第 3 个 字 节 不 为 0 0 0 0 ， 那 么 几 乎 可 以 肯 定 是 一 个 键 盘 流 量 了 。 在 U S B 协 议 的   文 档 中 搜 索   k e y b o a r d 。 就 可 以 找 到 击 键 信 息 和 数 据 包 中 1 6 进 制 数 据 的 对 照 表 ：
2 . 2   使 用 使 用 W i r e s h a r k 捕 获 和 分 析 捕 获 和 分 析 捕 获 的 步 骤 与 上 面 相 似 。 下 面 以 X C T F 的 高 校 战 疫 比 赛 中 的 一 道 例 题 （ e z _ m e m & u s b ） 来 说 明 。 最 后 一 步 我 们 得 到 一 个 压 缩 包 ， 通 过 密 码 进 行 解 压 后 ， 得 到 一 个 键 盘 流 量 的 文 本 文 件 ： 根 据 键 盘 流 量 的 特 点 ， 我 们 可 以 很 容 易 判 断 出 。 对 照 解 码 表 使 用 代 码 进 行 提 取 即 可 ， 这 里 贴 出 代 码 ： 当 然 也 可 以 直 接 使 用 王 一 航 大 佬 的 代 码 ， 直 接 从 p c a p 包 提 取 出 文 件 ， 省 去 了 中 间 很 多 步 骤 ， 代 码 也 很 通 用 。 * 本 文 作 者 ： 本 文 作 者 ： p o l e m o ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 #   c o d i n g : u t f - 8 i m p o r t   s y s i m p o r t   o s u s b _ c o d e s   =   {         0 x 0 4 :   " a A " ,   0 x 0 5 :   " b B " ,   0 x 0 6 :   " c C " ,   0 x 0 7 :   " d D " ,   0 x 0 8 :   " e E " ,   0 x 0 9 :   " f F " ,         0 x 0 A :   " g G " ,   0 x 0 B :   " h H " ,   0 x 0 C :   " i I " ,   0 x 0 D :   " j J " ,   0 x 0 E :   " k K " ,   0 x 0 F :   " l L " ,         0 x 1 0 :   " m M "         l i n e s   =   [ ]         p o s   =   0         f o r   x   i n   o p e n ( f i l e p a t h ,   " r " ) . r e a d l i n e s ( ) :                 c o d e   =   i n t ( x [ 6 : 8 ] ,   1 6 )     #   即 第 三 个 字 节                 i f   c o d e   = =   0 :                         c o n t i n u e                 #   n e w l i n e   o r   d o w n   a r r o w   -   m o v e   d o w n                 i f   c o d e   = =   0 x 5 1   o r   c o d e   = =   0 x 2 8 :                         p o s   + =   1                         c o n t i n u e                 #   u p   a r r o w   -   m o v e   u p                 i f   c o d e   = =   0 x 5 2 :                         p o s   - =   1                         c o n t i n u e                 #   s e l e c t   t h e   c h a r a c t e r   b a s e d   o n   t h e   S h i f t   k e y                 w h i l e   l e n ( l i n e s )   < =   p o s :                         l i n e s . a p p e n d ( " " )                 i f   c o d e   i n   r a n g e ( 4 ,   8 1 ) :                         i f   i n t ( x [ 0 : 2 ] ,   1 6 )   = =   2 :                                 l i n e s [ p o s ]   + =   u s b _ c o d e s [ c o d e ] [ 1 ]                         e l s e :                                 l i n e s [ p o s ]   + =   u s b _ c o d e s [ c o d e ] [ 0 ]         f o r   x   i n   l i n e s :                 p r i n t ( x ) i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         c o d e 2 c h r ( ' E : / / C T F 练 习 / 杂 项 / 1 8 e 4 c 1 0 3 d 4 d e 4 f 0 7 b 3 3 a 4 2 c b 1 f 0 e a a 1 d / 0 0 0 0 0 1 2 2 / u s b d a t a . t x t ' )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理