搜索

[15494] 2020-06-14_Wireshark分析实验：一次病毒侵入报文的分析

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2020-06-14_Wireshark分析实验：一次病毒侵入报文的分析 W i r e s h a r k 分 析 实 验 ： 一 次 病 毒 侵 入 报 文 的 分 析 原 创   G a l a x y L u   F r e e B u f   2 0 2 0 - 0 6 - 1 4 一 、 正 常 报 文 排 查 一 、 正 常 报 文 排 查 一 次 抓 包 ， 可 能 会 有 几 万 个 报 文 ， 熟 练 地 使 用 过 滤 功 能 ， 可 以 快 速 定 位 到 需 要 分 析 的 内 容 。 在 这 里 过 滤 一 次 抓 包 ， 可 能 会 有 几 万 个 报 文 ， 熟 练 地 使 用 过 滤 功 能 ， 可 以 快 速 定 位 到 需 要 分 析 的 内 容 。 在 这 里 过 滤 h t t p 报 报 文 ， 直 接 对 文 ， 直 接 对 h t t p 报 文 进 行 分 析 。 报 文 进 行 分 析 。 1 . 1 查 看 请 求 包 查 看 请 求 包 第 一 个 h t t p 是 访 问 h t t p : / / w w w . m s f t n c s i . c o m / n c s i . t x t 。 由 于 无 法 判 断 U R L 的 安 全 性 ， 可 以 根 据 U R L 查 询 威 胁 情 报 库 ， 看 看 是 否 为 恶 意 U R L 。 根 据 云 沙 箱 分 析 为 安 全 。 基 本 可 以 判 断 是 安 全 的 网 站 。 1 . 2 查 看 返 回 包 查 看 返 回 包 也 可 以 查 看 返 回 包 的 报 文 ， 通 过 返 回 结 果 判 断 。 这 个 报 文 返 回 的 只 有 一 句 M i c r o s o f t   N C S I ， 不 像 是 恶 意 网 站 。
直 接 访 问 网 站 ， 网 页 也 确 实 只 有 一 句 话 。 该 操 作 建 议 在 沙 箱 环 境 执 行 ， 以 免 连 接 到 恶 意 网 站 。 1 . 3 借 助 网 络 知 识 库 排 查 借 助 网 络 知 识 库 排 查 一 个 人 的 知 识 是 有 限 ， 因 此 我 们 需 要 借 助 网 络 的 力 量 ， 如 百 度 等 ； 通 过 在 网 上 查 询 ， 可 发 现 该 网 站 是 微 软 用 来 测 试 网 络 连 接 情 况 的 ， 证 明 其 为 安 全 的 访 问 。 二 、 可 疑 文 件 传 输 报 文 排 查 二 、 可 疑 文 件 传 输 报 文 排 查 由 于 我 们 是 要 对 病 毒 入 侵 进 行 分 析 ， 应 该 先 从 包 含 文 件 传 输 的 报 文 开 始 。 因 此 可 直 接 看 由 外 网 进 入 内 网 的 报 文 ， 查 找 包 含 文 件 传 输 的 报 文 。 2 . 1 文 件 传 输 报 文 文 件 传 输 报 文 通 过 排 查 发 现 第 一 个 文 件 传 输 报 文 ， 报 文 中 包 含 了 一 个 2 0 1 8 _ 1 1 D e t a i l s _ z u r _ T r a n s a k t i o n . d o c 文 件
2 . 2   查 看 请 求 包 查 看 请 求 包 查 看 对 应 的 请 求 包 ， 发 现 文 件 下 载 的 U R L : h t t p : / / i f c i n g e n i e r i a . c l / Q p X 8 I t / B I Z / F i r m e n k u n d e n / 根 据 访 问 地 址 ， 暂 时 无 法 判 断 是 否 为 恶 意 网 站 。 在 这 里 可 以 借 助 U R L 威 胁 情 报 库 确 定 。 根 据 云 沙 箱 分 析 该 U R L 是 可 疑 网 站 。 2 . 3 导 出 文 件 导 出 文 件 可 以 直 接 在 文 件 传 输 包 中 使 用 导 出 分 级 字 节 流 的 功 能 导 出 报 文 中 的 文 件 。
2 . 4 分 析 文 件 分 析 文 件 把 导 出 的 文 件 放 到 云 沙 箱 上 进 行 检 测 。 发 现 文 件 为 恶 意 文 件 F i r m e n k u n d e n 。 阅 读 检 测 结 果 ， 分 析 恶 意 文 件 的 行 为 。 在 检 测 报 告 中 的 低 危 行 为 中 可 以 发 现 存 在 网 络 相 关 的 行 为 ， 该 恶 意 文 件 会 访 问 t i m l i n g e r . c o m （ I P ： 2 1 6 . 3 7 . 4 2 . 3 2 ） 。 因 此 ， 可 以 通 过 流 量 包 中 是 否 包 含 与 该 地 址 的 连 接 来 判 定 恶 意 文 件 是 否 已 经 运 行 。
2 . 5 根 据 网 络 行 为 分 析 是 否 执 行 成 功 根 据 网 络 行 为 分 析 是 否 执 行 成 功 继 续 分 析 流 量 包 ， 在 流 量 包 中 可 以 发 现 与 2 1 6 . 3 7 . 4 2 . 3 2 的 通 信 ， 可 以 断 定 该 恶 意 文 件 已 经 运 行 。 查 看 通 信 内 容 ， 发 现 恶 意 文 件 F i r m e n k u n d e n 访 问 t i m l i n g e r . c o m ， 与 云 沙 箱 的 分 析 报 告 中 的 网 络 行 为 一 致 。
三 、 第 二 个 可 疑 文 件 三 、 第 二 个 可 疑 文 件 由 访 问 t i m l i n g e r . c o m 的 返 回 包 可 知 ， 下 载 了 另 一 个 文 件 6 1 6 9 5 8 3 . e x e 3 . 1 分 析 文 件 分 析 文 件 把 文 件 导 出 ， 然 后 放 到 云 沙 箱 检 测 。 该 文 件 为 恶 意 文 件 。 由 威 胁 情 报 可 知 ， 该 恶 意 文 件 也 会 访 问 一 些 I P 地 址 。
3 . 2 根 据 网 络 行 为 分 析 是 否 执 行 成 功 根 据 网 络 行 为 分 析 是 否 执 行 成 功 发 现 与 2 4 . 2 0 6 . 1 7 . 1 0 2 的 网 络 通 信 发 现 与 6 7 . 4 3 . 2 5 3 . 1 8 9 的 网 络 通 信 通 过 其 网 络 行 为 可 知 ， 文 件 已 经 被 执 行 。 3 . 3 使 用 追 踪 流 查 看 完 整 对 话 使 用 追 踪 流 查 看 完 整 对 话 使 用 追 踪 流 进 行 h t t p 报 文 分 析
这 个 返 回 包 都 是 乱 文 ， 本 人 技 术 有 限 ， 就 不 分 析 了 。 四 、 防 御 手 段 四 、 防 御 手 段 4 . 1 确 实 受 攻 击 的 范 围 确 实 受 攻 击 的 范 围 通 过 查 看 网 络 通 信 情 况 确 认 范 围 ， 把 存 在 病 毒 网 络 行 为 的 计 算 机 列 为 受 攻 击 的 计 算 机 。 4 . 2 遏 制 病 毒 扩 散 遏 制 病 毒 扩 散 把 受 攻 击 的 计 算 机 断 网 ， 防 止 病 毒 进 一 步 传 播 。 4 . 3 清 除 病 毒 清 除 病 毒 使 用 防 病 毒 软 件 对 受 害 主 机 进 行 全 盘 扫 描 。 确 保 清 除 下 载 的 恶 意 文 件 （ 2 0 1 8 _ 1 1 D e t a i l s _ z u r _ T r a n s a k t i o n . d o c 、 6 1 6 9 5 8 3 . e x e ） ， 以 及 下 载 后 释 放 的 文 件 （ 4 7 3 . e x e 、 n i r m a l a c o l o r e r . e x e 等 ） 、 删 除 服 务 n i r m a l a c o l o r e r 。
4 . 4 预 防 预 防 ( 1 ) 安 装 防 病 毒 软 件 ， 及 时 更 新 。 ( 2 ) 使 用 防 病 毒 安 全 网 关 ， 防 止 病 毒 进 入 内 网 。 ( 3 ) 在 防 火 墙 上 设 置 网 络 策 略 ， 禁 止 与 病 毒 相 关 的 I P 进 行 通 信 。 ( 4 ) 安 全 教 育 ， 提 高 员 工 的 网 络 安 全 意 识 ， 不 要 随 意 点 击 来 路 不 明 的 网 址 等 。 五 、 总 结 五 、 总 结 本 文 主 要 讲 述 针 对 流 量 包 的 分 析 ， 一 些 简 单 的 W i r e s h a r k 使 用 技 巧 ： 过 滤 、 文 件 导 出 、 追 踪 流 ， 以 及 威 胁 情 报 的 解 读 。 六 、 参 考 六 、 参 考 W i n   7   N C S I 判 断 机 制 ： h t t p s : / / a n s w e r s . m i c r o s o f t . c o m / z h - h a n s / w i n d o w s / f o r u m / w i n d o w s _ 7 - n e t w o r k i n g / w i n - 7 - n c s i % E 5 % 8 8 % A 4 % E 6 % 9 6 % A D % E 6 % 9 C % B A % E 5 % 8 8 % B 6 / f f 8 e 2 7 9 a - 5 f 0 8 - 4 2 7 9 - a d 2 0 - 7 a 4 7 f d 8 9 f 9 7 7 微 步 云 沙 箱 分 析 报 告 - F i r m e n k u n d e n ： h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / 0 9 e b e 4 2 2 9 a 7 4 c d b 1 2 1 2 6 7 1 e 6 3 9 1 7 4 2 c c 6 b e e 3 8 7 b f 1 4 d a 0 2 9 7 4 b 0 7 8 5 7 b 2 7 f 9 2 2 3 / ? s i g n = h i s t o r y & e n v = w i n 7 _ s p 1 _ e n x 8 6 _ o f f i c e 2 0 1 3 微 步 云 沙 箱 分 析 报 告 -   6 1 6 9 5 8 3 . e x e ： h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / 6 9 e 7 3 1 a f b 5 f 2 7 6 6 8 b 3 a 7 7 e 1 9 a 1 5 e 6 2 c c e 8 4 e 6 2 3 4 0 4 0 7 7 a 8 5 6 3 f c f 6 1 4 5 0 d 8 b 7 4 1 / ? s i g n = h i s t o r y & e n v = w i n 7 _ s p 1 _ e n x 8 6 _ o f f i c e 2 0 1 3 * 本 文 作 者 ： 本 文 作 者 ： G a l a x y L u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理