搜索

[21118] 2020-07-03_恶意流量分析训练一

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-03_恶意流量分析训练一 恶 意 流 量 分 析 训 练 一 L e m o n S e c   2 0 2 0 - 0 7 - 0 3 通 过 该 实 验 使 用 w i r e s h a r k 进 行 恶 意 流 量 分 析 ， 主 要 涉 及 知 识 点 包 括 I O C , 键 盘 记 录 器 木 马 ， f t p 协 议 等 。 场 景 ： 局 域 网 段 范 围 ： 1 0 . 0 . 0 . 0 / 2 4 ( 1 0 . 0 . 0 . 0   到   1 0 . 0 . 0 . 2 5 5 ) 域 ： b e g u i l e s o f t . c o m 域 控 ： 1 0 . 0 . 0 . 1 0   -   B e g u i l e S o f t - D C 局 域 网 网 关 ： 1 0 . 0 . 0 . 1 局 域 网 广 播 地 址 ： 1 0 . 0 . 0 . 2 5 5 任 务 : 分 析 现 有 的 材 料 ， 针 对 受 害 的 w i n d o w s 主 机 写 一 份 应 急 报 告 。 建 议 的 模 板 如 下 ：   总 结 :   在 x x 时 间 ,   一 台 w i n d o w 主 机 被 x x 感 染     细 节 :                 I P   a d d r e s s :                 M A C   a d d r e s s :                 H o s t   n a m e :                 W i n d o w s   u s e r   a c c o u n t   n a m e :   入 侵 指 标 I O C ( I n d i c a t o r s   o f   C o m p r o m i s e d ) :                 [ U R L s ,   d o m a i n s ,   I P   a d d r e s s e s ,   a n d   S H A 2 5 6   h a s h e s   r e l a t e d   t o   t h e   i n f e c t i o n   s h o u l d   a p p e a r   i n   t h i s   s e c t i o n ] 分 析 阶 段 ： 分 析 阶 段 ： 提 供 了 两 个 压 缩 文 件 ， 分 别 是 告 警 日 志 和 数 据 包 解 压 后 分 别 如 下 所 示 数 据 包 打 开 如 下 所 示
涉 及 到 很 多 协 议 ， 现 在 还 没 有 头 绪 ， 我 们 先 来 看 看 告 警 日 志 第 一 条 是 到 w h a t i s m y a d d r e s s . c o m 的 请 求 ， 这 不 一 定 是 恶 意 软 件 产 生 的 流 量 。 第 三 条 是 使 用 到 了 f t p   S T O R , 该 命 令 用 于 存 储 文 件 到 服 务 器 上 ， 这 里 提 示 是 连 接 到 外 部 网 络 ， 所 以 我 们 推 测 可 能 是 恶 意 软 件 通 过 f t p 协 议 将 数 据 传 输 到 其 外 网 服 务 器 上 。 第 四 条 可 以 看 到 日 志 提 示 我 们 这 是 一 个 名 为 H a w k e y e   K e y l o g g e r 的 木 马 。 通 过 搜 索 引 擎 在 f r e e b u f 上 有 相 关 的 分 析 文 章 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 5 7 8 5 7 . h t m l 从 文 章 中 可 以 知 道 会 涉 及 f t p 协 议 ， 在 告 警 日 志 中 的 第 五 条 也 可 以 看 到 f t p 。 所 以 使 用 f t p 过 滤 看 看 ， 如 图 所 示
可 以 看 到 f t p 的 第 一 条 显 示 的 是 p r o f t p d ， 这 我 们 都 知 道 是 一 款 很 常 用 的 f t p 服 务 端 软 件 ， 可 后 面 的 0 0 0 w e b h o s t . c o m 是 什 么 ？ 进 入 其 官 网 看 看 其 实 就 是 一 家 免 费 的 虚 拟 主 机 商   这 样 子 的 过 滤 其 实 还 是 有 很 多 噪 音 ， 我 们 使 用 f t p 常 用 的 关 键 字 来 过 滤 吧 ， 比 如 U S E R , P A S S , S T O R 。 过 滤 命 令 如 下 ：
f t p . r e q u e s t . c o m m a n d   e q   U S E R   o r   f t p . r e q u e s t . c o m m a n d   e q   P A S S   o r   f t p . r e q u e s t . c o m m a n d   e q   S T O R 命 令 中 o r 表 示 任 一 条 件 满 足 即 可 ， e q 是 等 于 的 意 思 ， 用 于 限 定 命 令 。 过 滤 后 的 结 果 如 下 所 示 这 里 有 一 个 比 较 奇 怪 的 地 方 ， 就 是 外 网 的 地 址 在 变 动 这 其 实 是 因 为 攻 击 者 用 的 是 免 费 的 虚 拟 主 机 ， 比 如 0 0 0 w e b h o s t 。 如 果 更 新 页 面 或 者 传 送 数 据 则 有 可 能 会 导 致 自 动 更 换 i p 。 那 么 攻 击 者 究 竟 拿 到 了 什 么 数 据 呢 ？ 我 们 使 用 f t p - d a t a 看 看 他 通 过 f t p 传 送 了 什 么 以 第 一 条 为 例 跟 踪 t c p 流
可 以 看 到 系 统 信 息 被 获 取 到 了 ， 包 括 ： 主 机 名 ： B R E A U X - W I N 7 - P C 用 户 名 ： A d r i a n a . b r e a u x M A C 地 址 ： 8 4 : 8 f : 6 9 : 0 9 : 8 6 : c 0 I p 地 址 ： 1 0 . 0 . 0 . 2 2 7 还 有 谷 歌 等 网 站 的 账 号 、 密 码 都 被 攻 击 者 获 取 到 了 。 我 们 注 意 到 还 有 一 部 分 的 流 量 显 示 的 是 j p e g ， 推 测 可 能 是 主 机 截 屏 的 图 片 选 中 一 条 ， 同 样 跟 踪 t c p 流
从 头 部 可 以 看 到 这 其 实 是 一 个 p n g 的 图 片 格 式 文 件 选 择 ： 显 示 和 保 存 为 原 始 数 据
S a v e   a s . . . 保 存 后 打 开 如 下 所 示
可 以 看 到 确 实 是 桌 面 截 屏 别 忘 了 ， 我 们 还 要 写 应 急 报 告 呢 ！ 现 在 还 缺 少 I O C ， 所 以 我 们 需 要 整 理 下 ， 需 要 整 理 出 目 标 端 口 ， i p 等 。 在 这 之 前 ， 我 们 需 要 先 回 顾 下 f t p 协 议 ， f t p 协 议 用 两 个 端 口 实 现 ， 分 别 是 数 据 端 口 和 命 令 端 口 。 命 令 端 口 用 于 连 接 ， 数 据 端 口 用 于 传 输 数 据 。 命 令 端 口 一 般 都 是 2 1 。 那 么 数 据 端 口 呢 ？ 这 里 又 引 入 了 主 动 模 式 （ P O R T ） 和 被 动 模 式 （ P A S V ） 的 概 念 。 当 客 户 端 通 知 服 务 器 它 处 于 被 动 模 式 时 才 会 启 用 ， 其 标 志 就 是 客 户 端 给 服 务 端 发 送 了 一 个 P A S V 。 主 动 模 式 ：
在 第 1 步 中 ， 客 户 端 的 命 令 端 口 与 F T P 服 务 器 的 命 令 端 口 建 立 连 接 ， 并 发 送 命 令 “ P O R T   1 0 2 7 ” 。 然 后 在 第 2 步 中 ， F T P 服 务 器 给 客 户 端 的 命 令 端 口 返 回 一 个 " A C K " 。 在 第 3 步 中 ， F T P 服 务 器 发 起 一 个 从 它 自 己 的 数 据 端 口 （ 2 0 ） 到 客 户 端 先 前 指 定 的 数 据 端 口 （ 1 0 2 7 ） 的 连 接 ， 最 后 客 户 端 在 第 4 步 中 给 服 务 器 端 返 回 一 个 " A C K " 。 被 动 模 式 ： 在 第 1 步 中 ， 客 户 端 的 命 令 端 口 与 服 务 器 的 命 令 端 口 建 立 连 接 ， 并 发 送 命 令 “ P A S V ” 。 然 后 在 第 2 步 中 ， 服 务 器 返 回 命 令 " P O R T   2 0 2 4 " ， 告 诉 客 户 端 （ 服 务 器 ） 用 哪 个 端 口 侦 听 数 据 连 接 。 在 第 3 步 中 ， 客 户 端 初 始 化 一 个 从 自 己 的 数 据 端 口 到 服 务 器 端 指 定 的 数 据 端 口 的 数 据 连 接 。 最 后 服 务 器 在 第 4   步 中 给 客 户 端 的 数 据 端 口 返 回 一 个 " A C K " 响 应 。 简 单 地 说 ， 就 是 ， 在 主 动 模 式 下 一 般 默 认 的 数 据 端 口 为 2 0 ， 在 被 动 模 式 下 数 据 端 口 就 不 一 定 了 。 接 下 来 我 们 回 到 数 据 包 中 看 看 f t p 过 程 中 用 到 了 哪 些 端 口 。 这 里 要 注 意 ， 在 w i r e s h a r k 中 要 想 把 完 整 的 f t p 协 议 过 滤 出 来 需 要 使 用 f t p - d a t a   o r   f t p , 只 用 单 个 的 话 只 能 过 滤 出 f t p 命 令 端 口 的 流 量 或 数 据 端 口 的 流 量 ， 是 不 完 整 的 先 来 看 第 一 个 外 网 i p ： 1 4 5 . 1 4 . 1 4 5 . 4
7 1 5 条 的 状 态 码 2 2 0 表 示 对 新 用 户 的 服 务 已 经 准 备 好 7 1 6 , 7 1 9 可 以 看 到 受 害 者 机 器 通 过 用 户 名 密 码 连 入 f t p 服 务 端 一 直 到 7 3 4 条 可 以 看 到 受 害 者 机 器 向 1 4 5 . 1 4 . 1 4 5 . 4 发 出 P A S V , 前 面 提 到 ， 发 出 P A S V , 就 说 明 后 面 的 数 据 传 输 过 程 中 服 务 端 使 用 的 端 口 就 不 是 2 0 了 。 在 7 1 5 到 7 4 4 之 间 都 是 命 令 端 口 通 信 的 流 量 。 所 以 此 时 的 I O C 是 I p : 1 4 5 . 1 4 . 1 4 5 . 4     p o r t : 2 1   u r l : 0 0 0 . w e b h o s t . c o m 7 4 5 开 始 是 通 过 被 动 模 式 连 接 后 进 行 数 据 传 输 了 以 7 5 5 为 例 ， 查 看 d s t   p o r t 为 3 7 2 8 0 ， 即 此 时 1 4 5 . 1 4 . 1 4 5 . 4 使 用 的 数 据 端 口 是 3 7 2 8 0 。 所 以 第 二 条 I O C 为 I p : 1 4 5 . 1 4 . 1 4 5 . 4   p o r t : 3 7 2 8 0   u r l : 0 0 0 w e b h o s t . c o m 第 一 个 外 网 地 址 分 析 完 了 ， 接 下 来 看 第 二 个 ， 1 4 5 . 1 4 . 1 4 4 . 1 0 从 8 3 9 开 始
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理