搜索

[21407] 2020-11-13_【AWD专栏】AWD流量分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-11-13_【AWD专栏】AWD流量分析 【 A W D 专 栏 】 A W D 流 量 分 析 r o 4 l s c   L e m o n S e c   2 0 2 0 - 1 1 - 1 3 简 介 简 介 A W D 比 赛 中 我 们 会 进 行 流 量 监 控 ， 通 过 l i n u x 中 的 t c p d u m p 进 行 流 量 记 录 ， 我 们 记 录 了 流 量 之 后 可 以 对 他 们 的 攻 击 进 行 流 量 分 析 ， 我 们 通 过 w i r e s h a r k 查 看 流 量 包 对 我 们 哪 里 进 行 了 攻 击 并 且 可 以 对 其 溯 源 ， 然 后 防 御 并 且 编 写 脚 本 得 分 。 工 具 工 具 W i r e s h a r k ： 是 一 个 网 络 封 包 分 析 软 件 。 网 络 封 包 分 析 软 件 的 功 能 是 网 络 封 包 ， 并 尽 可 能 显 示 出 最 为 详 细 的 网 络 封 包 资 料 。 w i r e s h a r k 使 用 w i n p c a p 作 为 借 口 ， 直 接 与 网 卡 进 行 数 据 报 文 交 换 . t c p d u m p : l i n u x 作 为 网 络 服 务 器 ， 特 别 是 作 为 路 由 器 和 网 关 时 ， 数 据 的 采 集 和 分 析 是 不 可 少 的 。 t c p d u m p 时 l i n u x 中 强 大 的 网 络 数 据 采 集 分 析 工 具 之 一 。 用 简 单 的 化 来 定 义 t c p d u m p ， 就 是 ： d u m p   t h e   t r a f f i c   o n   a   n e t w o r k , 根 据 使 用 者 的 定 义 对 网 络 上 的 数 据 包 进 行 截 获 的 包 分 析 工 具 。 W i r e s h a r k 分 析 分 析 T C P 三 次 握 手 协 议 三 次 握 手 协 议 第 一 次 握 手 ： 客 户 端 的 应 用 程 序 主 动 打 开 ， 并 向 服 务 端 发 出 请 求 报 文 段 。 其 首 部 中 S Y N = 1 ， s e q = x 。 第 二 次 握 手 ： 服 务 器 应 用 被 动 打 开 。 若 同 意 客 户 端 的 请 求 ， 则 发 回 确 认 报 文 。 其 首 部 中 ： S Y N = 1 ， A C K = 1 ， a c k = x + 1 ， s e q = y 。 第 三 次 握 手 ： 客 户 端 收 到 确 认 报 文 之 后 ， 通 知 上 层 应 用 进 程 已 建 立 ， 并 向 服 务 器 发 出 确 认 报 文 。 其 首 部 A C K = 1 ， a c k = y + 1 。 C o m p a r i n g   o p e r a t o r s （ 比 较 运 算 符 ） ： （ 比 较 运 算 符 ） ：
英 文 写 法 英 文 写 法 C 语 言 写 法 语 言 写 法 含 义 含 义 e q = = 等 于 n e ! = 不 等 于 g t > 大 于 l t < 小 于 g e > = 大 于 等 于 l e < = 小 于 等 于 L o g i c a l   e x p r e s s i o n s （ 逻 辑 运 算 符 ） ： （ 逻 辑 运 算 符 ） ： 英 文 写 法 英 文 写 法 C 语 言 写 法 语 言 写 法 含 义 含 义 a n d & & 逻 辑 与 o r |   * 2 ( 表 格 打 不 了 两 个 啊 难 受 ) 逻 辑 或 x o r ^ ^ 逻 辑 异 或 n o t ！ 逻 辑 非 过 滤 规 则 过 滤 规 则 过 滤 过 滤 I P 地 址 地 址 ( 1 )   i p . a d d r   = =   1 9 2 . 1 6 8 . 1 . 1   / / 只 显 示 源 / 目 的 I P 为 1 9 2 . 1 6 8 . 1 . 1 的 数 据 包 ( 2 )   n o t   i p . s r c   = =   1 . 1 . 1 . 1   / / 不 显 示 源 I P 为 1 . 1 . 1 . 1 的 数 据 包 ( 3   i p . s r c   = =   1 . 1 . 1 . 1   o r   i p . d s t   = =   1 . 1 . 1 . 2   / / 只 显 示 源 I P 为 1 . 1 . 1 . 1 或 目 的 I P 为 1 . 1 . 1 . 2 的 数 据 包 过 滤 端 口 过 滤 端 口 ( 1 )   t c p . p o r t   e q   8 0   # 不 管 端 口 是 来 源 还 是 目 的 都 显 示 8 0 端 口 ( 2 )   t c p . p o r t   = =   8 0 ( 3 )   t c p . p o r t   e q   2 7 2 2 ( 4 )   t c p . p o r t   e q   8 0   o r   u d p . p o r t   e q   8 0 ( 5 )   t c p . d s t p o r t   = =   8 0   # 只 显 示 t c p 协 议 的 目 标 端 口 8 0 ( 6 )   t c p . s r c p o r t   = =   8 0   # 只 显 示 t c p 协 议 的 来 源 端 口 8 0 ( 7 )   u d p . p o r t   e q   1 5 0 0 0 ( 8 )   t c p . p o r t   > =   1   a n d   t c p . p o r t   < =   8 0   # 过 滤 端 口 范 围 过 滤 过 滤 M A C 地 址 地 址 ( 1 )   e t h . d s t   = =   M A C 地 址   # 过 滤 目 标 M A C ( 2 )   e t h . s r c   e q   M A C 地 址   # 过 滤 来 源 M A C ( 3 ) e t h . a d d r   e q   M A C 地 址   # 过 滤 来 源 M A C 和 目 标 M A C 都 等 于 M A C 地 址 的 h t t p 请 求 方 式 过 滤 请 求 方 式 过 滤
( 1 )   h t t p . r e q u e s t . m e t h o d   = =   “ G E T ” ( 2 )   h t t p . r e q u e s t . m e t h o d   = =   “ P O S T ” ( 3 )   h t t p . h o s t   m a t h e s   “ w w w . b a i d u . c o m | b a i d u . c n ”   # m a t c h e s 可 以 写 多 个 域 名 ( 4 )   h t t p . h o s t   c o n t a i n s   “ w w w . b a i d u . c o m ”   # c o n t a i n 只 能 写 一 个 域 名 ( 5 )   h t t p   c o n t a i n s   “ G E T ” 例 如 ： h t t p . r e q u e s t . m e t h o d   = = “ G E T ”   & &   h t t p   c o n t a i n s   " H o s t :   " h t t p . r e q u e s t . m e t h o d   = =   “ G E T ”   & &   h t t p   c o n t a i n s   " U s e r - A g e n t :   " h t t p . r e q u e s t . m e t h o d   = = “ P O S T ”   & &   h t t p   c o n t a i n s   " H o s t :   " h t t p . r e q u e s t . m e t h o d   = =   “ P O S T ”   & &   h t t p   c o n t a i n s   " U s e r - A g e n t :   " h t t p   c o n t a i n s   “ H T T P / 1 . 1   2 0 0   O K ”   & &   h t t p   c o n t a i n s   " C o n t e n t - T y p e :   " h t t p   c o n t a i n s   “ H T T P / 1 . 0   2 0 0   O K ”   & &   h t t p   c o n t a i n s   " C o n t e n t - T y p e :   " T C P d u m p 分 析 分 析 t c p d u m p 采 用 命 令 行 方 式 ， 它 的 命 令 格 式 为 ： t c p d u m p   [ - a d e f l n N O p q S t v x 0 ]   [ - c   数 量 ] [ - F   文 件 名 ]   [ - i   网 络 接 口 ] [ - r   文 件 名 ]   [ - s   s n a p l e n ] [ - T   类 型 ]   [ - w   文 件 名 ]   [ 表 达 式 ] 基 本 界 面 基 本 界 面 详 细 参 数 ： 详 细 参 数 ： 抓 包 选 抓 包 选 项 ： 项 ： 作 用 作 用 - c ： 指 定 要 抓 取 的 包 数 量 。 - i i n t e r f a c e ： 指 定 t c p d u m p 需 要 监 听 的 接 口 。 默 认 会 抓 取 第 一 个 网 络 接 口 - n ： 对 地 址 以 数 字 方 式 显 式 ， 否 则 显 式 为 主 机 名 ， 也 就 是 说 - n 选 项 不 做 主 机 名 解 析 。 - n n ： 除 了 - n 的 作 用 外 ， 还 把 端 口 显 示 为 数 值 ， 否 则 显 示 端 口 服 务 名 。 - P ： 指 定 要 抓 取 的 包 是 流 入 还 是 流 出 的 包 。 可 以 给 定 的 值 为 " i n " 、 “ o u t " 和 " i n o u t ” ， 默 认 为 " i n o u t " 。
- s   l e n ： 设 置 t c p d u m p 的 数 据 包 抓 取 长 度 为 l e n ， 如 果 不 设 置 默 认 将 会 是 6 5 5 3 5 字 节 。 对 于 要 抓 取 的 数 据 包 较 大 时 ， 长 度 设 置 不 够 可 能 会 产 生 包 截 断 ， 若 出 现 包 截 断 ， 输 出 行 中 会 出 现 " [ p r o t o ] " 的 标 志 ( p r o t o 实 际 会 显 示 为 协 议 名 ) 。 但 是 抓 取 l e n 越 长 ， 包 的 处 理 时 间 越 长 ， 并 且 会 减 少 t c p d u m p 可 缓 存 的 数 据 包 的 数 量 ， 从 而 会 导 致 数 据 包 的 丢 失 ， 所 以 在 能 抓 取 我 们 想 要 的 包 的 前 提 下 ， 抓 取 长 度 越 小 越 好 。 抓 包 选 抓 包 选 项 ： 项 ： 作 用 作 用 输 出 选 项 ： 输 出 选 项 ： 作 用 作 用 - e ： 输 出 的 每 行 中 都 将 包 括 数 据 链 路 层 头 部 信 息 ， 例 如 源 M A C 和 目 标 M A C 。 - q ： 快 速 打 印 输 出 。 即 打 印 很 少 的 协 议 相 关 信 息 ， 从 而 输 出 行 都 比 较 简 短 。 - X ： 输 出 包 的 头 部 数 据 ， 会 以 1 6 进 制 和 A S C I I 两 种 方 式 同 时 输 出 。 - X X ： 输 出 包 的 头 部 数 据 ， 会 以 1 6 进 制 和 A S C I I 两 种 方 式 同 时 输 出 ， 更 详 细 。 - v ： 当 分 析 和 打 印 的 时 候 ， 产 生 详 细 的 输 出 。 - v v ： 产 生 比 - v 更 详 细 的 输 出 。 - v v v ： 产 生 比 - v v 更 详 细 的 输 出 。 其 他 功 能 性 选 项 ： 其 他 功 能 性 选 项 ： 作 用 作 用 - D ： 列 出 可 用 于 抓 包 的 接 口 。 将 会 列 出 接 口 的 数 值 编 号 和 接 口 名 ， 它 们 都 可 以 用 于 " - i " 后 。 - F ： 从 文 件 中 读 取 抓 包 的 表 达 式 。 若 使 用 该 选 项 ， 则 命 令 行 中 给 定 的 其 他 表 达 式 都 将 失 效 。 - w ： 将 抓 包 数 据 输 出 到 文 件 中 而 不 是 标 准 输 出 。 可 以 同 时 配 合 " - G t i m e 选 项 使 得 输 出 文 件 每 t i m e 秒 就 自 动 切 换 到 另 一 个 文 件 。 可 通 过 " - r " 选 项 载 入 这 些 文 件 以 进 行 分 析 和 打 印 。 - r ： 从 给 定 的 数 据 包 文 件 中 读 取 数 据 。 使 用 " - " 表 示 从 标 准 输 入 中 读 取 。 端 口 过 滤 端 口 过 滤 1 2 3 4 网 络 过 滤 网 络 过 滤 1 2 抓 取 所 有 经 过 e n s 3 3 ， 目 的 或 源 端 口 2 2 的 网 络 数 据 ： t c p d u m p   - i   e n s 3 3   p o r t   2 2 指 定 源 端 口 ： t c p d u m p   - i   e n s 3 3   s e c   p o r t   2 2 指 定 目 的 端 口 :   t c p d u m p   - i   e n s 3 3   d s t   p o r t   2 2 t c p d u m p   - i   e n s 3 3   n e t   1 9 2 . 1 6 8 . 1 . 1 t c p d u m p   - i   e n s 3 3   s r c   n e t   1 9 2 . 1 6 8 . 1 . 1   # 源 端 口 t c p d u m p   - i   e n s 3 3   d s t   n e t   1 9 2 . 1 6 8 . 1 . 1   # 目 的 端 口
3 协 议 过 滤 协 议 过 滤 1 2 3 4 5 1 本 文 到 此 也 就 结 束 了 ， 如 有 疑 问 ， 可 以 私 信 笔 者 ， 笔 者 很 乐 意 解 答 ， 由 于 水 平 有 限 ， 定 有 所 纰 漏 ， 还 请 读 者 斧 正 ， 本 文 到 此 也 就 结 束 了 ， 如 有 疑 问 ， 可 以 私 信 笔 者 ， 笔 者 很 乐 意 解 答 ， 由 于 水 平 有 限 ， 定 有 所 纰 漏 ， 还 请 读 者 斧 正 ， 写 作 不 易 ， 还 望 支 持 。 写 作 不 易 ， 还 望 支 持 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 【 好 书 推 荐 】 【 好 书 推 荐 】 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c t c p d u m p   - i   e n s 3 3   a r p t c p d u m p   - i   e n s 3 3   i p t c p d u m p   - i   e n s 3 3   t c p t c p d u m p   - i   e n s 3 3   u d p t c p d u m p   - i   e n s 3 3   i c m p t c p d u m p   - w   1 . p c a p   # 抓 所 有 包 保 存 到 1 . p c a p 中 然 后 使 用 w i r e s h a r k 分 析   原 文 链 接 ： h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 1 1 3 3 9 6 2 9 9

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理