搜索

[21123] 2020-07-08_恶意流量分析训练四

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-08_恶意流量分析训练四 恶 意 流 量 分 析 训 练 四 L e m o n S e c   2 0 2 0 - 0 7 - 0 8 通 过 该 实 验 了 解 使 用 w i r e s h a r k 进 行 恶 意 流 量 分 析 的 基 本 流 程 及 操 作 ， 同 时 能 够 配 合 互 联 网 上 其 他 公 开 的 工 具 如 在 线 分 析 引 擎 、 搜 索 引 擎 、 安 全 专 家 的 技 术 博 客 等 进 行 全 方 位 的 分 析 。 任 务 ： 检 查 p c a p 数 据 包 查 找 出 哪 台 主 机 感 染 了 什 么 恶 意 软 件 。 首 先 我 们 要 确 定 局 域 网 内 几 台 主 机 W i r e s h a r k 加 载 之 后 ， 点 击 上 方 菜 单 统 计 - 》 i p v 4   s t a t i s t i c s - 》 a l l   a d d r e s s 从 结 果 中 可 以 看 到 共 有 5 台 主 机 接 下 来 我 们 需 要 找 到 各 个 i p 的 主 机 名 我 们 前 面 的 实 验 中 知 道 可 以 通 过 n b n s 来 找 到 主 机 名 所 以 尝 试 使 用 n b n s 过 滤 第 一 条 发 现 1 7 2 . 1 6 . 1 . 2 0 1 发 起 了 一 个 广 播 包 ， 在 红 框 中 可 以 看 到 是 域 控 ， 主 机 名 为 C A R L F O R E C E 继 续 看 第 二 条
发 现 不 对 劲 的 地 方 了 吗 ？ 主 机 名 还 是 C A R L F O R C E ， 这 是 怎 么 回 事 呢 ？ 我 们 仔 细 看 这 两 条 包 的 区 别 1 7 2 . 6 . 1 . 2 0 1 发 起 的 是 查 询 包 ， 1 7 2 . 1 6 . 1 . 4 发 出 的 是 响 应 包 我 们 还 是 去 看 看 R F C 文 档 ： h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 1 0 0 2 。 仔 细 看 看 第 一 条 可 以 看 到 目 的 i p 为 1 7 2 . 1 6 . 1 . 2 5 5 , 说 明 这 是 广 播 包 ， 用 于 N B N S 广 播 查 找 。 结 合 报 文 格 式
与 我 们 第 一 条 数 据 包 有 关 的 部 分 我 已 经 用 红 框 划 重 点 了 。 结 合 数 据 包 的 实 例 。 可 以 知 道 1 7 2 . 1 6 . 1 . 2 0 1 是 在 请 求 查 询 n e t b i o s 名 为 C A R L F O R C E 的 机 器 。 T y p e 为 N B ， 表 示 类 型 是 通 用 名 称 服 务 资 源 记 录 （ 注 意 ， R F C 中 的 0 x 0 0 2 0 就 是 1 0 进 制 的 3 2 ） 。 C l a s s 为 I N ， 表 示 类 为 I n t e r n e t ， 一 般 都 是 默 认 的 。 然 后 分 析 第 二 条 ， 第 二 条 是 对 第 一 条 的 响 应 ， 我 们 在 R F C 文 档 中 可 以 看 到 有 两 种 响 应 ， 一 种 是 主 动 的 。
一 种 是 被 动 的 结 合 第 二 条 数 据 可 以 判 断 出 这 是 属 于 主 动 响 应 ， 既 然 是 主 动 分 析 ， 我 们 要 着 重 分 析 A D D R _ E N T R Y   A R R A Y 。
有 圈 出 的 话 可 以 知 道 A D D R _ E N T R Y 记 录 反 映 了 主 机 名 的 所 有 者 信 息 ， 所 有 者 的 i p 在 N B _ A D D R E S S 中 。 结 合 数 据 包 实 例 可 以 知 道 ， 1 7 2 . 1 6 . 1 . 4 对 应 的 主 机 名 为 C A R L F O R C E 。 或 者 我 们 从 下 面 这 两 条 数 据 也 可 以 看 出 来 。 1 7 2 . 1 6 . 1 . 6 7 在 查 询 C A R L F O R C E ， 然 后 1 7 2 . 1 6 . 1 . 6 7 回 应 1 7 2 . 1 6 . 1 . 4 ， 告 诉 1 7 2 . 1 6 . 1 . 4 C A R L F O R C E 对 应 着 1 7 2 . 1 6 . 1 . 4 。 可 以 说 ， 找 到 一 条 不 同 的 n a m e   q u e r y   r e s p o n s e 就 能 找 到 其 他 i p 与 n a m e 对 应 的 信 息 。 我 们 继 续 往 下 找 看 看 有 没 有 。 上 图 中 可 以 看 到 1 7 2 . 1 6 . 1 . 4 查 询 N E W A R K - 1 A 的 信 息 ， 然 后 1 7 2 . 1 6 . 1 . 2 0 1 回 复 1 7 2 . 1 6 . 1 . 4 ， 告 诉 它 N E W A R K - 1 A 对 应 着 1 7 2 . 1 6 . 1 . 2 0 1 。 所 以 从 n b n s 协 议 中 我 们 知 道 ： N E W A R K - 1 A 对 应 着 1 7 2 . 1 6 . 1 . 2 0 1 C A R L F O R C E 对 应 的 主 机 名 为 1 7 2 . 1 6 . 1 . 4 那 么 其 他 主 机 呢 ？ 现 在 还 剩 下 1 7 2 . 1 6 . 1 . 6 7 1 7 2 . 1 6 . 1 . 8 9 1 7 2 . 1 6 . 1 . 1 4 1 我 们 知 道 S M B 使 用 了 N e t B I O S 的 应 用 程 序 接 口   （ A p p l i c a t i o n   P r o g r a m   I n t e r f a c e ， 简 称 A P I ） ， 也 是 可 以 探 测 到 主 机 名 的 。 所 以 我 们 可 以 使 用 剩 余 的 i p 加 之 s m b 进 行 过 滤 。
我 们 仔 细 看 看 ， 可 以 发 现 凡 是 目 的 地 址 为 1 7 2 . 1 6 . 1 . 2 5 5 ， 即 广 播 包 ， 在 i n f o 栏 里 会 直 接 看 到 对 应 的 主 机 名
那 么 我 们 是 不 是 可 以 直 接 过 滤 出 广 播 包 呢 ？ 使 用 下 图 的 命 令 即 可 过 滤 这 也 是 找 主 机 名 的 一 种 简 便 的 方 法 可 是 1 7 2 . 1 6 . 1 . 1 4 1 的 主 机 名 呢 ？ N b n s 找 不 到 ， s m b 找 不 到 ， 我 们 前 面 的 实 验 中 学 过 d h c p 也 可 以 找 主 机 名 我 们 试 试 d h c p 没 有 记 录 那 试 试 d n s 呢 ？ D n s 也 能 得 到 主 机 名
可 以 看 到 1 7 2 . 1 6 . 1 . 1 4 1 的 主 机 名 为 J e r s e y - S h o r e - 1 f 接 下 来 我 们 需 要 找 到 各 个 i p 对 应 的 用 户 账 户 名 这 里 我 们 使 用 h t t p s : / / p a c k e t t o t a l . c o m ， 将 数 据 包 上 传 至 此 进 行 分 析
分 析 完 毕 的 界 面 如 图 所 示 ， 切 换 到 k e r b e r o s 选 项 卡 ， 关 注 c l i e n t 这 一 栏
找 到 的 信 息 如 下 所 示    
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理