设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21849] 2021-04-06_蓝队经验——Wireshark数据包分析浅 ...
返回列表 发新帖
查看: 0|回复: 0

[21849] 2021-04-06_蓝队经验——Wireshark数据包分析浅析

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-06_蓝队经验——Wireshark数据包分析浅析 蓝 队 经 验 — — W i r e s h a r k 数 据 包 分 析 浅 析 转 自   安 全 初 心   L e m o n S e c   2 0 2 1 - 0 4 - 0 6 红 队 攻 击 的 套 路 各 式 各 样 （ 扫 描 、 0 d a y 、 社 工 . . . ） ， 蓝 队 的 防 守 套 路 相 对 来 说 显 得 比 较 少 ， 有 点 重 剑 无 锋 的 感 觉 ， 真 正 的 防 守 应 该 就 是 用 最 简 单 的 招 式 达 到 最 大 的 防 守 效 果 。 数 据 包 分 析 器 又 名 嗅 探 （ S n i f f e r s ） ， 是 一 种 网 络 流 量 数 据 分 析 的 手 段 ， 常 见 于 网 络 安 全 领 域 使 用 ， 也 有 用 于 业 务 分 析 领 域 ， 一 般 是 指 使 用 嗅 探 器 对 数 据 流 的 数 据 截 获 与 分 组 分 析 （ P a c k e t   a n a l y s i s ） 。 1 .   2 .   3 .   4 .   5 .   6 .   7 .   8 .   9 .   1 0 .   1 1 .   以 上 摘 自 百 度 ， 以 上 摘 自 百 度 ， 数 据 包 是 作 者 模 拟 的 ， 现 在 已 经 上 传 至 数 据 包 是 作 者 模 拟 的 ， 现 在 已 经 上 传 至 c s d n 有 兴 趣 的 人 可 以 去 下 载 做 一 下 。 有 兴 趣 的 人 可 以 去 下 载 做 一 下 。 我 们 本 章 主 要 以 案 例 数 据 包 进 行 分 析 找 出 关 键 数 据 ， 现 在 我 们 来 看 以 下 案 例 要 求 。 1 、 某 公 司 网 络 系 统 存 在 异 常 ， 猜 测 可 能 有 黑 客 对 公 司 的 服 务 器 实 施 了 一 系 列 的 扫 描 和 攻   击 ， 使 用   W i r e s h a r k   抓 包 分 析 软 件 查 看 并 分 析   P C 2 0 2 0 1   服 务 器   路 径 下 的 d u m p . p c a p n g 数 据 包 文 件 ， 找 到 黑 客 的 I P 地 址 ，   并 将 黑 客 的   I P   地 址 作 为   F l a g   值 （ 如 ： 1 7 2 . 1 6 . 1 . 1 ） 提 交 ； 我 们 从 这 一 段 数 据 包 可 以 看 出 ， 1 9 2 . 1 6 8 . 5 2 . 1 3 2 对 1 9 2 . 1 6 8 . 5 2 . 1 3 9 进 行 请 求 访 问 2 2 端 口 ( s s h 服 务 ) ， 通 常 情 况 下 服 务 端 不 会 主 动 对 目 标 进 行 通 信 ， 所 以 我 们 判 断 黑 客 i p 地 址 为 1 9 2 . 1 6 8 . 5 2 . 1 3 2 . 2 . 继 续 分 析 数 据 包 文 件 d u m p . p c a p n g 分 析 出 黑 客 通 过 工 具 对 目 标 服 务 器 的 哪 些 服 务 进 行   了 密 码 暴 力 枚 举 渗 透 测 试 ， 将 服 务 对 应 的 端 口 依 照 从 小 到 大 的 顺 序 依 次 排 列 作 为   F l a g   值 （ 如 ： 7 7 / 8 8 / 9 9 / 1 6 6 / 1 8 8 8 ） 提 交 ； 分 析 网 络 问 题 业 务 分 析 分 析 网 络 信 息 流 通 量 网 络 大 数 据 金 融 风 险 控 制 探 测 企 图 入 侵 网 络 的 攻 击 探 测 由 内 部 和 外 部 的 用 户 滥 用 网 络 资 源 探 测 网 络 入 侵 后 的 影 响 监 测 链 接 互 联 网 宽 频 流 量 监 测 网 络 使 用 流 量 （ 包 括 内 部 用 户 ， 外 部 用 户 和 系 统 ） 监 测 互 联 网 和 用 户 电 脑 的 安 全 状 态 渗 透 与 欺 骗 C : U s e r s P u b l i c D o c u m e n t s
从 以 上 三 张 图 片 我 们 可 以 看 出 ， 黑 客 分 别 对 2 1 , 2 2 , 3 3 0 6 端 口 进 行 了 请 求 。 故 此 得 到 黑 客 扫 描 的 端 口 为 2 1 / 2 2 / 3 3 0 6 ， 可 能 小 伙 伴 会 好 奇 了 不 是 还 有 一 个 2 0 端 口 吗 ？ 这 里 的 2 0 端 口 也 是 f t p 服 务 ， 但 是 与 2 1 端 口 不 同 他 的 作 用 是 用 于 传 输 数 据 的 ( 2 1 端 口 用 来 控 制 用 户 验 证 ,   连 接 的 建 立 和 关 闭 ) 。 关 于 2 0 端 口 我 们 会 在 下 文 进 行 详 细 讲 解 。 3 . 继 续 分 析 数 据 包 文 件   d u m p . p c a p n g ， 找 出 黑 客 已 经 获 取 到 目 标 服 务 器 的 基 本 信 息 ， 请   将 黑 客 获 取 到 的 目 标 服 务 器 主 机 名 作 为   F l a g   值 提 交 ； 我 们 进 行 过 滤 n b n s 数 据 包 后 进 行 追 踪 u d p 数 据 流 可 以 得 到 主 机 名 为 m e t a s p l o i t ， W I N S 服 务 器 解 析 ( N B N S 数 据 包 ) ， W I N S 服 务 器 用 于 登 记 记 录 计 算 机 N e t B I O S 名 称 和 I P 地 址 的 对 应 关 系 ， 供 局 域 网 计 算 机 查 询 。 可 能 使 用 工 具 n b t s c a n 进 行 扫 描 的 。 4 . 黑 客 扫 描 后 可 能 直 接 对 目 标 服 务 器 的 某 个 服 务 实 施 了 攻 击 ， 继 续 查 看 数 据 包 文 件   d u m p . p c a p n g   分 析 出 黑 客 成 功 破 解 了 哪 个 服 务 的 密 码 ， 并 将 该 服 务 的 版 本 号 作 为   F l a g   值 ( 如 ： 5 . 1 . 1 0 ) 提 交 ；
查 看 数 据 包 ， 发 现 m y s q l 服 务 成 功 登 陆 并 在 数 据 包 后 面 可 直 接 查 看 版 本 ， 可 得 服 务 版 本 为 5 . 1 . 7 3 5 、 继 续 分 析 数 据 包 文 件   d u m p . p c a p n g ， 黑 客 通 过 数 据 库 写 入 了 木 马 , 将 写 入 的 木 马 名 称 作   为   F l a g   值 提 交 （ 名 称 不 包 含 后 缀 ） ； 查 看 m y s q l 数 据 包 中 执 行 的 命 令 ， 黑 客 在 成 功 登 陆 m y s q l 数 据 库 后 对 服 务 器 网 站 进 行 上 传 了 一 句 话 木 马 ， 文 件 名 为 . 黑 客 执 行 命 令 为 : 6 、 继 续 分 析 数 据 包 文 件   d u m p . p c a p n g ， 黑 客 通 过 数 据 库 写 入 了 木 马 , 将 黑 客 写 入 的 一 句 话   木 马 的 连 接 密 码 作 为   F l a g   值 提 交 ； 我 们 在 上 一 步 中 已 经 得 到 黑 客 执 行 的 命 令 ， 所 以 可 以 得 到 一 句 话 木 马 的 连 接 密 码 为 c m d 7 、 继 续 分 析 数 据 包 文 件   d u m p . p c a p n g ， 找 出 黑 客 连 接 一 句 话 木 马 后 查 看 了 什 么 文 件 ， 将   黑 客 查 看 的 文 件 名 称 作 为   F l a g   值 提 交 ； 进 行 过 滤 h t t p 数 据 包 ， 可 以 查 看 黑 客 使 用 一 句 话 木 马 进 行 查 看 的 文 件 名 ， 为 f l a g . t x t 8 、 继 续 分 析 数 据 包 文 件   d u m p . p c a p n g ， 黑 客 可 能 找 到 异 常 用 户 后 再 次 对 目 标 服 务 器 的 某   个 服 务 进 行 了 密 码 暴 力 枚 举 渗 透 ， 成 功 破 解 出 服 务 的 密 码 后 登 录 到 服 务 器 中 下 载 了 一   张 图 片 ， 将 图 片 文 件 中 的 英 文 单 词 作 为   F l a g   值 提 交 。 t e s t . p h p s e l e c t   ‘ ’   i n t o   o u t f i l e   ‘ / v a r / w w w / h t m l / t e s t . p h p ’
直 接 进 行 过 滤 f t p - d a t a 包 ， 追 踪 t c p 流 ， 显 示 和 保 存 数 据 为 原 始 数 据 然 后 s a v e   a s 导 出 保 存 为 图 片 格 式 ， ， 即 可 得 知 下 载 的 图 片 内 容 为 h e l l o , w o r l d ! 这 里 对 f t p - d a t a 进 行 讲 解 ， f t p - d a t a 主 要 是 用 户 传 输 数 据 的 对 应 的 端 口 为 2 0 ， 所 以 2 0 端 口 也 称 为 F T P 服 务 的 数 据 端 口 。 新 年 最 后 一 更 ， 年 后 更 新 就 不 定 期 更 新 了 ， 因 为 事 情 比 较 多 需 要 经 常 出 差 。 年 后 更 新 的 方 向 大 概 就 会 偏 向 代 码 审 计 比 较 多 一 点 了 吧 ， 年 后 我 会 把 精 力 放 到 代 码 审 计 的 学 习 中 ， 在 之 前 打 比 赛 中 我 渗 透 主 机 后 对 w e b 源 码 进 行 了 代 码 审 计 得 到 了 数 据 库 密 码 和 网 站 存 在 的 逻 辑 漏 洞 最 后 牛 逼 了 一 波 ， 这 也 让 我 明 白 了 代 码 审 计 的 重 要 性 ， 所 以 我 会 去 深 入 研 究 这 一 块 了 吧 。 最 后 祝 大 家 新 年 快 乐 !
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:36 , Processed in 0.478390 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表