搜索

[21872] 2021-04-15_工具推荐流量分析工具Brim使用笔记

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2021-04-15_工具推荐流量分析工具Brim使用笔记 工 具 推 荐   |   流 量 分 析 工 具 B r i m   使 用 笔 记 转 自 安 全 初 心   L e m o n S e c   2 0 2 1 - 0 4 - 1 5 对 于 流 量 数 据 如 果 数 据 包 过 大 ， w i r e s h a r k 分 析 会 非 常 吃 力 ， 加 载 就 变 得 异 常 缓 慢 ， B r i m 神 器 ， 可 以 说 是 懒 人 的 福 音 。 官 网 ： h t t p s : / / w w w . b r i m s e c u r i t y . c o m / 文 章 来 源 ： h t t p s : / / 1 9 9 0 d a y . c o m / s k i l l s / b r i m _ n o t e . h t m l 一 、 简 介 B r i m 是 一 款 由 美 国 供 应 商 B r i m   S e c u r i t y 开 发 并 开 源 的 流 量 分 析 工 具 ， 可 以 轻 松 处 理 非 常 大 的 数 据 包 捕 获 （ p c a p ） 文 件 。 B r i m 由 多 个 开 源 组 件 构 建 而 成 ， 包 括 ： 结 构 化 日 志 查 询 引 擎 z q ； 用 于 多 平 台 用 户 界 面 的 E l e c t r o n 和 R e a c t ； 以 及 从 数 据 包 捕 获 文 件 生 成 网 络 分 析 数 据 的 Z e e k 。 二 、 安 装 该 软 件 支 持   W i n   /   M a c   o s     ， 下 载 安 装 即 可 使 用 。 官 方 下 载 地 址 ： h t t p s : / / w w w . b r i m s e c u r i t y . c o m / d o w n l o a d / 三 、 面 板
四 、 语 法 常 用 查 询 常 用 查 询 I P 协 议 协 议 关 联 关 联 排 除 排 除 裸 词 ： 裸 词 ： 需 要 查 询 数 据 中 包 含   “ l o g i n ”   或 者   “ a d m i n ”   , 又 或 者 只 需 要 看 h t t p 的 请 求 ， 那 么 直 接 输 入 “ 关 键 词 ” 进 行 查 询 。 查 询 ： 结 果 呈 现 如 下 ， 日 志 查 询 结 果 均 包 含 l o g i n ：         目 的 I P ： i d . r e s p _ h = 源 I P ： i d . o r i g _ h = 语 句 ： _ p a t h 例 ： _ p a t h = " S S L " _ p a t h = " h t t p " 语 句 ： a n d   例 ： 查 询 所 有 目 的 i p   1 9 2 . 1 6 8 . 1 . 3 0   的 h t t p 日 志   i d . r e s p _ h = 1 9 2 . 1 6 8 . 1 . 3 0   a n d   h t t p 语 句 ： n o t 例 ： 流 量 数 据 日 志 中 出 现 大 量 w e b 扫 描 日 志 ， 我 要 排 除 4 0 4 无 效 的 h t t p 请 求 n o t   s t a t u s _ c o d e = 4 0 4   l o g i n
通 配 符 ： 通 配 符 ： 要 查 找 关 键 词 之 间 或 旁 边 可 能 包 含 任 意 字 符 串 的 值 ， 可 以 使 用 一 个 或 多 个 g l o b - s t y l e   的 通 配 符 。 例 如 ， 搜 索 查 找 包 含 W e b 服 务 器 主 机 名 的 事 件 ， 这 些 域 名 中 包 含 字 母 c d n ， 例 如 w w w . c d n . a m a z o n . c o m   w w w . h e r o k u c d n . c o m 。 查 询 ： 结 果 呈 现 如 下 ， 日 志 查 询 结 果 均 包 含 1 6 3 . c o m 的 所 有 子 域 结 果 ： 比 如 我 要 查 询 包 含 1 6 3   这 个 字 符 相 近 的 域 名 呢 ？ * 1 6 3 . c o m w w w . * 1 6 3 * . c o m
它 可 能 会 出 来 很 多 近 似 结 果 ， 当 然 这 取 决 于 你 的 数 据 日 志 中 是 否 包 含 这 些 域 名 ： 字 段 字 段 / 值 值   匹 配 匹 配 可 以 缩 小 搜 索 范 围 ， 使 其 仅 包 括 在 特 定 字 段 中 包 含 特 定 值 的 事 件 。 例 如 ， 以 下 搜 索 将 仅 匹 配 指 定 字 段 指 定 值 ， 该 字 段 被 设 置 为 精 确 值 。 输 出 了 精 确 的 查 询 结 果 ： 比 较 比 较 / 筛 选 筛 选 除 了 通 过 = 测 试 等 式 之 外 ， 还 可 以 使 用 其 他 常 见 的 比 较 操 作 符   ! = 、 < 、 > 、 < = 和 = > 。 例 如 ， 下 面 的 搜 索 查 找 传 输 了 许 多 字 节 的 连 接 查 询 ： 输 出 ： w w w . 1 6 3 - s e r v i c e s . c o m w w w . 1 6 3 e . c o m w w w . 1 6 3 3 . c o m w w w . 1 6 3 a p i s . c o m u i d C h h A f s f y u z 4 n 2 h F M e 查 询 ： u i d = C R q f P B 2 C s O d q y Y S Y M 7   o r i g _ b y t e s   >   1 0 0 0 0 0 0
查 询 字 节 大 于   1 0 0 0 0 0 0   的 结 果 。 比 较 查 询 可 以 从 大 量 相 同 特 征 中 查 询 不 一 样 特 征 的 数 据 ， 便 于 快 速 定 位 分 析 。 其 他 更 多 的 搜 索 语 法 可 以 参 考 其 他 更 多 的 搜 索 语 法 可 以 参 考   ： ： h t t p s : / / g i t h u b . c o m / b r i m s e c / z q / h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 6 6 9 4 2 3 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理