流量分析，windows日志分析总结+题目练习

最新推荐文章于 2024-09-14 21:53:48 发布

炸毛的飞鼠

最新推荐文章于 2024-09-14 21:53:48 发布

阅读量893

点赞数 25

文章标签：学习笔记

本文链接：https://blog.csdn.net/cyy001128/article/details/139422518

版权

流量分析总结

定义

流量分析是指对网络流量数据进行分析和解释，以获得有关网络中通信的信息和情报。网络流量包含了许多有关网络通信的细节信息，如源IP地址、目标IP地址、端口号、协议类型、数据包大小、传输速率等等。通过对这些信息进行分析和解释，可以获得对网络通信的深入理解，并发现潜在的问题和威胁。需要了解网络协议、数据包分析、安全攻防技术等相关知识。在网络安全领域，流量分析被广泛应用于入侵检测、网络监控、漏洞分析等方面。例如，通过对网络流量进行分析和解释，可以发现恶意软件、网络钓鱼攻击、DDoS攻击等各种网络威胁，并采取相应的防御措施。此外，还需要使用专业的流量分析工具，如Wireshark、tcpdump、Snort等等，以捕获和分析网络流量数据。wireshaark使用：http://t.csdnimg.cn/XcBOt

web流量分析基本套路

1.流量分析传输了数据：zip rar png jpg txt mp3，特别是流量包比较大时需要注意
2.binwalk分离文件，grep或者wireshark内ctrl+f搜索
3.分情况使用导出对象，导出分组字节流，原始数据
4.搜索时可以看情况搜索分组详情、分组字节流
5.查看包间的差异，可以按大小排列数据包等
6.png在流量中经常以base64形式出现
7.如果有TLS，要么找密钥，要么看别的协议

流量分析练习

[陇剑杯 2021]签到

下载好附件后解压，用wireshark打开

题目问的是协议，用统计打开协议分级，发现tcp协议占比最多，其中http流量占大部分

筛选一下http，发现大部分都是403请求失败，所以flag是NSSCTF{http}

[陇剑杯 2021]jwt（问1）

下载后并解压，用wireshark打开

查找http协议中包含login的流量包

追踪http流，并查找token

补充：

Token是服务端生成的一串字符串，以客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需要带上这个Token青睐请求数据即可，无需再次带上用户名和密码

JWT生成的Token由三部分组成：header.payload.signature

第一、二部分可以通过Base64解密得到，但第三部分不可以!

将token的第一句进行解码，发现是JWT认证方式，所以flag是NSSCTF{jwt}

[陇剑杯 2021]jwt（问2）

下载并解压后用wireshark打开

查找http协议中包含whoami(查看当前系统用户的命令)的流量包

在tcp.stream eq 10中，执行命令成功回显root，这里的token就是所需的数据。追踪tcp流，然后查找token

将token第二句话解码得到flag为NSSCTF{10087#admin}

[陇剑杯 2021]jwt（问3）

直接查找whoami然后看返回包

得知权限是root，所以flag是NSSCTF{root}

[陇剑杯 2021]webshell（问1）

下载并解压附件后用wireshark打开

直接筛选password

在下面的信息中找到password，所以flag是NSSCTF{Admin123!@#}

windows日志分析总结

主要参考博客：电子取证-Windows日志分析 | W4rnIn9

简介

Windows系统默认以二进制XML Windows事件日志记录格式（由.evtx扩展名指定）将日志存储在％SystemRoot％\System32\Winevt\logs目录中。日志也可以使用日志订阅远程存储。对于远程日志记录，运行Windows Event Collector服务的远程系统订阅其他系统生成的日志。

是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。

Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。

应用程序日志

包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。
默认位置：%SystemRoot%\System32\Winevt\Logs\Application.evtx

系统日志

记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。
默认位置： %SystemRoot%\System32\Winevt\Logs\System.evtx

安全日志

记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
默认位置：%SystemRoot%\System32\Winevt\Logs\Security.evtx