SMB 协议详解之-process/user/session/tree/message/file ID原理和数据包分析技巧

在前面分析SMB协议数据包的过程中，《网络攻防协议实战分析》专栏，这里和《SMB攻击流量数据包分析》专栏，这里，可以看到在SMB协议中存在很多的ID，即Unique Identifiers。那么这些ID表示什么含义？在实际分析数据包的过程中如何根据这些ID进行过滤分析？本文将介绍SMB/SMB2中的process id，User/session id，tree id ，File id，Message ID。并介绍如何通过各种 id 快速的分析SMB数据包中各种命令交互所表示的业务逻辑。

数据包

使用的数据包包含SMB和SMB2协议两种，如下:
SMB协议使用的pcap数据来自于wireshark sample，这里，对smbtorture.cap.gz数据包中的tcp.stream eq 0流， 如下&