应急响应-流量分析

最新推荐文章于 2024-05-23 22:41:04 发布

岁月冲淡々

最新推荐文章于 2024-05-23 22:41:04 发布

阅读量727

点赞数 9

分类专栏：应急响应文章标签：网络 linux 运维安全

本文链接：https://blog.csdn.net/qq_50765147/article/details/135892160

版权

31 篇文章 2 订阅

订阅专栏

在应急响应中，有时需要用到流量分析工具，。当需要看到内部流量的具体情况时，就需要我们对网络通信进行抓包，并对数据包进行过滤分析，最常用的工具是Wireshark。

Wireshark是一个网络封包分析软件。网络封包分析软件的功能是获取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPcap作为接口，直接与网卡进行数据报文交换。
在打开Wireshark后，需要对要获取流量的网卡进行选择。在选择网卡后，就可以获取相关的数据流量包了，Wireshark界面如图所示。

在应急响应中，对应监听获取后的流量，还需要进行提取过滤。Wireshark的筛选器可以很好地完成这个功能。Wireshark的筛选器可以找出所希望进行分析的数据包。简单来说，筛选器就是定义了一定条件，用来包含或者排除数据包的表达式，从而达到筛选出自己想要的数据包的目的。筛选器也支持与(and)、或(or)、非(not)等逻辑运算符，可以提高筛选效率。

使用【tcp.port == 端口号】或【udp.port ==端口号】命令，可对端口进行过滤。使用【tcp.port==445】命令对445端口进行过滤，如图所示。

使用【tcp contains strings】命令，可对数据包中的关键字进行检索，对流量中包含某一关键字的数据包进行筛选。使用【 tcp contains baidu】命令进行筛选baidu关键字，如图所示。

以MS17-010流量分析为例，具体介绍相关用法。MS17-010是“永痕之蓝”漏洞，自2017年被曝光后，WannaCry勒索病毒利用此漏洞迅速感染蔓延，引发标志性的安全事件。之后各种恶意软件（无论是勒索病毒，还是挖坑软件），在攻击载荷中都会加入“永痕之蓝”漏洞的攻击方法。
打开一个获取到的MS17-010的流量包，发现其中有SMB协议流量包，如图所示。