天眼搜索语法

一、语法 语句

dns_type:0
sip：受害IP，本地域名服务器
dip：本地域名服务器IP，其他域名服务器
dns_type：1
sip：本地域名服务器IP，其他域名服务器
dip：受害IP，本地域名服务器IP

1.找出本地域名服务器IP
host：“xxx.xxx.xxx” AND dns——type：1
源IP——本地域名服务器IP，其他域名服务器IP——dnsIP
2.定位受害IP
host：“xxx.xxx.xxx” AND dns_type:0 NOT sip：dnsIP
源IP——受害IP
3.找解析结果
host：“xxx.xxx.xxx” AND dns_type:1 AND dip：“受害IP”
addr——解析结果IP
4.找交互流量——TCP，http
TCP：（sip：受害IP AND dip：解析结果IP）OR （sip：解析结果IP AND dip：受害IP）
http：host：“xxx.xxx.xx” AND （sip：受害IP OR dip：受害IP)

二、语法示例

1、检索访问192.168.1.0/24网段445端口的tcp 流量日志。

dip:”192.168.1.0/24” AND dport:”445”

2、查询http://192.168.1.1/upload/jspspy.jsp 的第一次访问时间。

Dip:”192.168.1.1” AND uri:”/upload/jspspy.jsp”

3、检索192.168.1.1访问10.0.0.1的tcp 流量中上行负载【up_payload】包含<?php 的流量。

sip:”192.168.1.1” AND dip:”10.0.0.1” AND up_payload:0x3c3f70687020
4、检索192.168.1.11位于3308端口的mysql爆破日志。

dip:”192.168.1.11” AND dport:”3389”

5、检索解析恶意域名"down.tj999.top"的域名解析流量日志。

host:”down.tj999.top”

6、检索192.168.1.0/24网段访问10.0.0.1 的tcp流量。
左侧已选中tcp.流量，请直接写出语法。

sip:“192.168.1.0/24” AND dip:“10.0.0.1”

7、检索192.168.1.1访问10.0.0.1的tcp流量中上行负载[up_payload]包含root 的流量,写出检索对应流量的语法。[Hex(root)= 726F6F74]
左侧已选中tcp.流量，请直接写出语法。
sip:“192.168.1.1” AND dip:“10.0.0.1” AND up_payload:726F6F74

8、检索192.168.1.2和192.168.1.3访问了10.0.0.1 的tcp.流量。
左侧已选中tcp流量，请直接写出语法。
sip:(“192.168.1.2” OR “192.168.1.3”) AND dip:“10.0.0.1”

9、检索访问192.168.1.0/24网段445端口的tcp流量日志。
左侧已选中tcp.流量，请直接写出语法。

sip:“192.168.1.0/24” AND dport:“445”

10、检索agent包括[java, sword, wget] 的流量日志。
左侧已选中web访问，请直接写出语法。

agent:(java OR * sword* OR wget)

11、检索172.16.1.1对数据库172.16.1.100执行数据库操作中包含"xp_cmdshell"的流量。
左侧已选中数据库操作，请直接写出语法。[sql_info]

sip:“172.16.1.1” AND dip:“172.16.1.100” AND sql_info:“xp_cmdshell”

12、检索172.16.1.1访问木马文件http://qianxin.com/test.jsp"的流量日志。
左侧已选中web访问，请直接写出语法。

sip:“172.16.1.1” AND host:“qianxin.com” AND uri:“/test.jsp”

13.检索172.16.1.1对172 16.1.100的1433端口进行登陆并且成功的流量日志。[normal_ret]
左侧已选中登录动作，请直接写出语法。
sip:“172.16.1.1” AND dip:“172.16.1.100” AND dport:“1433” AND normal_ret:“success”

14、检索解析恶意域名"down.tj999.top"的域名解析流量日志【排除DNS设备解析行为：DNS ip:“172.16.1.1” 】
左侧已选中域名解析，请直接写出语法。

host:“down.tj999.top” NOT sip:“172.16.1.1”

15、已知恶意域名"down. tj999.top"解析结果为: “95.24.45.2”, 检索与解析结果IP存在数据交互
或与恶意域名"down. tj999.top"存在交互的所有流量日志。
左侧已选中web访问和TCP/UDP流量，请直接写出语法。
sip:“95.24.45.2” OR host:“down.tj999.top” OR dip:“95.24.45.2”