pcap workshop Learning Part 1

阅读量    219209 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

链接:https://pan.baidu.com/s/1rH2jLScXAFST8OXDd_C6ng
提取码:anq6

2017-03-25-traffic-analysis-exercise

打开流量包,看到了http的流量。我们其实能直接去看http流量的。但是还是先通过三板斧来分析该流量包吧。

存在dns,tcp,http,tls协议。

在对话中的tcp中发现了异常多的Packets

那么我们跟进并追踪一下这个tcp流(这里为什么要这么麻烦的去看这些东西呢,以为这个数据包的流量比较大,有近10000个数据流左右,不能遍历去找数据流,我们要理智地去分析)

 

木马文件

MZ开头的文件,很明显是一个exe文件+一个php文件这里Content-Type显示为 image/png。是非常奇怪的一个点。(因为这是一个响应数据包,服务器居然返回了一个假的Content-type)。可以看出操作者应该在访问木马文件。

我们先对这个php中的代码进行还原。

因为我没有使用linux系统且目录中存在汉字,导致脚本运行出错。这里我输出一下。

最后发现这个脚本从C://users/开始遍历了所有文件!然后进行了写文件和重命名的操作,害怕,不敢运行,以后有了win虚拟机就来运行。

然后我们来看一下另外一个exe文件。先把win Defender打开。然后(害怕)打开1.exe文件。果然,d=====( ̄▽ ̄*)b。文件被删掉了。

我们来看一下win defender怎么评价它。

然后通过foremost 对这个文件进行分离得到了三个gif图,dll文件和exe文件。

再通过strings进行分析dll文件。猜测这是一个php文件在通过zend进行加密后的exe文件。(猜测为之前分析过的php文件)

那么提示就是通过dezend来解密之前进行加密过的php文件。 (我只想说这么短的代码我都手动还原了)

导出文件后通过shasum命令拿到病毒样本hash值并进行搜索。

shasum -a 256 1.exe

那么逐渐远离了主题——流量分析了。我们回到正题。继续看wireshark。

 

导出对象

一般要根据文件的大小来进行排列(越大的文件越可疑)。第一个文件就是我们之前分析的exe文件,第三个是php后门文件,还有两个是结果输出文件。后面就是几个证书和没用的文件了。

 

解析

1.时间信息

从第一个数据包的发出到最后一个数据包的时间为

2.Server name and ip

解析中有一个我没找到的信息(unusual Server and the ip of it):

然后我就模仿这位师傅进行了列名添加服务器名和请求uri的操作。具体设置:

现在来看就清晰了许多。(后面请自己根据过滤器添加列)

3.tls解密

然后它对这个流量包进行了tls的解密。在流量包中找到了国家和其他的一些信息。这里为什么之前我没有解出这个tls流呢(文件里没给我 Key Log File)后来去网上查到了这个key file。解密后:

通过过滤器查,标红的以及后面的大部分流量包都是解密后的结果。

http.request or tls.handshake.type eq 1

只不过解密后的内容还是经过未知加密方法的数据。

4.country信息

在解密后的tls数据流中,仔细观察可以看到US,Manchester等字符串。

将其作为列进行过滤,方便查看。

然后,对这个流量包的分析就到这里了。如果有大师傅还有别的看法可以联系我一起学习。

 

参考链接:

https://unit42.paloaltonetworks.com/wireshark-tutorial-decrypting-https-traffic/

https://unit42.paloaltonetworks.com/unit42-customizing-wireshark-changing-column-display/

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多