分析攻击流量样本

最新推荐文章于 2025-06-29 15:20:39 发布

离离原上草_#

最新推荐文章于 2025-06-29 15:20:39 发布

阅读量6.5k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：安全文章标签：蜜罐流量分析 wireshark

本文链接：https://blog.youkuaiyun.com/I_am_going/article/details/53306858

本文分析了.pcap格式的攻击流量样本，通过Wireshark发现攻击者利用CVE-2003-0533（MS04-011）漏洞对目标主机进行攻击。攻击者通过构造恶意参数调用DsRoleUpgradeDownlevelServer()，在受害者主机上创建shell并下载执行蠕虫病毒ssms.exe。攻击过程快速自动化，仅耗时16秒，且受害者可能是一个蜜罐。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

此次分析样本是.pcap格式，共348帧。主要利用的分析工具是wireshark以及它的命令行版本tshark。

前期分析

首先通过观察，发现只涉及到两个ip，在本文中称98.114.205.102为主机A，192.150.11.111为主机B。
如下图，A主动向B请求TCP连接，并完成了三次握手。

虽然不能断定，但很有可能A为攻击者，B为受害者，A攻击的是B的主机系统。

理论上说这种类型的攻击一定利用了已知系统漏洞或者0day，所以接下来的目标是找到A究竟利用了什么漏洞对B实施了攻击。

于是观察有没有能够暴露更多信息的数据帧。如下图，可以看到在第33帧有一个函数被调用。这非常可疑。网上搜一下这个API，很快发现它曾经曝出过问题，编号CVE-2003-0533，winodws上大名鼎鼎的“冲击波”利用的就是这个漏洞，微软给的编号是MS04-011。
函数调用

该漏洞是一个远程缓冲区溢出，DCE/RPC请求可以从远程主机发送到本地机的LSASS.EXE进程（Microsoft Windows LSA是本地安全授权服务(LSASRV.DLL)）。LSASS DCE/RPC末端导出的Microsoft活动目录服务存在一个缓冲区溢出，远程攻击者可以利用这个漏洞以SYSTEM权限在系统上执行任意指令。攻击LSASS的漏洞的基本办法，就是构造长参数DomainName，通过DsRoleUpgradeDownlevelServer()这个API，最终造成溢出和返回shell。