恶意流量分析训练一

通过该实验使用wireshark进行恶意流量分析，主要涉及知识点包括IOC,键盘记录器木马，ftp协议等。

 

 

场景：

局域网段范围：10.0.0.0/24(10.0.0.0 到 10.0.0.255)

域： beguilesoft.com

域控：10.0.0.10 - BeguileSoft-DC

局域网网关：10.0.0.1

局域网广播地址：10.0.0.255

 

任务:

分析现有的材料，针对受害的windows主机写一份应急报告。建议的模板如下：

 

    总结:

 

        在xx时间, 一台window主机被xx感染

 

    细节:

 

        IP address:

        MAC address:

        Host name:

        Windows user account name:

 

    入侵指标IOC(Indicators of Compromised):

 

        [URLs, domains, IP addresses, and SHA256 hashes related to the infection should appear in this section]

 

 

提供了两个压缩文件，分别是告警日志和数据包

解压后分别如下所示

数据包打开如下所示

 

涉及到很多协议，现在还没有头绪，我们先来看看告警日志

 

第一条是到whatismyaddress.com的请求，这不一定是恶意软件产生的流量

第三条是使用到了ftp STOR,该命令用于存储文件到服务器上，这里提示是连接到外部网络，所以我们推测可能是恶意软件通过ftp协议将数据传输到其外网服务器上