恶意流量分析训练四

通过该实验了解使用wireshark进行恶意流量分析的基本流程及操作，同时能够配合互联网上其他公开的工具如在线分析引擎、搜索引擎、安全专家的技术博客等进行全方位的分析。

任务：检查pcap数据包查找出哪台主机感染了什么恶意软件。

 

 

首先我们要确定局域网内几台主机

Wireshark加载之后，点击上方菜单统计-》ipv4 statistics-》all address

从结果中可以看到共有5台主机

接下来我们需要找到各个ip的主机名

我们前面的实验中知道可以通过nbns来找到主机名

所以尝试使用nbns过滤

第一条发现172.16.1.201发起了一个广播包，在红框中可以看到是域控，主机名为CARLFORECE

继续看第二条

发现不对劲的地方了吗？

主机名还是CARLFORCE，这是怎么回事呢？

我们仔细看这两条包的区别

172.6.1.201发起的是查询包，172.16.1.4发出的是响应包

我们还是去看看RFC文档：https://tools.ietf.org/html/rfc1002。

仔细看看第一条可以看到目的ip为172.16.1.255,说明这是广播包，用于NBNS广播查找

结合报文格式

与我们第一条数据包有关的部分我已经用红框划重点了。结合数据包的实例

可以知道172.16.1.201是在请求查询netbios名为CARLFORCE的机器

Type为NB，表示类型是通用名称服务资源记录（注意，RFC中的0x0020就是10进制的32）

Class为IN，表示类为Internet，一般都是默认的

 

然后分析第二条，第二条是对第一条的响应，我们在RFC文档中可以看到有两种响应，一种是主动的

 

一种是被动的