恶意流量分析训练五

通过该实验了解恶意流量分析的基本技能，本次实验涉及包括：从数据包导出文件，hash计算、virurtotal使用、trickbot恶意软件，bootp，kerberos等。

 

 

 

本次任务需要你查出主机受感染的时间、主机的信息（ip，mac，hostname ,user account name），感染什么类型的恶意软件，感染源，受感染的指标（ip,域名，端口，url，文件hash等）

 

前面的分析经验告诉我们，首先看http,https的流量，基本大多数的攻击流程都是通过网页挂马或者钓鱼之类的活动诱使受害者主机有意或无意地下载恶意软件，然后在主机上打开其他端口通信或者伪装为正常浏览通信，或者通过dhcp,icmp等隧道通信。不论怎样，最开始的步骤 一定是和http,https有关的，所以先过滤出对应的流量。

 

在上图中可以看到第二条通过http get方式获取到恶意二进制程序

第三条流量是使用myexternal.com网站查询出口ip

第二个框起来的就是在tcp 447 449端口上的加密通讯流量，我们可以尝试将其作为ssl解密，具体步骤如下：

选择analyze->decode as

点击左下角加号

每个列都可以双击后选择所需的配置

配置如下所示，然后点击ok