恶意流量分析训练六

通过该实验了解恶意流量分析训练的基本技能，本次实验主要涉及包括：ssdp协议、主机指纹、kerberos、C&C服务器、在线分析引擎hybrid analysis，钓鱼网页等。

 

 

本次流量分析，需要回答以下问题：

1. 1. 1. 1. 1. 1. 1. 活动发送的时间，日期
                  2. 哪台主机发生了什么
                  3. indicatirs(指标)，包括（ip,域名等）

首先还是过滤出http请求的流量看看能不能找到什么蛛丝马迹

直接使用http.request过滤会发现还有大量的ssdp。

什么是ssdp？

简单服务发现协议（SSDP，Simple Service Discovery Protocol）是一种应用层协议，是构成通用即插即用(UPnP)技术的核心协议之一。

简单服务发现协议提供了在局部网络里面发现设备的机制。控制点（也就是接受服务的客户端）可以通过使用简单服务发现协议，根据自己的需要查询在自己所在的局部网络里面提供特定服务的设备。设备（也就是提供服务的服务器端）也可以通过使用简单服务发现协议，向自己所在的局部网络里面的控制点宣告它的存在。

从上面的描述中我们知道，ssdp对我们这次实验没什么作用，反而会干扰我们的分析，所以我们加上条件把ssdp过滤掉

可以看到前面的流量都是指向www.stmrtbahrain.com的http get 请求，选中一条跟踪tcp流

 

可以看到user agent，将其复制到这个专门根据user-agent指纹判断主机的网址（https://developers.whatismybrowser.com/useragents/explore/），点击analyse分析