恶意流量分析训练七

通过该实验学会分析eml文件并从中提取出附件进行分析，包括根据生成的hash进行搜索等，掌握wireshark的关键过滤语法包括过滤tcp syn包、过滤重传包、过滤dns query包等，有意识培养取证分析的思维和思路。

 

根据本次实验所给材料，请分别给出从两个数据包分析出的细节，包括：

机器的host name,ip,mac地址

相关的邮件的信息

邮件附件的信息

 

本次给出了eml文件，eML文件是将邮件归档后生成的文件,保留着原来的HTML格式和标题

所需只需专门的客户顿用于查看，推荐使用thunderbird

使用如下命令安装即可

给出了两个eml文件

选中1814这个，右键-》使用其他应用打开，然后选择thunderbird

点击select即选中打开

打开后界面如下所示

可以看到下方有一个附件

可以将其保存

得到一个压缩文件

将其解压

得到一个exe可执行文件

计算这个文件的sha256 hash

这里有个常识一定要注意：

在分析恶意文件时千万不要把恶意软件提交到virustotal等其他在线分析网站上，而是使用该文件的hash去搜索。因为如果我们在应急响应或者在其他作为防御方的情况下，如果我们提交的是恶意软件，恶意软件的制作者可以从virustotal等网站上知道某人提交了该软件，也就是说攻击