本文通过分析一起特定的Bittorrent流量警报，深入探讨了如何使用网络取证技术来识别、定位并理解潜在的非法文件共享行为。文章详细介绍了如何从IP地址追踪到具体的设备信息，包括MAC地址、主机名、用户账号、操作系统版本，以及具体共享的文件内容和使用的客户端软件。同时，还展示了如何确定流量活动时间，并解析了流量中涉及的多个关键信息，如文件名、客户端类型和被做种的文件。
通过该实验了解恶意流量取证分析方法，主要涉及torrent流量的知识，包括tracer，bittorrent,Deluge等。
背景：
你收到网络上10.0.0.201的bittorrent流量警报。 Torrent流量通常与受版权保护的内容的文件共享相关联;当然，也有一些torrent流量是合法的。
我们需要分析分析这个数据包，解答下列问题：
10.0.0.201的mac地址是多少
10.0.0.201的host name是什么
10.0.0.201的user account name是什么
10.0.0.201的系统版本
10.0.0.201de torrent活动发生的时间
10.0.0.201下载了什么torrent文件
10.0.0.201使用了那个torrent客户端
10.0.0.201上的torrent客户端分享了哪个文件（做种）？
首先还是过滤出nbns的流量，来获取hostname
当然，也可以使用dhcp
接下来要找到user account name，自然是通过kerberos协议
kerberos.CNameString中CNameString代表windows的host name和user account name，那么怎么区分这两个呢？
我们先把它过滤出来再看
按照上图的方式依次展开，然后就能看到CNameString的值，右键，将其应用为列
最低0.47元/天 解锁文章
扫一扫
2794
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
