网络取证基础一

网络数据捕获与分析

最新推荐文章于 2023-11-20 15:52:29 发布

原创最新推荐文章于 2023-11-20 15:52:29 发布 · 2k 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #加密 #管理 #数据 #计算机

尽管无线网络中的数据传输是加密的，但是管理和控制帧一般是不加密的

交换机中含有一张CAM表（contentaddressable memory），其中存储的各个物理端口与各张网卡mac地址的对应关系

物理侦听：

同轴电缆（COAX）：信息传输的传媒是单根铜芯，所以网络上的所有站点都必须通过竞争协议传输数据，并解析所有信号。同轴电缆的优点是铜芯能免遭电磁干扰

双绞线（twisted pair,tp）双绞线中含有多对铜线。将每一对铜线绞在一起，使得他们各自产生的电磁干扰相互抵消。一般部署在星型拓扑上。

用于截取光纤中的流量的工具有：内接式网络分路器（inline network tap）、刺穿式搭接器（vampire tap），感应线圈（inductuion coil）、光纤分光器（fiber optic tap）

Hub是将本地子网中所有站点连接到一起的第一层设备。在物理上，连接在Hub上的每台设备都能收到发往连在这个Hub上的其他各台设备的所有流量

交换机的每个端口都是她自己的冲突域（collision domain）.CAM表的作用是使交换机能在端口对端口的基础上实行流量隔绝

要从交换机嗅探流量，可以对交换机实行泛洪攻击（flooding）--发送大量MAC地址不同的以太网包向CAM表注入虚假的信息，称为mac泛洪（mac flooding），一旦CAM表被填满，许多交换机在默认情况下进入应急模式，把目标地址不在CAM表里的所有流量转发到每一个端口上，另一种方法是ARP欺骗

伯克利包过滤（berkeley packet filter,BPF）语言（过滤语言）内置了一些基元（primitive）来指代一些常用的协议字段。可以检查位于指定偏移量上的字段（甚至可以是一个位bit）的值，BPF过滤器也可以由详尽的条件链和嵌套的逻辑“与”“或”操作组成

调查人员可以用来访问运行中的基于网络的设备的各种方法，包括：

Console接口，SSH(安全shell)、安全复制（scp）、和SFTP、telnet、snmp（常被用作传播和会聚网络管理信息，snmp用在两个方面：基于事件的查询和配置查询、snmp允许通过定义“管理信息库（MIB）对其进行扩展”），MIB是对管理信息数据库的基本描述

Snmp的基本操作有：

轮询：GET GETNEXT GETBULK

中断：TRAP INFDRM

控制：SET

TFTP（udp69端口）

策略：避免重启或关闭设备。尽量通过console接口而不是网络链接设备、记录系统时间、根据易失灭程度依次收集证据，记录你的调查过程

数据包详细标记语言（PDML）定义为使用XML格式表示2~7层内协议数据包详情的标准。数据包摘要标记语言（PSML）用于表示协议中最重要的细节

DNS是一个查询-响应协议。DNS协议定义了查询及响应数据包的结构，其中的一些字段能够保存任意数据，因此可以用来作为双向隐蔽通道的基础

Tcp流量封装在一个ip包中，然后穿过基于UDP协议的dns隧道传输