溯源取证-WEB流量分析-简单

话不多说直接干:

题干:

开发团队在公司的一个 Web 服务器上发现了异常文件,开发团队怀疑该服务器上存在潜在的恶意活动,网络团队准备了一个包含关键网络流量的 pcap 文件,供安全团队分析,而你的任务是分析 pcap,并从中发现问题

了解攻击的地理来源有助于地理封锁措施和威胁情报分析。攻击者起源于哪个城市?

直接过滤http数据包,而后我们可以发现,有一条.jpg.php的文件,一眼丁真

了解攻击者的user-agent有助于创建可靠的过滤规则。攻击者的user-agent是什么?

我们对上传动作进行数据流追踪


可以看到确定是webshell无疑,那么直接拿ua就行

Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/115.0

我们需要确定是否存在潜在的漏洞被利用。上传的恶意 Web Shell 叫什么名字?

上一张图其实上传失败了,因为攻击者最先上传的是imgae.php ,所以我们返回上一层,翻到下一个数据包进行数据流追踪

了解上传文件的存储目录对于加强对未经授权访问的防御非常重要。网站使用哪个目录来存储上传的文件?

这个题目其实个人理解就是,攻击者访问的webshell的路径是什么

/reviews/uploads/

识别 Web Shell 使用的端口有助于改进防火墙配置,以阻止未经授权的出站流量。恶意 Web Shell 使用了什么端口用来通信?

很显然,是8080

了解泄露数据的价值有助于确定事件响应操作的优先级。攻击者试图泄露什么文件?

在上传了webshell后,攻击者利用webshell进行了通信活动,在翻找的过程发现了敏感的数据包


相关推荐
weixin_4462608544 分钟前
提升开发效率的RPC系统!
网络·网络协议·rpc
黄豆匿zlib1 小时前
OpenSpeedy下载 - 全平台网盘提速加速工具|官网入口
网络·娱乐
jiunian_cn2 小时前
【Linux网络】TCP协议
linux·网络·tcp/ip
墨白曦煜4 小时前
HTTP首部字段(速查-全47种)
网络·网络协议·http
MOON404☾8 小时前
基于TCP的简易端口扫描器
网络·tcp/ip·php
lendsomething9 小时前
解决SSL握手失败问题:SSLHandshakeException: Received fatal alert: handshake_failure
网络·网络协议·ssl
bestcxx10 小时前
(二十六)、Kuboard 部署网络问题 &k8s 使用本地镜像 & k8s使用 register本地镜像站 综合应用
网络·容器·kubernetes
红米饭配南瓜汤11 小时前
WebRTC 发送端 SSRC 生成流程总结
网络·网络协议·音视频·webrtc·媒体
wanhengidc13 小时前
云手机和网盘之间的关系
网络·游戏·智能手机·架构·云计算
歪歪10016 小时前
Http与WebSocket网络通信协议的对比
网络·websocket·网络协议·计算机网络·http·网络安全·信息与通信