场景：
任务:
分析现有的材料，针对受害的windows主机写一份应急报告。建议的模板如下：
总结:
细节:
IP address:
MAC address:
Host name:
Windows user account name:
入侵指标IOC(Indicators of Compromised):
[URLs, domains, IP addresses, and SHA256 hashes related to the infection should appear in this section]
分析阶段：
第一条是到whatismyaddress.com的请求，这不一定是恶意软件产生的流量。
第三条是使用到了ftp STOR,该命令用于存储文件到服务器上，这里提示是连接到外部网络，所以我们推测可能是恶意软件通过ftp协议将数据传输到其外网服务器上。
第四条可以看到日志提示我们这是一个名为Hawkeye Keylogger的木马。
通过搜索引擎在freebuf上有相关的分析文章：https://www.freebuf.com/column/157857.html
这样子的过滤其实还是有很多噪音，我们使用ftp常用的关键字来过滤吧，比如USER,PASS,STOR。
过滤命令如下：
ftp.request.command eq USER or ftp.request.command eq PASS or ftp.request.command eq STOR
命令中or表示任一条件满足即可，eq是等于的意思，用于限定命令。
过滤后的结果如下所示
别忘了，我们还要写应急报告呢！
现在还缺少IOC，所以我们需要整理下，需要整理出目标端口，ip等。
在这之前，我们需要先回顾下ftp协议，ftp协议用两个端口实现，分别是数据端口和命令端口。命令端口用于连接，数据端口用于传输数据。
命令端口一般都是21。那么数据端口呢？
这里又引入了主动模式（PORT）和被动模式（PASV）的概念。当客户端通知服务器它处于被动模式时才会启用，其标志就是客户端给服务端发送了一个PASV。
主动模式：
在第1步中，客户端的命令端口与FTP服务器的命令端口建立连接，并发送命令“PORT 1027”。然后在第2步中，FTP服务器给客户端的命令端口返回一个"ACK"。在第3步中，FTP服务器发起一个从它自己的数据端口（20）到客户端先前指定的数据端口（1027）的连接，最后客户端在第4步中给服务器端返回一个"ACK"。
被动模式：
简单地说，就是，在主动模式下一般默认的数据端口为20，在被动模式下数据端口就不一定了。
接下来我们回到数据包中看看ftp过程中用到了哪些端口。
这里要注意，在wireshark中要想把完整的ftp协议过滤出来需要使用ftp-data or ftp,只用单个的话只能过滤出ftp命令端口的流量或数据端口的流量，是不完整的
先来看第一个外网ip：145.14.145.4
715条的状态码220表示对新用户的服务已经准备好
716,719可以看到受害者机器通过用户名密码连入ftp服务端
一直到734条可以看到受害者机器向145.14.145.4发出PASV,前面提到，发出PASV,就说明后面的数据传输过程中服务端使用的端口就不是20了。
在715到744之间都是命令端口通信的流量。
所以此时的IOC是
以755为例，查看dst port为37280，即此时145.14.145.4使用的数据端口是37280。
所以第二条IOC为
Ip:145.14.145.4 port:37280 url:000webhost.com
第一个外网地址分析完了，接下来看第二个，145.14.144.10
从839开始
把红色字体的信息整理起来就得到应急报告了：
总结：
在2019年5月2日21点36分，Adriana.breaux的windows主机被Hawkeye Keylogger恶意软件感染。
细节：
主机名：BREAUX-WIN7-PC
用户名：Adriana.breaux
MAC地址：84:8f:69:09:86:c0
Ip地址：10.0.0.227
IOC:
Ip:145.14.145.4 port:21 url:000.webhost.com
Ip:145.14.145.4 port:37280 url:000webhost.com
Ip:145.14.144.10 port:21 url:000webhost.com
Ip:145.14.144.10 port:40651 url:000webhost.com
Ip:145.14.144.10 port:47434 url:000webhost.com
Ip:145.14.145.99 port:21 url:000webhost.com
Ip:145.14.145.99 port:36091 url:000webhost.com
Ip:145.14.145.99 port:35396 url:000webhost.com。
版权声明：本文为CSDN博主「Neil-Yale」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。原文链接：https://blog.csdn.net/yalecaltech/article/details/104176512
如果觉得文章对你有帮助，请点击右下角“在看”
本文始发于微信公众号（LemonSec）：恶意流量分析训练一
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论