analyzing-network-traffic-with-wireshark

Files (4)

• LICENSE
• SKILL.md
• api-reference.md · references/
• agent.py · scripts/

SKILL.md (first lines)

# 使用 Wireshark 分析网络流量

## 适用场景

- 通过检查命令与控制（command-and-control）流量、数据外泄或横向移动（lateral movement）的数据包级证据，调查疑似网络入侵
- 诊断网络性能问题，如重传、分片或 DNS 解析失败
- 通过捕获沙盒或隔离主机的流量，分析恶意软件的通信模式
- 通过确认实际穿越网络分段的流量，验证防火墙（firewall）和入侵检测系统（IDS）规则
- 从捕获的网络会话中提取文件、凭据或失陷指标（IOC）

**不适用于**：在未经授权的网络上捕获流量、在没有法律授权的情况下拦截私人通信，或作为生产监控中全功能 SIEM 平台的替代品。

## 前置条件

- 已安装 Wireshark 4.0+ 和 tshark 命令行工具
- 进行实时数据包捕获需要 root/sudo 权限或隶属于 `wireshark` 组
- 访问受监控网段的网络接口（物理网卡、SPAN 端口或网络分路器）
- 足够的磁盘空间用于数据包捕获文件（繁忙的千兆链路估计每分钟 1 GB）
- 熟悉 TCP/IP 协议、HTTP、DNS、TLS 和 SMB 的数据包层级细节

## 工作流程

### 步骤 1：配置捕获环境

设置捕获接口和过滤器，锁定相关流量：

```bash
# 列出可用接口
tshark -D

# 在 eth0 上启动捕获，使用捕获过滤器限制范围
tshark -i eth0 -f "host 10.10.5.23 and (port 80 or port 443 or port 445)" -w /tmp/capture.pcapng

# 使用环形缓冲区捕获以管理磁盘占用（10 个文件，每个 100MB）
tshark -i eth0 -b filesize:102400 -b files:10 -w /tmp/rolling_capture.pcapng

# 同时在多个接口上捕获
tshark -i eth0 -i eth1 -w /tmp/multi_interface.pcapng
```

对于 Wireshark GUI，在开始捕获前在"Capture Options"对话框中设置捕获过滤器。

### 步骤 2：应用显示过滤器进行针对性分析

```bash
# 过滤包含可疑 User-Agent 的 HTTP 流量
tshark -r capture.pcapng -Y "http.user_agent contains \"curl\" or http.user_agent contains \"Wget\""

# 查找指向可疑顶级域名的 DNS 查询
tshark -r capture.pcapng -Y "dns.qry.name contains \".xyz\" or dns.qry.name contains \".top\" or dns.qry.name contains \".tk\""

# 识别表明网络问题的 TCP 重传
tshark -r capture.pcapng -Y "tcp.analysis.retransmission"

# 过滤用于横向移动检测的 SMB 流量
tshark -r capture.pcapng -Y "smb2.cmd == 5 or smb2.cmd == 3" -T fields -e ip.src -e ip.dst -e smb2.filename

# 查找明文凭据传输
tshark -r capture.pcapng -Y "ftp.request.command == \"PASS\" or http.authbasic"

# 检测信标模式（规律间隔的连接）
tshark -r capture.pcapng -Y "ip.dst == 203.0.113.50" -T fields -e frame.time_relative -e ip.src -e tcp.dstport
```

### 步骤 3：协议专项深度分析

```bash
# 跟踪 TCP 流以重建对话
tshark -r capture.pcapng -q -z follow,tcp,ascii,0

# 分析 HTTP 请求/响应对
tshark -r capture.pcapng -Y "http" -T fields -e frame.time -e ip.src -e ip.dst -e http.request.method -e http.request.uri -e http.response.code

# 提取 DNS 查询/响应统计
tshark -r capture.pcapng -q -z dns,tree

# 分析 TLS 握手以检测弱密码套件
tshark -r capture.pcapng -Y "tls.handshake.type == 2" -T fields -e ip.src -e ip.dst -e tls.handshake.ciphersuite

# SMB 文件访问枚举
tshark -r capture.pcapng -Y "smb2" -T fields -e frame.time -e ip.src -e ip.dst -e smb2.filename -e smb2.cmd
```

### 步骤 4：提取工件和 IOC

```bash
# 导出 HTTP 对象（通过 HTTP 传输的文件）
tshark -r capture.pcapng --export-objects http,/tmp/http_objects/

# 导出 SMB 对象（通过 SMB 传输的文件）
tshark -r capture.pcapng --export-objects smb,/tmp/smb_objects/

# 提取所有唯一目标 IP 用于威胁情报查询
tshark -r capture.pcapng -T fields -e ip.dst | sort -u > unique_dest_ips.txt

# 提取 SSL/TLS 证书信息
tshark -r capture.pcapng -Y "tls.handshake.type == 11" -T fields -e x509sat.uTF8String -e x509ce.dNSName

# 提取所有访问的 URL
tshark -r capture.pcapng -Y "http.request" -T fields -e http.host -e http.request.uri | sort -u > urls.txt

# 对提取的文件进行哈希，用于 IOC 匹配
find /tmp/http_objects/ -type f -exec sha256sum {} \; > extracted_file_hashes.txt
```

### 步骤 5：统计分析与异常检测

```bash
# 协议层级统计
tshark -r capture.pcapng -q -z io,phs

# 按字节数排序的对话统计
tshark -r capture.pcapng -q -z conv,tcp -z conv,udp

# 识别最活跃主机
tshark -r capture.pcapng -q -z endpoints,ip

# IO 图数据（每秒数据包数）
tshark -r capture.pcapng -q -z io,stat,1,"COUNT(frame) frame"

From killvxk/cybersecurity-skills-zh, Apache-2.0.

More from killvxk/cybersecurity-skills-zh