【每日一记2】+第1天+心跳包分析学习
  

一个无趣的人 2480

{{ttag.title}}
学习背景
木马直连通信:


1、互联网发展早期,各类防护设备比较欠缺,所以早期木马使用TCP直连方式就可以连到被控端。
2、TCP直连通信的特点就是被控制端打开端口监听,控制端作为客户端,与被控端直接建立TCP连接。
假设一台机器感染了木马,感染后想判断这台机器上面的数据是否有异常,应该从哪个角度去分析呢?
心跳包,就是客户端定时会发送简单的信息给服务器端,告诉服务器端客户端目前的状态。
恶意程序除了与控制端进行正常的数据通信,也会发送心跳包。

心跳包特点:
1、发包频率
2、包长
心跳包可以定时,比如说每隔一分钟或者每隔多少秒发送一次心跳包。恶意程序为了避免引起别人的怀疑会改变发包的频率,但是改变中仍会有一些特征出现。心跳包的包长不一定是等长或者非常接近的。

分析步骤:

某台机器的IP是192.168.0.45,如果想发现心跳包应该怎么去看这些数据呢?
通常由客户端向服务器端发出,我们可以写一个过滤器来过滤一下,只关注从45向外发的数据,指定IP地址为当前机器.0.45,回车后可以看到很多数据。我们在对协议进行过滤,再加一个TCP,过滤完后我们就会看到这样的一个流量数据,两个数据包之间相差多久,数据包的包长是多少等等。

我们可以对于整个TCP流的情况从时间的维度和包长的维度画一个图,横轴是时间维度(观察到两个包之间的距离),纵轴是序列号维度(纵轴可以观察两个包之间的长度)。如果图中体现了线性关系,那么它有可能就是一个心跳包。

在我们没有情报的基础上,如果纯粹从流量上看我们不能说有心跳包就一定是恶意的。这个时候我们可以通过情报去查询一下IP是不是可信的,如果有情报的话,我们看看他心跳包里传的什么内容来进一步确认它是不是一个恶意的程序。
OK,今天就学习到这里。整个心跳包分析过程就如上所示了。

打赏鼓励作者,期待更多好文!

打赏
2人已打赏

平凡的小网工 发表于 2019-12-6 22:28
  
楼主分析的关于分析的思路很棒,学习了。
sangfor_闪电回_小六 发表于 2019-12-9 14:47
  
感谢楼主分享,坚持每日一记,领取更多成长激励!继续加油哦~
蟲爺 发表于 2022-1-19 00:20
  
感谢分享
发表新帖
热门标签
全部标签>
西北区每日一问
每日一问
干货满满
技术盲盒
GIF动图学习
2023技术争霸赛专题
产品连连看
技术笔记
安装部署配置
日志审计
新版本体验
秒懂零信任
信服课堂视频
技术圆桌
技术咨询
畅聊IT
答题自测
专家问答
在线直播
MVP
网络基础知识
升级
安全攻防
功能体验
上网策略
测试报告
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
标准化排查
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
自助服务平台操作指引
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
【每周新见闻】

本版版主

12
185
6

发帖

粉丝

关注

本版达人

LoveTec...

本周分享达人

新手24116...

本周提问达人