performing-network-forensics-with-wireshark

使用 Wireshark 和 tshark 捕获并分析网络流量，重建网络事件、提取制品并识别恶意通信。

跳到安装

仓库: killvxk/cybersecurity-skills-zh
最近来源活动: 2026年3月17日 21:38
检测到的 SKILL.md 语言: 中文
星标: 42
分支: 9

安装方式

默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。

用 Codex 或 Claude 帮你安装复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。

直接命令不会经过审查 Prompt；运行前请先检查来源。

npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-network-forensics-with-wireshark

命令会保持在同一行。复制前请横向滚动并检查完整内容。

想先保存到本地？可下载 SkillsMP 当前能够提供的文件。

检查来源文件

决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。

文件资源管理器

4 个文件

SKILL.md

来源说明 · 只读预览

返回搜索返回安装

hunting-for-dns-tunneling-with-zeek

通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。

2026-04-27

implementing-beyondcorp-zero-trust-access-model

实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。

2026-04-27

testing-for-xss-vulnerabilities-with-burpsuite

在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。

2026-04-27

查看这个仓库的全部 Skills

name	performing-network-forensics-with-wireshark
description	使用 Wireshark 和 tshark 捕获并分析网络流量，重建网络事件、提取制品并识别恶意通信。
domain	cybersecurity
subdomain	digital-forensics
tags	["forensics","network-forensics","wireshark","pcap","packet-analysis","traffic-analysis"]
version	1.0
author	mahipal
license	Apache-2.0

使用 Wireshark 执行网络取证

适用场景

分析安全事件中捕获的网络流量（PCAP 文件）时
在捕获的流量中识别命令与控制（C2）通信时
从数据包捕获中重建数据窃取活动时
进行恶意软件分析以识别网络入侵指标时
提取通过网络传输的文件、凭据和制品时

前置条件

已安装 Wireshark 或 tshark 用于数据包分析
来自网络捕获的 PCAP/PCAPNG 文件（tcpdump、Wireshark、网络 TAP）
NetworkMiner 用于自动化制品提取
处理大型捕获文件所需的足够内存（1GB+ 的 PCAP 需要 8GB+ 内存）
了解 TCP/IP、HTTP、DNS、TLS 协议
用于 IP 地理定位的 GeoIP 数据库

工作流程

步骤 1：准备并验证捕获文件

# 安装 Wireshark 和 tshark
sudo apt-get install wireshark tshark

# 验证 PCAP 文件
capinfos /cases/case-2024-001/network/capture.pcap

# 输出包括：文件类型、数据包数量、捕获时长、数据大小
# 示例输出：
# File name:           capture.pcap
# File type:           Wireshark/tcpdump/... - pcap
# Number of packets:   1,245,678
# File size:           856 MB
# Data size:           823 MB
# Capture duration:    3600.123456 seconds
# First packet time:   2024-01-15 14:00:00.000000
# Last packet time:    2024-01-15 15:00:00.123456

# 对 PCAP 进行完整性哈希
sha256sum /cases/case-2024-001/network/capture.pcap \
   > /cases/case-2024-001/network/pcap_hash.txt

# 获取协议层次统计概览
tshark -r /cases/case-2024-001/network/capture.pcap -q -z io,phs

步骤 2：过滤并识别可疑流量

# 提取会话统计
tshark -r /cases/case-2024-001/network/capture.pcap -q -z conv,tcp

# 按传输字节数找出最活跃主机
tshark -r /cases/case-2024-001/network/capture.pcap -q -z endpoints,ip \
   | sort -t$'\t' -k3 -rn | head -20

# 过滤 DNS 查询（可能是 C2 或数据渗出）
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "dns.qr == 0" \
   -T fields -e frame.time -e ip.src -e dns.qry.name \
   > /cases/case-2024-001/analysis/dns_queries.txt

# 查找针对异常 TLD 或超长域名的 DNS 查询（DNS 隧道）
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "dns.qr == 0 && dns.qry.name matches \"[a-z0-9]{30,}\"" \
   -T fields -e frame.time -e ip.src -e dns.qry.name \
   > /cases/case-2024-001/analysis/suspicious_dns.txt

# 过滤 HTTP 流量
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "http.request" \
   -T fields -e frame.time -e ip.src -e ip.dst -e http.request.method \
   -e http.host -e http.request.uri -e http.user_agent \
   > /cases/case-2024-001/analysis/http_requests.txt

# 查找连接到已知恶意端口的流量
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "tcp.dstport == 4444 || tcp.dstport == 8080 || tcp.dstport == 1337 || tcp.dstport == 6667" \
   -T fields -e frame.time -e ip.src -e ip.dst -e tcp.dstport \
   > /cases/case-2024-001/analysis/suspicious_ports.txt

# 检测信标模式（定时间隔连接）
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "ip.dst == 185.0.0.1" \
   -T fields -e frame.time_epoch \
   > /tmp/beacon_times.txt

步骤 3：从流量中提取文件和对象

# 导出 HTTP 对象（通过 HTTP 传输的文件）
tshark -r /cases/case-2024-001/network/capture.pcap \
   --export-objects http,/cases/case-2024-001/analysis/http_objects/

# 导出 SMB 对象
tshark -r /cases/case-2024-001/network/capture.pcap \
   --export-objects smb,/cases/case-2024-001/analysis/smb_objects/

# 导出 DICOM 对象（医学影像）
tshark -r /cases/case-2024-001/network/capture.pcap \
   --export-objects dicom,/cases/case-2024-001/analysis/dicom_objects/

# 导出 FTP 数据传输
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "ftp-data" \
   -T fields -e ftp-data.data \
   --export-objects ftp-data,/cases/case-2024-001/analysis/ftp_objects/

# 对所有提取对象进行哈希
find /cases/case-2024-001/analysis/http_objects/ -type f -exec sha256sum {} \; \
   > /cases/case-2024-001/analysis/extracted_file_hashes.txt

# 在 VirusTotal 上检查提取文件哈希
while read hash filepath; do
   echo "正在检查 $filepath ($hash)"
   curl -s "https://www.virustotal.com/api/v3/files/$hash" \
      -H "x-apikey: YOUR_API_KEY" | python3 -c "
import json,sys
data=json.load(sys.stdin)
if 'data' in data:
   stats=data['data']['attributes']['last_analysis_stats']
   print(f'  恶意：{stats[\"malicious\"]}，未检出：{stats[\"undetected\"]}')
else:
   print('  在 VT 上未找到')
"
done < /cases/case-2024-001/analysis/extracted_file_hashes.txt

步骤 4：重建 TCP 流和会话

# 跟踪特定 TCP 流（流索引 42）
tshark -r /cases/case-2024-001/network/capture.pcap \
   -q -z "follow,tcp,ascii,42" \
   > /cases/case-2024-001/analysis/stream_42.txt

# 提取与可疑主机相关的所有 HTTP 请求-响应对
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "http && ip.addr == 185.0.0.1" \
   -T fields -e frame.time -e http.request.method -e http.host \
   -e http.request.uri -e http.response.code -e http.content_length \
   > /cases/case-2024-001/analysis/suspicious_http.txt

# 提取 TLS/SSL 证书信息
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "tls.handshake.type == 11" \
   -T fields -e ip.dst -e tls.handshake.certificate \
   > /cases/case-2024-001/analysis/tls_certs.txt

# 提取 TLS SNI（服务器名称指示）值
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "tls.handshake.extensions_server_name" \
   -T fields -e frame.time -e ip.src -e ip.dst \
   -e tls.handshake.extensions_server_name \
   > /cases/case-2024-001/analysis/tls_sni.txt

# 从未加密协议中提取凭据
tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "ftp.request.command == \"USER\" || ftp.request.command == \"PASS\"" \
   -T fields -e frame.time -e ip.src -e ftp.request.command -e ftp.request.arg

tshark -r /cases/case-2024-001/network/capture.pcap \
   -Y "http.authorization" \
   -T fields -e frame.time -e ip.src -e http.host -e http.authorization

步骤 5：使用 NetworkMiner 进行自动化分析

# 安装 NetworkMiner（Linux 上需要 Mono）
sudo apt-get install mono-complete
wget https://www.netresec.com/?download=NetworkMiner -O NetworkMiner.zip
unzip NetworkMiner.zip -d /opt/NetworkMiner/

# 运行 NetworkMiner
mono /opt/NetworkMiner/NetworkMiner.exe /cases/case-2024-001/network/capture.pcap

# NetworkMiner 自动提取：
# - 主机清单（操作系统指纹、开放端口）
# - 通过 HTTP、FTP、SMB、TFTP 传输的文件
# - 网页流量中的图片
# - 凭据（明文和 NTLM 哈希）
# - DNS 记录
# - 会话参数
# - 异常和告警

步骤 6：生成网络取证报告

# 汇编调查结果
cat << 'EOF' > /cases/case-2024-001/analysis/network_forensics_report.txt
网络取证分析报告
===================================
案例：2024-001
捕获文件：capture.pcap（856 MB，1,245,678 个数据包）
捕获时段：2024-01-15 14:00 至 15:00 UTC
分析员：[检验员姓名]

流量概述：
  数据包总数：1,245,678
  唯一源 IP：45
  唯一目的 IP：234
  协议：TCP（78%）、UDP（18%）、ICMP（2%）、其他（2%）

C2 通信：
  目标：185.0.0.1:443
  信标间隔：约 60 秒
  连接总数：58
  数据传输：4.2 MB 出站，12.3 MB 入站
  TLS SNI：update-service.malware-c2.com

数据渗出：
  方式：通过 HTTPS POST 发送至 185.0.0.1
  数据量：45 分钟内 4.2 MB
  文件：从 HTTP 对象中提取的 3 个 ZIP 压缩包

DNS 隧道：
  可疑查询目标：data.evil-dns.com
  平均子域名长度：45 个字符
  查询次数：1,234 次（正常基线：50 次）
EOF

关键概念

概念	描述
PCAP/PCAPNG	存储原始网络流量的数据包捕获文件格式
TCP 流（TCP stream）	两个端点之间完整的双向通信
深度包检测（Deep packet inspection）	分析超出头部信息的数据包载荷内容
信标行为（Beaconing）	恶意软件定时回调 C2 服务器的行为
DNS 隧道（DNS tunneling）	将数据编码在 DNS 查询中以进行隐蔽渗出
TLS/SNI	服务器名称指示，在加密连接中揭示目标主机名
网络流（Network flow）	端点间通信摘要（IP、端口、字节数、时长）
协议层次（Protocol hierarchy）	捕获文件中各协议的统计分布

工具与系统

工具	用途
Wireshark	基于 GUI 的数据包分析器，支持深度协议解析
tshark	Wireshark 的命令行版本，用于脚本化分析
NetworkMiner	自动化网络取证分析和文件提取
tcpdump	命令行数据包捕获工具
zeek（Bro）	生成结构化连接日志的网络安全监控器
ngrep	用于数据包内容模式匹配的网络 grep
capinfos	PCAP 文件统计和元数据工具
mergecap	将多个 PCAP 文件合并为单一捕获文件

常见场景

场景 1：恶意软件 C2 通信分析 在 Wireshark 中加载 PCAP，识别向外部 IP 的信标模式，检查 TLS 证书是否为自签名或来自异常颁发者，提取包含编码命令的 HTTP POST 数据，将 C2 IP 与威胁情报源关联。

场景 2：数据渗出检测 分析流量统计，查找异常大的出站传输；检查 DNS 查询长度，识别 DNS 隧道指标；追踪 FTP 和 HTTP 文件上传至外部服务器；从数据包数据重建已渗出文件。

场景 3：企业网络内部横向移动 过滤内部主机间的 SMB、RDP、WMI 和 PSExec 流量，识别多个系统间的凭据使用模式，追踪攻击者在网络中的传播路径，与 Windows 事件日志中的认证事件关联。

场景 4：Web 应用攻击重建 过滤 Web 服务器的 HTTP 流量，识别 SQL 注入、XSS 和目录遍历尝试，跟踪成功利用的 TCP 流，提取上传的 Webshell 或恶意载荷，为事件报告记录攻击链。

输出格式

网络取证摘要：
  捕获：capture.pcap
  时长：1 小时（2024-01-15 14:00-15:00 UTC）
  数据包：1,245,678 个 | 大小：856 MB

  最可疑连接：
    192.168.1.50 -> 185.0.0.1:443   （C2，58 次连接，4.2MB 出站）
    192.168.1.50 -> 10.0.0.25:445   （SMB 横向移动）
    192.168.1.50 -> 10.0.0.30:3389  （RDP 横向移动）

  提取的制品：
    文件：        23 个（3 个被 VT 标记为恶意）
    凭据：        2 组明文 FTP 登录凭据
    DNS 查询：    1,234 条可疑记录（可能的隧道行为）
    TLS 证书：    5 张自签名证书

  已识别的 IOC：
    IP：     185.0.0.1, 203.0.113.50
    域名：   update-service.malware-c2.com, data.evil-dns.com
    哈希：   3 个文件哈希被标记为恶意软件

performing-network-forensics-with-wireshark

来源信息

安装方式

检查来源文件

同仓库更多 Skills

同仓库更多 Skills

使用 Wireshark 执行网络取证

适用场景

前置条件

工作流程

步骤 1：准备并验证捕获文件

步骤 2：过滤并识别可疑流量

步骤 3：从流量中提取文件和对象

步骤 4：重建 TCP 流和会话

步骤 5：使用 NetworkMiner 进行自动化分析

步骤 6：生成网络取证报告

关键概念

工具与系统

常见场景

输出格式

使用 Wireshark 执行网络取证

适用场景

前置条件

工作流程

步骤 1：准备并验证捕获文件

步骤 2：过滤并识别可疑流量

步骤 3：从流量中提取文件和对象

步骤 4：重建 TCP 流和会话

步骤 5：使用 NetworkMiner 进行自动化分析

步骤 6：生成网络取证报告

关键概念

工具与系统

常见场景

输出格式