案例-回溯式发现,挖掘,追踪木马通信

回溯式木马发现挖掘与分析客户:某知名大学医学部部署位置:互联网出口知识前瞻:当今木马多采用反弹式建立连接。中木马的主机由内向外发起连接,绕开防火墙和安全设备的检测,更加隐蔽。而木马的在建立连接之初总要通过动态域名,blog等形式进行查询,以找到控制端的IP与服务端口。因此根据其特点进行DNS的日志分析是找出反弹木马重要手段。木马发现:该大学医学部于5-17日部署了科来回溯式硬件,以便了解自己网络流量构成,异常流量,以及木马网络攻击等行为。5-18日,使用控制台将其上午9:00—11:00的DNS日志下载下来进行分析。选择下载并分析数据包后,对该两个小时的DNS日志进行搜索,在结果统计中关键字3322,(3322.org是黑客常用动态域名,著名的希网解析服务,此类域名开头部分随意,结尾多为*.3322.org;*.7766.org,*.2288.org等)。如图:通过查找我们发现两个域名:mayi.7766.org和域名xjmir.7766.org.而且该域名都是由IP218.249.94.20进行解析。两个域名在1小时内被解析过40次,解析较为频繁。试着通过google和百度来搜索该域名的信息发现这两个域名为木马控制端的域名。显然,内网PC218.249.94.20确实是中了木马了。木马挖掘:中了木马后的主机,向控制端传送过什么数据?有哪些通信行为?网内是否还有人中了该木马?这就要对中了马的主机进行细致分析了。首先我们确定木马控制端是什么IP,其实在DNS日志中,已经有答案了。我们看到xjmir.7766.org该域名的公网IP是:218.61.17.171.mayi.7766.org的IP是61.147.116.75.我们选择5-18日一天的流量(时间窗口选择24小时),在IP地质里去搜索这两个IP(注意:木马通信一般流量不大,而控制台每次默认选择流量最大的1000台PC进行展现,所以我们要选择“显示全部IP”)通过搜索IP找出了木马控制端IP,并发现其与20主机有通信。公网IP218.61.17.171未与肉鸡进行通信,估计是控制端不在线,或木马处于潜伏期。下载木马通信的数据流。使用控制台集成的数据包级分析工具进行分析。如图我们看到木马通信使用的是TCP2014端口,但该木马通信内容部分是加密过的,数据流看到内容有限而且木马通信的质量也很不好,出现大量的重传数据包。查看控制端的IP:

1、当您付费下载文档后,您只拥有了使用权限,并不意味着购买了版权,文档只能用于自身使用,不得用于其他商业用途(如 [转卖]进行直接盈利或[编辑后售卖]进行间接盈利)。
2、本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供参考,付费前请自行鉴别。
3、如文档内容存在侵犯商业秘密、侵犯著作权等,请点击“举报”。

常见问题具体如下:

1、问:已经付过费的文档可以多次下载吗?

      答:可以。登陆您已经付过费的账号,付过费的文档可以免费进行多次下载。

2、问:已经付过费的文档不知下载到什么地方去了?

     答:电脑端-浏览器下载列表里可以找到;手机端-文件管理或下载里可以找到。

            如以上两种方式都没有找到,请提供您的交易单号或截图及接收文档的邮箱等有效信息,发送到客服邮箱,客服经核实后,会将您已经付过费的文档即时发到您邮箱。

注:微信交易号是以“420000”开头的28位数字;

       支付宝交易号是以“2024XXXX”交易日期开头的28位数字。

客服邮箱:

biganzikefu@outlook.com

所有的文档都被视为“模板”,用于写作参考,下载前须认真查看,确认无误后再购买;

文档大部份都是可以预览的,笔杆子文库无法对文档的真实性、完整性、准确性以及专业性等问题提供审核和保证,请慎重购买;

文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为依据;

如果您还有什么不清楚的或需要我们协助,可以联系客服邮箱:

biganzikefu@outlook.com

常见问题具体如下:

1、问:已经付过费的文档可以多次下载吗?

      答:可以。登陆您已经付过费的账号,付过费的文档可以免费进行多次下载。

2、问:已经付过费的文档不知下载到什么地方去了?

     答:电脑端-浏览器下载列表里可以找到;手机端-文件管理或下载里可以找到。

            如以上两种方式都没有找到,请提供您的交易单号或截图及接收文档的邮箱等有效信息,发送到客服邮箱,客服经核实后,会将您已经付过费的文档即时发到您邮箱。

注:微信交易号是以“420000”开头的28位数字;

       支付宝交易号是以“2024XXXX”交易日期开头的28位数字。

笔杆子文秘
机构认证
内容提供者

为您提供优质文档,供您参考!

确认删除?