# 前置知识

本文章由团队大佬东东书写完成

简单的流量分析操作得会

这是一道网络安全好靶场的关于木马流量分析的题目：

题目描述：东东前阵子收到一个奇怪的请求，这个样本在云沙箱里好“安全”诶~

话说这是不是个病毒呢？(*´･д･)?

一次APT木马病毒分析,注意不要在本机运行木马，请在虚拟机环境下进行分析。

为了降低难度：这里为初学者直接提供pcap包体，但下次可要自己dump了哦~

题目地址：http://www.loveli.com.cn/see_bug_one?id=756&contest=70

## 靶场考点/漏洞原理


本来这个题是要求自己dump相应的流量包的，但是考虑到大家的经验咱是不是很丰富，所以我们直接提供了pcap包

## 解题思路


写个官方wp玩玩

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/3a2abb2c7cc2863fafeeec7510045901.jpg)

先看看题目吧，整理一下东西：

分两个部分吧，与软件有关，与pcap流量分析有关

分别是：

软件类：

云沙箱和探针结果是否矛盾？

该样本是否是病毒？

该样本是否对系统无影响？

样本文件的MD5值是什么？

样本文件的SHA256值是什么？

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/7584b7698f578c7fc741f19813387e95.jpg)

让我们选择一个合适的云沙箱对基本信息进行简单的获取

可以看到：

>云沙箱和探针结果是否矛盾？是（探针都出问题了，这里还报安全）该样本是否是病毒？是（一般这个要结合后续的流量分析和逆向进行判断）
该样本是否对系统无影响？否（是/否咱先随便猜一个，后续流量分析告诉咱答案）样本文件的MD5值是什么？7083112a2f15edf4ab0eeb4d55977a9d
样本文件的SHA256值是什么？==238eb6d00c29a445c8e4cfc74027f51a046d2a26e4fc21c372f117b3b24825b3


pcap类：

该病毒外连IP是多少

该样本使用什么类型的网络通信协议？

是否存在C&C通信？

ICMP状态是否异常？

攻击IP地址是什么？

使用的通信端口是多少？

通信类型是什么？

流量包中总共有多少个数据包？

主要协议分布中UDP占多少帧？

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/669b98e458317be6a1b947cb442970bd.jpg)

首先打开统计，让我们来看看有哪些信息：

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/92743f6501ef38cf203d1567c06ad774.jpg)​

>可以看到；
该样本使用什么类型的网络通信协议？TCP流量包中总共有多少个数据包？863
主要协议分布中UDP占多少帧？==417


过滤一下icmp

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/024fb13d840479718a9f71c96bde91c7.jpg)

发现icmp无异常（目标不可达，连交互都没有，那异常就不是这个引起的）

过滤一下TCP

​![image](https://developer.qcloudimg.com/http-save/yehe-1466950/d6d17d8b8fbe5da44e6cca3d06bce9fb.jpg)

可以看到：

>使用的通信端口是多少？443（端口）该病毒外连IP是多少？20.44.220.42
攻击IP地址是什么？20.44.220.42通信类型是什么？https
或者说严格的说是
传输层：TCP
应用层：HTTPS (TLS over TCP)
是否存在C&C通信？==是
具体依据如下：


C&C 通信判断依据


1. 异常进程网络行为
	rundll32.exe 这个系统工具进程出现异常出网行为
	正常的 rundll32.exe 不应该主动建立外部网络连接
	符合恶意软件使用 LOLSBIN 技术建立 C&C 通道的特征

2. 加密连接特征
	连接到外部 IP 20.44.220.42:443
	使用 TLS/SSL 加密通信
	这是典型的 C&C 通信隐藏手法（加密流量避免检测）

3. 无正常业务逻辑
	没有正常的 HTTP 请求/响应模式
	不是标准的 Web 浏览行为
	纯粹的加密数据流，符合 C&C 心跳包特征

4. 流量行为模式
	从流量分析发现：
	定期连接（心跳包特征）
	数据量不大但持续通信
	符合"主控端 ↔ 受控端"的 C&C 架构

5. IOC 指标关联
	外部 IP 20.44.220.42 可疑
	源 IP 100.64.8.34 是 NAT 转换地址（内部主机）
	从内到外的单向主动连接

6. 结合恶意代码分析
	后续逆向分析证实：
	_DoComObjectSta 和 _InvokeLocalServer 两个函数都包含网络通信逻辑
	使用 COM 对象建立持久化连接
	有消息循环维持长期通信


希望这篇官方wp，能帮助到大家，最后整理一下答案给大家一个省流版：

```
该病毒外连IP是多少
20.44.220.42
该样本使用什么类型的网络通信协议？
TCP
是否存在C&C通信？
是
ICMP状态是否异常？
否
攻击IP地址是什么？
20.44.220.42
云沙箱和探针结果是否矛盾？
是
该样本是否是病毒？
是
该样本是否对系统无影响？
否
使用的通信端口是多少？
443
通信类型是什么？
HTTPS
流量包中总共有多少个数据包？
863
主要协议分布中UDP占多少帧？
417
样本文件的MD5值是什么？
7083112a2f15edf4ab0eeb4d55977a9d
样本文件的SHA256值是什么？
238eb6d00c29a445c8e4cfc74027f51a046d2a26e4fc21c372f117b3b24825b3
```

题目地址：http://www.loveli.com.cn/see_bug_one?id=756&contest=70

一次APT木马病毒分析 Level-1 wp

安全

网络与通信

网络安全靶场木马分析实战：通过pcap流量包分析APT病毒行为，检测C&C通信特征，识别外连IP 20.44.220.42:443的HTTPS加密连接，掌握MD5/SHA256样本哈希值7083112a2f15edf4ab0eeb4d55977a9d和238eb6d00c29a445c8e4cfc74027f51a046d2a26e4fc21c372f117b3b24825b3。

网络安全

流量分析

虚拟机

数据流

ICMP

2026新春采购季

ddos

tcap

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

网络安全靶场木马分析实战：通过pcap流量包分析APT病毒行为，检测C&C通信特征，识别外连IP 20.44.220.42:443的HTTPS加密连接，掌握MD5/SHA256样本哈希值7083112a2f15edf4ab0eeb4d55977a9d和238eb6d00c29a445c8e4cfc74027f51a04...

一次APT木马病毒分析 Level-1 wp-腾讯云开发者社区-腾讯云

一次APT木马病毒分析 Level-1 wp

一次APT木马病毒分析 Level-1 wp

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐