1. 项目概述从海量流量中嗅探攻击的“气味”做安全分析或者运维排查最头疼的莫过于面对一个几GB甚至几十GB的pcap抓包文件里面混杂着海量的正常业务流量和可能的攻击流量。就像在一座嘈杂的菜市场里要精准地听出某个角落里两个人在密谋什么。Wireshark就是我们的“超级耳朵”和“翻译器”但光有工具不够更重要的是知道听什么、怎么听。今天要聊的就是如何利用Wireshark在HTTP这个最普遍的应用层协议流量里快速定位那些不怀好意的“黑客攻击痕迹”。这不是一个基础操作教程而是一套基于实战经验的、从攻击者视角和防御者视角双重出发的狩猎思路。HTTP协议因其明文或部分明文传输的特性成为了攻击者最常利用的通道之一SQL注入、WebShell上传、敏感信息泄露、暴力破解等攻击都依赖它。我们的目标就是教会你如何像老练的猎人一样通过流量中的异常“气味”——比如异常的请求方法、畸形的参数、不合逻辑的响应状态码、可疑的通信模式——来快速缩小排查范围锁定攻击行为。我会附上一个精心构造的pcap文件里面模拟了多种常见的Web攻击流量你可以用它来练手验证文中的分析技巧。2. 核心思路建立攻击痕迹的“特征画像”在开始具体操作前我们必须先建立正确的分析思路。漫无目的地浏览数据包是效率最低下的做法。高效的分析始于对攻击行为的“特征画像”的深刻理解。我们需要思考一次成功的攻击在HTTP流量层会留下哪些必然或可能的行为特征我将这些特征归纳为四个维度协议异常、内容异常、时序异常和上下文异常。2.1 协议异常不守规矩的“访客”HTTP协议有其标准规范攻击流量往往首先在协议层面露出马脚。非标准HTTP方法除了常见的GET、POST、HEAD、PUT、DELETE攻击者可能使用PROPFIND、COPY、MOVE等WebDAV方法进行探测或利用或者使用DEBUG、TRACE等方法测试服务器配置。更隐蔽的是在POST请求体中伪装但请求行却使用GET /admin.php?cmdsystem(whoami)这种将参数放在URL中的方式试图绕过某些WAF规则。畸形的URL与头部过长的URL尝试缓冲区溢出、包含大量../的路径穿越/../../../etc/passwd、URL编码混乱或双重编码%252e%252e%252f、头部字段缺失如缺少Host、头部字段重复或包含特殊字符如换行符\r\n注入。状态码与内容长度不匹配一个HTTP 200 OK的响应却伴随着极小的Content-Length如几个字节这可能是一个攻击成功的“盲注”响应仅返回真假标志。反之一个403 Forbidden或404 Not Found的响应却有着异常大的响应体可能包含了服务器的详细错误信息泄露了路径、框架版本等敏感数据。2.2 内容异常负载中的“恶意代码”这是攻击检测的核心攻击载荷Payload就藏在请求或响应的内容里。SQL注入特征在请求参数中出现大量的单引号、注释符--、#、/* */以及UNION、SELECT、FROM、information_schema、sleep()、benchmark()等关键字。需要注意这些关键字可能被分割、编码或混淆。命令注入与WebShell特征参数中出现系统命令分隔符如分号;、管道符|、反引号、、||。以及常见的PHP函数如system()、exec()、shell_exec()、eval()、assert()或连接WebShell的特定参数名如cmd、action、password、ant等。目录遍历与文件包含参数中包含../、..\、/etc/passwd、/proc/self/environ、C:\windows\system32\drivers\etc\hosts等系统文件路径或者php://input、file://、http://等伪协议。敏感信息泄露在响应体中直接出现了数据库连接字符串、API密钥、服务器绝对路径、堆栈跟踪信息、源代码片段等。2.3 时序异常反常的“对话节奏”正常的用户交互和自动化攻击工具产生的流量模式存在显著差异。高速率请求短时间内从同一个源IP向同一个目标路径如/login.php发起大量请求这是典型的暴力破解或撞库攻击特征。规律性探测以固定的时间间隔对一批不存在的路径如/admin/、/backup/、/phpmyadmin/发起HEAD或GET请求这是自动化扫描工具的行为。长连接下的持续交互一个TCP连接建立后持续了非常长的时间并且有间歇性的、小的HTTP请求/响应交换这可能是WebShell的交互会话或C2命令与控制服务器的心跳与指令传输。2.4 上下文异常格格不入的“访客背景”将单个数据包放在整个通信流和网络环境中审视。User-Agent异常使用默认的、过时的、或明显是扫描器/漏洞利用工具的User-Agent如sqlmap/1.7.0#dev、Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)等。当然高明的攻击者会伪装成普通浏览器。来源IP异常流量来自不常见的国家、地区的IP段或者来自已知的云服务器/VPS提供商攻击者常用且与正常业务用户IP段不符。内部横向移动如果抓包点在内网发现一台服务器如Web服务器在成功被入侵后主动向内部其他服务器的敏感端口如445、3389、22发起连接这是典型的横向移动迹象。有了这四个维度的“特征画像”我们再看Wireshark里的流量就不再是一堆杂乱无章的文本而是一幅有待解读的行为图谱。接下来我们进入实战环节看看如何用Wireshark的过滤器和功能将这些特征快速筛选出来。3. Wireshark实战构建高效过滤与搜索策略打开一个大型pcap文件直接浏览是无意义的。我们必须利用Wireshark强大的显示过滤器和工具像筛子一样层层过滤逐步聚焦可疑流量。3.1 第一层过滤聚焦HTTP协议与关键会话首先我们需要从所有协议TCP、UDP、ARP等中快速提取出HTTP流量。基础过滤在显示过滤器栏输入http。这会显示所有Wireshark识别出的HTTP请求和响应数据包。这是我们的起点。关键对象追踪在过滤出HTTP流量后重点关注以下对象异常状态码使用过滤器http.response.code 400快速定位所有客户端或服务器错误。特别是500 Internal Server Error可能暴露了注入攻击导致的数据库或应用错误。403 Forbidden和404 Not Found的集中出现可能指向扫描行为。特定请求方法使用http.request.method “POST”或http.request.method “PUT”重点关注非GET请求因为攻击载荷更可能藏在POST数据体中。也可以搜索非常用方法http.request.method not in {“GET” “POST” “HEAD”}。关键路径如果你怀疑管理后台被攻击可以使用http.request.uri contains “admin”或http.request.uri contains “login”进行过滤。注意Wireshark默认只将标准端口80 443等的流量识别为HTTP协议。如果Web服务运行在非标准端口如8080你需要右键TCP数据包 -Decode As...- 将当前或目标端口设置为HTTP协议Wireshark才会正确解析。3.2 第二层过滤基于内容特征的深度筛查当我们将范围缩小到一批可疑的HTTP会话后就需要深入数据包内部检查负载内容。字符串搜索最常用这是定位已知攻击特征的最快方法。按下CtrlF选择“分组详情”和“字符串”输入关键词进行搜索。例如搜索union select找SQL注入。搜索eval(或system(找命令执行或WebShell。搜索/etc/passwd或..\找路径遍历。搜索password或Authorization: Basic找明文凭证。实操心得字符串搜索时注意切换“区分大小写”选项。有些攻击会使用大小写混淆如UnIoN SeLeCt来绕过简单的WAF规则。此时应关闭大小写敏感进行搜索。使用显示过滤器匹配负载内容更精准的做法是使用http contains过滤器。例如http.request.uri contains “select”查找URI中包含select的请求。http.file_data contains “?php”查找HTTP数据体中包含PHP标签的内容可能在上传WebShell。这个过滤器的优势是能实时应用并与其他过滤器组合如http.request.method”POST” http.file_data contains “cmd”。3.3 第三层分析会话重组与文件导出攻击者上传的WebShell、窃取的数据文件往往以HTTP文件传输的形式存在。Wireshark可以重组会话并导出文件。跟踪TCP流在任何一个HTTP数据包上右键选择追踪流-TCP流。Wireshark会将整个TCP会话的请求和响应内容重组并以ASCII或EBCDIC, Hex Dump形式在一个窗口显示。这里你可以清晰地看到一次完整的交互对于分析WebShell的指令回显、文件上传内容至关重要。导出HTTP对象点击菜单文件-导出对象-HTTP...。Wireshark会列出所有捕获到的HTTP传输的文件如图片、JS、CSS、文档等。你可以在这里直接看到文件名、内容类型和大小并可以导出保存。这是寻找被上传的WebShell文件如.jpg后缀的PHP木马或被窃取文件的利器。重点关注异常的文件名、与网站类型不符的Content-Type如一个图片URL却返回text/html或者异常大的文件。3.4 第四层关联统计与端点分析当怀疑存在扫描或暴力破解时需要从宏观视角看流量模式。统计 - 对话点击菜单统计-对话。查看TCP或UDP标签页。这里按IP地址对列出了所有通信会话并显示了数据包数、字节数。寻找那些与目标IP有大量、短小会话的源IP。例如一个外部IP与你的服务器在短时间内建立了上百个TCP会话但每个会话只交换了3-5个数据包对应一次HTTP请求和响应这极有可能是自动化扫描。统计 - HTTP - 请求序列这个功能可以直观地看到每个主机对客户端-服务器的HTTP请求序列有助于发现针对特定路径的集中访问。通过这四层递进式的分析策略我们就能从海量数据中一步步抽丝剥茧将可疑的流量会话孤立出来。下面我们结合一个模拟的pcap文件进行具体的案例剖析。4. 案例实战剖析一个多攻击场景的PCAP文件假设你已加载我提供的attack_trace.pcapng文件。这个文件模拟了一个小型企业网站遭受的一系列常见攻击。让我们一步步拆解。4.1 场景一SQL注入攻击的痕迹第一步寻找异常状态码。应用过滤器http.response.code 500。我们立刻发现几个来自IP192.168.1.100对192.168.1.10的请求返回了500错误。第二步深入分析其中一个会话。选中一个500响应的数据包追踪其TCP流右键 - 追踪流 - TCP流。在流内容窗口中我们清晰地看到GET /product.php?id1 AND 11 HTTP/1.1 Host: victim.com ...以及服务器的响应HTTP/1.1 500 Internal Server Error ... Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version...结论攻击者正在对product.php的id参数进行基于布尔逻辑的SQL注入测试。单引号导致了SQL语法错误服务器返回了详细的数据库错误信息这属于“错误型注入”。攻击痕迹非常明显异常的引号、SQL逻辑片段以及泄露数据库类型的错误响应。4.2 场景二WebShell上传与连接第一步筛选POST请求和大文件传输。应用过滤器http.request.method “POST”。浏览列表发现一个向/upload.php发起的POST请求其Content-Type为multipart/form-data。第二步检查上传内容。对这个数据包追踪TCP流。在流中我们可以找到Content-Disposition: form-data; name”file”; filename”shell.jpg”但紧接着的文件内容却以?php eval($_POST[‘cmd’]);?开头。这是一个典型的图片马将WebShell代码嵌入图片文件。第三步寻找后续连接。在流窗口底部将显示模式从“ASCII”切换到“原始数据”可以更清楚地看到整个结构。关闭流窗口后我们需要寻找攻击者后续连接这个WebShell的证据。使用过滤器http contains “cmd”。我们发现来自同一攻击者IP (192.168.1.100) 对/uploads/shell.jpg发起了新的POST请求请求体为cmdwhoami。追踪这个新会话的TCP流可以看到服务器响应了www-data。结论攻击者成功上传了伪装成图片的WebShell并通过POST参数cmd执行了系统命令获得了回显。4.3 场景三敏感信息泄露与目录遍历第一步搜索敏感路径。在过滤器栏使用http.request.uri contains “etc”。我们发现一个请求GET /../../../../etc/passwd HTTP/1.1。第二步分析响应。追踪该请求的TCP流。服务器返回了状态码200 OK并且响应体中完整列出了/etc/passwd文件的内容。结论攻击者利用目录遍历漏洞成功读取了系统敏感文件。在流量中异常的../序列和成功的200响应共同构成了攻击证据。4.4 场景四暴力破解攻击第一步宏观统计。打开统计-对话-TCP标签页。按数据包数量排序。我们发现IP192.168.1.200与服务器192.168.1.10的会话数量异常多比如200个但每个会话的字节数都很小。第二步聚焦分析。对192.168.1.200应用过滤器ip.src 192.168.1.200 http。浏览请求发现几乎全部是POST /login.php请求且每个请求的Cookie或Session ID都不同但表单数据中的用户名密码在不断变化。结论这是典型的暴力破解攻击攻击工具使用不同的会话标识来尝试大量用户名密码组合。其特征是高频率、同路径、多会话、短内容。通过这个综合案例我们可以看到不同类型的攻击在流量中留下的“痕迹”各有特点。SQL注入关注参数和错误响应WebShell关注文件上传和后续的指令交互信息泄露关注异常路径和成功响应暴力破解则关注会话频率和模式。将这些分析技巧组合使用就能构建起强大的HTTP流量威胁狩猎能力。5. 高级技巧与排查心法掌握了基本流程后一些高级技巧和心法能让你事半功倍并处理更隐蔽的攻击。5.1 解密HTTPS流量现代网站普遍使用HTTPS这给流量分析带来了挑战。要解密HTTPS你需要服务器的私钥。方法在Wireshark中进入编辑-首选项-Protocols-TLS。在(Pre)-Master-Secret log filename中指定一个文件然后在Web服务器如Nginx, Apache或客户端配置中将TLS会话密钥导出到这个文件。Wireshark在加载pcap时会用此文件解密对应的HTTPS流量使其像HTTP一样可读。注意这通常用于分析自己可控的测试环境或配合业务部门进行内部排查。无法解密未知服务器的HTTPS流量。5.2 使用tshark进行自动化分析对于需要批量分析大量pcap文件或集成到自动化流水线中的场景Wireshark的命令行版本tshark是首选。示例命令# 提取所有HTTP请求的URL和源IP tshark -r attack_trace.pcapng -Y http.request -T fields -e ip.src -e http.request.uri # 统计每个源IP发起的HTTP请求数量用于发现扫描源 tshark -r attack_trace.pcapng -Y http.request -T fields -e ip.src | sort | uniq -c | sort -nr # 搜索包含”union”的请求并输出完整数据包详情 tshark -r attack_trace.pcapng -Y http.request.uri contains \union\ -V通过编写脚本组合这些命令可以实现自动化的攻击特征提取和报告生成。5.3 心法保持怀疑与关联上下文“正常”的异常攻击者会尽力伪装。一个User-Agent是正常Chrome浏览器的请求其POST数据里可能藏着SQL注入。不要仅凭UA过滤。关注成功响应后的流量一个成功的SQL注入攻击后攻击者可能会紧接着发起一个LOAD_FILE()请求读取文件或者尝试通过INTO OUTFILE写入WebShell。一个成功的登录后攻击者可能会访问/admin/路径。将流量按时间线和会话关联起来看。结合其他协议一次完整的攻击链可能涉及多种协议。例如HTTP漏洞利用获取Shell后攻击者可能通过DNS隧道外传数据异常的、大量的TXT类型DNS查询或通过ICMP隧道建立连接。在分析完HTTP后不妨看看DNS和ICMP流量是否有异常。基线比对如果你有正常业务时段的流量基线可以将可疑时间段的流量特征如访问的URL集合、各状态码比例、请求速率与基线进行对比更容易发现偏差。6. 常见陷阱与排查实录在实际操作中你肯定会遇到各种困惑和问题。这里记录几个我踩过的坑和对应的解决方案。问题1过滤器语法正确但什么也过滤不出来可能原因A协议端口问题。Wireshark默认只将80、8080等端口识别为HTTP。如果你的Web服务跑在8000端口直接过滤http是无效的。你需要先使用tcp.port 8000过滤然后对其中一个数据包右键解码为...将其设置为HTTP协议或者使用更通用的过滤器tcp.port 8000 and (tcp contains “GET” or tcp contains “POST” or tcp contains “HTTP/1.”)。可能原因B数据包不完整或损坏。如果TCP流不完整缺少SYN/ACK或FIN/RSTWireshark可能无法正确重组应用层协议。检查分析-专家信息看看是否有大量“乱序”、“重传”、“丢包”的警告。排查步骤先尝试一个最简单的过滤器如ip.addr [目标服务器IP]确认数据包存在。然后逐步增加条件。问题2追踪TCP流时内容显示乱码或无法识别可能原因该流可能是加密的HTTPS且未解密、压缩的如gzip编码或者是非文本的二进制数据如图片、加密文件。解决方案在TCP流窗口的左下角尝试切换“显示数据为”的选项从“ASCII”切换到“原始数据”或“C Arrays”。对于gzip压缩Wireshark通常会自动解压显示。如果怀疑是自定义加密则需要结合其他线索分析。问题3如何区分是自动化扫描还是真实用户的密集操作关键区别点请求头扫描器User-Agent往往比较固定或特殊真实用户浏览器UA多样且新。请求路径扫描器会系统性地访问/admin//phpmyadmin//backup/等常见路径真实用户访问的路径符合业务逻辑。请求参数扫描器发起的请求其参数可能是测试用的Payload如?id1而真实用户参数是正常业务数据。会话连续性真实用户的一个会话同一TCP连接或同一Session ID内会有一系列有逻辑关联的请求如首页-登录-个人中心扫描器的会话通常短且孤立请求之间无业务关联。时间规律扫描请求间隔可能非常均匀如每秒一次而人工操作间隔不规则。问题4导出HTTP对象时看不到疑似WebShell的文件可能原因攻击者可能使用了分块传输编码Transfer-Encoding: chunked或对Payload进行了多重编码导致Wireshark的HTTP对象导出功能无法正确识别文件边界和内容。替代方案找到上传请求的TCP流手动将http.file_data部分在流窗口中复制出来保存为文件。或者使用tshark命令更精确地提取tshark -r trace.pcap -Y “http.request.methodPOST and http.request.uri contains ‘upload’” –export-objects http,./exported_files。然后去exported_files目录下仔细检查。问题5攻击者IP是伪造的或来自代理/ Tor网络怎么办应对策略在这种情况下基于源IP的关联会失效。你需要更依赖行为特征和目的特征。例如无论来自哪个IP只要对/wp-login.php发起高速率的POST请求就是暴力破解行为。重点分析攻击的目标URL、使用的Payload、攻击的时间模式将这些作为核心特征进行筛选和告警。最后我想说的是流量分析是一门“经验科学”。看得越多对正常流量和异常流量的“感觉”就越准。最好的学习方法就是自己搭建一个靶场环境如DVWA、WebGoat用工具如sqlmap, burpsuite发起真实的攻击同时用Wireshark抓包然后对照着攻击工具发出的数据包和Wireshark里的记录去理解每一个攻击向量在协议层面是如何体现的。我提供的那个pcap文件就是基于这种思路构造的。多练几次你就能形成自己的分析直觉在真正的应急响应中快速地从一片流量的海洋里钓出那条危险的“鱼”。
Wireshark实战：从HTTP流量中快速定位SQL注入与WebShell攻击痕迹
发布时间：2026/7/4 18:20:02
1. 项目概述从海量流量中嗅探攻击的“气味”做安全分析或者运维排查最头疼的莫过于面对一个几GB甚至几十GB的pcap抓包文件里面混杂着海量的正常业务流量和可能的攻击流量。就像在一座嘈杂的菜市场里要精准地听出某个角落里两个人在密谋什么。Wireshark就是我们的“超级耳朵”和“翻译器”但光有工具不够更重要的是知道听什么、怎么听。今天要聊的就是如何利用Wireshark在HTTP这个最普遍的应用层协议流量里快速定位那些不怀好意的“黑客攻击痕迹”。这不是一个基础操作教程而是一套基于实战经验的、从攻击者视角和防御者视角双重出发的狩猎思路。HTTP协议因其明文或部分明文传输的特性成为了攻击者最常利用的通道之一SQL注入、WebShell上传、敏感信息泄露、暴力破解等攻击都依赖它。我们的目标就是教会你如何像老练的猎人一样通过流量中的异常“气味”——比如异常的请求方法、畸形的参数、不合逻辑的响应状态码、可疑的通信模式——来快速缩小排查范围锁定攻击行为。我会附上一个精心构造的pcap文件里面模拟了多种常见的Web攻击流量你可以用它来练手验证文中的分析技巧。2. 核心思路建立攻击痕迹的“特征画像”在开始具体操作前我们必须先建立正确的分析思路。漫无目的地浏览数据包是效率最低下的做法。高效的分析始于对攻击行为的“特征画像”的深刻理解。我们需要思考一次成功的攻击在HTTP流量层会留下哪些必然或可能的行为特征我将这些特征归纳为四个维度协议异常、内容异常、时序异常和上下文异常。2.1 协议异常不守规矩的“访客”HTTP协议有其标准规范攻击流量往往首先在协议层面露出马脚。非标准HTTP方法除了常见的GET、POST、HEAD、PUT、DELETE攻击者可能使用PROPFIND、COPY、MOVE等WebDAV方法进行探测或利用或者使用DEBUG、TRACE等方法测试服务器配置。更隐蔽的是在POST请求体中伪装但请求行却使用GET /admin.php?cmdsystem(whoami)这种将参数放在URL中的方式试图绕过某些WAF规则。畸形的URL与头部过长的URL尝试缓冲区溢出、包含大量../的路径穿越/../../../etc/passwd、URL编码混乱或双重编码%252e%252e%252f、头部字段缺失如缺少Host、头部字段重复或包含特殊字符如换行符\r\n注入。状态码与内容长度不匹配一个HTTP 200 OK的响应却伴随着极小的Content-Length如几个字节这可能是一个攻击成功的“盲注”响应仅返回真假标志。反之一个403 Forbidden或404 Not Found的响应却有着异常大的响应体可能包含了服务器的详细错误信息泄露了路径、框架版本等敏感数据。2.2 内容异常负载中的“恶意代码”这是攻击检测的核心攻击载荷Payload就藏在请求或响应的内容里。SQL注入特征在请求参数中出现大量的单引号、注释符--、#、/* */以及UNION、SELECT、FROM、information_schema、sleep()、benchmark()等关键字。需要注意这些关键字可能被分割、编码或混淆。命令注入与WebShell特征参数中出现系统命令分隔符如分号;、管道符|、反引号、、||。以及常见的PHP函数如system()、exec()、shell_exec()、eval()、assert()或连接WebShell的特定参数名如cmd、action、password、ant等。目录遍历与文件包含参数中包含../、..\、/etc/passwd、/proc/self/environ、C:\windows\system32\drivers\etc\hosts等系统文件路径或者php://input、file://、http://等伪协议。敏感信息泄露在响应体中直接出现了数据库连接字符串、API密钥、服务器绝对路径、堆栈跟踪信息、源代码片段等。2.3 时序异常反常的“对话节奏”正常的用户交互和自动化攻击工具产生的流量模式存在显著差异。高速率请求短时间内从同一个源IP向同一个目标路径如/login.php发起大量请求这是典型的暴力破解或撞库攻击特征。规律性探测以固定的时间间隔对一批不存在的路径如/admin/、/backup/、/phpmyadmin/发起HEAD或GET请求这是自动化扫描工具的行为。长连接下的持续交互一个TCP连接建立后持续了非常长的时间并且有间歇性的、小的HTTP请求/响应交换这可能是WebShell的交互会话或C2命令与控制服务器的心跳与指令传输。2.4 上下文异常格格不入的“访客背景”将单个数据包放在整个通信流和网络环境中审视。User-Agent异常使用默认的、过时的、或明显是扫描器/漏洞利用工具的User-Agent如sqlmap/1.7.0#dev、Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)等。当然高明的攻击者会伪装成普通浏览器。来源IP异常流量来自不常见的国家、地区的IP段或者来自已知的云服务器/VPS提供商攻击者常用且与正常业务用户IP段不符。内部横向移动如果抓包点在内网发现一台服务器如Web服务器在成功被入侵后主动向内部其他服务器的敏感端口如445、3389、22发起连接这是典型的横向移动迹象。有了这四个维度的“特征画像”我们再看Wireshark里的流量就不再是一堆杂乱无章的文本而是一幅有待解读的行为图谱。接下来我们进入实战环节看看如何用Wireshark的过滤器和功能将这些特征快速筛选出来。3. Wireshark实战构建高效过滤与搜索策略打开一个大型pcap文件直接浏览是无意义的。我们必须利用Wireshark强大的显示过滤器和工具像筛子一样层层过滤逐步聚焦可疑流量。3.1 第一层过滤聚焦HTTP协议与关键会话首先我们需要从所有协议TCP、UDP、ARP等中快速提取出HTTP流量。基础过滤在显示过滤器栏输入http。这会显示所有Wireshark识别出的HTTP请求和响应数据包。这是我们的起点。关键对象追踪在过滤出HTTP流量后重点关注以下对象异常状态码使用过滤器http.response.code 400快速定位所有客户端或服务器错误。特别是500 Internal Server Error可能暴露了注入攻击导致的数据库或应用错误。403 Forbidden和404 Not Found的集中出现可能指向扫描行为。特定请求方法使用http.request.method “POST”或http.request.method “PUT”重点关注非GET请求因为攻击载荷更可能藏在POST数据体中。也可以搜索非常用方法http.request.method not in {“GET” “POST” “HEAD”}。关键路径如果你怀疑管理后台被攻击可以使用http.request.uri contains “admin”或http.request.uri contains “login”进行过滤。注意Wireshark默认只将标准端口80 443等的流量识别为HTTP协议。如果Web服务运行在非标准端口如8080你需要右键TCP数据包 -Decode As...- 将当前或目标端口设置为HTTP协议Wireshark才会正确解析。3.2 第二层过滤基于内容特征的深度筛查当我们将范围缩小到一批可疑的HTTP会话后就需要深入数据包内部检查负载内容。字符串搜索最常用这是定位已知攻击特征的最快方法。按下CtrlF选择“分组详情”和“字符串”输入关键词进行搜索。例如搜索union select找SQL注入。搜索eval(或system(找命令执行或WebShell。搜索/etc/passwd或..\找路径遍历。搜索password或Authorization: Basic找明文凭证。实操心得字符串搜索时注意切换“区分大小写”选项。有些攻击会使用大小写混淆如UnIoN SeLeCt来绕过简单的WAF规则。此时应关闭大小写敏感进行搜索。使用显示过滤器匹配负载内容更精准的做法是使用http contains过滤器。例如http.request.uri contains “select”查找URI中包含select的请求。http.file_data contains “?php”查找HTTP数据体中包含PHP标签的内容可能在上传WebShell。这个过滤器的优势是能实时应用并与其他过滤器组合如http.request.method”POST” http.file_data contains “cmd”。3.3 第三层分析会话重组与文件导出攻击者上传的WebShell、窃取的数据文件往往以HTTP文件传输的形式存在。Wireshark可以重组会话并导出文件。跟踪TCP流在任何一个HTTP数据包上右键选择追踪流-TCP流。Wireshark会将整个TCP会话的请求和响应内容重组并以ASCII或EBCDIC, Hex Dump形式在一个窗口显示。这里你可以清晰地看到一次完整的交互对于分析WebShell的指令回显、文件上传内容至关重要。导出HTTP对象点击菜单文件-导出对象-HTTP...。Wireshark会列出所有捕获到的HTTP传输的文件如图片、JS、CSS、文档等。你可以在这里直接看到文件名、内容类型和大小并可以导出保存。这是寻找被上传的WebShell文件如.jpg后缀的PHP木马或被窃取文件的利器。重点关注异常的文件名、与网站类型不符的Content-Type如一个图片URL却返回text/html或者异常大的文件。3.4 第四层关联统计与端点分析当怀疑存在扫描或暴力破解时需要从宏观视角看流量模式。统计 - 对话点击菜单统计-对话。查看TCP或UDP标签页。这里按IP地址对列出了所有通信会话并显示了数据包数、字节数。寻找那些与目标IP有大量、短小会话的源IP。例如一个外部IP与你的服务器在短时间内建立了上百个TCP会话但每个会话只交换了3-5个数据包对应一次HTTP请求和响应这极有可能是自动化扫描。统计 - HTTP - 请求序列这个功能可以直观地看到每个主机对客户端-服务器的HTTP请求序列有助于发现针对特定路径的集中访问。通过这四层递进式的分析策略我们就能从海量数据中一步步抽丝剥茧将可疑的流量会话孤立出来。下面我们结合一个模拟的pcap文件进行具体的案例剖析。4. 案例实战剖析一个多攻击场景的PCAP文件假设你已加载我提供的attack_trace.pcapng文件。这个文件模拟了一个小型企业网站遭受的一系列常见攻击。让我们一步步拆解。4.1 场景一SQL注入攻击的痕迹第一步寻找异常状态码。应用过滤器http.response.code 500。我们立刻发现几个来自IP192.168.1.100对192.168.1.10的请求返回了500错误。第二步深入分析其中一个会话。选中一个500响应的数据包追踪其TCP流右键 - 追踪流 - TCP流。在流内容窗口中我们清晰地看到GET /product.php?id1 AND 11 HTTP/1.1 Host: victim.com ...以及服务器的响应HTTP/1.1 500 Internal Server Error ... Error: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version...结论攻击者正在对product.php的id参数进行基于布尔逻辑的SQL注入测试。单引号导致了SQL语法错误服务器返回了详细的数据库错误信息这属于“错误型注入”。攻击痕迹非常明显异常的引号、SQL逻辑片段以及泄露数据库类型的错误响应。4.2 场景二WebShell上传与连接第一步筛选POST请求和大文件传输。应用过滤器http.request.method “POST”。浏览列表发现一个向/upload.php发起的POST请求其Content-Type为multipart/form-data。第二步检查上传内容。对这个数据包追踪TCP流。在流中我们可以找到Content-Disposition: form-data; name”file”; filename”shell.jpg”但紧接着的文件内容却以?php eval($_POST[‘cmd’]);?开头。这是一个典型的图片马将WebShell代码嵌入图片文件。第三步寻找后续连接。在流窗口底部将显示模式从“ASCII”切换到“原始数据”可以更清楚地看到整个结构。关闭流窗口后我们需要寻找攻击者后续连接这个WebShell的证据。使用过滤器http contains “cmd”。我们发现来自同一攻击者IP (192.168.1.100) 对/uploads/shell.jpg发起了新的POST请求请求体为cmdwhoami。追踪这个新会话的TCP流可以看到服务器响应了www-data。结论攻击者成功上传了伪装成图片的WebShell并通过POST参数cmd执行了系统命令获得了回显。4.3 场景三敏感信息泄露与目录遍历第一步搜索敏感路径。在过滤器栏使用http.request.uri contains “etc”。我们发现一个请求GET /../../../../etc/passwd HTTP/1.1。第二步分析响应。追踪该请求的TCP流。服务器返回了状态码200 OK并且响应体中完整列出了/etc/passwd文件的内容。结论攻击者利用目录遍历漏洞成功读取了系统敏感文件。在流量中异常的../序列和成功的200响应共同构成了攻击证据。4.4 场景四暴力破解攻击第一步宏观统计。打开统计-对话-TCP标签页。按数据包数量排序。我们发现IP192.168.1.200与服务器192.168.1.10的会话数量异常多比如200个但每个会话的字节数都很小。第二步聚焦分析。对192.168.1.200应用过滤器ip.src 192.168.1.200 http。浏览请求发现几乎全部是POST /login.php请求且每个请求的Cookie或Session ID都不同但表单数据中的用户名密码在不断变化。结论这是典型的暴力破解攻击攻击工具使用不同的会话标识来尝试大量用户名密码组合。其特征是高频率、同路径、多会话、短内容。通过这个综合案例我们可以看到不同类型的攻击在流量中留下的“痕迹”各有特点。SQL注入关注参数和错误响应WebShell关注文件上传和后续的指令交互信息泄露关注异常路径和成功响应暴力破解则关注会话频率和模式。将这些分析技巧组合使用就能构建起强大的HTTP流量威胁狩猎能力。5. 高级技巧与排查心法掌握了基本流程后一些高级技巧和心法能让你事半功倍并处理更隐蔽的攻击。5.1 解密HTTPS流量现代网站普遍使用HTTPS这给流量分析带来了挑战。要解密HTTPS你需要服务器的私钥。方法在Wireshark中进入编辑-首选项-Protocols-TLS。在(Pre)-Master-Secret log filename中指定一个文件然后在Web服务器如Nginx, Apache或客户端配置中将TLS会话密钥导出到这个文件。Wireshark在加载pcap时会用此文件解密对应的HTTPS流量使其像HTTP一样可读。注意这通常用于分析自己可控的测试环境或配合业务部门进行内部排查。无法解密未知服务器的HTTPS流量。5.2 使用tshark进行自动化分析对于需要批量分析大量pcap文件或集成到自动化流水线中的场景Wireshark的命令行版本tshark是首选。示例命令# 提取所有HTTP请求的URL和源IP tshark -r attack_trace.pcapng -Y http.request -T fields -e ip.src -e http.request.uri # 统计每个源IP发起的HTTP请求数量用于发现扫描源 tshark -r attack_trace.pcapng -Y http.request -T fields -e ip.src | sort | uniq -c | sort -nr # 搜索包含”union”的请求并输出完整数据包详情 tshark -r attack_trace.pcapng -Y http.request.uri contains \union\ -V通过编写脚本组合这些命令可以实现自动化的攻击特征提取和报告生成。5.3 心法保持怀疑与关联上下文“正常”的异常攻击者会尽力伪装。一个User-Agent是正常Chrome浏览器的请求其POST数据里可能藏着SQL注入。不要仅凭UA过滤。关注成功响应后的流量一个成功的SQL注入攻击后攻击者可能会紧接着发起一个LOAD_FILE()请求读取文件或者尝试通过INTO OUTFILE写入WebShell。一个成功的登录后攻击者可能会访问/admin/路径。将流量按时间线和会话关联起来看。结合其他协议一次完整的攻击链可能涉及多种协议。例如HTTP漏洞利用获取Shell后攻击者可能通过DNS隧道外传数据异常的、大量的TXT类型DNS查询或通过ICMP隧道建立连接。在分析完HTTP后不妨看看DNS和ICMP流量是否有异常。基线比对如果你有正常业务时段的流量基线可以将可疑时间段的流量特征如访问的URL集合、各状态码比例、请求速率与基线进行对比更容易发现偏差。6. 常见陷阱与排查实录在实际操作中你肯定会遇到各种困惑和问题。这里记录几个我踩过的坑和对应的解决方案。问题1过滤器语法正确但什么也过滤不出来可能原因A协议端口问题。Wireshark默认只将80、8080等端口识别为HTTP。如果你的Web服务跑在8000端口直接过滤http是无效的。你需要先使用tcp.port 8000过滤然后对其中一个数据包右键解码为...将其设置为HTTP协议或者使用更通用的过滤器tcp.port 8000 and (tcp contains “GET” or tcp contains “POST” or tcp contains “HTTP/1.”)。可能原因B数据包不完整或损坏。如果TCP流不完整缺少SYN/ACK或FIN/RSTWireshark可能无法正确重组应用层协议。检查分析-专家信息看看是否有大量“乱序”、“重传”、“丢包”的警告。排查步骤先尝试一个最简单的过滤器如ip.addr [目标服务器IP]确认数据包存在。然后逐步增加条件。问题2追踪TCP流时内容显示乱码或无法识别可能原因该流可能是加密的HTTPS且未解密、压缩的如gzip编码或者是非文本的二进制数据如图片、加密文件。解决方案在TCP流窗口的左下角尝试切换“显示数据为”的选项从“ASCII”切换到“原始数据”或“C Arrays”。对于gzip压缩Wireshark通常会自动解压显示。如果怀疑是自定义加密则需要结合其他线索分析。问题3如何区分是自动化扫描还是真实用户的密集操作关键区别点请求头扫描器User-Agent往往比较固定或特殊真实用户浏览器UA多样且新。请求路径扫描器会系统性地访问/admin//phpmyadmin//backup/等常见路径真实用户访问的路径符合业务逻辑。请求参数扫描器发起的请求其参数可能是测试用的Payload如?id1而真实用户参数是正常业务数据。会话连续性真实用户的一个会话同一TCP连接或同一Session ID内会有一系列有逻辑关联的请求如首页-登录-个人中心扫描器的会话通常短且孤立请求之间无业务关联。时间规律扫描请求间隔可能非常均匀如每秒一次而人工操作间隔不规则。问题4导出HTTP对象时看不到疑似WebShell的文件可能原因攻击者可能使用了分块传输编码Transfer-Encoding: chunked或对Payload进行了多重编码导致Wireshark的HTTP对象导出功能无法正确识别文件边界和内容。替代方案找到上传请求的TCP流手动将http.file_data部分在流窗口中复制出来保存为文件。或者使用tshark命令更精确地提取tshark -r trace.pcap -Y “http.request.methodPOST and http.request.uri contains ‘upload’” –export-objects http,./exported_files。然后去exported_files目录下仔细检查。问题5攻击者IP是伪造的或来自代理/ Tor网络怎么办应对策略在这种情况下基于源IP的关联会失效。你需要更依赖行为特征和目的特征。例如无论来自哪个IP只要对/wp-login.php发起高速率的POST请求就是暴力破解行为。重点分析攻击的目标URL、使用的Payload、攻击的时间模式将这些作为核心特征进行筛选和告警。最后我想说的是流量分析是一门“经验科学”。看得越多对正常流量和异常流量的“感觉”就越准。最好的学习方法就是自己搭建一个靶场环境如DVWA、WebGoat用工具如sqlmap, burpsuite发起真实的攻击同时用Wireshark抓包然后对照着攻击工具发出的数据包和Wireshark里的记录去理解每一个攻击向量在协议层面是如何体现的。我提供的那个pcap文件就是基于这种思路构造的。多练几次你就能形成自己的分析直觉在真正的应急响应中快速地从一片流量的海洋里钓出那条危险的“鱼”。
相关文章
基于深度学习的植物识别系统设计与可视化实现
1. 项目概述：基于深度学习的植物识别与可视化系统这个毕业设计项目构建了一个完整的植物识别系统，核心采用深度学习技术实现图像分类功能，并创新性地加入了网络结构可视化模块。系统使用Python作为开发语言，后端采用Keras框架搭建…
嵌入式系统中EEPROM存储配置的优化实践
1. 为什么嵌入式系统需要独立存储用户配置？ 在开发基于PIC18LF4550这类微控制器的嵌入式系统时，我们经常遇到一个看似简单却至关重要的问题：如何可靠地保存用户的个性化设置？想象一下，当你设计的智能温控器每次断电后都…
Python Selenium实战：破解动态反爬，稳定抓取招聘网站数据
1. 项目概述与核心挑战最近在做一个数据分析项目，需要大量、精准的招聘市场数据作为支撑。我第一时间想到的就是那些主流招聘网站，它们沉淀了海量的职位信息。然而，当我撸起袖子准备用熟悉的requests库开干时，现实给了我当头一棒&…
反潜航空深弹命中概率问题的数学建模与优化研究
反潜航空深弹命中概率问题的数学建模与优化研究 副标题：基于随机过程理论与 Monte Carlo 模拟的航空深弹投弹策略最优设计 竞赛：2024年高教社杯全国大学生数学建模竞赛 D题 关键词：航空深弹 命中概率 截尾正态分布 Monte Carlo模拟 阵列优化 摘要：本文针对2024年全国大…
Kali Linux学习路线图：从零到精通的网络安全实战指南
1. 项目概述：为什么你需要一份Kali Linux学习路线图？如果你是一名计算机相关专业的大学生，或者是一名刚入行的IT从业者，尤其是对网络安全、渗透测试、系统运维这些方向感兴趣，那么“Kali Linux”这个名字你一定不陌生。…
终极指南：如何快速上手Google Cloud Vision API图像识别技术
终极指南：如何快速上手Google Cloud Vision API图像识别技术 【免费下载链接】cloud-vision Sample code for Google Cloud Vision 项目地址: https://gitcode.com/gh_mirrors/cl/cloud-vision Google Cloud Vision API是Google提供的一项强大的图像识别服务…
WorkshopDL：免费开源Steam创意工坊下载器，一键解锁742款游戏的跨平台模组体验
WorkshopDL：免费开源Steam创意工坊下载器，一键解锁742款游戏的跨平台模组体验 【免费下载链接】WorkshopDL WorkshopDL - The Best Steam Workshop Downloader 项目地址: https://gitcode.com/gh_mirrors/wo/WorkshopDL 想象一下这样的场景&#…
Allegro PCB设计中的高效元件查找技巧与实战应用
1. Allegro中元件查找的核心逻辑与基本操作在PCB设计过程中，快速定位元件是每位工程师的必备技能。Allegro作为Cadence旗下的专业PCB设计工具，提供了多种高效的元件查找方式，但很多初学者往往只停留在简单的位号搜索层面。实际上，…
Merged Bitcoin：多哈希PoW区块链的技术原理与应用
1. Merged Bitcoin：多哈希工作量证明区块链的技术解析在区块链安全领域，工作量证明（PoW）机制长期面临算力集中化和硬件依赖的挑战。传统比特币网络仅依赖SHA-256单一哈希算法，导致矿工必须使用专用ASIC芯片才能有效参与…
Playwright自动化测试实战：从零搭建现代Web测试框架
1. 项目概述：为什么是 Playwright？如果你正在为现代 Web 应用的自动化测试头疼，尤其是面对那些充斥着动态加载、复杂交互的单页应用（SPA），那么 Playwright 的出现，很可能就是你的解药。我接触过…
SSRF漏洞攻防实战：从原理到绕过技巧与防御策略
1. 项目概述：从“内部请求”到“内网漫游”的SSRF攻防实战 在渗透测试和红队评估的实战中，我们常常会遇到一种看似“温和”实则威力巨大的漏洞：服务器端请求伪造。它不像SQL注入那样直接操作数据库，也不像命令注入那样能瞬间拿到S…
本地部署SAM Audio音频语义分割模型完整指南
1. 项目概述：为什么要在本地跑 SAM Audio？这不只是“能用”，而是“必须用”SAM Audio——全称是 Segment Anything Model for Audio，不是 Meta 那个视觉领域的 SAM（Segment Anything Model）的简单移植&…
AI Coding 六个月真实ROI账本：产品经理的血泪教训，研发的冷静忠告
6个月前的2025年12月，Boris Cherny 公开宣布自己卸载了 IDE。一时间，Vibe Coding 成了全行业最热的话题。6个月后，当我们回过头来拉一份真实账本，发现事情远没有"一句话生成一个App"那么浪漫。本文从产品经理和研发两个…
华为OD机试2025C卷-字符统计及重排[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率
📫 个人主页：深夜coding算法 📣 专栏系列：2026年华为最新OD机试题库详解 🔥 一次订阅，永久解锁 | 持续更新100篇 | 6语言全覆盖 文章目录❄️前言：☀️一：题目描述🌙 题目…
华为OD机试2025C卷-寻找相同子串[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率
📫 个人主页：深夜coding算法 📣 专栏系列：2026年华为最新OD机试题库详解 🔥 一次订阅，永久解锁 | 持续更新100篇 | 6语言全覆盖 文章目录❄️前言：☀️一：题目描述🌙 题目…
FAE放射组学分析工具：医学影像特征探索的完整解决方案
FAE放射组学分析工具：医学影像特征探索的完整解决方案 【免费下载链接】FAE FeAture Explorer 项目地址: https://gitcode.com/gh_mirrors/fae/FAE 你是否曾经面对海量医学影像数据感到无从下手？想要从CT、MRI等影像中提取有价值的定量特征&#…
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南 【免费下载链接】happy-llm 📚 从零开始构建大模型 项目地址: https://gitcode.com/GitHub_Trending/ha/happy-llm 还在为大型多模态模型动辄数十亿参数、显存占用高而烦恼&…
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南 【免费下载链接】SMUDebugTool A dedicated tool to help write/read various parameters of Ryzen-based systems, such as manual overclock, SMU, PCI, CPUID, MSR and Power Table. 项目地址…