2024一带一路暨金砖国家技能发展与技术创新大赛第二届企业信息系统安全赛项选拔赛（北部赛区）-阿里云开发者社区

2024一带一路暨金砖国家技能发展与技术创新大赛第二届企业信息系统安全赛项选拔赛（北部赛区）

2024-12-17 12

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 本文介绍了如何通过分析Kerberos网络流量来查找受感染Windows计算机的信息，包括主机名、IP地址和MAC地址。通过过滤特定的网络流量，可以提取出这些关键信息，帮助识别和定位受感染的设备。文中还提供了相关练习网站，供读者进一步学习和实践。

# 一、流量分析

#### 1、查找有关受感染的 Windows 计算机的以下信息：（主机名：IP地址、MAC 地址）

对于第一个问题，让我们过滤 Kerberos 网络流量。

Kerberos是一种计算机网络授权协议，用来在非安全网络中，对个人通信以安全的手段进行身份认证。这个词又指麻省理工学院为这个协议开发的一套计算机软件。

要找到可能使用mind-hammer.net域登录的情况。这将使我们能够访问主机名、IP 地址和 MAC 地址，我们需要完成这个问题。幸运的是，我们能够提取这些信息，因为除了票证、身份验证器和其他一些敏感细节外，Kerberos 协议大部分都是未加密的

对于受感染的 Windows 机器的主机名，我们需要查找包含正在验证的用户名的 cname 字符串，以便对其进行过滤。

过滤器：ip.src==172.16.4.4 and kerberos.CNameString

单击数据包编号3209并转到详细信息窗格和 Kerberos > tgs-rep > cname：

![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/0ff4d8d06ac173404f786f61e06daf98.png)

现在要找到受感染机器的 IP 地址非常简单，只需目标 IP 地址：172.16.4.205

现在让我们在以太网 II下找到 MAC 地址，我们清楚地看到 MAC 地址：

![](https://i-blog.csdnimg.cn/blog_migrate/992c0fa6a3d08ea53a9473224baa6a05.png)

账户名是：matthijs.devries

![](https://i-blog.csdnimg.cn/blog_migrate/8d5782b06f34bf47265cb9efad65e15d.png)

还有些问题没有解答出来，文章后面没有提到，求大佬解决学习交流~

以后的练习网站

Malware-Traffic-Analysis.net - training exercises

Crossing the Line: Unit 42 Wireshark Quiz for RedLine Stealer

2024一带一路暨金砖国家技能发展与技术创新大赛第二届企业信息系统安全赛项选拔赛（北部赛区）