Wireshark系列之6數(shù)據(jù)流追蹤

以下內(nèi)容主要是引用自合天網(wǎng)安中的一個(gè)實(shí)驗(yàn)案例：***A通過ARP欺騙，使用Wireshark獲取了整個(gè)局域網(wǎng)內(nèi)的網(wǎng)絡(luò)流量信息。無意之中，他發(fā)現(xiàn)有人在某個(gè)網(wǎng)站上上傳了一份文件。但是他不知道怎么樣通過Wireshark去還原這份文件，沒辦法，他將監(jiān)聽到的數(shù)據(jù)包保存為了一份Wireshark的監(jiān)聽記錄，打算去向你請(qǐng)教。你能幫助他找到那份上傳的文件嗎？

創(chuàng)新互聯(lián)主要業(yè)務(wù)有網(wǎng)站營銷策劃、網(wǎng)站建設(shè)、成都網(wǎng)站建設(shè)、微信公眾號(hào)開發(fā)、小程序開發(fā)、H5頁面制作、程序開發(fā)等業(yè)務(wù)。一次合作終身朋友，是我們奉行的宗旨；我們不僅僅把客戶當(dāng)客戶，還把客戶視為我們的合作伙伴，在開展業(yè)務(wù)的過程中，公司還積累了豐富的行業(yè)經(jīng)驗(yàn)、全網(wǎng)整合營銷推廣資源和合作伙伴關(guān)系資源，并逐漸建立起規(guī)范的客戶服務(wù)和保障體系。 

我們可以自己準(zhǔn)備一張圖片test.jpg，并隨便找一個(gè)允許上傳的網(wǎng)站，然后用Wireshark將上傳的過程抓包，這里我已經(jīng)將自己的抓包結(jié)果保存成文件catchme.pcapng，并在附件里提供下載。

打開抓包文件之后，會(huì)發(fā)現(xiàn)數(shù)據(jù)記錄一共有344條。如果單純的從開始到結(jié)尾去一條一條的審計(jì)，是非常費(fèi)力的事情。

這里我們使用顯示過濾器進(jìn)行過濾，由于上傳文件采用的是HTTP協(xié)議，因而使用過濾規(guī)則“http”，過濾之后發(fā)現(xiàn)數(shù)據(jù)包由原來的344個(gè)變成了137個(gè)，這樣就很容易幫我們分析了。仔細(xì)分析，我們會(huì)在第209條數(shù)據(jù)包的info中看到upload這個(gè)詞，我們懷疑這條就是涉及到上傳的數(shù)據(jù)包。

由于上傳文件都是采用POST方法，因而我們也可以使用過濾規(guī)則“http.request.method==POST”進(jìn)行更精確的過濾，這時(shí)就只有47個(gè)數(shù)據(jù)包了。因而掌握數(shù)據(jù)包過濾，是熟練掌握Wireshark的必備技能之一。

雖然我們看到了有upload關(guān)鍵字，有POST方法，但是我們不能確定是不是真的就是上傳文件的那個(gè)請(qǐng)求。雙擊第209號(hào)數(shù)據(jù)包進(jìn)行專門分析，在應(yīng)用層數(shù)據(jù)中可以看到確實(shí)是上傳了文件，而且文件名是test.jpg。

在傳輸層部分可以看到，由于文件比較大，TCP協(xié)議將其分成了16個(gè)數(shù)據(jù)段Segment，每個(gè)數(shù)據(jù)段都是一個(gè)獨(dú)立的數(shù)據(jù)包，點(diǎn)擊各個(gè)Frame，就可以看到數(shù)據(jù)包中的內(nèi)容。

但問題是每個(gè)數(shù)據(jù)包中都只包含了上傳文件的一部分，要想還原上傳的文件，就必須將這些被分片的數(shù)據(jù)包重新組合成一個(gè)整體。在Wireshark中提供了一項(xiàng)“數(shù)據(jù)流追蹤”功能，就可以來完成這項(xiàng)任務(wù)。

回到Wireshark的主界面，在209號(hào)數(shù)據(jù)包上點(diǎn)擊右鍵，選擇“追蹤流/TCP流”，

這時(shí)整個(gè)TCP流就會(huì)在一個(gè)單獨(dú)的窗口中顯示出來，我們注意到這個(gè)窗口中的文件以兩種顏色顯示，其中紅色用來標(biāo)明從源地址前往目的地址的流量，而藍(lán)色用來區(qū)分出相反方向也就是從目的地址到源地址的流量。這里顏色的標(biāo)記以哪方先開始通信為準(zhǔn)，一般情況下都是由客戶端主動(dòng)發(fā)起與服務(wù)器的連接，所以大都是將客戶端的通信顯示為紅色。

由于上傳的文件都是在客戶端發(fā)出的數(shù)據(jù)部分提交的，因而我們可以過濾掉服務(wù)器發(fā)回的響應(yīng)信息。在下方的數(shù)據(jù)流向中選擇從客戶端到服務(wù)器的流向，這時(shí)候就沒有響應(yīng)部分出現(xiàn)了。

將數(shù)據(jù)流保存成原始文件，以便下一步處理。需要注意的是，在保存之前一定要將數(shù)據(jù)的顯示格式設(shè)置為“原始數(shù)據(jù)”。

這里將文件的擴(kuò)展名指定為.bin，以使用二進(jìn)制形式保存文件。

在下篇博文中我們將利用WinHex從這個(gè)原始文件中將上傳的圖片還原出來。

當(dāng)前題目：Wireshark系列之6數(shù)據(jù)流追蹤
分享路徑：http://muchs.cn/article40/jcpsho.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供定制開發(fā)、網(wǎng)站營銷、外貿(mào)網(wǎng)站建設(shè)、關(guān)鍵詞優(yōu)化、全網(wǎng)營銷推廣、網(wǎng)站設(shè)計(jì)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)