Wireshark统计功能实战：从海量流量中快速定位攻击者IP

1. 项目概述从海量数据中揪出“捣蛋鬼”刚接触CTFCapture The Flag或者网络安全分析的朋友最头疼的恐怕就是拿到一个动辄几百MB甚至上GB的“大流量包”了。面对成千上万条网络数据流感觉就像被扔进了一个嘈杂无比的菜市场人声鼎沸却不知道哪个声音才是你要找的关键信息。标题里的“BUUCTF”是国内一个非常知名的CTF在线练习平台上面很多题目都会提供真实的网络流量包pcap文件作为分析对象而“找出攻击者IP”则是其中一类非常经典且基础的入门题型。这听起来像大海捞针但别怕这正是Wireshark这类专业工具大显身手的地方。Wireshark绝不仅仅是一个“看数据包”的软件它内置了强大的统计分析引擎能帮你把杂乱无章的原始流量瞬间整理成清晰明了的统计报表。今天要聊的就是如何绕过繁琐的手动筛选直接利用Wireshark的“统计”Statistics功能像侦探一样快速锁定可疑IP即使你是新手跟着步骤走也能轻松搞定。核心思路不是一条条看包而是让数据自己“说话”通过流量特征来暴露异常。2. 核心思路为什么统计功能是“降维打击”面对大流量包新手最容易陷入的误区就是直接打开然后从上到下滚动试图用肉眼发现“不对劲”的包。这效率极低且极易遗漏。正确的姿势是“先宏观后微观”。Wireshark的统计功能就是为我们提供宏观视角的望远镜和显微镜。2.1 攻击者流量通常具有哪些统计特征在CTF场景或真实攻击中攻击者的IP产生的流量往往会表现出与正常用户不同的统计模式这是我们分析的突破口会话数量异常多无论是端口扫描、暴力破解如SSH、FTP、Web登录还是目录遍历攻击者通常会向目标发起大量连接尝试导致其IP参与的“会话”Conversations数量远超普通用户。数据包数量与字节数失衡在扫描或探测阶段攻击者发送的很多是短小的探测包如SYN包、特定的HTTP请求可能“包数量很多但总字节数不大”。而在进行数据窃取时如成功利用漏洞后的反向Shell、数据外传则可能表现为“相对较少的连接但传输了巨大字节数”。协议分布异常正常用户流量可能以HTTP/HTTPS、DNS为主。攻击者流量可能包含大量ICMPping扫描、非常用端口如4444, 6667等的TCP/UDP流量或者某种协议如SMB、RDP的请求频率异常高。请求-响应比异常在暴力破解中攻击者会发送大量请求如HTTP POST登录而服务器会返回大量“401 Unauthorized”或“302 Redirect”响应。在扫描中可能会收到大量目标关闭端口的RST响应或ICMP不可达响应。2.2 Wireshark统计功能的核心武器库Wireshark的“统计”菜单下功能繁多针对找攻击者IP我们主要依赖以下几把“快刀”会话Conversations展示所有通信对IP A - IP B的统计包括包数、字节数、起止时间。这是最常用、最有效的起点。端点Endpoints展示每个单一IP或MAC地址的总体流量统计。适合快速找出最“活跃”的个体。协议分级Protocol Hierarchy以树状图展示流量中各个协议的占比。用于发现异常协议或协议使用比例。HTTP/特定协议统计如果攻击发生在应用层如Web这些子统计功能可以直接列出所有请求的URI、状态码、主机等高效定位恶意请求。我们的策略就是利用“会话”和“端点”功能快速筛选出流量最大的可疑IP对再结合协议和具体流量内容进行最终确认。3. 实战演练一步步定位攻击者IP假设我们拿到了一个名为attack_trace.pcapng的BUUCTF流量包文件。我们的目标是找出攻击者的IP地址。3.1 第一步加载流量包与初步过滤打开Wireshark载入流量包。首先我们可以做一个最基础的过滤排除一些“背景噪音”。例如CTF题目中攻击通常发生在特定网络之间我们可以先看看HTTP流量概貌http观察是否存在明显的攻击模式如大量POST请求到/login.php或者大量404响应。记下可能的目标服务器IP例如192.168.1.100。但这步不是必须的统计功能本身就能帮我们找到目标。注意在打开超大流量包时Wireshark可能会卡顿。可以在编辑 - 首选项 - 外观中关闭“实时更新”或者使用tsharkWireshark的命令行版本进行初步统计。但对于新手建议先尝试用Wireshark GUI分析题目提供的、大小适中的练习包。3.2 第二步使用“端点”功能进行初筛点击菜单栏的统计 - 端点。 这时会打开一个标签页默认显示“以太网”端点MAC地址。我们需要切换到“IPv4”或“IPv6”标签。在这个视图里你会看到一个表格包含以下关键列地址IP地址。包数该IP发送和接收的总包数。发送包数/接收包数该IP作为源和目的的数据包数量。字节数该IP发送和接收的总字节数。发送字节数/接收字节数该IP作为源和目的的数据字节数。如何分析排序点击“包数”或“字节数”列标题进行排序。通常攻击者IP作为攻击源的“发送包数”会名列前茅。网关、广播地址、DNS服务器IP也可能包数很多需要结合上下文排除。寻找异常关注那些“发送包数”远大于“接收包数”的IP。这通常意味着该IP在主动发起大量请求如扫描而收到的响应相对较少很多端口关闭或请求失败。反之如果某个IP“接收包数”和“接收字节数”巨大它可能是被攻击的目标例如正在被下载数据。锁定候选假设我们发现IP10.0.0.5发送了15,000个包但只收到200个包而其他内部客户端的发送/接收比大致在1:1到1:5之间。那么10.0.0.5就非常可疑。3.3 第三步使用“会话”功能进行关联分析“端点”告诉我们谁最忙而“会话”告诉我们谁和谁在聊天聊了多少。点击统计 - 会话。 同样切换到“IPv4”标签。表格展示了所有IP对A和B之间的通信统计。分析技巧过滤目标如果我们通过题目描述或初步HTTP分析知道了受害服务器的IP是192.168.1.100可以在会话列表的“地址A”或“地址B”列中快速找到所有与192.168.1.100通信的IP。然后观察与它通信的IP中哪个会话的“包数”异常多。无目标筛选如果不知道目标IP直接按“包数”排序。排在最前面的会话很可能就包含了攻击流。例如10.0.0.5 - 192.168.1.100这个会话有14,800个包而其他会话最多几百个包那基本可以确定攻击就在这两者之间。结合协议看在会话窗口的底部可以选择“端口类型”如TCP、UDP、HTTP。有时攻击流量集中在特定协议上。切换到TCP/UDP视图可以看到端口级别的会话。攻击者扫描时可能会从同一个源端口向目标的大量不同端口发起连接这在会话视图里会体现为源IP相同、源端口相同或连续、目的端口众多的多条记录。3.4 第四步协议分级与负载确认通过“会话”功能我们已经将范围缩小到了具体的IP对如10.0.0.5 - 192.168.1.100。接下来需要确认攻击行为。应用过滤器在主界面应用显示过滤器ip.src 10.0.0.5 and ip.dst 192.168.1.100。这样我们就只看到从攻击者到目标的流量。查看协议分布点击统计 - 协议分级。在过滤后的流量下看主要是什么协议。如果是大量TCP到不同高端口可能是扫描如果是大量HTTP请求到特定路径可能是Web攻击。追踪流在过滤后的数据包列表中选择一个代表性的TCP或HTTP包右键选择追踪流 - TCP流/HTTP流。这将重组该会话的完整通信内容。你很可能直接看到攻击payload例如SQL注入语句、系统命令、上传的Webshell代码等。这是判定攻击者IP的“铁证”。3.5 第五步利用IO Graphs辅助判断进阶对于时间跨度长、攻击阶段明显的流量可以点击统计 - IO图表。X轴是时间Y轴可以是包数/秒、字节数/秒。添加不同的过滤器曲线例如曲线1总流量所有报文曲线2疑似攻击流量ip.src 10.0.0.5通过图表可以清晰看到攻击流量曲线2在某个时间段突然飙升这与扫描或爆破的行为特征吻合从时间维度上提供了辅助证据。4. 统计功能详解不止于找IPWireshark的统计功能是一个宝库熟练掌握能极大提升分析效率。下面详解几个在CTF和实战中高频使用的功能4.1 端点与会话的深度使用名称解析在端点和会话窗口中勾选“解析名称”可以显示主机名有时能直接发现可疑主机名如hacker-pc、kali等。导出数据可以将端点或会话列表导出为CSV文件用Excel进行更复杂的排序、计算和绘图。限制显示过滤器端点和会话窗口统计的是当前应用了显示过滤器后的流量。你可以先过滤tcp.flags.syn1 and tcp.flags.ack0仅SYN包来统计扫描行为再查看端点这时发送SYN包最多的IP极可能就是扫描源。4.2 协议分级统计的妙用协议分级视图不仅看占比更能发现“异常”。未知协议或罕见协议占比高可能意味着自定义协议通信如C2后门值得深究。某个应用层协议下错误响应码激增例如在HTTP协议分支下如果404或401状态码的占比异常高很可能遭遇了目录遍历或暴力破解。快速定位加密流量如果TLS/SSL流量占比在某个时间段突然增高而之前没有可能表示攻击者建立了加密隧道外传数据。4.3 HTTP统计Web攻击分析的利器对于Web流量统计 - HTTP - 请求/分组系列功能是神器。请求统计列出所有HTTP请求的路径、方法、状态码、长度。一眼就能看到哪个/admin/login.php路径被请求了上千次暴力破解。负载统计可以查看所有请求中携带的参数对于发现POST注入点非常有用。通过筛选可以直接在HTTP统计窗口中过滤出特定状态码如404或包含特定字符串的请求快速定位攻击请求。4.4 对话与端点的时间线分析在“会话”窗口中选中一个会话点击“图表”按钮可以生成该会话的TCP流时间序列图类似IO Graph但针对单个流。这能清晰展示连接建立、数据传输、窗口变化、重传等情况对于分析攻击是否成功、数据传输阶段非常直观。5. 常见问题与排查技巧实录5.1 问题按包数/字节数排序后排第一的是广播地址或网关干扰判断。技巧这是正常现象。网关、广播地址如192.168.1.255、多播地址本身流量就大。在分析时应重点关注内网IP地址段如192.168.x.x10.x.x.x172.16.x.x - 172.31.x.x。可以在端点视图的过滤器栏手动输入例如在IPv4标签下过滤器输入!ip.addr 192.168.1.1排除网关再排序查看。5.2 问题攻击者使用了IP欺骗或代理源头IP是伪造的。技巧IP欺骗在TCP协议中难以完成完整会话因为需要三次握手但在UDP Flood或ICMP Flood中常见。此时统计功能依然有效查看“端点”中哪些IP发送了大量某种类型的包如ICMP Echo Request但几乎没有任何接收流量。这符合欺骗特征。如果攻击通过代理链流量中会出现代理服务器的IP。这时需要分析应用层内容。例如在HTTP流量中查看X-Forwarded-For请求头真正的源IP可能记录在这里。这需要结合“追踪HTTP流”功能。5.3 问题流量太大Wireshark分析缓慢甚至卡死。技巧使用捕获过滤器如果是在自己抓包在开始前就设置捕获过滤器只抓取可能的攻击流量如host 目标IP。使用tshark命令行预处理对于已存在的大包可以用命令快速提取关键信息。例如提取所有源IP及其包数tshark -r attack_trace.pcapng -T fields -e ip.src | sort | uniq -c | sort -nr。这能快速获得一个终端下的“端点”统计。分而治之使用显示过滤器先分析一个疑似协议如tcp.port 80分析完再清除过滤器分析下一个。5.4 问题找到了高流量IP但如何确定它就是“攻击者”而不是正常用户技巧这是关键一步需要“证据链”行为证据高流量IP是否在短时间内对目标IP的多个端口进行了连接尝试全连接或半连接扫描内容证据追踪该IP与目标之间的TCP流是否包含明显的攻击Payload如union select../../etc/passwdcat /flag等时间证据攻击行为是否发生在非工作时间流量突发是否与已知漏洞爆发时间吻合频率证据请求频率是否远超人类操作如每秒数十个HTTP请求 结合以上几点基本可以判定。在CTF中通常流量特征会非常明显。5.5 一个典型的BUUCTF题型排查流程速查表步骤操作目的预期发现1. 宏观概览统计 - 协议分级了解流量组成发现异常协议占比如大量ICMP/TCP到非标准端口2. 定位活跃IP统计 - 端点 (IPv4)按“发送包数”降序找出最“忙”的源头排除网关/广播后找到1-3个候选攻击源IP3. 定位受害IP统计 - 会话 (IPv4)按“包数”降序找到与谁通信最多发现与候选攻击源通信最密集的目标IP4. 聚焦分析应用过滤器ip.src攻击IP and ip.dst目标IP隔离攻击流量清晰看到攻击者到目标的所有数据包5. 协议分析对过滤后流量再次协议分级或直接看包列表确定攻击类型识别是HTTP攻击、SQL注入、端口扫描等6. 内容确认选择一个关键包右键 - 追踪流查看攻击具体内容直接获取攻击Payload或Flag所在通信7. 提交答案从流量中提取攻击者IP地址完成题目通常是攻击IP或攻击IP:端口掌握这套方法再面对BUUCTF上那些令人望而生畏的大流量包题目你就能从容不迫地打开Wireshark的统计功能让数据自己指引你找到关键线索。记住工具是死的思路是活的。统计功能提供了强大的数据聚合能力而你的任务就是基于网络通信的基本原理和攻击的常见模式去解读这些统计数字背后的故事。多练习几个题目你会发现自己从“看包”进化到了“读流量”这才是网络分析能力真正的提升。