流量分析第一题

### Wireshark 流量分析练习题 以下是一些关于使用 Wireshark 进行流量分析的练习题或考试题目，涵盖了基本的网络协议分析、攻击检测和数据提取等内容。 1. **TCP 三次握手与四次挥手** 使用 Wireshark 捕获基于 TCP 协议的通信流量。设置捕获过滤器为 `tcp and port 1234`，运行客户端和服务端程序，观察并记录以下内容： - 客户端和服务端之间的三次握手过程[^1]。 - 在客户端输入一些内容后，观察数据包传输的具体细节。 - 输入 `quit` 后，观察四次挥手的过程，并记录相关数据包的序号和标志位。 2. **HTTP 请求与响应分析** 使用 Wireshark 捕获 HTTP 流量，设置捕获过滤器为 `http`，访问一个简单的网页后，分析以下内容： - HTTP 请求头中包含哪些字段？例如 `Host`、`User-Agent` 等[^2]。 - HTTP 响应头中包含哪些字段？例如 `Content-Type`、`Content-Length` 等。 - 如果网页中有图片资源，如何通过 Wireshark 提取这些图片文件？ 3. **SQL 注入攻击检测** 分析一段包含 SQL 注入攻击的流量包，回答以下问题： - 黑客攻击的第一个受害主机的网卡 IP 地址是什么？[^2] - 黑客对 URL 的哪一个参数实施了 SQL 注入？ - 第一个受害主机网站数据库的表前缀是什么？[^2] - 第一个受害主机网站数据库的名字是什么？ 4. **DNS 查询分析** 使用 Wireshark 捕获 DNS 查询流量，设置捕获过滤器为 `dns`，访问一个域名后，分析以下内容： - DNS 查询请求中包含哪些字段？例如 `Query Name`、`Query Type` 等。 - DNS 响应中返回的 IP 地址是什么？ - 如果存在多个 DNS 服务器，Wireshark 如何显示这些信息？ 5. **ARP 欺骗检测** 使用 Wireshark 捕获局域网中的 ARP 流量，设置捕获过滤器为 `arp`，分析以下内容： - ARP 请求和响应的基本格式是什么？ - 如果发现异常的 ARP 包（例如同一 IP 地址对应多个 MAC 地址），可能发生了什么情况？ 6. **HTTPS 流量分析** 捕获 HTTPS 流量，设置捕获过滤器为 `tls`，分析以下内容： - TLS 握手过程中交换了哪些关键信息？例如 `Client Hello` 和 `Server Hello` 中的内容。 - 如果有证书信息，如何通过 Wireshark 查看证书的详细内容？ 7. **流量统计与图表生成** 使用 Wireshark 的统计功能，完成以下任务： - 生成一个按协议分类的流量统计图。 - 分析一段时间内的流量趋势，找出流量高峰的时间段。 8. **恶意软件通信检测** 捕获可疑主机的流量，分析以下内容： - 是否存在与已知恶意 IP 地址的通信？ - 如果发现 C&C 服务器通信，如何通过 Wireshark 提取相关的域名或 IP 地址？ ```python # 示例代码：Wireshark 自动化脚本（Python） from scapy.all import sniff def packet_callback(packet): if packet.haslayer(TCP): print(f"Source: {packet[IP].src}, Destination: {packet[IP].dst}") sniff(filter="tcp", prn=packet_callback, count=10) ```