网络流量分析入门教学文档

一、流量分析基础概念

1.1 什么是网络流量分析

网络流量分析是指对网络通信过程中产生的数据包进行捕获、解析和分析的过程，目的是了解网络行为、检测异常或获取特定信息。

1.2 常见流量分析场景

• 网络安全事件调查
• 恶意软件分析
• 网络性能优化
• CTF比赛解题
• 应用协议分析

二、常用工具介绍

2.1 Wireshark

最流行的网络协议分析工具，支持多种协议解析。

关键功能：

• 实时捕获和离线分析
• 丰富的过滤语法
• 协议解码能力
• 统计和可视化功能

2.2 Tshark

Wireshark的命令行版本，适合自动化分析。

2.3 NetworkMiner

专注于取证分析的工具，可提取文件、证书等。

2.4 Zeek (原Bro)

网络流量分析框架，可生成详细的日志。

三、流量分析基本流程

3.1 数据包捕获

• 确定捕获接口
• 设置适当的捕获过滤器
• 考虑存储空间和性能影响

3.2 初步筛选

使用显示过滤器缩小分析范围：

tcp.port == 80  # HTTP流量
http  # 所有HTTP流量
ip.addr == 192.168.1.1  # 特定IP

3.3 协议分析

• 识别主要协议类型
• 分析协议交互过程
• 注意异常协议行为

3.4 数据提取

• 导出特定会话
• 提取传输的文件
• 获取关键通信内容

四、常见协议分析要点

4.1 HTTP/HTTPS

关键点：

• 请求方法 (GET/POST等)
• URL路径和参数
• 状态码
• 头部信息
• 内容类型和长度

特殊关注：

• 文件上传/下载
• Cookie和认证信息
• 非标准端口使用

4.2 DNS

关键点：

• 查询类型 (A, AAAA, TXT等)
• 查询域名
• 响应内容
• 查询频率

特殊关注：

• 异常长的域名
• TXT记录中的可疑内容
• DNS隧道迹象

4.3 TCP/UDP

关键点：

• 端口使用情况
• 数据流方向
• 会话完整性
• 载荷内容

五、CTF流量分析常见题型

5.1 敏感信息泄露

• 查找明文传输的密码、密钥
• 分析HTTP认证过程
• 检查Cookie和Session信息

5.2 文件提取

• 识别文件传输流量
• 重组文件内容
• 常见文件类型特征识别

5.3 协议异常

• 非标准端口使用
• 自定义协议分析
• 协议字段篡改

5.4 隐蔽通道

• DNS隧道
• HTTP头部隐藏信息
• ICMP载荷数据
• TCP/UDP非常规使用

六、实战技巧

6.1 过滤技巧

http.request.method == "POST"  # 过滤POST请求
tcp.flags.syn == 1  # 过滤SYN包
data.len > 500  # 过滤大数据包

6.2 追踪流

• 右键数据包 → 追踪 → TCP/UDP/HTTP流
• 查看完整会话内容
• 注意不同方向的流量

6.3 数据导出

• 导出HTTP对象
• 提取特定数据段
• 保存重组后的文件

6.4 统计功能

• 会话统计
• 端点统计
• 协议分级统计
• 流量图分析

七、高级分析技术

7.1 SSL/TLS解密

• 导入私钥解密HTTPS流量
• 配置Wireshark使用私钥
• 注意前向保密限制

7.2 自定义协议解析

• 编写Wireshark插件
• 分析二进制协议结构
• 识别协议特征

7.3 时间序列分析

• 分析请求间隔
• 检测定时通信
• 识别心跳包

八、案例分析

8.1 Web登录过程分析

1. 捕获登录过程流量
2. 分析认证机制
3. 提取凭证信息
4. 检查会话管理

8.2 文件上传分析

1. 识别文件上传请求
2. 提取文件内容
3. 分析文件类型
4. 检查服务器响应

8.3 隐蔽通信检测

1. 识别异常DNS查询
2. 分析查询模式
3. 解码隐藏信息
4. 重建通信内容

九、参考资料

• Wireshark官方文档
• 《Wireshark网络分析实战》
• RFC文档（各协议规范）
• 各类CTF比赛Writeup

十、练习建议

1. 从简单HTTP流量开始分析
2. 逐步增加协议复杂度
3. 尝试解决CTF比赛题目
4. 分析真实网络环境流量（需合法授权）
5. 建立常见协议特征库

通过系统学习和实践，可以逐步掌握网络流量分析的各项技能，应用于安全防御、事件调查和CTF比赛等多个领域。