網路封包與平行處理分析技巧

– 10 分鐘閱讀

網路安全分析仰賴有效的封包分析和資訊處理能力。本文將介紹 tcpdump 和 Tshark 等工具，用於捕捉和分析網路流量，找出潛在的安全威脅。同時，我們也會探討 Bash 平行程式設計技巧，提升處理效率，並結合 OSINT 資訊收集方法，強化網路安全分析的完整性。這些技術的整合應用，能有效提升網路安全防禦能力。

sudo tcpdump -XX -r packetcapture.pcap udp port 1985 or udp port 2029 | grep -B4 cisco

sudo tshark -i eth0 -Y "dns.flags eq 0x8183"

cat ips.txt | xargs -P 4 -I % nmap -sS %

parallel echo ::: A B C D

掌握 tcpdump 與 Tshark：網路封包分析技巧

在網路安全的領域中，深入瞭解網路流量是發現隱藏威脅和漏洞的關鍵。作為一名資深的技術工作者，我將分享使用 tcpdump 和 Tshark 進行封包分析的實戰經驗和技巧。這些工具如同精密的偵測儀器，能夠精準地捕捉和分析網路中的資料封包。

深入探索 tcpdump

tcpdump 是一款強大的網路封包分析工具，能夠捕捉網路上的資料封包，並以易於理解的格式呈現。以下是一些我在實戰中常用的技巧：

偵測 HSRP 預設密碼

HSRP（Hot Standby Router Protocol）是一種允許多臺路由器組成備援群組的協定，用於提升網路的可靠性。然而，如果使用預設密碼，例如 “cisco”，則容易被攻擊者利用，發動中間人攻擊（MITM）。以下指令可用於從封包擷取檔案 packetcapture.pcap 中找出使用預設 HSRP 密碼的系統：

tcpdump -XX -r packetcapture.pcap udp port 1985 or udp port 2029 | grep -B4 cisco
  • -XX：以十六進位和 ASCII 格式顯示封包資料，包含鏈路層標頭，方便深入分析封包結構。
  • -r packetcapture.pcap：指定從封包擷取檔案讀取資料，而非即時捕捉。
  • udp port 1985 or udp port 2029：過濾 UDP 埠 1985 或 2029 的流量，鎖定 HSRP 通訊。
  • | grep -B4 cisco：將 tcpdump 的輸出傳送到 grep，搜尋 “cisco” 字串，並顯示比對行之前的四行，以便檢視上下文資訊。

安全警示： 未經授權對 HSRP 進行 MITM 攻擊可能會造成網路中斷。發現漏洞的最佳做法是回報給相關單位。

偵測 LLMNR 和 NBT-NS 濫用

LLMNR 和 NBT-NS 是 Windows 系統用於名稱解析的協定，但容易被濫用。以下指令可用於偵測相關流量：

tcpdump -r packetcapture.pcap udp port 137 or udp port 5355

此指令過濾 UDP 埠 137（NBT-NS）和 5355（LLMNR）的流量，找出可能被濫用的請求。

擷取 HTTP 明文密碼

在滲透測試報告中，提供概念驗證（PoC）至關重要。以下指令可用於擷取 HTTP 明文通訊：

sudo tcpdump -i eth0 -XX -i 'tcp port 80' | grep -i -B5 pass

此指令監聽 eth0 介面，擷取 80 埠（HTTP）的 TCP 流量，並搜尋 “pass” 字串，找出可能洩漏的密碼。

Tshark：更上一層樓的封包分析利器

Tshark 是 Wireshark 的命令列版本，功能更為強大。在 Web 應用程式滲透測試中，Tshark 可用於發現網域接管漏洞：

sudo tshark -i eth0 -Y "dns.flags eq 0x8183"

此指令監聽 eth0 介面，並過濾 DNS 回應中標示為 NXDOMAIN（網域不存在）的封包，找出潛在的網域接管漏洞。

精準掌握 Tshark 欄位

Tshark 的欄位功能允許我們提取和顯示特定資訊，例如：

tshark -e ip.src -e ip.dst -Y "http"

此指令顯示封包的來源和目標 IP 位址，並過濾 HTTP 流量。

  graph LR
A[tcpdump] --> B{封包擷取}
B --> C[grep]
C --> D(分析結果)

E[Tshark] --> F{封包擷取與過濾}
F --> G(分析結果)

圖表説明: 此圖表展示了使用 tcpdump 和 Tshark 進行封包分析的流程。

以下是一些常用的 Tshark 欄位：

  • ip.src
  • ip.dst
  • ip.proto
  • tcp.srcport
  • tcp.dstport
  • udp.srcport
  • udp.dstport
  • frame.time
  • http.request.method
  • http.request.uri
  • http.user_agent
  • http.host
  • dns.qry.name
  • dns.resp.name
  • dns.resp.type

這些欄位能夠提供豐富的資訊，幫助深入分析網路流量。

Bash 平行程式設計：效率倍增器

在 Bash 指令碼中，背景執行指令是平行處理的關鍵。以下是一個同時掃描多個 IP 位址的範例：

#!/bin/bash
ips=("192.168.1.1" "192.168.1.2" "192.168.1.3")
for ip in "${ips[@]}"; do
  nmap -sS "$ip" > "scan_$ip.txt" &
done
wait
echo "Scanning complete."

此指令碼使用迴圈和 & 符號，在背景平行執行 nmap 掃描多個 IP 位址，大幅提升效率。

xargs：簡潔的平行處理入門

xargs 命令能夠將輸入資料轉換為命令列引數，實作基本的平行處理。例如：

find . -name "*.tmp" | xargs rm -f

find 命令找出所有名稱以 .tmp 結尾的檔案，並將結果傳遞給 xargs。xargs 將這些檔名作為 rm -f 的引數，一次性刪除多個檔案。

更進一步，xargs 的 -P 選項允許指定平行執行的行程數，例如：

cat ips.txt | xargs -P 4 -I % nmap -sS %

這個例子從 ips.txt 讀取 IP 位址，並使用 nmap 進行同步連線埠掃描。-P 4 指定最多同時執行 4 個掃描任務。

GNU Parallel：進階平行處理的王者

GNU Parallel 提供更精細的平行控制和更豐富的功能。首先，需要安裝它：

sudo apt update && sudo apt install parallel

基本用法與 xargs 類別似，但它能處理更複雜的場景：

parallel echo ::: A B C D

這個例子會同時輸出 A、B、C 和 D，展現了 parallel 的基本平行執行能力。

在實際應用中，可以結合 parallel 和其他命令，例如：

ls *.log | parallel gzip

這個例子會平行壓縮所有 .log 檔案。

screen：開發穩定的平行處理環境

screen 是一個終端多工器，允許在單一終端視窗中管理多個會話。它能讓平行處理任務在後臺穩定執行，即使網路斷線或終端關閉，任務也不會中斷。

以下是如何使用 screen 執行平行任務的示例：

# 建立一個名為 my_tasks 的 screen 會話
screen -dmS my_tasks

# 在 screen 會話中執行多個任務
for i in {1..4}; do
  screen -S my_tasks -X screen -t "task_$i" bash -c "echo '執行任務 $i'; sleep 5; echo '任務 $i 完成'"
done

這個例子建立了一個名為 my_tasks 的 screen 會話，並在其中執行 4 個任務，每個任務會輸出訊息並等待 5 秒。

視覺化平行處理流程

以下流程圖展示了使用 GNU Parallel 執行多個任務的流程：

  graph LR
    A[輸入資料] --> B(GNU Parallel);
    B --> C{任務 1};
    B --> D{任務 2};
    B --> E{任務 3};
    C --> F[輸出結果];
    D --> F;
    E --> F;

圖表説明: 此圖表展示了 GNU Parallel 如何接收輸入資料並將其分配給多個任務平行執行，最終輸出結果。

玄貓的實戰建議

  • 選擇合適的工具：對於簡單的任務，xargs 足夠使用；對於複雜的場景，GNU Parallel 更為靈活。
  • 控制併發數：使用 -P (xargs) 或 -j (parallel) 選項限制同時執行的任務數量，避免資源耗盡。
  • 錯誤處理：GNU Parallel 提供更強大的錯誤處理機制，確保任務穩定執行。
  • 結合 screen：使用 screen 在後臺執行平行任務，避免因網路中斷或終端關閉而導致任務失敗。

掌握這些 Bash 平行程式設計技巧，將大幅提升工作效率，讓你在網路安全領域更加得心應手。

SQL 注入測試：平行化，效率倍增

在 SQL 注入測試中，面對大量目標 URL 時，逐一測試效率低落。此時，parallel 工具就能派上用場，讓多個 SQL 注入測試同時進行，大幅縮短測試時間。

#!/usr/bin/env bash
urls=("http://example1.com" "http://example2.com" "http://example3.com")
echo "${urls[@]}" | parallel -j 3 'sqlmap -u {} --batch --crawl=2'
echo "所有 SQL 注入測試已完成。"

這個指令碼的核心在於 parallel -j 3，它允許同時執行 3 個 sqlmap 任務。 {} 代表從陣列中取出的 URL。

網路 TCP 連線埠掃描：快速定位目標

以下指令碼利用 Bash 的內建功能進行網路掃描，並使用迴圈和背景執行實作平行掃描，大幅提升掃描效率。

#!/usr/bin/env bash
IP_RANGE="192.168.1.{1..20}"
PORTS=(21 22 23)

scan_ports() {
    local IP=$1
    for PORT in "${PORTS[@]}"; do
        (echo > /dev/tcp/$IP/$PORT) > /dev/null 2>&1 && echo "$IP:$PORT is open"
    done
}

for IP in $(eval echo $IP_RANGE); do
    scan_ports $IP &
done
wait
echo "網路掃描完成。"

網路掃描流程

  graph LR
    A[定義 IP 範圍和埠號] --> B{Ping 或直接掃描埠};
    B --> C[掃描開放埠];
    C --> D[輸出開放埠結果];

圖表説明: 此圖表描述了網路掃描的基本流程，從定義 IP 範圍和埠號開始，到最終輸出開放埠結果。

OSINT 與 Bash：在資訊收集中的應用與實踐探索

OSINT（Open Source Intelligence）技術結合 Bash 指令碼，能夠有效地從公開來源收集目標使用者的資訊，例如使用者名稱和電子郵件地址。這種方法在滲透測試和安全研究中非常有用，因為它能夠自動化資訊收集過程，提高效率和準確性。

以下是一個範例指令碼，用於展示如何結合 OSINT 和 Bash 從特定網站收集使用者資訊並將其格式化為 CSV 檔案:

#!/bin/bash

# 從特定網站收集使用者資訊的範例程式碼片段 
# curl https://example.com/users | grep -oE '"name":"[^"]*","email":"[^"]*"' | sed 's/"name":"\(.*\)","email":"\(.*\)"/\1,\2/' > users.csv

資訊收集流程

  graph LR 
A[存取目標網站] --> B(提取使用者資訊); 
B --> C{格式化為CSV}; 
C --> D[儲存至users.csv];

圖表説明: 此圖表展示了從目標網站提取使用者資訊並儲存為 CSV 檔案的基本流程。它清晰地描述了每個步驟之間的邏輯關係，有助於理解整個資訊收集過程。

透過結合 OSINT 和 Bash，我們可以有效地自動化資訊收集過程，為滲透測試和安全研究提供有力的支援。

最終檢查清單

  • 確保所有程式碼範例正確且可執行。
  • 使用正確的 Mermaid 圖表語法。
  • 確保所有圖表都有詳細的說明。
  • 使用臺灣慣用的技術術語和語言風格。
  • 確保文章結構清晰，邏輯嚴謹。
  • 使用正確的檔案格式和標題規範。

透過遵循這些，您可以建立一篇高品質的技術文章，有效地與讀者分享您的知識和經驗。

開源情報收集與Bash指令碼在滲透測試中的應用

在現代滲透測試領域，開源情報（OSINT）收集是至關重要的第一步。OSINT技術允許測試人員從公開可存取的來源收集目標組織的相關資訊。結合Bash指令碼的強大功能，可以自動化和簡化這一過程，從而提升測試效率和成功率。

OSINT工具與技術的綜合應用

除了單一的工具或技術，滲透測試人員通常需要結合多種OSINT工具和技術來收集全面的資訊。例如，theHarvester可用於從搜尋引擎和公開資料來源收集電子郵件地址和子網域名稱，而SpiderFoot則可以自動化收集和分析IP地址、網域名稱和其他網路相關資訊的過程。

# 使用theHarvester收集電子郵件地址和子網域名稱
theHarvester -d example.com -l 500 -b all

內容解密：

此指令使用theHarvester工具針對example.com進行資訊收集。引數-d指定目標網域名稱，-l限制結果數量，-b all表示從所有可用的資料來源進行搜尋。此工具對於初步的情報收集非常有用，能夠提供目標組織的電子郵件地址和子網域名稱資訊。

Bash指令碼在OSINT中的角色

Bash指令碼在處理OSINT資料時扮演著重要角色。透過迴圈、條件判斷等功能，可以對收集到的資訊進行進一步的處理和分析。例如，可以編寫一個Bash指令碼來自動合併多個來源的使用者資訊，並將其儲存為統一的CSV格式。

# 合併多個來源的使用者資訊至統一的CSV檔案
#!/bin/bash

# 設定輸出檔案
output_file="users.csv"

# 初始化輸出檔案
echo "Username,Email,Source" > $output_file

# 從多個來源收集資料並合併
for source in "source1.txt" "source2.txt"; do
    while IFS= read -r line; do
        username=$(echo $line | cut -d',' -f1)
        email=$(echo $line | cut -d',' -f2)
        echo "$username,$email,$source" >> $output_file
    done < $source
done

內容解密：

此Bash指令碼用於合併來自不同來源的使用者資訊。指令碼首先初始化一個CSV檔案作為輸出，然後遍歷指定的來源檔案，將每個檔案中的使用者資料格式化後追加到輸出檔案中。這種方法能夠有效地整合分散的資料，為後續的分析和處理提供便利。

序列圖展示互動流程

以下是一個使用Mermaid語法繪製的序列圖，用於展示瀏覽器、伺服器和Bash指令碼之間的互動流程：

  sequenceDiagram
    participant Browser
    participant Server
    Browser->>Server: Request user data
    activate Server
    Server-->>Browser: User data (JSON)
    deactivate Server
    Browser->>Bash Script: Process JSON data
    activate Bash Script
    Bash Script-->>users.csv: Save user data (CSV)
    deactivate Bash Script

圖表翻譯：

此序列圖詳細展示了瀏覽器如何向伺服器請求使用者資料，並接收JSON格式的回應。接著，瀏覽器將收到的JSON資料傳遞給Bash指令碼進行處理，最終將處理後的使用者資料儲存為CSV格式的檔案。這個流程清晰地說明瞭不同元件之間的互動邏輯，有助於理解整個資料處理過程。

隨著網路安全威脅的不斷演變，滲透測試技術和方法也需要持續更新。未來，我們可以預期看到更多根據人工智慧和機器學習的OSINT工具，這些工具將能夠更快速、更準確地識別潛在的安全威脅。同時，Bash指令碼和其他自動化工具也將繼續進化，提供更強大的資料處理和分析能力。

透過不斷地學習和採用新技術，滲透測試人員將能夠保持領先於攻擊者，從而更好地保護組織的網路安全。這需要持續關注最新的安全趨勢和技術發展，並將其應用於實際的滲透測試工作中。只有這樣，才能確保組織的安全防禦始終處於最佳狀態。

進一步探討

除了上述討論的內容外，還有多個方面值得進一步探討。例如，如何更好地整合不同的OSINT工具和技術，以實作更全面的情報收集？如何最佳化Bash指令碼，以提高資料處理的效率和準確性？這些都是未來研究和實踐的重要方向。

透過深入研究這些問題，並結合實際案例進行分析，可以進一步提升滲透測試的效果和價值。同時，這也將有助於推動網路安全領域的發展，為組織提供更強大的安全保障。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。