基于抓包的 Web 攻击行为分析与排查实践

• 非 HTTP 游戏通常使用 TCP/UDP 自定义协议
• 数据包为二进制格式，无 HTTP 头部特征

通过目标服务器 IP 识别游戏会话（如 114.67.223.67:8005）

步骤 3：关键数据包识别

现象观察：

1. 执行游戏操作（如点击"瞬移"）
2. 实时观察新出现的数据包
3. 发现固定长度的数据包（如 25 字节）
4. 该数据包与游戏操作强相关

2.3 使用 Wireshark 深度分析

步骤 1：基础捕获

# 1. 选择网络接口（通常为以太网）
# 2. 开始捕获所有流量
# 常用显示过滤器示例：
ip.addr == 114.67.223.67          # 按 IP 过滤
tcp.port == 8005                 # 按端口过滤
udp                              # 仅显示 UDP 流量
!(http or tls)                   # 排除 HTTP/HTTPS 流量

步骤 2：协议特征分析

1. 时序分析：数据包发送频率与游戏操作的关系
2. 长度分析：特定操作是否产生固定长度的数据包
3. 内容分析：十六进制数据中是否存在可识别的模式或参数

步骤 3：流量重组与跟踪

• 右键会话 → "追踪流" → "TCP 流/UDP 流"
• 查看完整的应用层数据交换
• 保存原始数据供进一步分析

三、工具对比与选择策略

3.1 抓包能力对比

3.2 常见问题与解决方案

四、抓包数据的应用方向

4.1 渗透测试（攻击面发现）

数据流：抓包数据 → 信息提取 → 攻击面映射 → 漏洞测试

1. 资产信息提取
   • IP 地址、域名
   • API 接口端点
   • 云存储资源（OSS）地址
   • 第三方服务调用
2. 攻击面扩展

# 使用 FOFA 进行资产发现
搜索语法：ip="114.67.223.67"        # 精确 IP 搜索
host="*.vanjoys.cn"                # 域名泛解析
port="8005"                        # 特定端口
header="Server: nginx"             # 服务指纹

3. 分层测试策略
   • Web 服务：SQL 注入、XSS、越权访问等 Web 漏洞
   • 端口服务：数据库、中间件、RPC 服务漏洞
   • API 接口：未授权访问、逻辑漏洞、参数篡改
   • 云资源：OSS 桶公开访问、配置错误

4.2 逆向分析与安全研究

1. 源码层分析
   • 反编译 APK/EXE 获取源码
   • 搜索硬编码的 IP、域名、API 密钥
   • 分析网络通信模块的实现逻辑
2. 协议逆向工程 分析步骤：
   1. 识别协议类型（TCP/UDP 自定义协议）
   2. 分析数据包结构（头部 + 载荷）
   3. 识别字段含义（长度、命令字、参数）
   4. 分析加密算法（如有）
   5. 模拟客户端发送测试数据包
3. 安全机制绕过
   • 客户端验证逻辑缺陷
   • 不规范的加密实现
   • 可重放的认证令牌
   • 本地数据篡改可能性

4.3 封包监听工具专项使用

工具特点：针对特定进程的 API 层拦截 适用场景：模拟器内游戏、有反调试保护的应用

操作流程：

1. 启动封包监听工具（需管理员权限）
2. 选择目标进程（如 MEmuHeadless.exe）
3. 设置过滤器（可选）
4. 开始监听，执行游戏操作
5. 分析 send/recv 数据包
6. 尝试重放或修改关键数据包