全部案例
#004 · 流量包分析
案例研究 · 流量包分析
IRC 僵尸网络流量数据包分析
你是应急响应人员，手里只有一份 net.pcap——42,100 字节、466 个数据包，没有样本也没有主机日志。照本文做完，你会得到一份还原了网络拓扑与 C2 行为的流量分析报告，外加一份当天可导入封禁的 IOC 清单。
pcap · 42,100 字节· 466 包 · 约 4 分 27 秒· TCP 流载荷 0 字节· IRC 僵尸网络 C2· 澜砥 N2.5
概览
- 01
建档定位 — 42,100 字节 / 466 包的流量画像
你把 net.pcap 交给 AVL Code；先拿到文件大小、捕获时间、包数、链路层这些基本盘。
- 02
载荷落空 — TCP 流全是 0 字节，转向 hexdump
提取 TCP 流载荷想看 IRC 通信内容，结果只剩握手包；分析改从原始包 hexdump 与时序入手。
- 03
行为还原 — 定性 IRC 僵尸网络 C2
你看到拓扑、DNS 关键发现与 140+ 次重连的节律被还原：ircbd.anondns.net → 45.9.148.85:6697。
- 04
封禁落地 — IOC 与检测规则
你拿到逐条来自流量实证的 IOC、网络检测规则与 DNS 监控策略，外加主机取证指引。
向 AVL Code 发布任务
给我分析一下net.pcap这个网络流量数据包前提：工作区中已放有待分析的 pcap 文件（本案例为 samples/net.pcap）；无需安装任何分析工具，全程只读，不改动原文件
复现材料见文末 亲自检测 ↓
流量包分析
没有样本、没有主机日志，你唯一的输入就是这份流量包——分析从把它交给 AVL Code 开始：
你输入 → AVL Code
给我分析一下net.pcap这个网络流量数据包AVL Code 执行 → 你会看到
定位 samples/net.pcap（42,100 字节）→ 基本信息：466 包 · 约 4 分 27 秒 · Ethernet
→ 提取 TCP 流载荷，想看 IRC 通信内容
→ 关键转折：所有 TCP 流 payload 都是 0 字节（仅握手包）
→ 载荷这条路走不通 → 转向原始数据包 hexdump 逐包分析行为还原
0 字节载荷不等于零信息——拓扑、域名和重连节律，全写在包头与时序里：
你输入 → AVL Code
给我分析一下net.pcap这个网络流量数据包AVL Code 执行 → 你会看到
hexdump 逐包分析 → 还原拓扑：受害主机 192.168.7.133（VMware 虚拟机）· C2 45.9.148.85:6697（IRC over SSL 标准端口）
→ DNS 关键发现：持续查询 ircbd.anondns.net → 45.9.148.85，约每 5 秒一次共 70+ 次，TTL 仅 5 秒
→ 域名背景：anondns.net 为匿名 DNS 服务商，前缀 ircbd 暗示 IRC Bot
→ 行为指纹：约 140 条 TCP 流全部指向 C2，每条仅 5 包（连接即断），源端口依次递增
→ 旁证：mDNS / LLMNR / PTR 反查等常规流量IOC 封禁
报告的最后一节是"建议"——每一条 IOC 和规则都能回溯到前面的流量证据：
你输入 → AVL Code
给我分析一下net.pcap这个网络流量数据包AVL Code 执行 → 你会看到
生成完整流量分析报告：基本信息 / 网络拓扑 / 通信模式 / 威胁评估 / 结论 / 建议
→ IOC 封禁清单：域名 ircbd.anondns.net · IP 45.9.148.85 · 端口 6697
→ 检测规则：*.anondns.net 域名与 C2 的 6697 端口连接告警 · DNS 监控短 TTL 高频查询
→ 主机取证：对受害主机全盘扫描，排查 IRC Bot 恶意软件亲自检测
下载会话导入工作区回放完整过程，或把你的流量包直接交给 AVL Code：
› 给我分析一下 <你的流量包>.pcap 这个网络流量数据包- 本案例的 pcap 抓自虚拟机实验环境（受害主机 MAC 前缀 00:0c:29 为 VMware 虚拟网卡），192.168.7.x 内网地址为环境真实数据；会话导出未暴露实际执行的具体命令行，文中动作序列以"输入→产出"为准；分析全程只读，不改动原 pcap。
下一个问题： 流量包定性了 C2，但恶意软件本体还没拿到——下一步：对受害主机做全盘取证，把发起重连的 IRC Bot 找出来。