AVL Code
全部案例
#004 · 流量封包分析

案例研究 · 流量封包分析

IRC 殭屍網路流量封包分析

你是緊急應變人員，手裡只有一份 net.pcap——42,100 位元組、466 個封包，沒有樣本也沒有主機日誌。照本文做完，你會得到一份還原了網路拓撲與 C2 行為的流量分析報告，外加一份當天可匯入封鎖的 IOC 清單。

pcap · 42,100 位元組· 466 包 · 約 4 分 27 秒· TCP 流載荷 0 位元組· IRC 殭屍網路 C2· 瀾砥 N2.5

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    建檔定位 — 42,100 位元組 / 466 包的流量畫像

    你把 net.pcap 交給 AVL Code；先拿到檔案大小、擷取時間、包數、鏈路層這些基本盤。

  2. 02

    載荷落空 — TCP 流全是 0 位元組，轉向 hexdump

    提取 TCP 流載荷想看 IRC 通訊內容，結果只剩握手包；分析改從原始包 hexdump 與時序入手。

  3. 03

    行為還原 — 定性 IRC 殭屍網路 C2

    你看到拓撲、DNS 關鍵發現與 140+ 次重連的節律被還原：ircbd.anondns.net → 45.9.148.85:6697。

  4. 04

    封鎖落地 — IOC 與檢測規則

    你拿到逐條來自流量實證的 IOC、網路檢測規則與 DNS 監控策略，外加主機取證指引。

向 AVL Code 發布任務

給我分析一下net.pcap這個網路流量封包

前提：工作區中已放有待分析的 pcap 檔案（本案例為 samples/net.pcap）；無需安裝任何分析工具，全程唯讀，不改動原始檔

復現材料見文末 親自檢測 ↓

流量封包分析

沒有樣本、沒有主機日誌，你唯一的輸入就是這份流量包——分析從把它交給 AVL Code 開始：

你輸入 → AVL Code 
給我分析一下net.pcap這個網路流量封包
AVL Code 執行 → 你會看到
定位 samples/net.pcap（42,100 位元組）→ 基本資訊：466 包 · 約 4 分 27 秒 · Ethernet
→ 提取 TCP 流載荷，想看 IRC 通訊內容
→ 關鍵轉折：所有 TCP 流 payload 都是 0 位元組（僅握手包）
→ 載荷這條路走不通 → 轉向原始封包 hexdump 逐包分析

行為還原

0 位元組載荷不等於零資訊——拓撲、網域和重連節律，全寫在包頭與時序裡：

你輸入 → AVL Code 
給我分析一下net.pcap這個網路流量封包
AVL Code 執行 → 你會看到
hexdump 逐包分析 → 還原拓撲：受害主機 192.168.7.133（VMware 虛擬機）· C2 45.9.148.85:6697（IRC over SSL 標準連接埠）
→ DNS 關鍵發現：持續查詢 ircbd.anondns.net → 45.9.148.85，約每 5 秒一次共 70+ 次，TTL 僅 5 秒
→ 網域背景：anondns.net 為匿名 DNS 服務商，前綴 ircbd 暗示 IRC Bot
→ 行為指紋：約 140 條 TCP 流全部指向 C2，每條僅 5 包（連接即斷），來源連接埠依次遞增
→ 旁證：mDNS / LLMNR / PTR 反查等常規流量

IOC 封鎖

報告的最後一節是「建議」——每一條 IOC 和規則都能回溯到前面的流量證據：

你輸入 → AVL Code 
給我分析一下net.pcap這個網路流量封包
AVL Code 執行 → 你會看到
生成完整流量分析報告：基本資訊 / 網路拓撲 / 通訊模式 / 威脅評估 / 結論 / 建議
→ IOC 封鎖清單：網域 ircbd.anondns.net · IP 45.9.148.85 · 連接埠 6697
→ 檢測規則：*.anondns.net 網域與 C2 的 6697 連接埠連接告警 · DNS 監控短 TTL 高頻查詢
→ 主機取證：對受害主機全盤掃描，排查 IRC Bot 惡意軟體

親自檢測

下載會話匯入工作區回放完整過程，或把你的流量包直接交給 AVL Code：

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話
› 給我分析一下 <你的流量包>.pcap 這個網路流量封包
  • 本案例的 pcap 擷自虛擬機實驗環境（受害主機 MAC 前綴 00:0c:29 為 VMware 虛擬網卡），192.168.7.x 內網位址為環境真實資料；會話匯出未暴露實際執行的具體命令列，文中動作序列以「輸入→產出」為準；分析全程唯讀，不改動原始 pcap。

下一個問題： 流量包定性了 C2，但惡意軟體本體還沒拿到——下一步：對受害主機做全盤取證，把發起重連的 IRC Bot 找出來。