Agent Skills
返回列表
🔒

流量分析与PCAP

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/traffic-analysis-pcap-xtic。

技能介绍

解决的问题

拿到抓包文件时，麻烦的往往不是“看”，而是先把文件救活、再从海量流量里定位问题。长时间抓包、高负载或异常中断常导致 PCAP 损坏或截断；即便文件完好，HTTPS 加密流量、DNS 隧道、ICMP 外泄都藏在正常背景里，基础模型容易漏掉 USB 键盘解码模式、DNS 隧道启发式特征与 TLS 解密流程。这个技能把从修包到出结论的完整链路固化成可执行的分析手册。

核心能力与关键步骤

  • PCAP 修复：先修复损坏或截断的抓包文件，再进入分析
  • Wireshark 过滤：按 IP / 主机、协议、TCP 流、HTTP、DNS、TLS 与内容搜索逐层收敛范围
  • 协议分析：HTTP 流重组、TLS 解密、DNS 隧道检测、FTP 凭据与文件提取、SMTP 邮件内容、USB HID 键盘解码、WiFi WPA 握手、ICMP 外泄
  • 数据提取：文件雕刻、凭据收集、隐蔽通道识别；线索包括长子域名 DNS、大 payload ICMP、编码 HTTP 头、规律 beacon（C2）
  • 统计与 CLI：用 tshark -q -z io,stat,1、-z conv,tcp 做异常统计，配合 NetworkMiner 归因，按决策树收尾

适用边界

  • 只处理已有抓包数据，不能替代主动采集
  • TLS 解密需握有会话密钥或私钥
  • 隧道与 C2 启发式只提供线索，需人工确认
  • 建议与 memory-forensics-volatility、steganography-techniques 等技能交叉验证

使用场景

  • 安全响应：修复因中断而截断的抓包文件，恢复完整分析条件。
  • 事件取证：从 FTP 流量中提取明文凭据与传输文件作为证据。
  • 威胁狩猎：通过长子域名和规律心跳，识别疑似 DNS 隧道与 C2 通信。
  • 事故排查：用 Wireshark TCP 流过滤功能，定位长连接中的 HTTP 异常。

适合人员

  • 事件响应分析师：需从残缺 PCAP 中快速定位攻击者横向移动痕迹。
  • 数字取证调查员：需提取 USB 键盘输入记录及 TLS 解密后的流量证据。
  • SOC 值守工程师：负责用 tshark 统计命令排查异常外发数据与隐蔽通道。
  • IT 运维工程师：排查 Web 服务异常时，需按协议快速过滤 Wireshark 抓包。