0×00  简介

本期主要会教大家如何从流量中还原出来文件。下面我将会用5种办法来讲解。

0×01  网络流量提取文件(方法1)

1.  安装依赖

Default

yum install -y libpcap libpcap-devel

1

yuminstall-ylibpcaplibpcap-devel

1)  从http://www.rpmfind.net/linux/rpm2html/search.php?query=tcpxtract

找到对应的版本。

2)  我是centos 6.5我下载的文件是tcpxtract-1.0.1-1.el6.rf.x86_64.rpm

3)

2.  安装tcpxtract

3.  下载pcap流量包

Default

wget http://forensicscontest.com/contest01/evidence01.pcap

1

wgethttp://forensicscontest.com/contest01/evidence01.pcap

Default

tcpxtract -f evidence01.pcap

1

tcpxtract-fevidence01.pcap

4.  查看要恢复文件

5.  查看恢复文件

6.  打开文件

0×02  网络流量提取文件(方法2)

1.  下载pcap文件

Default

wget http://barracudalabs.com/downloads/5f810408ddbbd6d349b4be4766f41a37.pcap –no-check-certificate

1

2

wgethttp://barracudalabs.com/downloads/5f810408ddbbd6d349b4be4766f41a37.pcap

–no-check-certificate

从http://sourceforge.net/projects/networkminer/files/latest/download下载

3.  打开PCAP文件2.  安装NetworkMiner

4.  查看提取出来的文件

5.  virustotal查看恶意文件

0×03  网络流量提取文件(方法3)

1.  wireshark还原文件

2.  查看还原文件

3.  还原文件

0×04  网络流量提取文件(方法4)

1.  下载foremost并安装

Default

wget http://foremost.sourceforge.net/pkg/foremost-1.5.7.tar.gz make make install

1

2

3

wgethttp://foremost.sourceforge.net/pkg/foremost-1.5.7.tar.gz

make

makeinstall

Default

foremost -v -i 5f810408ddbbd6d349b4be4766f41a37.pcap

1

foremost-v-i5f810408ddbbd6d349b4be4766f41a37.pcap

2.  还原文件

0×05  网络流量提取文件(方法5)

1.  下载chaosreader

Default

wget https://github.com/brendangregg/Chaosreader/archive/master.zip

1

wgethttps://github.com/brendangregg/Chaosreader/archive/master.zip

2.  还原文件

3.  查看还原的exe文件

0×06  参考文档