1、https://github.com/dhicoc/dsh-reverse-skill

2、首先，来常规地看下一个恶意pcap包的解析：

3、现在，我们用DSH来分析这个恶意流量包：

shell.pcap 危险动作取证分析报告

1. 保全与基本信息

注意：原始 PCAP 保持只读，仅导出 HTTP 对象副本至 http_export/ 供进一步检视。

2. 网络流量宏观统计

2.1 协议分布

2.2 HTTP 统计（总 1,320 个 HTTP 包）

2.3 HTTP 响应分布

关键结论：42 个 2xx 成功响应、且大量 Web 中间件指纹均表明目标正在遭受自动化渗透测试/红队攻击。

3. 危险动作详细清单（按攻击链排序）

以下列表按出现时间（PCAP 开始后相对秒序）排列，风险等级：Critical / High / Medium / Info。

阶段 1：侦察与指纹识别（High/Info）

阶段 2：Webshell 上传与部署（Critical）

阶段 3：权限维持与后门（Critical/High）

阶段 4：文件上传与数据外泄（Critical）

阶段 5：数据外泄成功（Critical）

通过 http_export/ 恢复的敏感下载文件（均返回 HTTP 200）：

阶段 6：横向移动与内网侦察（High/Medium）

4. 关键 Payload 取证解码

4.1 Struts2 OGNL RCE (帧 131619)

接收端：/api/v1/user/login编码：multipart/form-data解码后核心 OGNL 表达式：

ognl

复制

${request.map=@org.apache.commons.collections.BeanMap@{}).toString().substring(0,0) +($request.map.setBean($request.get('struts.valueStack')) == true).toString().substring(0,0) +...application.get('org.apache.tomcat.Instantiator').newInstance('freemarker.template.utility.Execute').exec({'cat /etc/passwd'})}

• 结果
  ：读取 /etc/passwd 成功（导出 7 份 passwd 文件）。

4.2 WebLogic Java 反序列化 (帧 132106/132188)

接收端：/services%20/WorkflowServiceXml协议：SOAP/XML解码后核心机制：

• 使用 org.apache.commons.beanutils.BeanComparator
• 使用 com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl
• Class bytecode 属于 ysoserial 风格序列化 payload
• 包含 Ljava/lang/Runtime;、getRuntime()、exec、ProcessBuilder

附加副作用（解码后明文可见）：

java

复制

out.print("1978073339");new java.io.File(application.getRealPath(request.getServerPath())).delete();

• 结果
  ：执行恶意代码 + 删除服务器端文件。

4.3 加密 Webshell hello.jsp

tshark 导出文件：hello(1).jsp ~ hello(7).jsp格式：{"SjIHRC7oSVIE":"<Base64密文>"}

• 结果
  ：已上传 JSP Webshell，后续在 88.4s、139.3s、143.8s、259.7s 四次调用 (POST /hello.jsp)，持续与 C2 交互。

4.4 WEB-INF / 配置泄露

导出文件包含：

• web.xml
  , web(1-3).xml, web-inf → Web 应用部署描述符
• datasourceCtp.properties
  , config_db.php, vcdb.properties → 数据库口令 明码或加密形式泄露

5. IOC 汇总

6. 恶意软件/工具特征

7. 攻击链结论

复制

[侦察] → [自动化漏洞扫描] → [批量 RCE 利用] → [Webshell 部署] → [数据外泄/权限维持] → [内网扫描/痕迹清理]  0-20s     20-31s               20-31s          31s              20-259s             贯穿全程

1. 0-20s
   ：攻击者在 20 秒内针对同一目标端口 8081 连续发送了 30+ 种不同类型已知漏洞的利用请求（自动扫描器或人工脚本）。
2. 20s
   ：多种 RCE 链路同时命中（Struts2, WebLogic, F5, PHPUnit, Apache HTTPD, Laravel, OFBiz, Drupal, Nacos, CouchDB）。部分返回 200，说明攻击已成功。
3. 31s
   ： attacker 上传加密 JSP webshell (hello.jsp)。
4. 31-259s
   ：四次调用 hello.jsp，持续保持 C2 会话或执行维护指令。
5. 全程
   ：通过 fileDownload、extdirect、WorkflowServiceXml、services 等合法/半合法接口主动拉取备份、数据库、内部配置文件、系统文件。

8. 关键证据索引

报告生成时间：自动分析分析工具：Wireshark/tshark 3.x + Python-style hash + export-objects哈希校验：SHA256 C71B76BE434E5C6995CA942DC8F531ADC14E7B255B0646E365899F881CA3D5E7