网络流量分析 | NetworkMiner

介绍

NetworkMiner 是一款适用于Windows（也适用于Linux/Mac）的开源网络取证分析工具。它可被用作被动网络嗅探器/数据包捕获工具，也可被用于检测操作系统、会话、主机名、开放端口等，还能被用于解析pcap文件进行离线分析。点击此处可下载该工具。

NetworkMiner主要有两种运行模式：

• 嗅探模式：虽然该工具可用于嗅探数据包，但是与Wireshark和tcpdump等工具相比，它的嗅探功能只是开胃菜级别。因此在实际使用中很少会将该工具用作专门的嗅探器，我们只需要将其看作一个“具有嗅探功能的网络取证分析工具”就好。
• 数据包解析/处理模式：NetworkMiner可以对已经捕获的流量进行分析，以便快速了解捕获流量的概况和信息。正因如此，该工具一般被用于深入调查之前对网络的快速概览。

总结来说，这款工具主要用于快速了解网络概况，很少被用于深入调查网络流量。NetworkMiner这款工具的优缺点如下表所示：

优点	缺点
操作系统识别	不适用于主动嗅探
可提取数据包中文件	不适用于大型pcap调查
用户凭据抓取	过滤功能有限
关键字解析	不适用于手动流量调查
总体概览

工具概述

工具的整体界面如下：

先从红框中的三项说起。

首先是“File”栏，它可以用于导入已有pcap包，也可以指定IP接收pcap包，还可以推出软件：

“Tools”栏可以清除dashboard的数据并删除捕获的数据：

“Help”栏提供工具更新以及工具的介绍。

介绍完上面这三块，接下来就是该工具各个模块的功能。

Case Panel

该面板可以显示已调查pcap文件的列表。通过该面板可以重新加载刷新、查看元数据详情和删除已加载文件。

Hosts

该模块展示了pcap包中存在的主机信息，这些信息包括：

• IP 地址
• MAC 地址
• 操作系统
• 开放端口
• 发送/接收包
• 内/外会话
• 主机详情

我们还可以对主机信息按照某一规律进行排序，还可以更改某一主机信息的颜色以突出某一个主机。

Files

该模块展示了从pcap包中提取出的文件，文件信息包括了：

• 帧序号
• 文件名
• 后缀名
• 文件大小
• 源/目的地址
• 源/目的端口
• 协议
• 时间戳
• 文件本地存放路径
• 文件内容详情

我们还可以轻松打开文件和文件夹，深入查看文件详情。

我们还可以发现，在这个模块中能借助搜索框来过滤关键字，还可以过滤特定列。过滤可以接受四种类型的输入：

• ExactPhrase：完全匹配用户的输入，包括顺序和空格
• AllWords：同时包含所有关键字，但顺序和位置不限
• AnyWord：包含任意一个关键字即可
• RegExe：利用正则表达式语法进行复杂匹配

Images

和 “Files” 模块类似，提取被调查pcap包中的图片，我们还可以对该图片进行缩放。

Messages

该模块提取被调查pcap包中的邮件、聊天和消息。该模块提供的信息有：

• 帧序号
• 源/目的地址
• 协议
• 发送者
• 接收者
• 时间戳
• 大小

当我们选中其中某一个message时，右边会有该message的对应“属性”和“附件”：

Credentials

该模块提取被调查pcap包中的凭证和密码哈希值，可以通过 Hashcat 和 John the Ripper等工具破解提取的凭证。NetworkMiner可以提取的凭证类型有：

• Kerberos 哈希值
• NTLM 哈希值
• RDP cookies
• HTTP cookies
• HTTP 请求
• IMAP
• FTP
• SMTP
• MS SQL

我们可以方便地复制提取凭证中的用户名和密码。

Sessions

该模块展示了pcap包中被检测到的会话信息，这些信息包括：

• 帧序号
• 客户端/服务端地址
• 源/目的端口
• 协议
• 开始时间

DNS

该模块展示了DNS查询的细节，具体包含信息如下：

• 帧序号
• 时间戳
• 客户端/服务端地址
• 源/目的端口
• IP TTL
• DNS TTL
• Transactions ID 和类型
• DNS查询和答复
• Alexa Top 1M（高级版才有的功能）

Parameters

该模块展示了被调查的pcap包中提取出来的参数。包含的参数信息有：

• 参数名
• 参数值
• 帧序号
• 源/目的主机地址
• 源/目的端口
• 时间戳
• 详细细节

Keywords

该模块展示了从调查的pcap包中提取出来的关键字。具体提供以下信息：

• 帧序号
• 时间戳
• 关键字
• 上下文
• 源/目的主机地址
• 源/目的端口

过滤关键字的操作：

• 添加关键字
• 重载 case files

Anomalies

该模块展示了被调查的 pcap 包中检测到的异常。但是请注意，NetworkMiner 并不是被设计作为IDS工具的。

版本差异

目前NetworkMiner较为常用的版本有 v1.6 和 v2.7，接下来对比一下这两个版本的区别。

MAC 地址处理

NetworkMiner 在 v2 版本后可以识别是否存在MAC地址冲突，此功能在v2之前不可用。

数据包处理

NetworkMiner 1.6及以下的版本可以更详细地处理数据包，而1.6版本后该功能被取消。

帧处理

NetworkMiner 1.6及以下的版本均可以处理帧，该选项可以提供帧的数量和帧的基本细节，而1.6版本后该功能被取消。

参数处理

NetworkMiner v2 之后的版本可以以更广泛的形式处理参数。因此，v1.6 比 v2 捕获的参数更少。

明文处理

NetworkMiner 1.6 及以下版本均可处理明文数据。该选项在单个选项卡中提供所有提取的明文数据，这有利于调查流量数据的明文数据，但是无法匹配明文数据和数据包。1.6 版之后不提供此功能。

小结

本文介绍了 NetworkMiner 是什么、如何使用以及如何调查 pcap 文件。在使用 NetworkMiner 有几点需要注意：

• 不要将此工具用作主要嗅探器。
• 使用该工具概述流量，然后使用 Wireshark 和 tcpdump 进行更深入的调查。