Task 1

题目：乍一看，这次攻击似乎可疑的是哪种协议？

首先查看协议统计

可以发现，QUIC 使用最多，其次是 TCP，最后是 DNS

短时间内通过大量 DNS 数据包，比较奇怪

答案：DNS

Task 2

题目：我们的主机与另一台主机之间似乎存在大量流量，可疑主机的 IP 地址是多少？

可以看见 192.168.157.145、192.168.157.144之间的数据包数量比与其他 IP 的数量多得多

答案：192.168.157.145

Task 3

题目：攻击者向客户端发送的第一个命令是什么？

1、选取所有192.168.157.144与192.168.157.145通信的数据包，且大小在 200 以上

 ip.src eq 192.168.157.145  &&  ip.dst eq 192.168.157.144 && udp.length >200

明显的 dnscat2 流量特征（解析域名过长，使用 CNAME、TXT、MX 记录的查询）

2、导出为 1.txt 文件

利用 python 转换成字符串

import re
# 读取 1.txt
with open('D:\\htb\\sherlocks\\Litter\\litter\\1.txt','r') as f:
    lines = f.readlines()
lis,temp,word = [],'',''

# 获取域名
for line in lines:
    st = re.sub(r'\.microsofto365\.*', '111', line)
    st = re.search(r'Name: (.*?)111',st)
    if st:
        lis.append(st.group(1)[18:].replace('.',''))

# 转为字符串
for line in lis:
    for i in range(0,len(line),2):
        temp += chr(int(line[i:i+2],16))
    word += temp
    temp = ''
    # print(word)
    
# 写入 2.txt
with open('D:\\htb\\sherlocks\\Litter\\litter\\2.txt','w') as f:
    f.write(word)

3、查看 2.txt