基于FTP协议的盗号木马通信流量分析方法研究  

作　　者：沈耀童 徐国天[1] 程斌 

机构地区：[1]中国刑事警察学院 [2]公安部第三研究所

出　　处：《警察技术》2021年第3期74-77,共4页Police Technology

基　　金：中央高校基本科研业务费项目(编号:3242017013);公安部理论及软科学研究计划(编号:2020LLYJXJXY031);公安部理论及软科研究计划(编号:2016LLYJXJXY013);公安部技术研究计划课题(课题批准号2016JSYJB06);辽宁省社会科学规划基金项目(编号:L16BFX012)

摘　　要：目前,办案人员主要采用静态分析和动态分析法对盗号木马进行取证分析,获取网络入侵痕迹,但是现有取证方法较为繁琐,对办案人员专业知识水平要求较高,且获取的入侵痕迹不够全面。针对上述问题,采用通信流量分析法对盗号木马进行取证分析,以使用FTP协议的Hawk Eye keylogger盗号木马为例,通过细致分析木马与外界的通信数据流,根据其连接建立过程,还原盗取的用户隐私信息,确定黑客控制端IP地址、端口号等入侵线索。实验结果表明,与现有取证方法相比,该方法能够全面、快速、准确获取盗号木马相关痕迹信息,灵活性较高,既能对常规盗号木马(通常采用SMTP协议和HTTP协议)进行分析,又能对使用FTP协议的新型盗号木马进行深入取证,符合公安一线工作需求。

关 键 词：通信流量 数据还原 FTP协议 盗号木马 取证分析 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术] D631.2[自动化与计算机技术—计算机科学与技术]