BruteShark 2.0 实战：从5GB PCAP中提取3类凭证与哈希（附Hashcat配置）-育师

BruteShark 2.0 实战：从5GB PCAP中提取3类凭证与哈希的完整指南

当一份5GB的PCAP文件摆在面前时，大多数安全工程师的第一反应可能是打开Wireshark开始筛选流量。但面对海量数据，传统方法往往效率低下。这就是BruteShark的价值所在——它能自动化完成80%的基础分析工作，让我们专注于关键证据挖掘。

1. 环境准备与工具配置

在开始分析之前，我们需要确保环境正确配置。BruteShark提供了GUI和CLI两种版本，对于大型PCAP文件分析，我强烈推荐使用CLI版本，它在处理性能上更有优势。

Windows环境依赖项安装：

# 安装Npcap驱动（若已安装Wireshark可跳过） choco install npcap -y # 安装.NET Core运行时 choco install dotnetcore-runtime -y

Linux环境准备：

# Ubuntu/Debian系统 sudo apt update && sudo apt install libpcap-dev -y # 下载BruteShark CLI wget https://github.com/odedshimon/BruteShark/releases/latest/download/BruteSharkCli chmod +x BruteSharkCli

针对大型PCAP文件分析，建议准备：

至少16GB内存（5GB文件解析时峰值内存占用可达12GB）
SSD存储空间为PCAP文件大小的3倍（用于临时文件）
多核CPU（BruteShark能有效利用多线程）

2. 多协议凭证提取实战

我们使用一个真实攻击场景中的PCAP文件进行演示，该文件包含HTTP、FTP和SMB三种常见协议的通信记录。

基础分析命令：

./BruteSharkCli -m Credentials -d /path/to/pcap -o ./output

2.1 HTTP基础认证提取

在分析结果中，BruteShark会自动识别以下HTTP认证类型：

Basic认证（Base64编码）
Digest认证
Form表单提交的明文密码

典型输出示例：

[HTTP] Credential found: URL: http://internalwiki.company.com/login Username: svc_backup Password: T0pS3cret!2023 Protocol: HTTP Basic Packet: #142857

2.2 FTP凭证解析

FTP协议分析需要特别注意两种模式：

主动模式（PORT）：容易提取明文凭证
被动模式（PASV）：可能需要重组数据流

特殊场景处理：当遇到FTP over SSL/TLS时，BruteShark会标记加密会话但无法直接解密，需要配合SSL密钥文件：

./BruteSharkCli -m Credentials -d ftps.pcap --ssl-key-file key.pem

2.3 SMB哈希捕获

对于Windows环境渗透测试，NTLM哈希是最有价值的发现之一。BruteShark能识别：

哈希类型	对应协议	Hashcat模式
NTLMv1	SMBv1	5500
NTLMv2	SMBv2/3	5600
NetNTLMv1	HTTP/NTLM	5500
NetNTLMv2	HTTP/NTLM	5600

哈希示例输出：

[SMB] NTLMv2 Hash captured: Username: ADMINISTRATOR Domain: CORP Hash: ADMINISTRATOR::CORP:1122334455667788:2F0A5D... ClientIP: 192.168.1.45 ServerIP: 10.10.10.10

3. 哈希导出与Hashcat破解配置

BruteShark可以直接导出Hashcat兼容格式的文件，大大简化了后续破解流程。

3.1 哈希文件导出

# 只导出哈希到指定目录 ./BruteSharkCli -m Credentials -d ./pcap_files --hashcat-export ./hashes

生成的hashcat文件内容示例：

$NETNTLMv2$CORP$ADMINISTRATOR$1122334455667788$2F0A5D...

3.2 Hashcat优化配置

针对不同哈希类型，推荐使用以下破解策略：

NTLMv2破解示例：

# 使用字典攻击 hashcat -m 5600 hashes/ntlmv2_hashes.txt rockyou.txt -O -w 3 # 使用混合攻击（字典+规则） hashcat -m 5600 hashes/ntlmv2_hashes.txt -a 6 rockyou.txt ?d?d?d

性能优化参数对比：

参数	说明	适用场景
-O	优化内核	快速破解
-w 3	高负载模式	独立GPU
-w 4	极限模式	多GPU系统
--force	忽略警告	旧硬件兼容

3.3 分布式破解方案

对于大型企业环境获取的哈希，建议采用分布式破解：

# 使用--show参数提取已破解的哈希 hashcat -m 5600 hashes/ntlmv2_hashes.txt --show # 将未破解的哈希分离 hashcat -m 5600 hashes/ntlmv2_hashes.txt --left --outfile-format=2 -o remaining_hashes

4. 高级分析与结果验证

4.1 网络拓扑重建

BruteShark的网络映射功能可以直观展示攻击路径：

./BruteSharkCli -m NetworkMap -d attack.pcap -o ./network_map

生成的可视化文件包含：

nodes.json：网络节点详情
edges.json：连接关系
network_graph.html：交互式拓扑图

4.2 时间线分析

通过TCP会话重建，可以还原攻击者的操作序列：

10:23:11 - HTTP GET /wp-login.php (初始探测) 10:25:42 - FTP STOR backdoor.php (上传后门) 10:28:15 - SMB Tree Connect \\DC\IPC$ (横向移动) 10:30:09 - RDP连接尝试 (最终入侵)

4.3 结果交叉验证

为确保分析准确性，建议结合其他工具验证：

# 使用tshark验证HTTP认证 tshark -r attack.pcap -Y "http.authbasic" -T fields -e http.host -e http.authbasic # 使用NetworkMiner检查文件提取 mono NetworkMiner.exe --open attack.pcap --output ./networkminer_out

5. 实战经验与避坑指南

在处理最近一次金融行业渗透测试时，我们发现BruteShark在以下场景需要特别注意：

大文件处理：超过10GB的PCAP建议先使用editcap分割：
```
editcap -c 1000000 large.pcap split.pcap
```
加密流量识别：TLS流量会显示为空白结果，需要配合JA3指纹识别恶意软件：
```
./BruteSharkCli -m DNS -d encrypted.pcap | grep malicious-domain
```
内存管理：添加--max-mem 8G参数防止OOM崩溃
时间格式统一：不同模块的时间戳格式可能不一致，建议使用--utc-time参数

最后提醒，在合规审计中，所有提取的凭证和哈希都需要安全存储。我们团队的标准做法是：

# 加密存储分析结果 gpg --encrypt --recipient security-team@company.com extracted_hashes.txt

BruteShark 2.0 实战：从5GB PCAP中提取3类凭证与哈希（附Hashcat配置）