BruteShark 2.0 实战：从5GB PCAP中提取3类凭证与哈希（附Hashcat配置）
BruteShark 2.0 实战：从5GB PCAP中提取3类凭证与哈希的完整指南
当一份5GB的PCAP文件摆在面前时，大多数安全工程师的第一反应可能是打开Wireshark开始筛选流量。但面对海量数据，传统方法往往效率低下。这就是BruteShark的价值所在——它能自动化完成80%的基础分析工作，让我们专注于关键证据挖掘。
1. 环境准备与工具配置
在开始分析之前，我们需要确保环境正确配置。BruteShark提供了GUI和CLI两种版本，对于大型PCAP文件分析，我强烈推荐使用CLI版本，它在处理性能上更有优势。
Windows环境依赖项安装：
# 安装Npcap驱动（若已安装Wireshark可跳过） choco install npcap -y # 安装.NET Core运行时 choco install dotnetcore-runtime -yLinux环境准备：
# Ubuntu/Debian系统 sudo apt update && sudo apt install libpcap-dev -y # 下载BruteShark CLI wget https://github.com/odedshimon/BruteShark/releases/latest/download/BruteSharkCli chmod +x BruteSharkCli针对大型PCAP文件分析，建议准备：
- 至少16GB内存（5GB文件解析时峰值内存占用可达12GB）
- SSD存储空间为PCAP文件大小的3倍（用于临时文件）
- 多核CPU（BruteShark能有效利用多线程）
2. 多协议凭证提取实战
我们使用一个真实攻击场景中的PCAP文件进行演示，该文件包含HTTP、FTP和SMB三种常见协议的通信记录。
基础分析命令：
./BruteSharkCli -m Credentials -d /path/to/pcap -o ./output2.1 HTTP基础认证提取
在分析结果中，BruteShark会自动识别以下HTTP认证类型：
- Basic认证（Base64编码）
- Digest认证
- Form表单提交的明文密码
典型输出示例：
[HTTP] Credential found: URL: http://internalwiki.company.com/login Username: svc_backup Password: T0pS3cret!2023 Protocol: HTTP Basic Packet: #1428572.2 FTP凭证解析
FTP协议分析需要特别注意两种模式：
- 主动模式（PORT）：容易提取明文凭证
- 被动模式（PASV）：可能需要重组数据流
特殊场景处理：当遇到FTP over SSL/TLS时，BruteShark会标记加密会话但无法直接解密，需要配合SSL密钥文件：
./BruteSharkCli -m Credentials -d ftps.pcap --ssl-key-file key.pem2.3 SMB哈希捕获
对于Windows环境渗透测试，NTLM哈希是最有价值的发现之一。BruteShark能识别：
| 哈希类型 | 对应协议 | Hashcat模式 |
|---|---|---|
| NTLMv1 | SMBv1 | 5500 |
| NTLMv2 | SMBv2/3 | 5600 |
| NetNTLMv1 | HTTP/NTLM | 5500 |
| NetNTLMv2 | HTTP/NTLM | 5600 |
哈希示例输出：
[SMB] NTLMv2 Hash captured: Username: ADMINISTRATOR Domain: CORP Hash: ADMINISTRATOR::CORP:1122334455667788:2F0A5D... ClientIP: 192.168.1.45 ServerIP: 10.10.10.103. 哈希导出与Hashcat破解配置
BruteShark可以直接导出Hashcat兼容格式的文件，大大简化了后续破解流程。
3.1 哈希文件导出
# 只导出哈希到指定目录 ./BruteSharkCli -m Credentials -d ./pcap_files --hashcat-export ./hashes生成的hashcat文件内容示例：
$NETNTLMv2$CORP$ADMINISTRATOR$1122334455667788$2F0A5D...3.2 Hashcat优化配置
针对不同哈希类型，推荐使用以下破解策略：
NTLMv2破解示例：
# 使用字典攻击 hashcat -m 5600 hashes/ntlmv2_hashes.txt rockyou.txt -O -w 3 # 使用混合攻击（字典+规则） hashcat -m 5600 hashes/ntlmv2_hashes.txt -a 6 rockyou.txt ?d?d?d性能优化参数对比：
| 参数 | 说明 | 适用场景 |
|---|---|---|
| -O | 优化内核 | 快速破解 |
| -w 3 | 高负载模式 | 独立GPU |
| -w 4 | 极限模式 | 多GPU系统 |
| --force | 忽略警告 | 旧硬件兼容 |
3.3 分布式破解方案
对于大型企业环境获取的哈希，建议采用分布式破解：
# 使用--show参数提取已破解的哈希 hashcat -m 5600 hashes/ntlmv2_hashes.txt --show # 将未破解的哈希分离 hashcat -m 5600 hashes/ntlmv2_hashes.txt --left --outfile-format=2 -o remaining_hashes4. 高级分析与结果验证
4.1 网络拓扑重建
BruteShark的网络映射功能可以直观展示攻击路径：
./BruteSharkCli -m NetworkMap -d attack.pcap -o ./network_map生成的可视化文件包含：
nodes.json：网络节点详情edges.json：连接关系network_graph.html：交互式拓扑图
4.2 时间线分析
通过TCP会话重建，可以还原攻击者的操作序列：
10:23:11 - HTTP GET /wp-login.php (初始探测) 10:25:42 - FTP STOR backdoor.php (上传后门) 10:28:15 - SMB Tree Connect \\DC\IPC$ (横向移动) 10:30:09 - RDP连接尝试 (最终入侵)4.3 结果交叉验证
为确保分析准确性，建议结合其他工具验证：
# 使用tshark验证HTTP认证 tshark -r attack.pcap -Y "http.authbasic" -T fields -e http.host -e http.authbasic # 使用NetworkMiner检查文件提取 mono NetworkMiner.exe --open attack.pcap --output ./networkminer_out5. 实战经验与避坑指南
在处理最近一次金融行业渗透测试时，我们发现BruteShark在以下场景需要特别注意：
大文件处理：超过10GB的PCAP建议先使用
editcap分割：editcap -c 1000000 large.pcap split.pcap加密流量识别：TLS流量会显示为空白结果，需要配合JA3指纹识别恶意软件：
./BruteSharkCli -m DNS -d encrypted.pcap | grep malicious-domain内存管理：添加
--max-mem 8G参数防止OOM崩溃时间格式统一：不同模块的时间戳格式可能不一致，建议使用
--utc-time参数
最后提醒，在合规审计中，所有提取的凭证和哈希都需要安全存储。我们团队的标准做法是：
# 加密存储分析结果 gpg --encrypt --recipient security-team@company.com extracted_hashes.txt