HTTP 对象导出与哈希是什么
从流量里把传输的文件对象导出、计算哈希，再与终端落盘文件和情报库双向比对，就能把「传输过什么」变成可复核的证据。HTTP 场景下对象导出最直接，配合端点侧文件清单可以形成完整闭环。
基本信息
| 用途 | 把传输内容转化为可比对证据 |
|---|---|
| 步骤 | 导出对象 → 计算哈希 → 与端点及情报比对 |
| 适用范围 | HTTP、SMB 等可还原对象的协议 |
| 局限 | HTTPS 需要解密段或端点侧取证配合 |
典型使用场景
- 确认某次下载的实际内容是什么
- 与终端落盘文件比对，确认是否真的写入磁盘
- 与情报库比对，补充样本背景
- 为其他主机排查提供哈希用于批量检索
- 与邮件、共享等通道的传输结果交叉验证
- 核对导出对象数量与请求数是否匹配，判断是否有导出失败
导出与哈希
导出与哈希
tshark -r sample.pcap --export-objects http,out/ -q # 导出 HTTP 对象
sha256sum out/* | tee objects.sha256 # 计算并留存哈希清单
file out/* | grep -iE 'executable|script' # 识别可执行文件与脚本
# 导出目录与哈希清单一起归档，标注来源抓包文件名与时间范围比对去向
| 比对对象 | 方法 | 结论价值 |
|---|---|---|
| 终端落盘文件 | 按哈希检索端点文件清单 | 确认是否真的写入磁盘 |
| 情报库 | 按哈希查询家族与首次出现 | 补充样本背景 |
| 其他主机 | 用同一哈希批量检索 | 判断横向扩散范围 |
| 邮件与共享通道 | 看同类对象是否走其他路径 | 还原完整投递链 |
分块传输、内容编码与压缩会让导出对象与原始文件不一致，必要时先还原再计算哈希，否则比对结果对不上。
每个导出对象都要记录来源会话（源地址、目的地址、时间），否则出现同一哈希对象时无法判断来自哪台主机。
导出后先做一次类型识别：扩展名与实际类型不符的文件（例如伪装成图片的脚本）应当优先深挖。