SMB 横向移动流量线索是什么
横向移动阶段常借助管理共享与远程服务调用：会话建立、树连接、文件写入、远程服务或计划任务创建，这几个动作的组合是观察重点。流量侧能看到谁访问了谁的哪个共享、写入了什么文件名，配合目标主机侧痕迹就能还原扩散路径。
基本信息
| 用途 | 还原内网扩散路径 |
|---|---|
| 观察点 | 管理共享访问、服务控制、命名管道、文件写入 |
| 关键字段 | 源与目的地址、共享名、文件名、账号 |
| 配合证据 | 目标主机的服务创建、计划任务、登录事件 |
典型使用场景
- 排查一台主机被入侵后向其他主机扩散的路径
- 识别对管理共享的异常访问，例如批量写入可执行文件
- 排查通过远程创建服务达成的执行
- 结合登录事件确认使用的是哪个账号
- 为隔离范围与横向排查清单提供依据
过滤与聚合
过滤与聚合
tshark -r lateral.pcap -Y 'smb2.cmd==3 or smb2.cmd==5' -T fields -e ip.src -e ip.dst -e smb2.filename | grep -v '^$' | head
tshark -r lateral.pcap -Y 'smb2.filename contains ".exe"' -T fields -e ip.src -e ip.dst -e smb2.filename | head
tshark -r lateral.pcap -Y 'dcerpc' -T fields -e ip.src -e ip.dst | sort | uniq -c | sort -rn | head
# 按 源到目的 的组合聚合写入的文件名，定位扩散目标行为组合与含义
| 观察组合 | 含义 | 关注点 |
|---|---|---|
| 树连接到管理共享 | 访问 C$、ADMIN$ 等隐藏共享 | 短时间内批量出现即异常 |
| 共享内文件写入 | 把可执行文件或脚本放上去 | 文件名与运维习惯不符 |
| 远程服务创建 | 通过服务管理器创建服务 | 服务二进制指向刚写入的文件 |
| 命名管道调用 | 远程调用相关接口 | 与文件写入时间紧邻 |
运维批量分发脚本与横向行为形态相似，需要按账号、时段与文件来源区分；只凭流量下结论容易误伤业务。
只在核心交换机做流量镜像可能丢东西向流量，横向证据要结合端点侧日志补齐，否则路径还原不完整。
把写入记录按账号聚合：同一账号在短时间内向多台主机写入文件，是最值得优先核对的信号。