BUUCTF 大流量分析实战：解码SMTP流量中的Base64钓鱼邮件

1. 从海量流量中快速定位SMTP协议

大家好，我是老K，一个在网络安全和数据分析领域摸爬滚打了十多年的老兵。今天咱们来聊一个非常实战的话题：如何从动辄几个G的流量包（pcap文件）里，像大海捞针一样，精准地找到那封关键的钓鱼邮件。这不仅是BUUCTF等CTF比赛的常见题型，更是企业安全应急响应中，分析邮件钓鱼攻击的必备技能。

很多新手朋友一看到题目给了一堆pcap文件，头就大了。文件名像“数据采集D_eth0_NS_20160809_164452.pcap”这种，一看就是长时间抓包的结果，数据量肯定不小。直接打开，Wireshark里密密麻麻的报文，根本无从下手。别慌，咱们得讲究方法。我的经验是，先别急着看内容，先看“地图”。就像你去一个陌生的城市，先打开手机地图看看主干道在哪。分析流量包也是同理，第一步永远是做协议统计。

在Wireshark里，点击菜单栏的“统计”(Statistics)，然后选择“协议分级”(Protocol Hierarchy)。这个视图会以树状结构展示整个流量包中所有协议的分布情况，包括每个协议的报文数量、百分比和字节数。我们的目标是找钓鱼邮件，而邮件发送离不开SMTP（简单邮件传输协议）。所以，你一眼扫过去，就要找“SMTP”这一行。如果它的占比很高，那恭喜你，目标可能很集中；如果占比很低，比如只有0.1%，那说明你需要更精细的过滤技巧。

找到了SMTP协议，接下来就是过滤。在Wireshark顶部的过滤栏里，直接输入 smtp 然后回车。这样，界面上就只会显示与SMTP协议相关的数据包了，瞬间从“茫茫人海”变成了“目标人群”，清爽多了。这里有个小技巧，SMTP默认使用TCP的25端口，但有时也会用465（SMTPS）或587（提交端口）。所以更稳妥的过滤语句可以是 tcp.port == 25 || tcp.port == 465 || tcp.port == 587，确保不漏掉任何可能的邮件流量。

2. 深入SMTP会话：追踪TCP流与识别关键字段

过滤出SMTP流量后，我们面对的就是一系列邮件会话。怎么判断哪个是钓鱼邮件呢？总不能一封封去看正文吧？这里就需要理解SMTP协议的基本交互过程。一个典型的SMTP会话，会包含以下几个关键命令：HELO/EHLO（握手）、MAIL FROM（发件人）、RCPT TO（收件人）、DATA（开始传输邮件数据），以及最后的QUIT。

我们的首要目标是找到发件人邮箱，也就是攻击者的邮箱。所以，在过滤后的数据包列表里，你需要滚动浏览，寻找包含 MAIL FROM: 字段的数据包。在Wireshark的数据包详情面板（