BUUCTF 大流量分析实战：从SMTP流量中追踪钓鱼邮件源头

原创

于 2026-02-16 00:42:46 发布 · 404 阅读

1. 初识挑战：当大流量遇上钓鱼邮件

大家好，我是老张，一个在安全圈摸爬滚打了十多年的老兵。今天咱们不聊那些高深莫测的零日漏洞，也不讲复杂的逆向工程，就来聊聊CTF竞赛里一个非常经典，也极其贴近实战的场景——从海量网络流量中，揪出那封该死的钓鱼邮件。

你可能会想，这不就是找个邮箱地址吗，有什么难的？嘿，可别小看它。在实际的企业攻防演练或者真实的应急响应中，攻击者绝不会只发一封邮件。他们往往会在短时间内，通过控制的多个傀儡机，向目标公司员工批量发送成千上万封钓鱼邮件，试图“广撒网，多捞鱼”。这就导致安全人员抓取到的流量包（pcap文件）体积巨大，动辄几个GB，里面混杂着正常的业务流量、员工上网流量、以及攻击流量。我们的任务，就是在这片数据的“汪洋大海”里，精准地钓出攻击者的“鱼饵”——那封恶意邮件的源头邮箱。

这次我们以BUUCTF平台上的“大流量分析（二）”这道题为例。场景很明确：A公司遭受攻击，我们拿到了一时间段内的网络流量包，需要回答一个核心问题：黑客使用了哪个邮箱给员工发送了钓鱼邮件？ 答案需要以 flag{邮箱地址} 的形式提交。这完全模拟了真实调查中“溯源取证”的第一步：定位攻击入口。

面对几十甚至上百个pcap文件，新手很容易头晕。我的经验是，别慌，抓住核心协议——SMTP。简单邮件传输协议，这是邮件发送的“高速公路”。无论邮件内容如何伪装，只要它是通过邮件客户端或服务器发送的，在网络上通常就会留下SMTP协议的痕迹。我们的追踪之路，就从这里开始。