从SMB网络数据包恢复完整文件路径

Question

我正在使用WireShark捕获网络信息，用于一个小型网络分析项目。 我想做的一件事是查看共享驱动器上已访问了哪些文件（即使用SMB协议）。

是否可以仅从捕获的数据包中恢复完整路径名（例如，\\ server \\ path \\ to \\ file.txt）？ 基于此资源，第四个数据包应包含UNC路径名，但是在捕获的会话中的任何地方都找不到它。

如果不可能仅从数据包中恢复完整路径，是否还有其他方法可以使用数据包中的超线程信息？ 我知道，例如，数据包包含源IP和源生成的文件ID。 这些有帮助吗？

谢谢

Answer 1

您在错误的地方挖了它。

您应该在Samba服务器中收集并记录该信息。

如果要使用嗅探软件进行分析，则必须重建SMB会话。

PS具体来说，您需要将所有先前的请求恢复到子目录树。 如果需要恢复\\ server \\ path \\ to \\ asdf1 \\ file.txt，则必须先找到对目录“ to”的请求，也要对目录“ asdf1”的请求。 目录本身是一个文件，带有属性D。