一封钓鱼邮件的流量分析，能看出多少东西
一个 pcap 能回答三个问题：谁中了、中了什么、连去哪。第三个最难，也最有用。
应急的起点不是「谁干的」，是「现在还有什么在跑」。
手上有的是一个 pcap，要回答三个问题。
三个问题
谁中了。哪台机器访问了恶意地址。
中了什么。下载了什么文件，这个文件干了什么。
连去哪。回连的域名或 IP，也就是下一跳。
前两个 pcap 自己能答。第三个通常答不了——pcap 只记录了经过这个采集点的一台或几台机器，要查「还有谁访问过这个域名」，得去翻 DNS 日志或者代理日志。
很多人卡在这里，以为分析完 pcap 就结束了。
过程其实很短
http 过滤，看请求列表，找可疑域名。右键追踪流，拿到完整 URL。Export Objects 把载荷导出来。算 MD5，扔沙箱。
有一个小坑：Wireshark 导出的文件没有后缀，名字是一串 %5bContent-Type%5d。得看响应头的 Content-Type 和文件头判断真实类型，手动改名。改名之后别双击，先扔沙箱。
如果载荷是脚本（JS、VBS、HTA），用文本编辑器打开，去掉注释再看。恶意脚本的域名通常是拆开拼的，搜 http、eval、WScript.Shell 能快速定位。
最容易漏的一步
样本分析完，写个报告，结案。
但同一封钓鱼邮件，通常发给了几十个人。有人点了，有人没点，有人在手机上看过。真正要做的下一步是：从邮件网关导出收件人列表，逐个确认谁点过链接、谁下载了附件。
这个动作比分析样本本身更能减少损失。样本你已经知道是什么了，剩下的是「还有谁需要处理」。
所以它的价值在哪
不在还原完整的攻击链——那是复盘，事后才有意义。
在划定影响范围。哪些主机需要隔离、哪些账号需要改密、哪些日志需要留存。这三件事必须在几小时内定下来，而定下来的依据，就是那份 pcap 加上一圈日志查询。
分析得再漂亮，范围划错了，等于没做。