wireshark中受感染的 Windows 主机下载的 ZIP 文件的 URL怎么找

Wireshark是一款网络分析工具，它可以帮助你捕获、查看和分析计算机网络数据包。如果你想查找受感染的Windows主机通过Wireshark抓取的数据中下载的ZIP文件URL，你需要按照以下步骤操作：

1. **启动Wireshark**：首先，打开Wireshark并开始捕获网络流量，通常选择"监控模式"或连接到网络接口。

2. **设置过滤器**：在Wireshark的过滤器栏中，输入相关的过滤条件。例如，你可以搜索HTTP请求，因为很多下载通常是通过HTTP或HTTPS协议完成的。输入如下的过滤器：

   host "*.zip" and port 80 or port 443

这将筛选出包含".zip"文件名的HTTP(S)请求。

3. **审查数据流**：找到符合条件的捕获数据包，点击它们打开详细信息。在显示的TCP流或HTTP会话中，查找`GET`或`POST`请求，特别是那些响应状态码为200（成功）的，因为这可能是下载成功的请求。

4. **提取URL**：在HTTP头部的信息部分，你会看到`Location`（对于302重定向）或`Content-Disposition`（包含原始URL）这样的字段，其中包含了目标ZIP文件的地址。

5. **保存证据**：记下或复制重要的URL，以便进一步分析或报告给安全团队。