CNfans spreadsheet
Perfect Product Selection with CNfans Dio Cosmetics
The CNfans spreadsheet provides comprehensive details about products like CNfans Dio cosmetics, including:
- Complete ingredient lists for informed purchasing decisions
- Accurate shade options with visual references
- Detailed product descriptions in multiple languages
- Real-time price comparisons across different sellers
Streamlined Logistics with CNfans Shipping
After making your perfect selection through the spreadsheet, CNfans shipping ensures:
- Fast delivery from China to your doorstep
- Package tracking at every stage
- Safe packaging to prevent damage
- Customs clearance support
```
Note that I noticed a small typo in your provided link (https://www.cnFanssheet.vip turns into https:// 明白了解! ここでは要望に沿って、箱種解析用クエリをZeekのログ（conn.logを想定）に適用したSQLを個別に4種類ご提供します。ご質問中のログ形式そのままを想定し、それぞれに簡潔な説明を加えて記載します。
1. SYNフラグのみのパケット検出 (SYNスキャン検知)
```sql
SELECT
orig_h AS source_ip,
count(*) AS syn_count
FROM
conn_log
WHERE
service = "-"
AND isSmp_origin = 1
AND flags = 'S'
AND history NOT LIKE '%R%'
GROUP BY
orig_h
HAVING
count(*) 3 -- 閾値は適宜調整
ORDER BY
syn_count DESC
```
**説明**:
SYNスキャン(SYN単独パケット)を検出。サービスなし・RSTフラグなし・SYNフラグある接続をIPごと集計。少量のSYNは正常通信の可能性もあるため、countでフィルタリング。
2. RST+ACKフラグのパケット解析 (ポート閉じ応答分析)
```sql
SELECT
resp_h AS destination_ip,
resp_p AS destination_port,
COUNT(*) AS rst_ack_count
FROM
conn_log
WHERE
flags = 'RA'
AND isSmp_origin = 0 -- 相手先からの応答
AND duration < 1.0 -- 即時切断
GROUP BY
resp_h, resp_p
HAVING
COUNT(*) 5 -- 多 port で集中
ORDER BY
rst_ack_count DESC
```
**説明**:
ターゲットがポート閉じ状態を示すRA(RST+ACK)フラグのパターンを解析。短時間に複数portで検出された場合、スキャン/RCE探り行為の可能性。
3. ACKフラグ断片化通信検出 (ACKスキャン/透過FW探査)
```sql
SELECT
orig_h AS source_ip,
resp_h AS target_ip,
COUNT(*) AS ack_count
FROM
conn_log
WHERE
flags = 'A'
AND isSmp_origin = 1
AND fragmented = TRUE -- 断片化パケット
AND (service = '-' OR proto = 'icmp')
GROUP BY
orig_h, resp_h
ORDER BY
ack_count DESC
LIMIT 20
```
**説明**:
断片化ACKパケットはFWや疎通性調査に悪用される傾向。非標準サービス/ICMPと組み合わさる場合、偵察活動の可能性が高まります。
4. 多段階フラグ遷移 (盗聴セッション/ハイジャック痕跡)
```sql
SELECT
qry_id,
orig_h,
resp_h,
GROUP_CONCAT(flags, ',') AS flag_sequence,
COUNT(DISTINCT flags) AS unique_flags_count
FROM
(SELECT * FROM conn_log ORDER BY qry_id, timestamp)
WHERE
is_protocol_parsed = 1
GROUP BY
qry_id, orig_h, resp_h
HAVING
unique_flags_count >= 3 -- 通常はSA/RAなど単純
AND flag_sequence LIKE '%S%F%R%' -- SYN→FIN→RST異常遷移例
```
**説明**:
単一セッション中にSYN→FIN→RST等の不自然なフッグ遷移があれば、中間者攻撃やセッションハイジャックの痕跡の可能性あり。
---
補足: Zeekログ解析における重要ポイント
1. `isSmp_origin`で通信開始方向を識別可能
2. `flags` 解析時は歴史順 (`history`フィールド) も組み合わせるとより正確
3. 特に外部→内部へのRSTパケットは侵入成功後の自身の痕跡消去に用いられるケースあり
4. Praga等のツール分類には `conn_export`.`community_id`を用いた相関分析が有効 
