脱兔下载通过TCP方式来进行通讯。

TCP通讯方式分析

通讯端口分析

通讯端口不固定，采用动态端口。

HTTP方式分析

在特征分析中，发现脱兔下载会采用HTTP协议进行通讯。

连接的主机（Host）（正则表达式）为：.*.tuotu.com。

• 脱兔| 3.5.113

WFilter对脱兔下载监控的管理方案：

• 记录脱兔的下载流量大小，在线时长，并对其进行统计出报表。
• 全面封堵脱兔下载。使用超级嗅探狗对网络数据的进行分析过虑，从中筛选出脱兔的通讯数据，进而封堵脱兔所有下载活动。节约局域网带宽资源和电脑使用资源。