前言
仅供个人学习,如有冒犯请尽快联系
记录一些流量分析的wp
00x0
key.pcapng
直接ctrl+f查找flag
for1(题目提示pwn).pcapng
先搜flag,没有结果
根据提示搜pwn,找到flag
64da5a4a1e024d198dfa307299965b6d.pcapng
直接搜flag没找到,udp请求也没统计出什么东西,我们用flag十六进制编码后的结果查询
发现一个十六进制编码
追踪流,解码
attack_log_analysis.pcap
搜索flag{的十六进制编码,发现一个十六进制编码
解码,得到一个flag
可恶的黑客.pcapng
翻数据流,翻到unicode加密的语句
输入flag转成的unicode字符串
查找,显示未找到,退一步,插f
找到语句
追踪流,解码,找到flag
caidao.pcapng
追踪一个tcp流,发现flag.tar.gz文件,第二个流发现一句话木马,第三个流发现一串意味不明的文件有X@Y
X@Y为请求体中执行结果的响应
追踪该字符串,显示分组字节,去掉头尾的X@Y,再解码为压缩包的形式
找到flag
test.pcap
追踪http流,发现执行语句
多翻几个http流,发现一个一句话木马以及一个压缩文件格式的数据流
这边我们追踪这个数据流,用老办法去头去尾,用压缩文件格式显示,发现flag
liuliang.pcap
追踪http流,翻包,发现超长字符串,显示为分组字节,用base64解码,z1解密后显示为下图,发现路径下有一个zip文件
将z2保存为zip格式
直接开是开不了的
我们先用notepad打开,将hex转为ascii码,再保存,再尝试打开
找到flag
misc4.pcap
题目提示“一个特殊的php文件名”
先追踪http流,发现一个文件
查看他的返回包,找到flag
telnet.pcap
提示为ascii的退格
先追踪流
翻了http流,没发现什么有用的信息,追踪tcp流,发现一个特殊的数据流
观察后得出为登录界面
发送包和返回包组合在了一起
更改为只显示发送包
发现flag,但有几个特殊的字符
更改显示为hex转储,锁定未知字符位置
对比ascii字典,发现是退格
那么flag就是
2004225e9ff0cd86ee4.pcapng
蓝牙协议
蓝牙协议一般与OBEX协议有关
所以我们直接统计–>协议分级,查找有无OBEX协议,找到OBEX协议
再查找跟进OBEX
找到一个这样的数据流
是一个.7z的压缩包
输出分组字节流为.7z压缩包,打开是一个txt文件,但是需要密码,提示就是蓝牙的PIN码
所以我们直接ctrl+f查找PIN
当我们查找分组详情时,发现一个reply的包,找到PIN码
输入PIN码,得到flag
流量中的线索.pcapng
先统计–>协议分级,发现http协议占比较大没什么有用的信息
再统计–>http–>请求查看http请求下有哪些东西,发现一个fenxi.php
没办法直接查找,我们记住名字,ctrl+f查找fenxi.php
这边找到四个包与fenxi.php有关,我们直接看返回的包
直接找最具有文件特征的字符串
base解码后发现JFIF,直接显示为图像找到flag
666666.pcapng
菜刀流量
也是先统计http请求下有什么
发现一个1.php文件
追踪查找,发现一个文件
里面带pk,导出为zip格式,得到一个flag.txt,但是需要密码
继续翻http流量
翻到一个很长的字符串,开头是FFD8FFE0,正好是jpg开头的十六进制
导出为txt,打开后将‘z2=’删除,再用notepad打开,转换为ascii码
保存后修改格式为jpg,打开
输入密码
0ebb974edd304dc79aac8339b14b877e.pcap
工业协议分析
翻统计没翻出什么有用的信息,找来找去也都是些没用的数据流
所以我们直接用字节长排序,找最长的数据流,果然找到了一个文件
直接打开,显示为base64加密的png文件
所以我们直接保存为png文件,然后用notepad文件打开,全选然后用base64解码
得到下图
关闭后重新打开,删去PNG前一个逗号前的全部字符,保存
得到flag
dianli_jbctf_MISC_T10075_20150707_wireshark.pcap
管理员密码即flag
我们直接找http流量,并且找password
CTF.pcapng
getshell
提示1040和4444端口
先看协议,没什么信息,但是tcp流很多,随便翻翻,太多了,直接字符长排序,然后看最长的,翻几个发现base64加密的字符串
解码,得到flag