IDF实验室-抓到一只苍蝇

感觉这道题对我已经有难度了

一、原题

报告首长！发现一只苍蝇。。

在哪？

here!

卧槽？！好大一坨苍蝇。。

文件地址： http://pan.baidu.com/s/1bnGWbqJ

提取码：oe6w

PS：flag写错了，太麻烦也懒得改了，格式还是wctf{…}，大家明白就好，不要在意这些细节。。

---

二、writeup

首先下载所给的文件misc_fly.pcapng，是一个抓包软件抓取的数据包，解题流程如下：

1.用wireshark分析数据包

打开数据包，发现是一堆TCP的包，先不理会底层的数据，只关心应用层。
应用层的协议只有HTTP，过滤出HTTP的包进一步分析：

请求都发往http://sz.mail.ftn.qq.com，猜测是qq邮箱的地址。
同时观察第一个请求

POST了一段这样的JSON：

{
    "path":"fly.rar",
    "appid":"",
    "size":525701,
    "md5":"e023afa4f6579db5becda8fe7861c2d3",
    "sha":"ecccba7aea1d482684374b22e2e7abad2ba86749",
    "sha3":""
}

目标url为：

http://set2.mail.qq.com/cgi-bin/uploadunite?func=CreateFile&&inputf=json&outputf=json&&sid=x5O8ZuWvSp9yXFgM

这应该是一个上传文件的操作，文件名为fly.rar，文件大小为525701。
进一步分析以验证猜想，过滤出全部的POST数据包：

http.request.method ==