[XCTF] crypto 工控安全取证

下载附件，capture.log，直接打开是乱码。既然是流量分析题，那直接拖到wireshark打开。

看到一大堆tcp和少量ICMP

在进行一次连续的tcp之前一般会发一个icmp包过去，把过滤协议设置为icmp

看到一共5个 request replay 请求响应来回

但 192.168.0.1和192.168.0.254可以无视，因为这不太可能是主机发出来的。

第四次攻击，所以就是flag{155989}