全国职业院校技能大赛网络空间安全数据包分析常见赛题解题方法

1. 使用wireshark查看分析xxx桌面下的capture.pcapang数据包文件，找出telnet服务器的用户名和密码，并将密码作为FLAG值提交

方法：在过滤框中输入

   ip.src == 172.18.1.101  and telnet //过滤源IP地址为telnet并且服务为telnet的数据包

点击数据包中的telnet

挨着向乡下寻找当出现data：\r\n时开始寻找用户名

用户名：

第一个字符:N

第二个字符：e

第三个字符：w

 

第四个字符：l

第五个字符:a

第六个字符：n

第七个字符：d

继续向下寻找发现data:\r\n代表用户名到此为止开始密码字段，故用户名为Newland

第一个密码字符

第二个密码字符

第三密码字符

第四个密码字符

第五个密码字符

第六个密码字符

再次出现data：\r\n到此密码字段结束，密码为123123

FLAG:123123

2.使用wireshark查看并分析xxx桌面下的caputure.pcapng数据包文件，ftp服务器已经传输文件结束，将登陆服务器后的第一条指令作为FLAG值提交

在过滤框中输入ip src == 172.18.1.101 and ftp //过滤源IP为172.18.1.101并且协议为FTP的数据包

ftp.response.code==230   //查看登录成功响应

ftp.response.code==200   //查看命令执行成功的响应

第一条命令 E:\

3.使用wireshar查看并分析xxx桌面下的capture.paapng数据包文件，web服务器地址是192.168.181.250，其使用的脚本语言为PHP，将服务器使用PHP的版本号作为FLAG值提交

ip.src==192.168.181.250 and http   //源地址为192.168.181.250

http追踪tcp流，文件头server 或者直接搜索X-Powered-By

4.使用wireshark查看并分析xxx桌面下的capture.pcapng数据包文件，这些数据包中有非常多的ICMP报文，其中有一个设备是路由器，IP地址为192.168.181.25，将路由器上主动发出的ping请求数量作为FLAG值提交（条件有限这里将路由器IP设为192.168.1.101）

ip.src==192.168.181.25 and ICMP  //过滤源ip及ICMP协议

ICMP.type =8 //直接查询ping请求包

右下角查看，由于一个请求包和一个响应包为一组所以

除以二等于35

FLAG:35