流量分析（一)

数据库类流量分析

MySQL流量

常规操作，查找flag ctfhub{} 注意要选择字符集

Redis流量

查找ctfhub结果没找到 尝试把其变成十六进制继续进行查找 看到了前半段flag 接着往下看 找到了后半段的flag

MongoDB流量

还是一样查找ctfhub 字符串没找到 转成十六进制也没找到 尝试转ctfhub{为十六进制 即可找到flag

协议类流量分析

ICMP类型

ICMP（Internet Control Message Protocol）互联网控制消息协议

帮助网络管理员检测网络中各种发生的问题，根据问题原因做出诊断和解决。

大类上来分主要是两类

1）询问报告（ping）

询问一下目标主机是否可以连通并做出回答

2）差错报告（traceroute）

网关发现目标网络不可达或者主机发现访问的UDP端口不可达 需要把错误报告给原主机

ping的工作原理

（执行ping命令会发生什么）

ICMP的构成

还有一种可能是目标主机不存在或者目标主机存在但回复报文丢了，那么原主机就会等待一段时间后超时，打印出来超时信息表示目标主机无法联通。

icmp差错报告功能

192.168.1.1原主机         10.0.0.10目标主机

不在同一个网端，使用ping命令只能检测这两台主机网络是否联通

这时使用traceroute工具即可得到

两台主机之间通信经过了哪些网关的转发 并且IP地址都是多少

原理图如下：

Data

提示：ping 也可以携带数据?

于是在打开文件之后，注意ping的内容，观察发现每一段数据包含一个有用的字母，连起来即可得到ctfhub{c87eb99796406ac0b}

特殊后门

首先还是查看flag 找到了flag is here 之后观察到了一个数据包就有一个有用字母，跟上一题一样，于是得到本题的flag：   flag{Icmp_backdoor_can_transfer-some_infomation}

Length

题目提示：ping 包的大小有些奇怪

于是我们查看ping中的length，没发现什么，于是尝试把长度连接起来：9911610210411798123979998545357102485051125

接着尝试解码，随波逐流跑一下，没看到什么，应该是转Ascii码，于是尝试把长度逐一进行转化，看到了ctfhub,于是最后得到了flag： ctfhub{acb659f023}

LengthBinary

题目提示：ping 包的大小有些奇怪

这题同样给了ping的提示，于是注意ping，发现长度不是32就是64 发现其是二进制文件 所以应该是32为0或者为1相应的64为1或者是0，据此进行转换，可以得到两串代码

011000110111010001100110011010000111010101100010011110110011000000110100011001010110011001100101011001000011000101100101001100000011010101111101
 
100111001000101110011001100101111000101010011101100001001100111111001011100110101001100110011010100110111100111010011010110011111100101010000010

将这两串代码分别进行进制转化 成ASII码 于是得到了本题的flag 

ctfhub{04efed1e05}

图片提取

Cephalopod

首先按照以往思路 查找flag 看到了png 于是查找用png的十六进制 找到之后 进行保存 存成.png的形式 然后使用010或者winhex进行查找 把png后面的复制去转成图片 即可得到本题的flag

手机热点(蓝牙传输协议obex,数据提取)

Blatand_1.pcapng

首先依然是查找flag 找到了很多 但是一个是rar 比较可疑 将其保存成.rar文件 之后解压 即可找到本题的flag

参考资料

http://t.csdnimg.cn/G33ug

【一条视频讲清楚什么是ICMP协议-pin】https://www.bilibili.com/video/BV1cW4y1P7Av

http://t.csdnimg.cn/Iv2zQ