数据库类流量分析
MySQL流量
常规操作,查找flag ctfhub{} 注意要选择字符集
Redis流量
查找ctfhub结果没找到 尝试把其变成十六进制继续进行查找 看到了前半段flag 接着往下看 找到了后半段的flag
MongoDB流量
还是一样查找ctfhub 字符串没找到 转成十六进制也没找到 尝试转ctfhub{为十六进制 即可找到flag
协议类流量分析
ICMP类型
ICMP(Internet Control Message Protocol)互联网控制消息协议
帮助网络管理员检测网络中各种发生的问题,根据问题原因做出诊断和解决。
大类上来分主要是两类
1)询问报告(ping)
询问一下目标主机是否可以连通并做出回答
2)差错报告(traceroute)
网关发现目标网络不可达或者主机发现访问的UDP端口不可达 需要把错误报告给原主机
ping的工作原理
(执行ping命令会发生什么)
ICMP的构成
还有一种可能是目标主机不存在或者目标主机存在但回复报文丢了,那么原主机就会等待一段时间后超时,打印出来超时信息表示目标主机无法联通。
icmp差错报告功能
192.168.1.1原主机 10.0.0.10目标主机
不在同一个网端,使用ping命令只能检测这两台主机网络是否联通
这时使用traceroute工具即可得到
两台主机之间通信经过了哪些网关的转发 并且IP地址都是多少
原理图如下:
Data
提示:ping 也可以携带数据?
于是在打开文件之后,注意ping的内容,观察发现每一段数据包含一个有用的字母,连起来即可得到ctfhub{c87eb99796406ac0b}
特殊后门
首先还是查看flag 找到了flag is here 之后观察到了一个数据包就有一个有用字母,跟上一题一样,于是得到本题的flag: flag{Icmp_backdoor_can_transfer-some_infomation}
Length
题目提示:ping 包的大小有些奇怪
于是我们查看ping中的length,没发现什么,于是尝试把长度连接起来:9911610210411798123979998545357102485051125
接着尝试解码,随波逐流跑一下,没看到什么,应该是转Ascii码,于是尝试把长度逐一进行转化,看到了ctfhub,于是最后得到了flag: ctfhub{acb659f023}
LengthBinary
题目提示:ping 包的大小有些奇怪
这题同样给了ping的提示,于是注意ping,发现长度不是32就是64 发现其是二进制文件 所以应该是32为0或者为1相应的64为1或者是0,据此进行转换,可以得到两串代码
011000110111010001100110011010000111010101100010011110110011000000110100011001010110011001100101011001000011000101100101001100000011010101111101
100111001000101110011001100101111000101010011101100001001100111111001011100110101001100110011010100110111100111010011010110011111100101010000010
将这两串代码分别进行进制转化 成ASII码 于是得到了本题的flag
ctfhub{04efed1e05}
图片提取
Cephalopod
首先按照以往思路 查找flag 看到了png 于是查找用png的十六进制 找到之后 进行保存 存成.png的形式 然后使用010或者winhex进行查找 把png后面的复制去转成图片 即可得到本题的flag
手机热点(蓝牙传输协议obex,数据提取)
Blatand_1.pcapng
首先依然是查找flag 找到了很多 但是一个是rar 比较可疑 将其保存成.rar文件 之后解压 即可找到本题的flag
参考资料
【一条视频讲清楚什么是ICMP协议-pin】https://www.bilibili.com/video/BV1cW4y1P7Av