攻防世界m0_01

淡巴枯

已于 2022-11-13 20:42:04 修改

阅读量1.5k

点赞数 1

分类专栏： # Misc 文章标签：安全网络安全 web安全

于 2022-11-13 20:41:15 首次发布

本文链接：https://blog.csdn.net/m0_59188912/article/details/127836871

版权

Misc 专栏收录该内容

37 篇文章

订阅专栏

本文介绍了如何使用Wireshark分析PCAPNG文件，通过Python脚本处理键盘流量，解码特定的云影密码。作者详细展示了从数据抓取到密码还原的全过程，最终揭示了Flag{THISISFLAG}

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

m0_01

题目描述：m0
题目环境：https://download.csdn.net/download/m0_59188912/86995259

打开12.pcapng文件，随机选择一条数据流量，发现是键盘流量。

在这里插入图片描述

使用wireshark命令行模式，提取出文件。

命令：tshark -r 12.pcapng -T fields -e usb.capdata | sed '/^\s*$/d' > usbdata.txt

在这里插入图片描述

缺少冒号，使用python脚本添加冒号。
脚本源码：
f=open(‘usbdata.txt’,‘r’)
fi=open(‘usbdatacolon.txt’,‘w’)
while 1:
a=f.readline().strip()
if a:
if len(a)==16: # 键盘流量len=16，鼠标流量len=8
out=‘’
for i in range(0,len(a),2):
if i+2 != len(a):
out+=a[i]+a[i+1]+“:”
else:
out+=a[i]+a[i+1]
fi.write(out)
fi.write(‘\n’)
else:
break

fi.close()
执行脚本。

命令：python colon.py

在这里插入图片描述

使用python脚本还原数据。
脚本源码：
mappings = { 0x04:“A”, 0x05:“B”, 0x06:“C”, 0x07:“D”, 0x08:“E”, 0x09:“F”, 0x0A:“G”, 0x0B:“H”, 0x0C:“I”, 0x0D:“J”, 0x0E:“K”, 0x0F:“L”, 0x10:“M”, 0x11:“N”,0x12:“O”, 0x13:“P”, 0x14:“Q”, 0x15:“R”, 0x16:“S”, 0x17:“T”, 0x18:“U”,0x19:“V”, 0x1A:“W”, 0x1B:“X”, 0x1C:“Y”, 0x1D:“Z”, 0x1E:“1”, 0x1F:“2”, 0x20:“3”, 0x21:“4”, 0x22:“5”, 0x23:“6”, 0x24:“7”, 0x25:“8”, 0x26:“9”, 0x27:“0”, 0x28:“\n”, 0x2a:“[DEL]”, 0X2B:" “, 0x2C:” “, 0x2D:”-“, 0x2E:”=“, 0x2F:”[“, 0x30:”]“, 0x31:”\“, 0x32:”~“, 0x33:”;“, 0x34:”'“, 0x36:”,“, 0x37:”." }

nums = []
keys = open(‘usbdatacolon.txt’)
for line in keys:
if line[0]!=‘0’ or line[1]!=‘0’ or line[3]!=‘0’ or line[4]!=‘0’ or line[9]!=‘0’ or line[10]!=‘0’ or line[12]!=‘0’ or line[13]!=‘0’ or line[15]!=‘0’ or line[16]!=‘0’ or line[18]!=‘0’ or line[19]!=‘0’ or line[21]!=‘0’ or line[22]!=‘0’:
continue
nums.append(int(line[6:8],16))

keys.close()

output = “”
for n in nums:
if n == 0 :
continue
if n in mappings:
output += mappings[n]
else:
output += ‘[unknown]’

print (‘output :\n’ + output)
运行脚本。

命令：python keyboard2.py

在这里插入图片描述

得到一串数字，显然这串数字不是flag，仔细观察发现只有01248，判断为云影密码，使用python脚本解码。
脚本源码：
#云影密码
a=“884080810882108108821042084010421”
s=a.split(‘0’)
l=[]
print(s)
for i in s:
sum=0
for j in i:
sum+=eval(j)
l.append(chr(sum+64))
print(l)
运行脚本。