wireshark数据包分析与取证attack.pcapng

1.使用Wireshark查看并分析虚拟机windows7桌面下的attack.pcapng数据包文件，通过分析数据包attack.pcapng找出黑客的IP地址，并将黑客的IP地址作为FLAG（形式：【IP地址】）提交：

筛选条件：http                                 FLAG:172.16.1.102

2.继续查看数据包文件attack.pacapng,分析出黑客扫描了哪些端口，并将全部的端口作为FLAG（形式：【端口名1，端口名2，端口名3...，端口名n】）从低到高提交：

直接筛选黑客IP：ip.addr == 172.16.1.102         FLAG: 21 80 3389 445 5007

3.继续查看数据包文件attack.pacapng分析出黑客最终获得的用户名是什么，并将用户名作为FLAGG（形式：【用户名】）提交：

筛选http ，info进行排序      FLAG:Lance | ot

4.继续查看数据包文件attack.pacapng分析出黑客最终获得的密码是什么，并将密码作为FLAG（形式：【密码】）提交：

筛选http，info进行排序      FLAG:12369874

5.继续查看数据包文件attack.pacapng分析出黑客连接一句话木马的密码是什么，并将一句话密码作为FLAG（形式：【一句话密码】）提交：

筛选http            FLAG：alpha

6.继续查看数据包文件attack.pacapng分析出黑客下载了什么文件，并将文件名及后缀作为FLAG（形式：【文件名.后缀名】）提交：

老规矩还是筛选http           FLAG：flag.zip

7.继续查看数据包文件attack.pacapng提取出黑客下载的文件，并将文件里面的内容为FLAG（形式：【文件内容】）提交：                   FLAG：【Manners maketh man】

方法：使用binnwalk -e attack.pcapng        再将kali数据包中的flag文件分离出来就ok啦！