Wireshark分析流量包案例

wireshark抓包工具常用筛选命令方法
测试文件：https://pan.baidu.com/s/1QuMdefZHSqlaLSHaMVGb4w
提取码：tmjs

1. 使用Wireshark查看并分析attack.pcapng数据包文件，通过分析数据包attack.pcapng找出黑客的IP地址，并将黑客的IP地址作为FLAG（形式：[IP地址]）提交：
   解：
   首先筛选一下http协议的get传参和post传参的数据包
   http.request.method==GET
   
   发现了两个登录界面的数据包，一个是172.16.1.10向172.16.1.101请求的，另一个是172.16.1.102向172.16.1.101请求的，但是都没有在里面找到用户名和密码，估计是post传参
   http.request.method==POST
   
   在172.16.1.102发往172.16.1.101的数据包中中找到了登录的用户密和密码，所以黑客的ip地址是172.16.1.102
   flag{172.16.1.102}

2. 继续查看数据包文件attack.pacapng，分析出黑客扫描了哪些端口，并将全部的端口作为FLAG（形式：[端口名1，端口名2，端口名3…，端口名n]）从低到高提交：
   解：
   筛选源ip是172.16.1.102和采用tcp协议(nmap扫描端口基于tcp协议)的数据包
   ip.src==172.16.1.102&&tcp
   
   看到扫描的接口有21，80，23，3389，445，5007
   关于nmap扫描端口的流量详细看这篇文章
   flag{21，23，80，445，3389，5007}

3. 继续查看数据包文件attack.pacapng分析出黑客最终获得的用户名是什么，并将用户名作为FLAG（形式：[用户名]）提交：
   解：
   第一步中在3745包中找到了用户名和密码
   
   flag{Lancelot}

4. 继续查看数据包文件attack.pacapng分析出黑客最终获得的密码是什么，并将密码作为FLAG（形式：[密码]）提交：
   解：
   看第3题的图
   flag{12369874}

5. 继续查看数据包文件attack.pacapng分析出黑客连接一句话木马的密码是什么，并将一句话密码作为FLAG（形式：[一句话密码]）提交：
   解：在3778帧的数据包中找到了一句话木马
   
   flag{@eval(base64_decode($_POST[z0]));}

6. 继续查看数据包文件attack.pacapng分析出黑客下载了什么文件，并将文件名及后缀作为FLAG（形式：[文件名.后缀名]）提交：
   解：
   首先查看172.16.1.102发送的get请求包
   ip.src==172.16.1.102&&http.request.method==GET
   
   黑客对index.php界面进行了sql注入，访问了upload.php
   看一下post传参的upload.php界面
   ip.src==172.16.1.102&&http.request.method==POST
   
   访问了C : \ \phpstudy\ \wiw \ \fittingroom\ lupload\flag.zip，下载的是flag.zip
   flag{flag.zip}

7. 继续查看数据包文件attack.pacapng提取出黑客下载的文件，并将文件里面的内容为FLAG（形式：[文件内容]）提交：
   解：
   右击第6题中的数据包，追踪tcp流，保存原始数据，然后打开
   
   flag{Manners maketh man}