Wireshark分析流量包案例

原文地址：
https://blog.csdn.net/mcmuyanga/article/details/114524270

wireshark抓包工具常用筛选命令方法

测试文件：https://pan.baidu.com/s/1QuMdefZHSqlaLSHaMVGb4w
提取码：tmjs

1、使用Wireshark查看并分析attack.pcapng数据包文件，通过分析数据包attack.pcapng找出黑客的IP地址，并将黑客的IP地址作为FLAG（形式：[IP地址]）提交：
解：
首先筛选一下http协议的get传参和post传参的数据包
http.request.methodGET


发现了两个登录界面的数据包，一个是172.16.1.10向172.16.1.101请求的，另一个是172.16.1.102向172.16.1.101请求的，但是都没有在里面找到用户名和密码，估计是post传参
http.request.methodPOST

在172.16.1.102发往172.16.1.101的数据包中中找到了登录的用户密和密码，所以黑客的ip地址是172.16.1.102
flag{172.16.1.102}

2、继续查看数据包文件attack.pacapng，分析出黑客扫描了哪些端口，并将全部的端口作为FLAG（形式：[端口名1，端口名2，端口名3…，端口名n]）从低到高提交：
解：
筛选源ip是172.16.1.102和采用tcp协议(nmap扫描端口基于tcp协议)的数据包
ip.src==172.16.1.102&&tcp

看到扫描的接口有21，80，23，3389，445，5007
关于nmap扫描端口的流量详细看这篇文章
flag{21，23，80，445，3389，5007}

3、继续查看数据包文件attack.pacapng分析出黑客最终获得的用户名是什么，并将用户名作为FLAG（形式：[用户名]）提交：
解：
第一步中在3745包中找到了用户名和密码

flag{Lancelot}

4、继续查看数据包文件attack.pacapng分析出黑客最终获得的密码是什么，并将密码作为FLAG（形式：[密码]）提交：
解：
看第3题的图
flag{12369874}

5、继续查看数据包文件attack.pacapng分析出黑客连接一句话木马的密码是什么，并将一句话密码作为FLAG（形式：[一句话密码]）提交：
解：在3778帧的数据包中找到了一句话木马

flag{@eval(base64_decode($_POST[z0]));}

6、继续查看数据包文件attack.pacapng分析出黑客下载了什么文件，并将文件名及后缀作为FLAG（形式：[文件名.后缀名]）提交：
解：
首先查看172.16.1.102发送的get请求包
ip.src172.16.1.102&&http.request.methodGET

黑客对index.php界面进行了sql注入，访问了upload.php
看一下post传参的upload.php界面
ip.src172.16.1.102&&http.request.methodPOST

访问了C : \ \phpstudy\ \wiw \ \fittingroom\ lupload\flag.zip，下载的是flag.zip
flag{flag.zip}

7、继续查看数据包文件attack.pacapng提取出黑客下载的文件，并将文件里面的内容为FLAG（形式：[文件内容]）提交：
解：
右击第6题中的数据包，追踪tcp流，保存原始数据，然后打开

flag{Manners maketh man}