hvv培训的流量分析题

题目如下

1

找扫描器的特征
常见的扫描器
使用过滤语句http contains "acunetix"

2

要找到黑客的登录后台
我们可以考虑搜搜看常见的后台路径admin
ip.src == 192.168.94.59 && http contains "admin"

追踪下tcp流,302说明大概就是对的

3

http.request.method=="POST" and ip.src==192.168.94.59 and http contains "rec=login"

账号admin
密码admin!@#pass123

4

webshell
tcp contains"eval"

菜刀的流量特征

a.php是后门

5

flag 87b7cb79481f317bde90c116cf36084b

6

http.response.code == 200 && (http contains "database" || http contains "db" )

追踪tcp流

7

直接滤hash_code

里面找到了查找hash_code的语句,但是没有hashcode

翻翻web2包
tcp contains "WHERE name = 'hash_code'"
随便找一个跟踪流

hash_code d1c029893df40cb0f47bcf8f1c3c17ac

8

tcp contains"ijnu@test.com"


密码edc123!@#

9

tcp contains "eth0"

10.3.3.100

10

这里url中存在login
跟进tcp流看看是否重定向

找了一圈没找到
再加个post提交的限制条件

账号:meisol
密码:8ieCLUVYDDHFymL6g1xPNw==
是这样吗?

这个密码登录的返回值是{"success":false}
所以要找找为true的(在第二个包里有重定向)
(http contains "{\"success\":true}" or http.request.method=="POST") and ip.addr==192.168.94.59

得到密码为

密码很像base64编码后的,但是解不出来,所以加过密
找找看加密的逻辑

密码:admin!@#PASS123

11

vpn1基本都是ppp协议的,不懂这方面的东西,看别人wp说这是在尝试登录vpn
那直接看2,统计会话

搜smb协议的,排除后与其通信的ip就是vpn的

这里一共两个ip
发现发response的源ip是10.3.4.96
所以vpn的ip是10.3.4.3