网络数据分析溯源(新增用户的身份证号)

用wireshark打开数据包

根据提示，有人利用了webshell操纵了数据库，所以用http.request.method ==“POST” && http contains "php"过滤

发现xiaoma.php，按长度降序排列，依次查看
猜测ZGVsZXRlIGZyb20gY2FyZGlkIHdoZXJlIHVzZXJpZCA9IDQyMDEwMjE5ODUwMzA3Mjg3ODs=和aW5zZXJ0IGludG8gY2FyZGlkICh1c2VyaWQpIHZhbHVlcyAoIjMyMDEwMjE5OTAwMzA3OTU3MiIpOw==这两个字符串有一个可能包含身份证号

分别进行base64解码，第一个是删除操作delete from cardid where userid = 420102198503072878;，第二个是插入操作insert into cardid (userid) values (“320102199003079572”);

将第二个values输入，得到key