流量分析_安恒八月月赛

前言：

流量分析很有意思，之前忙于考试，暂时没有学习了，考试结束了就来总结一下一些CTF下常见的流量分析的题型。

0x00:流量包修复

使用wireshark打开流量包发现报错，可以使用在线pacp包修复工具进行修复
http://f00l.de/hacking/pcapfix.php

修复好之后再重新打开，翻了一下发现

这些包中的ID拼凑起来便是flag，可以查看一下

所以拼接起来即可组成flag

0x02:WEB扫描分析

常见的WEB扫描器有Awvs，Netsparker，Appscan，Webinspect，Rsas，Nessus，WebReaver，Sqlmap

有的CTF题会考察攻击者使用的是哪一种扫描器，所以在做这类题之前，先要了解各个扫描器所含的特征

AWVS

#url
acunetix
acunetix_wvs
acunetix_test
#headers
Host: acunetix_wvs_security_test
Cookie: acunetix_wvs_security_test
Cookie: acunetix
Accept: acunetix/wvs
#body
acunetix_wvs_security_test
acunetix

Nessus

#url
nessus
Nessus
#headers
x_forwarded_for: nessus
referer: nessus
host: nessus
#body
nessus
Nessus

等等，详细的就不再列出，可以参考师傅的博客
https://www.77169.net/html/259708.html
https://www.freebuf.com/column/156291.html

既然知道了各个扫描器的特征，就使用如下命令查询

http contains “扫描器特征值”

过滤之后便可以发现明显的awvs的特征，所以黑客使用的扫描器是awvs

0x03:后台目录爆破

涉及到爆破，就要发大量的请求，如黑客使用御剑等工具进行目录扫描，会发送很多请求，因为是在遍历字典中的一些目录，所以捕获到数据包中会有一大片都是扫描目录的而且还是404 Not Found

ip.addr==192.168.32.189 && http contains "404"

0x04:后台账号密码爆破

当黑客扫描到后台登陆页面时，肯定会先使用万能密码和弱口令进行尝试，而登陆页面一般都是POST请求，万能密码和弱口令一般都是含有admin的，而且登陆页面一般是有login这个关键字的，所以可以利用这些进行过滤。

http.request.method == "POST" && http contains "login"