ctf流量分析练习二

最新推荐文章于 2024-05-14 13:59:27 发布
最新推荐文章于 2024-05-14 13:59:27 发布
阅读量3.3k 收藏 35
点赞数 3
分类专栏： # CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44108455/article/details/108179086
版权

上次的流量分析做的我一个脑袋两个大！但是不能放弃啊，再找一些题来练练手

0x01 经典题型

CTF题型主要分为流量包修复、WEB流量包分析、USB流量包分析和其他流量包分析。

01 流量包修复

比赛过程中有可能会出现通过wireshark打开题目给的流量包后提示包异常的情况，如下图所示：
在这里插入图片描述解题思路：

通过在线pacp包修复工具进行修复：
http://f00l.de/hacking/pcapfix.php
修复之后，再次打开
用tcp contains “flag”，找到了下面这句话：
在这里插入图片描述于是乎，flag就在下面十几个tcp数据包里
在这里插入图片描述注意到这十几个相连的数据包的ip头中的id字段
在这里插入图片描述看起来一些有意义的字符
将全部这种数据包的id字段提取出来之后按lsb的方式组合起来就是flag；

这里呢，我去百度了一下lsb是什么，然后在参照原题目作者的意思，就是将每个包里的id的最后一位数取出来然后拼接在一起就是flag！
在这里插入图片描述pacp文件地址：https://static2.ichunqiu.com/icq/resources/fileupload/CTF/BSRC/2017/BSRC3-1/findtheflag.cap

02 WEB流量包分析

WEB数据包分析的题目主要出现WEB攻击行为的分析上， 典型的WEB攻击行为有：WEB扫描、后台目录爆破、后台账号爆破、WEBSHELL上传、SQL注入等等。

001 WEB扫描分析

这部分就是用了安恒八月月赛流量分析的这道题， 这道题我看了一个writeup，真的写的很好：https://www.cnblogs.com/sn1per/p/12553064.html，我也转载到了自己的博客中。

题型：
通过给出的流量包获取攻击者使用的WEB扫描工具。

解题思路：

常见的WEB扫描器有Awvs，Netsparker，Appscan，Webinspect，Rsas（绿盟极光），Nessus，WebReaver，Sqlmap等。要识别攻击者使用的是哪一种扫描器，可通过wireshark筛选扫描器特征来得知。

相关命令：http contains “扫描器特征值”。

常见的扫描器特征参考：https://www.freebuf.com/column/156291.html

题目：
安恒八月月赛流量分析：黑客使用的是什么扫描器？
pacp文件地址：
链接：https://pan.baidu.com/s/1bGEIPeXDCbhybmWOyGr8Og 提取码：q6ro

002 后台账号爆破

题型：
已知攻击者通过暴力破解的手段获取了网站的后台登陆账号，请通过给出的流量包获取正确的账号信息。

解题思路：
WEB账号登陆页面通常采用post方法请求，要获取流量包中记录的账号信息可通过wireshark筛选出POST请求和账号中的关键字如‘admin’。
相关命令：http.request.method=="POST" && http contains == "关键字"。

练练手：
安恒八月月赛流量分析：黑客使用了什么账号密码登录了web后台？

003 WEBSHELL上传

题型：

已知攻击者上传了恶意webshell文件，请通过给出的流量包还原出攻击者上传的webshll内容。

解题思路：

Webshell文件上传常采用post方法请求，文件内容常见关键字eval，system，assert要。获取流量包中记录的webshell可通过wireshark筛选出POST请求和关键字.

相关命令：http.request.method=="POST" && http contains == "关键字"

练练手：
安恒八月月赛流量分析：黑客上传的webshell文件名是？内容是什么？

03 USB流量包分析

USB流量指的是USB设备接口的流量，攻击者能够通过监听usb接口流量获取键盘敲击键、鼠标移动与点击、存储设备的铭文传输通信、USB无线网卡网络传输内容等等。在CTF中，USB流量分析主要以键盘和鼠标流量为主。

001键盘流量

USB协议数据部分在Leftover Capture Data域中，数据长度为八个字节。其中键盘击键信息集中在第三个字节中。

题型：

Flag藏于usb流量中，通过USB协议数据中的键盘键码转换成键位。

解题思路：

1.使用kali linux中的tshark 命令把cap data提取出来：tshark -r usb.pcap -T fields -e usb.capdata > usbdata.txt，并去除空行。

  1. 根据《USB键盘协议中键码》中的HID Usage ID将数据还原成键位。

练练手：
安全评测人员在对某银行卡密码输入系统进行渗透测试，截获了一段通过USB键盘输入6位数字密码的流量，其中也包含了一些其他无关的USB设备的流量，你能从中恢复出6位数字密码吗？最终提交的flag格式为flag。

使用tshark 命令把cap data提取出来：

tshark -r usb.pcap -T fields -e usb.capdata > usbdata.txt

在这里插入图片描述去除空行：
方法：用notepad++打开，编辑–>行操作–>移除空行
在这里插入图片描述写个python脚本来提取鼠标移动坐标：
keyboard1.py

normalKeys = {"04":"a", "05":"b", "06":"c", "07":"d", "08":"e", "09":"f", "0a":"g", "0b":"h", "0c":"i", "0d":"j", "0e":"k", "0f":"l", "10":"m", "11":"n", "12":"o", "13":"p", "14":"q", "15":"r", "16":"s", "17":"t", "18":"u", "19":"v", "1a":"w", "1b":"x", "1c":"y", "1d":"z","1e":"1", "1f":"2", "20":"3", "21":"4", "22":"5", "23":"6","24":"7","25":"8","26":"9","27":"0","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"-","2e":"=","2f":"[","30":"]","31":"\\","32":"<NON>","33":";","34":"'","35":"<GA>","36":",","37":".","38":"/","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}
shiftKeys = {"04":"A", "05":"B", "06":"C", "07":"D", "08":"E", "09":"F", "0a":"G", "0b":"H", "0c":"I", "0d":"J", "0e":"K", "0f":"L", "10":"M", "11":"N", "12":"O", "13":"P", "14":"Q", "15":"R", "16":"S", "17":"T", "18":"U", "19":"V", "1a":"W", "1b":"X", "1c":"Y", "1d":"Z","1e":"!", "1f":"@", "20":"#", "21":"$", "22":"%", "23":"^","24":"&","25":"*","26":"(","27":")","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"_","2e":"+","2f":"{","30":"}","31":"|","32":"<NON>","33":"\"","34":":","35":"<GA>","36":"<","37":">","38":"?","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}
output = []
keys = open('usbdata.txt')
for line in keys:
    try:
        if line[0]!='0' or (line[1]!='0' and line[1]!='2') or line[3]!='0' or line[4]!='0' or line[9]!='0' or line[10]!='0' or line[12]!='0' or line[13]!='0' or line[15]!='0' or line[16]!='0' or line[18]!='0' or line[19]!='0' or line[21]!='0' or line[22]!='0' or line[6:8]=="00":
             continue
        if line[6:8] in normalKeys.keys():
            output += [[normalKeys[line[6:8]]],[shiftKeys[line[6:8]]]][line[1]=='2']
        else:
            output += ['[unknown]']
    except:
        pass
keys.close()

flag=0
print("".join(output))
for i in range(len(output)):
    try:
        a=output.index('<DEL>')
        del output[a]
        del output[a-1]
    except:
        pass
for i in range(len(output)):
    try:
        if output[i]=="<CAP>":
            flag+=1
            output.pop(i)
            if flag==2:
                flag=0
        if flag!=0:
            output[i]=output[i].upper()
    except:
        pass
print ('output :' + "".join(output))

运行得到如下结果：
在这里插入图片描述7200[DEL]53[DEL]93
因为[DEL]是删除键，所以，flag是720593

002鼠标流量

USB协议鼠标数据部分在Leftover Capture Data域中，数据长度为四个字节。

其中第一个字节代表按键，当取0x00时，代表没有按键、为0x01时，代表按左键，为0x02时，代表当前按键为右键。第二个字节可以看成是一个signed byte类型，其最高位为符号位，当这个值为正时，代表鼠标水平右移多少像素，为负时，代表水平左移多少像素。第三个字节与第二字节类似，代表垂直上下移动的偏移。数据如下图所示：
在这里插入图片描述
如上图所示数据信息为0x00002000，表示鼠标垂直向上移动20。

题型：

Flag藏于usb流量中，通过USB协议数据中的鼠标移动轨迹转换成Flag。

解题思路：

  1. 使用kali linux中的tshark 命令把cap data提取出来：tshark -r usb.pcap -T fields -e usb.capdata > usbdata.txt，

  2. 并去除空行tshark -r usb.pcapng -T fields -e usb.capdata | sed '/^\s*$/d' > usbdata.txt。

  3. 根据usb协议鼠标数据还原鼠标移动轨迹。

练练手：
这是一道鼠标流量分析题。
方法一：

先用 tshark 命令把cap data提取出来

tshark -r usb.pcap -T fields -e usb.capdata > usbdata.txt

每次需要变得就是usb.pcap这里

接下来使用脚本把坐标显示出来，python脚本：

nums = []
keys = open('usb.txt','r')
posx = 0
posy = 0
for line in keys:
    if len(line) != 12 :
         continue
    x = int(line[3:5],16)
    y = int(line[6:8],16)
    if x > 127 :
        x -= 256
    if y > 127 :
        y -= 256
    posx += x
    posy += y
    btn_flag = int(line[0:2],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        print posx , posy
keys.close()

在这里插入图片描述接下来使用画图工具，gnuplot
如果没有下载，可以先下载：apt install gnuplot
然后输入：

gunplot
plot “xy.txt”

执行之后发现这个图很奇怪，说明上面mouse.py中的代表左键或者右键的那个式子需要改变一下，改成2之后重新运行
在这里插入图片描述okk，用画图工具垂直翻转一下就可以啦！
在这里插入图片描述

方法二：
使用王一航大佬的脚本然后直接运行就可以

 python UsbMiceDataHacker.py usb2.pcap RIGHT

参考链接：

CTF流量分析之题型深度解析
第一届 “百度杯” 信息安全攻防总决赛 线上选拔赛
https://www.cnblogs.com/sn1per/p/12553064.html

gclome
关注
  • 3
    点赞
  • 踩
  • 35
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
流量分析—ctf
m0_53067332的博客
01-10 8138
题目介绍 该题为流量分析，当黑客入侵我们的网络是，我们可以需要通过一系列分析操作来进行抓捕与追踪，本题目难度中等偏下，不是很有难度，但题目类型较为全面，适合入手当做练习。 一、题目背景 某公司内网网络被黑客渗透，简单了解，黑客首先攻击了一台web服务器，破解了后台的账户密码，随之利用破解的账号密码登陆了mail系统，然后获取了vpn的申请方式，然后登陆了vpn，在内网pwn掉了一台打印机，请根据提供的流量包回答下面有关问题 二、关卡列表 1 某公司内网网络被黑客渗透，请分析流量，给出黑客使用的扫描器 2 某
ctf php 流量分析题,2020天津市ctf大赛之usb数据包流量分析题
weixin_35949064的博客
03-09 585
1.鼠标流量分析1.常用命令tshark -r usb.pcap -T fields -e usb.capdata > usbdata.txt如果提取出来的数据有空行，可以将命令改为如下形式：tshark -r usb2.pcap -T fields -e usb.capdata | sed '/^\s*$/d' > usbdata.txt如果提取出来的数据没有冒号，可以用脚本来加上冒...
ctf流量分析练习一
gclome的博客
08-23 3738
最近在学习流量分析这块的内容，找到一篇不错的文章，就准备复盘一下。 原文链接：https://www.freebuf.com/column/169738.html Q1 打开这个流量包，大致分析一下是一个邮箱请求登陆的一个流量包，一眼就看见了 user和pass，需要base64解密一下即可。 base64解密地址：https://base64.supfree.net/ username：test@51elab.com password：FLAG:ISCCTESTpas flag就藏在password里 Q
BUUCTF——大流量分析一、二、三题
人若无名，便可专心练剑
05-14 456
我们可以看到除了几个172开头的内网IP地址，就是183.129.152.140这个IP出现的频率最高了，所以我们怀疑这个就是攻击者的IP地址。题目说黑客攻击了A公司，那么进行攻击，且我们手上目前又有攻击留下的数据包，那么里面肯定有很多攻击IP与我们内网IP有交互的。如果是做题目嘛，那么我们就可以把这个地址直接提交，看看是不是正确的，但是真实的工作环境下，我们需要再进行确认下。某黑客对A公司发动了攻击，以下是一段时间内我们获取到的流量包，那黑客预留的后门的文件名是什么？
CTF省赛练习笔记（1）流量分析WP
JaySRJ7的博客
10-06 3797
** CTF省赛练习笔记MISC—流量分析篇 ** 一、第三届上海市网络安全大赛 流量分析——traffic 1.下载附件用wireshark打开 2.一开始搜索字符串flag没有发现什么有价值的东西，接下来想到筛选一些流量进行分析，在筛选ftp-data时发现有几条流量都含有flag.zip，想到将他们导出分组字节流。 3.经过分析后发现可以导出的是一个key.log和两个压缩包（key.l...
ctf php 流量分析题,CTF平台hackit题目分析与解答
weixin_33277215的博客
03-09 502
之前在网上经常看到很多的CTF的练习平台，在加上搞CTF比赛的学弟推荐了这个 CTF平台 。当时在网上看了一下，这个平台推荐的人还是很多的。这个平台是由一个白帽子个人开发的一个平台。趁着这个平台还没有关闭的时候，我抓紧时间来练习一下，找找做CTF比赛的感觉，同时也提升我的渗透能力。当我千辛万苦地做完了之后，发现网上还没有人写这个练习平台的writeup,于是我决定记录下我的做题过程。一方面是为了能...
流量分析练习
w_g3366的博客
08-10 1133
流量分析实例 一、远控抓包分析 使用C++编写基于TCP协议通信的客户端和服务端程序。 将服务端编译好放到虚拟机，将客户端在真机上编译好。 虚拟机运行Wireshark编写捕获过滤器：tcp and port 1234开始捕获 运行虚拟机的服务端，运行真机的客户端，观察Wareshark（识别三次握手） 在客户端输入一些内容，观察Wareshark 在客户端输入quit观察Wireshark（识...
ctf web5 练习_CTF web题型总结 第六课 CTF WEB实战练习（二）
weixin_39636176的博客
12-20 1393
继上一篇总结：CTF web题型总结-第五课 CTF WEB实战练习(一)以下也是我在bugku练习的解题过程。以下内容大多是我在Bugku自己操作练习，有部分来源于网络，我只是在前人的基础上，对CET WEB进行一个总结；----------------------------------------------------------------------------------------...
CTF——MISC习题讲解（流量分析winshark系列~三）
tlovejr的博客
03-16 4672
CTF——MISC习题讲解（流量分析winshark系列~三） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列三。 一、ssl流量 首先打开题目得到两个文件，一个是log结尾的文件，另一个就是正常的流分包TLSv1.3都是经过加密的流量，所以我们第一步就应该解密，首先在我们文件里有一个解密的东西，我们进行导入 点击 编辑->首选项-> 然后需要我们把题目中自带的文件直接导入进去看看 导入完后就有http的协议 然后就发现有了flag的字眼 然后就直接TLS流
练习流量分析DAY2
qq_63574533的博客
11-15 155
ctf的杂项相关练习，方法学习了b站风二西大佬的视频！真的很有用！爱大佬QWQ！
两道CTF流量分析题，寻找flag！
03-10
题目1：在流量中寻找管理员的密码！...问题1:安全审计设备上捕获了一条OPC流量，疑似遭遇黑客攻击，请分析出黑客攻击的流量编号。(仅需找到流量编号即可) 问题2:找出藏匿在流量包中的flag(格式为flag{})
一道冰蝎文件流量分析的例题
09-01
在网络安全领域，尤其是CTF（Capture The Flag）竞赛中，冰蝎经常被用于流量分析、数据包嗅探和网络取证。本题目的核心是利用冰蝎进行文件流量分析。 首先，我们要理解什么是文件流量分析。文件流量分析是网络安全...
启明HW-流量分析考题
04-24
本资源是启明星辰对于护网的考核题目，主要是流量分析方面的实战题目。
CTF-流量分析有点难搞
最新发布
06-14
集团某互联网应用被黑客攻击，重要文件被窃取，管理员抓取了攻击流量包，请协助管理员分析流量包并回答下列问题: 被攻击的应用程序使用的密钥是_______（填写应用程序秘钥）
CTF-入门练习题
10-30
这个“CTF-入门练习题”很可能包含了一系列这样的挑战，旨在帮助初学者提升在网络安全领域的技能。 【网络攻防】 网络攻防是CTF中的核心部分，涉及攻击者与防御者的对抗。攻击者可能试图寻找系统漏洞，进行SQL注入...
bugku流量分析题汇总
gclome的博客
09-04 1610
为了更好的巩固最近学习的流量分析，决定找几个靶场来练练，开始就拿比较好上手的bugku开始吧！ 想蹭网先解开密码 这个题目又是不曾接触过的题型，去网上找找writeup操作一遍 提示WIFI密码为手机号。下载下来是一个cap包，用wireshark打开。 WIFI连接认证的重点在WPA的四次握手包，也就是eapol协议的包，过滤一下 正好四个包，接下来就是破解密码了，因为已经给了11位手机号的前七位，使用crunch生成一个密码字典，然后进行破解 关于chunch这个工具具体的使用方法，大家可以参考这篇文
webug--延时注入
gclome的博客
05-13 1008
延时注入介绍 对于基于时间的盲注，通过构造真or假判断条件的sql语句，且sql语句中根据需要联合使用sleep()函数一同向服务器发送请求，观察服务器响应结果是否会执行所设置时间的延迟响应，以此来判断所构造条件的真or假（若执行sleep延迟，则表示当前设置的判断条件为真）；然后不断调整判断条件中的数值以逼近真实值，最终确定具体的数值大小or名称拼写。 延时注入我们一般不能从页面直接获取数据库信息，所用知识与第二关基本相同 if(exp,1,sleep(5))如果exp为真，返回1，否则返回sleep(5
Bugku--杂项一（签到题------猜）
gclome的博客
11-16 911
签到题 傻瓜化操作，直接关注微信公众号，就会把flag发过来 这是一张单纯的图片 我点开链接是这样的，点击右键，将图片下载下来，打开 点击右键，将图片下载下来，打开 用notepad++打开，最后显示了一串编码，解码后得flag 隐写 打开图片 把图片放到HxD里，根据图片格式，我们发现图片的宽与高有矛盾,更改不合尺寸,把此处的A4改为F4，将图片保存， 然后打开图片，得到flag te...
ctf流量分析arp
05-30
CTF流量分析ARP是指在网络安全比赛中，通过分析ARP协议的流量来获取关键信息，以便攻击或保护目标系统。ARP协议是用于将IP地址映射到物理地址的协议，通过分析ARP流量可以获得网络拓扑结构、IP地址和MAC地址的对应...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值