bugku流量分析题汇总

当你的才华撑不起你的野心的时候，那就好好学习吧！

为了更好的巩固最近学习的流量分析，决定找几个靶场来练练，就拿bugku开始吧！

flag被盗

这个比较简单
直接使用过滤器：http contains "flag"
出现了两个流量包，跟踪tcp流，
然后就能找到flag
flag为：flag{This_is_a_f10g}

中国菜刀

想着要用菜刀，一般要用一句话木马，使用“http”过滤了一下
一个一个包去看，将里面的内容进行base64解密，直到发现了下面这个包

@ini_set("display_errors","0");
@set_time_limit(0);
if(PHP_VERSION<'5.3.0')
{
@set_magic_quotes_runtime(0);
};
echo("X@Y");
$F="C:\\wwwroot\\flag.tar.gz";
$fp=@fopen($F,'r');
if(@fgetc($fp)){@fclose($fp);
@readfile($F);}
else{echo('ERROR:// Can Not Read');
};
echo("X@Y");
die();

发现有一个叫做flag.tar.gz的压缩包，flag应该就在这里面，使用binwalk将flag提取出来

 binwalk -e caidao.pcapng

提取出来之后，将得到的文件重新命名为gz文件，然后解压打开

得到flag为

key{8769fe393f2b998fa6a11afe2bfcd65e}     

关于binwalk的使用方法可以看这篇文章：Binwalk工具的详细使用说明

这么多数据包

题目提示， 我们要找到 getshell 流， 一般 getshell 流的 TCP 的
报文中很可能包含 command 这个字段，所以，我们通过tcp contains command 来查找 getshell 流
然后跟踪tcp流
找到一个是s4cr4t.txt的文本，打开的内容直接base64解码，就可得到flag

CCTF{do_you_like_sniffer}

手机热点

一般流量题都需要去过滤协议，但是本题需要什么协议呢？
可以看到题目说没有网络还要用手机共享，那应该就是要用蓝牙
而且我们这道题的流量包命名是blatand，中文意思是哈拉尔蓝牙王
所以应该用的是蓝牙，那蓝牙用的协议是obex
直接过滤这个协议
发现传输了一个压缩文件和一张图片，点击secret.rar这个流量包
已经可以看到flag.gif了，接下来我们需要将这个文件导出来，看分组字节流之后选择原始数据并保存为一secret.rar:
解压缩文件，里面有个flag.gif,打开图片，就能得到flag！
SYC{this_is_bluetooth}

抓到一只苍蝇

这里题目说抓到一直苍蝇（fly），我就想着直接用 http contains "fly"
是不是有所收获，果然
点击第一个包，追踪tcp流，发现了一个 fly.rar

日志审计

下载文件，发现是个access.log文件，记录了使用sqlmap利用二分法sql盲注的过程。
使用notepad++中 插件> MIME Tools > URL Decode 进行url解码，看到猜解flag的一个过程
稍微解释一下，这里使用二分法，如果正确，后面就会显示200.错误就会显示404，这里注意一点：
sqlmap采用二分法进行注入的时候，正确的值为最后一次进行＞比较正确的值+1，即为102（如下图）
接下来我们写个脚本，利用正则表达式，把正确的信息提取出来，得到正确的flag（这个代码适用于python3 ，python2的话需要修改一下）

# coding:utf-8
import re
import urllib.request as ur

f = open('./access.log','r')
lines = f.readlines()
datas = []
for line in lines:
    t = ur.unquote(line)
    if '1765' in t and 'flag' in t:  # 过滤出与flag相关，正确的猜解
        datas.append(t)

flag_ascii = {}  
for data in datas:
    matchObj = re.search( r'LIMIT 0,1\),(.*?),1\)\)>(.*?) AND', data)   
    if matchObj:
        key = int(matchObj.group(1))
        value = int(matchObj.group(2))+1
        flag_ascii[key] = value     # 使用字典，保存最后一次猜解正确的ascii码
        
flag = ''
for value in flag_ascii.values():
    flag += chr(value)
    
print (flag)

运行得到flag

flag{sqlm4p_15_p0werful}

weblogic

信息提取

根据题目，大致猜测又是一道利用sqlmap进行注入的一道题,过滤http流量发现全是注入语句。
文件 >导出分组解析结果 > 为纯文本，命名为1.txt。
接下来这道题就和上面sqlmap利用二分法注入一样了，直接利用脚本

ISG{BLind_SQl_InJEcTi0N_DeTEcTEd}

特殊后门

待定

想蹭网先解开密码

这个题目又是不曾接触过的题型，去网上找找writeup操作一遍

提示WIFI密码为手机号。下载下来是一个cap包，用wireshark打开。
WIFI连接认证的重点在WPA的四次握手包，也就是eapol协议的包，过滤一下
正好四个包，接下来就是破解密码了，因为已经给了11位手机号的前七位，使用crunch生成一个密码字典，然后进行破解
关于chunch这个工具具体的使用方法，大家可以参考这篇文章：
kali下的字典生成工具 — crunch

crunch 11 11 -t 1391040%%%% >> wifipass.txt

生成字典成功！
因为实际上只有四位数的排列，所以很快就生成好了。
接下来使用这句话进行破解

aircrack-ng -w wifipass.txt wifi.cap

破解成功！得到flag为flag{13910407686}