[DDCTF2018]流量分析(TLS)

提示：

提示一：若感觉在中间某个容易出错的步骤，若有需要检验是否正确时，可以比较MD5: 90c490781f9c320cd1ba671fcb112d1c
提示二：注意补齐私钥格式
-----BEGIN RSA PRIVATE KEY-----
XXXXXXX
-----END RSA PRIVATE KEY-----

看到数据包文件有FTP、SMTP、TCP、TSL等协议，不出意外是要找到私钥KEY去解密TSL了，那么这里可能泄露KEY的就是FTP：DATA和SMTP了，一样一样来：

追踪FTP流：

看到两个压缩包，将他们保存下来：

发现都有密码，010、密码爆破软件打开还提示zip格式不正确。。。先放这。去看下SMTP：

第一个：42.120.219.27 与 172.17.0.2

哈也没：

第二个：42.120.219.27 与 172.17.0.2

看下进行了多少次邮件发送，QUIT是SMTP每次会话的退出命令 ：

smtp contains QUIT

挨个看一下，注意到其中一个：

解码一下：

。。终于在最后一个看到传了一个图片，是base64图床：

保存一下base64字符串，脚本解码写图片：

import base64
import io
import os

current_path = os.path.dirname(__file__)

if __name__ == '__main__':
    # 打开文件
    file1 = current_path + "\\doc\\form"
    file2 = current_path + "\\doc\\later.png"
    f1 = open(file1,"rb")
    f2 = open(file2,"wb")
    # base64.encode(f1,f2)
    base64.decode(f1,f2)
    f1.close()
    f2.close()

白嫖QQ的识图工具：

MIICXAIBAAKBgQDCm6vZmclJrVH1 AAyGuCuSSZ80+mIQi0UQCvN0HYbj8153JfSQ
L sJIhbRYS7+zZ1oXvPemWQDv/u/ tzegt58q4ciNmcVnq1uKiygc6QOtvT7oiSTyO
vMX/q5iE2iClYUIHZEKX3BjjNDxrYvL QzPyGD1 EY2DZI06T45FNKYC2VDwIDAQAB
AoGAbtWUKUkx37lLfRq7B5sqjZVKdpBZe4tL0jg6cX5Djd3Uhk1 inR9UXVNw4/y4
QGfzYq0n8+Cq7QSoBysHOeXSiPztW2cL 09ktPgSlfTQyN6ELNGuiU0YnaTWYZpp/
QbRcZ/ eHBulVQL 1k5M6RVs9BLI9X08RAl7EcwumiRfWas6kCQQDvqC0dxl2wI jwN
CzILcoWL ig2c2u71Nev9DrWjWHU8eHDuzCJWvOUAHI rkexddWEK2VHd+F 13GBCOQ
ZCM4prBjAkEAz+ENahsEjBE4+ 7H1 HdI aw0+goe/ 45d6A2ew0/ lYH6dDZTAzTW9z9
kzV8uz +Mmo51 63/ JtvwYQcKF 39DJGGtqZQJBAKa18XR1 6fQ9TFL64EQwTQ+tYBzN
+04e TWQCmH3haeQ/ 0Cd9XyHBUveJ42Be8/ jeDcIx7dGLxZKajHbEAfBFnAsCQGq1
AnbJ4Z6opJCGu+UP2c8SC8m0bhZJDe IPRC8IKE28eB6SotgP61ZqaVmQ+HLJ1/wH
/ 5pfc3AmEyRdfyx6zwUCQCAH4SLJv/kprRz1a1gx8FR5tj4NeHEFFNEgq1 gmi wmH
2STT5qZWzQF z8NRe+/ otNOHBR2Xk4e8IS+ehIJ3TvyE=

脚本处理一下空格，这里还是需要人工校验一下，会有个别错误：

print(''.join(content.split(' ')))

填上私钥格式：

-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

保存为private.key，wireshark允许添加TLS私钥查看加密传输数据，点击 编辑 -> 首选项 -> TLS -> Edit -> +号：

看到明文HTTP，追踪流看到flag：

DDCTF{0ca2d8642f90e10efd9092cd6a2831c0}