国赛数字取证和数据分析（仅供参考）

B-2任务二：数据分析

*任务说明：仅能获取Server2的IP地址

1.使用Wireshark查看并分析Server2桌面下的capture.pcapng数据包文件，找出telnet服务器的用户名和密码，并将密码作为flag值提交；

telnet && ip.src==    

搜索 password 或者 login

2.使用Wireshark查看并分析Server2桌面下的capture.pcapng数据包文件，FTP服务器已经传输文件结束，将登陆服务器后的第一条指令作为flag值提交；

先查看成功登录的响应码

ftp.response.code == 230

查看200之后的command

命令成功执行响应码

ftp.response.code == 200

3.使用Wireshark查看并分析Server2桌面下的capture.pcapng数据包文件，web服务器地址是192.168.181.250， 其使用的脚本语言为php，将服务器使用php的版本号作为flag值提交；

ip.src==192.168.181.250 && http

http追踪tcp流，文件头server 或者直接搜索X-Powered-By

4.使用Wireshark查看并分析Server2桌面下的capture.pcapng数据包文件，这些数据中有非常多的ICMP报文，其中有一个设备是路由器，IP地址为192.168.181.25，将路由器上主动发出的ping请求的数量作为flag值提交；

ip.src==192.168.181.25 && icmp     //过滤来源及其协议

icmp.type == 8    //