20220216-MISC-BUUCTF-后门查杀(D盾使扫描)-数据包中的线索(base64转图片)

MISC-BUUCTF-后门查杀

小白的网站被小黑攻击了，并且上传了Webshell，你能帮小白找到这个后门么？(Webshell中的密码(md5)即为答案)。 注意：得到的 flag 请包上 flag{} 提交

【1】下载附件是一个RAR文件：

【2】D盾扫描：

flag{6ac45fb83b3bc355c024f5034b947dd3}

后门查杀–解体总结：

根据题目提示“上传了Webshell，你能帮小白找到这个后门么？(Webshell中的密码(md5)即为答案)”
直接使用工具D盾进行扫描

D盾下载地址：
https://www.d99net.net

也可惜下载我的网盘链接：
链接: https://pan.baidu.com/s/1B05OOBLV8LkiGZ2bRC8B-w 提取码: ju5e
–来自百度网盘超级会员v4的分享

MISC-BUUCTF-数据包中的线索

公安机关近期截获到某网络犯罪团伙在线交流的数据包，但无法分析出具体的交流内容，聪明的你能帮公安机关找到线索吗？ 注意：得到的 flag 请包上 flag{} 提交

【1】下载附件，并解压：

【2】根据题目提示“在线交流”，考虑跟踪HTTP流：


找到第三个HTTP，才找到。
把内容存为1.txt

看到文末的等号，猜测是base64解码。
然后，首先判断为什么类型的文件：

根据0060…
查询百度：

估计是jpg
然后利用脚本转换（base64）:

脚本提供：

import os,base64
with  open("ti/1.txt","r") as f:
    imgdata = base64.b64decode(f.read())
file = open('1.jpg', 'wb')
file.write(imgdata)
file.close()

打开1.jpg

flag{209acebf6324a09671abc31c869de72c}
提交，正确：

数据包中的线索–解题总结

（1）根据“在线交流”跟踪HTTP包
（2）得到的内容判断为base64（因为最后有等号）