工业安全CTF

写在前面

前一段时间比赛记录的一直没发 xx系统又说我非原创 你倒是找一篇和我刷的一样的人来？？？
淦

10.Modbus采样分析

安全巡检工程师会对控制设备运行情况进行检测分析，某日突然在流量中发现攻击者截取了工程师站采集数据的命令，并将采集命令进行了恶意篡改，导致上层无法获取设备正确的运行信息，影响企业正常生产运行，请分析出被篡改的恶意采集数据报文，获取flag。flag格式为：flag{}

直接wireshark 拿出来 硬看

要找出 采集数据的命令

4.图片隐写题

binwallk和 fromost跑了一下 什么都没出
拿到 010editor里看一下
开头 有点奇怪

后来查到是F5 隐写
学习到了一个工具 F5-steganography
使用方法
命令行进入到文件

java Extract <文件路径>

会自动生成一个output文件

6.OPC协议分析

筛选出DCERPC协议 随便追踪一个流 没什么有用的信息

看了一下中间有一块 黄色的部分比较奇怪
查一下 黄色是什么

smb

SMB(全称是Server Message Block)是一个协议名，它能被用于Web连接和客户端与服务器之间的信息沟通。SMB最初是IBM的贝瑞·费根鲍姆（Barry Feigenbaum）研制的，其目的是将DOS操作系统中的本地文件接口“中断13”改造为网络文件系统。

NBNS

网络基本输入/输出系统 (NetBIOS) 名称服务器 (NBNS) 协议是 TCP/IP 上的 NetBIOS (NetBT) 协议族的一部分，它在基于 NetBIOS 名称访问的网络上提供主机名和地址映射方法

要找出加密的关键信息 重点是 加密！
在哪里加密？

加密的东西应该藏在某个data中？

判断一下数据包的来源？
找到来自于渗透测试人员的数据包
主要来自于 192.168.1.11 和 192.168.1.21

Fins通讯协议

要我们找到异常的地方
筛选出 omrom 包

找到一个包 里面有文件

提取出文件
TTComp archive

http://www.exelana.com/techie/c/ttdecomp.html
提取一下
出来了一个文件 我们读一下

CXProgVer:="1.5";
Globals:=
BEGIN
 VariableList:=
 BEGIN_LIST_$#[4]
  ,0.00,BOOL,,启动;
  ,0.05,BOOL,,激光控制1#rob输出;
  ,0.09,BOOL,,111;
  ,0.10,BOOL,,U2FsdG;
  ,0.12,BOOL,,U2FsdGVkX1+E;
  ,0.14,BOOL,,U2FsdGVkX1+EaT9oSg9Ef6v;
  ,100.00,BOOL,,启动;
  ,101.02,BOOL,,1#rob激光输出;
  ,101.03,BOOL,,2#rob激光输出;
  ,1.00,BOOL,,U2FsdGVkX1+EaT9oSg9Ef6vMXQKi3nf;
  ,1.02,BOOL,,U2FsdGVkX1+EaT9oSg9Ef6vMXQKi3nf6OMoloV;
  ,1.04,BOOL,,U2FsdGVkX1+EaT9oSg9Ef6vMXQKi3nf6OMoloVWU0GDwvGTXJOj3;
  ,1.06,BOOL,,U2FsdGVkX1+EaT9oSg9Ef6vMXQKi3nf6OMoloVWU0GDwvGTXJOj3aQ==;
  ,1.10,BOOL,,11111;
  ,1.11,BOOL,,22222;
  ,1.14,BOOL,,flag;
  ,2.00,BOOL,,fl1g;
  ,2.02,BOOL,,tips;
  ,2.04,BOOL,,TIPS;
  ,2.06,BOOL,,??;
  ,2.07,BOOL,,?????;
  ,2.08,BOOL,,????;
 END_LIST_$#[4];
 VariableCount:=22;
 VariableMultiCommentList:=
 BEGIN_LIST_$#[5]
 END_LIST_$#[5];
 VariableMultiCommentCount:=0;
 VariableMultiCommentTypeCount:=16;
 VariablePredefinedMultiCommentList:=
 BEGIN_LIST_$#[6]
 END_LIST_$#[6];
 VariablePredefinedMultiCommentCount:=0;
END;
ProgramNumber[0]:=256;
ProgramName[0]:="新程序1";
Locals[0]:=
BEGIN
 VariableList:=
 BEGIN_LIST_$#[7]
  LL,,BOOL,A,;
  T2O,,BOOL,A,;
  TO,,BOOL,A,;
 END_LIST_$#[7];
 VariableCount:=3;
 VariableMultiCommentList:=
 BEGIN_LIST_$#[8]
 END_LIST_$#[8];
 VariableMultiCommentCount:=0;
 VariableMultiCommentTypeCount:=16;
END;
ProgramCount:=1;
FunctionBlockCount:=0;

怀疑flag在里面

U2FsdGVkX1+EaT9oSg9Ef6vMXQKi3nf6OMoloVWU0GDwvGTXJOj3aQ==

看着像base64
发现不是
到解密网站一个个乱试

发现是 TripleDes 解密后 得到flag