CTF——MISC——流量分析

目录

一、流量包修复

二、协议分析

三、数据提取

例题：

1，题目：Cephalopod(图片提取)

2,题目：特殊后门(icmp协议信息传输)

3,题目：手机热点(蓝牙传输协议obex,数据提取)

4,题目：想蹭网先解开密码(无线密码破解)

5,我的的教练也想打CTF

---

概括来讲在比赛中的流量分析有以下三个方向：
1、流量包修复
2、协议分析
3、数据提取

一、流量包修复

比如一个流量包它的文件头也是对的，里边也没有包含其他的文件等等等等，但是就是打开出现一些未知的错误，这时候就要考虑对流量包进行修复。

这类题目考察较少，通常都借助现成的工具例如PCAPFIX直接修复。

PcapFix

二、协议分析

此类方向需要对分析流量包工具所用的语法有一定的掌握，这里以wireshark为例，须掌握wireshark过滤器（捕捉过滤器与显示过滤器）的基础语法，从而更快更精准的获取指定的信息。

捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中，需要在开始捕捉前设置。
显示过滤器：用于在捕获结果中进行详细查找，可以在得到捕捉结果后进行更改

捕捉过滤器基础语法
Protocol Direction Host(s) Value LogicalOperations other expression
tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128

Protocol
可能的值: ether, fddi, ip, arp, rarp, decnet,lat, sca, moprc, mopdl, tcp and udp，如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction
可能的值: src, dst, src and dst, src or dst，如果没有特别指明来源或目的地，则默认使用 “src or dst” 作为关键字。
Host(s)
可能的值： net, port,host, portrange，如果没有指定此值，则默认使用”host”关键字。
例如，”src 10.1.1.1”与”src host 10.1.1.1”相同。
Logical Operations
可能的值：not, and, or
否(“not”)具有最高的优先级，或(“or”)和与(“and”)具有相同的优先级
“not tcp port 3128 and tcp port23”与”(not tcp port 3128) and tcp port23”相同。

举例分析：
tcp dst port 3128 //目的TCP端口为3128的封包。
ip src host 10.1.1.1 //来源IP地址为10.1.1.1的封包。
host 10.1.2.3 //目的或来源IP地址为10.1.2.3的封包。
src portrange 2000-2500
//来源为UDP或TCP，并且端口号在2000至2500范围内的封包
not icmp //除了icmp以外的所有封包。

显示过滤器基础语法
Protocol String1 String2 ComparisonOperator Value Logical Operations other expression
Protocol
可以使用大量位于OSI模型第2至7层的协议。在Expression中可以看到，例如，IP，TCP，DNS，SSH
String1，String2
可选择显示过滤器右侧表达式，点击父类的+号，然后查看其子类
Comparison Oerators
可以使用六种比较运算符

举例分析：
snmp || dns || icmp //显示SNMP或DNS或ICMP封包
ip.addr == 10.1.1.1 //显示源或目的IP为10.1.1