bugku——分析（流量分析）题解

目录

1，flag被盗

2，中国菜刀

3，这么多数据包

4，手机热点

5，抓到一只苍蝇

6，日志审计

7，weblogic

8，信息提取（超详细）

9，特殊后门

---

1，flag被盗

ctrl + f 打开搜索框，搜flag ，找到 93 个数据包里有 flag.txt字样，

右键，追踪 TCP数据流，在其中看到了 flag：

flag{This_is_a_f10g}

2，中国菜刀

在 分组字节流中搜索 flag 字符串，找到第8 个包，追踪tcp数据流

看到了 flag.tar.gz，猜测流量包中隐藏了一个压缩包，

用binwalk 审查一下：发现了一个压缩包，分离

key{8769fe393f2b998fa6a11afe2bfcd65e}

3，这么多数据包

前边的都是些无关紧要，一直到NO104，下面的再干嘛？

源ip138一直向目标ip159发送syn握手包，想要建立连接，其实就是端口扫描，原理就是，想和你某个端口建立连接，然后看这个端口的回复的类型来看下是否开放了此端口。我们现在就可以知道138是客户端，159是服务器端了。红色的包是服务器向客户端回复的信息，代表此端口没有开放。

其实就是在扫描服务器 159的开放端口

看到 中间有一段 是与 服务器 3389的通信

说明服务器端的 3389端口开放，跟踪数据流

发现大串的无用乱码：

直接搜索 tcp

然后拉到最后 扫描结束后发送的数据包，4444端口和 1024 的端口之间的通信，追踪数据流，还是没有发现什么

然后又发现了 12345 端口和 35800之间的通信  追踪数据流 发现了一段 base 64密文 解密后得到flag

CCTF{do_you_like_sniffer}

4，手机热点

方法一： 不管流量包中有没有隐藏文件，先分离一下看看，直接用foremost分离一下

分离出来 一个压缩包，解压出来一张图片，flag.jpg

方法二：正常思路，题目描述说是共享手机热点，然后向电脑发送了一些东西，这里应该是通过 蓝牙协议 （obex）发送得文件

过滤出 obex协议的包，

导出分组字节流 保存为 123.rar 解压出来一张图片 flag.jpg

 

5，抓到一只苍蝇

首先在 分组字