shark初步使用

石灰11

已于 2024-03-14 23:56:10 修改

阅读量911

点赞数 6

文章标签：笔记

于 2024-03-14 15:35:44 首次发布

本文链接：https://blog.csdn.net/w2vmany/article/details/136635498

版权

flag明文以及编码

1.明文，直接搜索即可。

在这里插入图片描述

2.编码

去上网搜了flag的编码字符串，以便使用

Hex：666c6167/666C6167(flag)、666c61677b(flag{)
Base64：Zmxh(flag)
Unicode：&#102 ;&#108 ;&#97 ;&#103(flag)

在这里插入图片描述
下面几题就是区分大小写问题，换unicode编码搜索问题
（还有一题for1是和usb有关，我放到后面再写）

压缩包

对有文件的流量包，我们可以先过滤http，找一下有没有什么特别的数据

1.caidao

caidao需要删除分组字节流前开头和结尾的X@Y字符，否则下载的文件会出错
在这里插入图片描述

2.test

按照上题去试试http，看看有木有可疑的数据
在这里插入图片描述
emmm，没有，再去追踪TCP数据流。
再对比流0流1流2流3之后，发现还是流3更可疑一点，我们把这个当突破口

我们同样还是显示分组字符，由于上题我直接就把开头和结尾的两个一样字符删去压缩，运气好，一次就发现成功了在这里插入图片描述

3菜刀流量

本来想找一下菜刀流量的做题思路，结果就找到关于菜刀的基础特征

老规矩，我们先试试能不能找flag，嘿，这里出现了
在这里插入图片描述
我们跟踪tcp后可以发现有一个flag.docx.z.T的可疑目标
进一步可以发现flag.docx

提取保存后我们可以拉到note里查看，再转成ascii保存即可

之后我们在转16进制来改他的伪加密

4MISC4

先搜一下flag
发现并没有在这里插入图片描述
还是先看看tcp里面有什么东西
发现都是图片，jfif，png，gif什么的
经过查看不同的流，我正好在流19下发现了flag

5telnet

telnet是明文的传输数据，所以我们查看tcp流
在这里插入图片描述
flag这么明显，肯定有问题啊，我就在想28dxws和982之间的点和题目附件的ASCII表有什么关系。

记录分隔符不可能，那只有退格有可能了
退三个格子后，得出的flag就是28d982kwalx8e，看了wp后发现自己思路是正确的，确实是退格作用

6流量中的线索

我们先正常输入过滤http，追踪tcp，发现这个流有很多字符串，我们再显示，转换各种编码试试在这里插入图片描述
这里运气好，转base64就出了一个jpg格式的图片，我想把这个图片保存下来查看，但发现行不通，那就试试能不能直接去base64网站上转化为图片，发现成功了

7菜刀666

我们先查看请求发现有一个php
在这里插入图片描述
我们先去找一下php看看，有什么东西，发现了还有flag和php，zip

又观察了一下，发现这个流是没有作用，继续翻看流

又发现了这里说，要密码，那就可以知道，之前那个hello.zip是加密的，继续翻发现这里又有一个jpg

在这里插入图片描述

我们保存他，在放到010里编辑，再去掉z2=即可

在这里插入图片描述

8工业协议分析

先大致浏览一下，发现有一个特别长的数据爆在这里插入图片描述

发现是一个图片，还提示了base64，我们删去一下头字符，解码一下得到一张图片

再把它转图片

管理员密码

搜索flag，就可以找到管理员密码即flag 在这里插入图片描述

9getshell

先找getshell的流（ARP的请求与获取shell应该无关）。我们要找tcp三次握手的数据包
在这里插入图片描述
再把那字符串解码，可得flag

10sqltest

sql的流量分析先按照惯例，过滤http流量然后导出分组解析结果为CSV，再用note打开
在这里插入图片描述

发现有很多url ，那就url解码试试在这里插入图片描述

我们在将ASCII码值转换即可102（和之前比赛做的题差不多，用ascii’转换）
102 108 97 103 123 52 55 101 100 98 56 51 48 48 101 100 53…125

11蓝牙协议

先看有没有obex
在这里插入图片描述
发现里面有一个压缩包，那就先提取出来，改文件为压缩包，发现要密码
（因为蓝牙里面有个固定的密码名称叫做PIN所以还是先搜一下PIN这串字符，看是不是有东西）
发现有一个PINcode，打开压缩包就出flag 在这里插入图片描述

12哥斯拉gs

先追踪tcp流
在这里插入图片描述
用风佬的工具可以把pass处快速解码

我们通过解码，可以得到
因为flag经过base64编码后是Zmx什么什么，就想着用base64解密一下

13冰蝎2.0

在这里插入图片描述
密钥：eaf815fcc1dd7afb
密文：8zzbb6WmH48ODID03wWNKJxpuNnHBuEsLF2vYVUDyoun6oJxdnTKUlPGVl4LrgL4uuvv88ENWEOwRFpvfgglnhIZL5ccVD1PfKSBJDjNWuBQL0el16fDe1Yyk02Wa1/0
放入脚本爆破，在转base64

哥斯拉jsp

14h1

看http流在这里插入图片描述
key就是xc处的748007e861908c03
密文：
b5c1fadbb7e28da08572486d8e6933a84c5144463f178b352c5bda71cff4e8ffe919f0f115a528ebfc4a79b03aea0e31cb22d460ada998c7657d4d0f1be71ffa
放入脚本爆破即可
flag{9236b29d-5488-41e6-a04b-53b0d8276542}

15hard

先找密钥：“748007e861908c03”
在这里插入图片描述
再找密文b5c1fadbb7e28da08572486d8e6933a84c5144463f178b352c5bda71cff4e8ffe919f0f115a528ebfc4a79b03aea0e31cb22d460ada998c7657d4d0f1be71ffa
爆破可得flag{9236b29d-5488-41e6-a04b-53b0d8276542}