wireshark的简单使用：在二进制流中还原出zip文件

这是在某CTF上遇到的一个问题。

然而我对于wireshark的使用我却一知半解，打开pcapng文件发现只有30多个包，感觉还是挺适合新手练手的，所有在这里做个记录。

1、打开wireshark，先粗略看看这个流量包中有什么内容：

发现包中有几个值得关注的地方：

①只有两个IP：192.168.179.246、192.168.179.245

②协议只有HTTP和TCP

③HTTP包中有PSOT方法

其实这里就可以做个初步判断了，是否是简单的webshell上传？

再结合点击一个POST包看一下：

在红框中能看出这是.246在对.245上传一句话木马。

 

 

2、 跟踪包的TCP流：

看一下这一波上传都做了什么骚操作：右键那个POST包-追踪流-TCP流

 

得到这一操作的整个TCP流程：红色是.246往.245发送的包，蓝色是.245返回256的包。

 在返回包的发现，在.245的文件夹内有reverseshell.zip这个名称的包。因为文件名，我们可以猜测这个就是黑客上传的压缩包。

再在TCP流中发现菜刀z1这个参数有内容，证明菜刀在进行上传操作：

 

 

3、把二进制代码还原成为zip：

思路是把z1的中二进制内容复制到十六进制的编辑器，然后导出为zip文件。

我这里用的是Hex Fiend，把z1内容复制进去。

左边那一栏是z1的内容。

另存为a.zip，然后解压，搞定。

 

转载于:https://www.cnblogs.com/dachuanduan/p/9437160.html