[ctfshow 2021摆烂杯] FORENSICS部分 writeup

官方的wp：https://qgieod1s9b.feishu.cn/docs/doccnC4EpMhSv1Ni6mbL7BQQdBc

套的签到题

这是你沐师傅的站的流量，最近你沐师傅去跟着某讯搭了一个WP平台后发了一篇文章再测试了一下自己的网站就再也没去管过平台了。结果被某位名字貌似大概可能叫g4_simon的大黑阔给hack掉了网站，并进行了一些操作拿到了沐师傅放在平台里的信息。由于沐师傅说他摆烂了不想自己研究，于是将流量附件放了出来叫大家来帮忙找一找。 找到三段你觉得像flag的内容并用下划线组合，即ctfshow{A1_A2_A3}，找不到就算了，摆烂了。 如果交不上就算了，摆烂了 (其实签到题是PC1和CP1)

第一段flag

是个黑客入侵网站的流量包，首先http.request.method==POST，找到post的数据
黑客是通过蚁剑连接上传的木马，蚁剑命令执行的流量通过base64混淆，下图可以看到执行了cat /f1111114g.txt的命令，即为第一段的flag

response

50a026070cDRydDFfeTAwX3lvdV9jcmFja19teV93cHdlYg==\n
50a026070这九位也是蚁剑混淆返回包生成的，base解密时候要去除

p4rt1_y00_you_crack_my_wpweb

第二段flag

黑客对网站数据库进行爆破，flag在数据库里面

now_you_can_submit_flag2

第三段flag

看到登陆密码

登陆进去看文章

第三段flagoh_you_got_the_part_3，是黑客发布的文章