hack the box-challenges:chase题解

Intro to blueteam的第一题，打开后能看到题目的描述：

题目描述的意思是，我们的一个 Web 服务器触发了 AV 警报，但没有一个系统管理员说他们已登录。在关闭服务器以克隆磁盘之前，我们已经进行了网络捕获。你能看看PCAP，看看有什么问题吗？
点击左上方的下载，下载下来一个pcap文件。

从上到下通览一遍，能够发现以下几个特殊的地方。




我们大概能猜出来攻击者做了什么，上传了一个webshell，然后通过nc做了一个反向的shell，通过4444端口进行了连接。
4444的反向shell就是攻击者进行操作的媒介，那么我们追踪一下这个4444的tcp流看看，右击，选择追踪流，TCP流。

上图能清晰的看到执行命令的过程，最后攻击者还访问了一个.txt文件。我们去找下这个访问返回了什么。右击HTTP流，追踪一下HTTP流。

能看到这个.txt文件，就只有Hey there!。

访问的txt没内容，我们主要到这个.txt的命名很长，是base32的加密方式，我们去解密一下

成功拿到flag。