01.基本介紹
在CTF比賽中，對于流量包的分析取證是一種十分重要的題型。通常這類題目都是會提供一個包含流量數據的pcap文件，參賽選手通過該文件篩選和過濾其中無關的流量信息，根據關鍵流量信息找出flag或者相關線索。
pcap流量包的分析通常都是通過圖形化的網絡嗅探器——wireshark進行的，這款嗅探器經過眾多開發者的不斷完善，現在已經成為使用最為廣泛的安全工具之一。接下來，斗哥來為大家講解這款工具的基本使用。
02.基本使用
Wireshark的基本使用分為數據包篩選、數據包搜索、數據包還原、數據提取四個部分。
1. 數據包篩選：
數據包篩選功能是wireshark的核心功能，比如需要篩選出特定的協議如HTTP，Telnet等，也可能需要篩選出ip地址，端口等。
1.1??篩選ip：
●源ip篩選
輸入命令：ip.src == 地址
地址.png (107.75 KB, 下載次數: 11)
2019-3-26 15:04 上傳
或者手動操作：
點擊任意一個符合篩選條件的數據包，找到IPv4下的Source字段。
字段.png (123.3 KB, 下載次數: 3)
2019-3-26 15:04 上傳
右鍵點擊Source字段，作為過濾器應用 – 選中。
選中.png (300.99 KB, 下載次數: 4)
2019-3-26 15:05 上傳
●目的ip篩選
輸入命令：ip.dst == 地址
篩選.png (49.6 KB, 下載次數: 4)
2019-3-26 15:06 上傳
或者手動操作：
點擊任意一個符合篩選條件的數據包，找到IPv4下的Destination字段，右鍵點擊Source字段，作為過濾器應用 – 選中。
選中.png (529.26 KB, 下載次數: 7)
2019-3-26 15:07 上傳
其他字段篩選與上面類似：
1.2??mac地址篩選:
eth.dst ==A0:00:00:04:C5:84 篩選目標mac地址
eth.addr==A0:00:00:04:C5:84 篩選MAC地址
1.3??端口篩選：
tcp.dstport == 80??篩選tcp協議的目標端口為80 的流量包
tcp.srcport == 80??篩選tcp協議的源端口為80 的流量包
udp.srcport == 80??篩選udp協議的源端口為80 的流量包
1.4??協議篩選：
tcp??篩選協議為tcp的流量包
udp 篩選協議為udp的流量包
arp/icmp/http/ftp/dns/ip??篩選協議為arp/icmp/http/ftp/dns/ip的流量包
1.5??包長度篩選：
udp.length ==20? ?篩選長度為20的udp流量包
tcp.len >=20??篩選長度大于20的tcp流量包
ip.len ==20??篩選長度為20的IP流量包
frame.len ==20 篩選長度為20的整個流量包
1.6? ?http請求篩選
請求方法為GET：http.request.method==“GET”篩選HTTP請求方法為GET的??流量包
請求方法為POST：http.request.method==“POST”篩選HTTP請求方法為POST的流量包
指定URI：http.request.uri==“/img/logo-edu.gif”篩選HTTP請求的URL為/img/logo-edu.gif的流量包
請求或相應中包含特定內容：http contains “FLAG” 篩選HTTP內容為/FLAG的流量包
2. 數據包搜索：
在wireshark界面按“Ctrl+F”，可以進行關鍵字搜索：
關鍵字.png (189.64 KB, 下載次數: 4)
2019-3-26 15:09 上傳
Wireshark的搜索功能支持正則表達式、字符串、十六進制等方式進行搜索，通常情況下直接使用字符串方式進行搜索。
字符.png (54.78 KB, 下載次數: 6)
2019-3-26 15:09 上傳
搜索欄的左邊下拉，有分組列表、分組詳情、分組字節流三個選項，分別對應wireshark界面的三個部分，搜索時選擇不同的選項以指定搜索區域：
指定 區域.png (47.46 KB, 下載次數: 2)
2019-3-26 15:11 上傳
分組列表：
分組 1.png (94.13 KB, 下載次數: 3)
2019-3-26 15:12 上傳
分組詳情：
分組 2.png (96.49 KB, 下載次數: 4)
2019-3-26 15:12 上傳
分組字節流：
分組 3.png (93.74 KB, 下載次數: 6)
2019-3-26 15:13 上傳
3.??數據包還原
在wireshark中，存在一個交追蹤流的功能，可以將HTTP或TCP流量集合在一起并還原成原始數據，具體操作方式如下：
選中想要還原的流量包，右鍵選中，選擇追蹤流 – TCP流/UPD流/SSL流/HTTP流。
流.png (336.39 KB, 下載次數: 5)
2019-3-26 15:13 上傳
可在彈出的窗口中看到被還原的流量信息：
彈出.png (74.89 KB, 下載次數: 6)
2019-3-26 15:14 上傳
4. 數據提取
Wireshark支持提取通過http傳輸(上傳/下載)的文件內容，方法如下：
選中http文件傳輸流量包，在分組詳情中找到data或者Line-based text data:text/html層，鼠標右鍵點擊 – 選中 導出分組字節流。
鼠標.png (203.29 KB, 下載次數: 6)
2019-3-26 15:15 上傳
如果是菜刀下載文件的流量，需要刪除分組字節流前開頭和結尾的X@Y字符，否則下載的文件會出錯。鼠標右鍵點擊 – 選中 顯示分組字節…
分組.png (238.14 KB, 下載次數: 4)
2019-3-26 15:16 上傳
在彈出的窗口中設置開始和結束的字節(原字節數開頭加3，結尾減3)
結尾.png (43.89 KB, 下載次數: 5)
2019-3-26 15:16 上傳
最后點擊save as按鈕導出。
03. 總結
以上為wireshark網絡嗅探器中關于流量分析在CTF比賽中的基本使用。下一篇流量分析文章為大家介紹CTF比賽中流量分析的基本題型解法。
qrcode_for_gh_223e082fe8a7_430.jpg (41.93 KB, 下載次數: 7)
2019-3-26 15:17 上傳
