文章目錄
- 前言
- wireshark
- 被嗅探的流量
- 被偷走的文件
- easycap
- 數據包中的線索
- 秘密文件
- [安洵杯 2019]Attack (難，沒寫)
- 被劫持的神秘禮物
- 大流量分析（一）
- 大流量分析（二）
- 大流量分析（三）
- 模板
- 模板
前言
CTFSHOW : https://ctf.show/challenges （點擊網址跳轉）
每道題都從以下模板講解，并且每個步驟都有圖片，清晰明了，便于復盤。
- 題目：
- 解決思路：
- flag：
- 本質：
- 疑問：
wireshark
- 題目：
解壓得到pcap文件
- 解決思路：
根據提示直接過濾出POST包（管理員登錄網址。一般提交數據會用POST方法）
- flag：
flag{ffb7567a1d4f4abdffdb54e022f8facd}
- 本質：
- 如果管理員登錄時使用的是明文傳輸（如HTTP協議），攻擊者可以通過分析流量包獲取管理員的用戶名和密碼。
- 通過過濾流量包（如使用http.request.method == POST），可以快速定位到登錄請求，并從中提取敏感信息。
被嗅探的流量
- 題目：
- 解決思路：
根據題目提示是一段文件傳輸數據，猜測是http的上傳，或者有關文件傳輸的數據
先瀏覽了一下流量，發現HTTP協議的流量有上傳文件的痕跡
- flag：
flag{da73d88936010da1eeeb36e945ec4b97}
被偷走的文件
- 題目：
解壓得到pcap文件
- 解決思路：
先大致瀏覽一下流量，發現有flag.rar字樣
RETR flag.rar 是一個用于從服務器下載flag.rar 文件的命令，因此這個flag.rar 可能是被偷走的文件
在kali用foremost分離文件，foremost ‘/home/kali/桌面/1.pcapng’ -o out
- 使用ARCHPR暴力破解，先嘗試1-8位數字破解，得出密碼為5790
- 輸入密碼，解壓得到flag.txt文件
- flag：
flag{6fe99a5d03fb01f833ec3caa80358fa3}
easycap
- 題目：
解壓得到pcap文件
- 解決思路：
先大致瀏覽一下流量，發現全部是tcp協議的數據包，追蹤tcp流即可得到flag
- 本質：
TCP是面向流的協議，數據在傳輸時會被分割成多個報文段（segments）。追蹤TCP流的功能（如Wireshark中的"Follow TCP Stream"）會自動將這些分散的報文段按順序重組，還原出完整的應用層數據流。
- flag：
flag{385b87afc8671dee07550290d16a8071}
數據包中的線索
- 題目：
解壓得到pcap文件
- 解決思路：
- 先大致瀏覽一下流量，發現有少數的http數據包有特征（fenxi.php等等），其他協議很普通
- 先大致瀏覽一下流量，發現有少數的http數據包有特征（fenxi.php等等），其他協議很普通
-
過濾出http數據包
-
追蹤編為7的數據包，啥也沒有
-
追蹤編為60的數據包
-
發現這個包中有一段很長的字符串，結尾看到有“=”號，像是base64編碼
-
來到一個 在線的base64解碼網站https://the-x.cn/base64上，進行解碼
-
發現頭文件是JFIF，是圖片格式
-
開啟自動模式，另存為jpg文件
-
打開圖片，得到flag
-
方法二：
- 追蹤http流，可以看到加密內容在響應包里面，所以在wireshark中找到響應包中字符位置，選擇顯示分組字節
- 追蹤http流，可以看到加密內容在響應包里面，所以在wireshark中找到響應包中字符位置，選擇顯示分組字節
-
直接解碼并且顯示為圖像
- flag：
flag{209acebf6324a09671abc31c869de72c}
秘密文件
- 題目：
解壓得到pcap文件
- 解決思路：
- 先大致看一下流量包，發現有flag字眼
- 先大致看一下流量包，發現有flag字眼
- 追蹤該數據包的tcp流得到如下，發現有.rar , 大概率就是Hack偷走的文件
- 流量文件中含有rar文件
- 分離出流量包中的rar文件，foremost ‘/home/kali/桌面/1.pcapng’ -o out1
- 需要密碼，ARCHPR暴力破解得到密碼是1903，打開txt文件得到flag
- flag：
flag{d72e5a671aa50fa5f400e5d10eedeaa5}
[安洵杯 2019]Attack (難，沒寫)
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
被劫持的神秘禮物
- 題目：
解壓得到pcap文件
- 解決思路：
大致看一下流量包，發現編號為4的http協議數據包的請求路徑有login的痕跡
或者根據題目提示，找到賬號和密碼，直接過濾http.request.method==POST即可
直接追蹤編號為4數據包的http流
可以看到賬號：admina , 密碼:adminb
題目提示：找到帳號密碼，串在一起，用32位小寫MD5哈希一下得到的就是答案
import hashlibdef generate_md5_hash(input_string):"""Generate a 32-bit lowercase MD5 hash from the input string."""# 創建 MD5 哈希對象md5_hash = hashlib.md5()# 更新哈希對象，添加待加密文本（需要先將字符串編碼為字節）md5_hash.update(input_string.encode('utf-8'))# 獲取并格式化哈希值為 32 位小寫的十六進制字符串return md5_hash.hexdigest()test_string = "adminaadminb"
print(f"The MD5 hash of '{test_string}' is {generate_md5_hash(test_string)}")
也可以直接在線MD5解密
- flag：
flag{1d240aafe21a86afc11f38a45b541a49}
大流量分析（一）
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
大流量分析（二）
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
大流量分析（三）
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
模板
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
模板
- 題目：
解壓得到pcap文件
- 解決思路：
-
flag：
)
