BugkuCTF(old)----流量分析题目Writeup

flag被盗

文件不是很大，粗略看了一下，发现了shell.php字段

 

筛选为http流量，追踪TCP查看

 

直接得到flag  flag{This_is_a_f10g}

 

 

中国菜刀

下载解压得到数据包，比较小只有7kb

 

只有TCP和HTTP协议流量，追踪TCP流查看，发现flag.tar.gz压缩包

 

使用kali集成的 binwalk提取压缩包，

binwalk -e caidao.pcapng 文件路径

 

得到 1E43文件

 

这是一个压缩包，可以在windows修改后缀为zip直接打开

得到flag  key{8769fe393f2b998fa6a11afe2bfcd65e}

 

 

这么多数据包

题目提示

数据包 TCP有大量的标红状态，猜测为攻击机对目标进行的扫描爆破等操作

 

过滤得到TCP协议数据包，观察发现 4023为最后一条标红数据

 

往下看呀看呀看呀，追踪TCP流查看，数据包过多，一无所获

尝试过滤一些数据包，观察发现，此期间大部分是端口4444与端口1040之间的通信，过滤数据包

tcp && ! tcp.port eq 4444 or ! tcp.port eq 1040 and ip.addr eq 192.168.116.138

发现在最后端口 35880 和 1234 还存在通信，追踪流查看