流量分析——安恒科技（八月CTF）

一、题目背景

某公司内网网络被黑客渗透，简单了解，黑客首先攻击了一台web服务器，破解了后台的账户密码，随之利用破解的账号密码登陆了mail系统，然后获取了vpn的申请方式，然后登陆了vpn，在内网pwn掉了一台打印机，请根据提供的流量包回答下面有关问题

二、关卡列表

1 某公司内网网络被黑客渗透，请分析流量，给出黑客使用的扫描器

2 某公司内网网络被黑客渗透，请分析流量，得到黑客扫描到的登陆后台是(相对路径即可)

3 某公司内网网络被黑客渗透，请分析流量，得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

4 某公司内网网络被黑客渗透，请分析流量，得到黑客上传的webshell文件名是，内容是什么,提交webshell内容的base编码

5 某公司内网网络被黑客渗透，请分析流量，黑客在robots.txt中找到的flag是什么

6 某公司内网网络被黑客渗透，请分析流量，黑客找到的数据库密码是多少

7 某公司内网网络被黑客渗透，请分析流量，黑客在数据库中找到的hash_code是什么

8 某公司内网网络被黑客渗透，请分析流量，黑客破解了账号ijnu@test.com得到的密码是什么

9 某公司内网网络被黑客渗透，请分析流量，被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip

10 某公司内网网络被黑客渗透，请分析流量，黑客使用了什么账号密码登陆了mail系统（形式: username/password）

11 某公司内网网络被黑客渗透，请分析流量，黑客获得的vpn的ip是多少

三、解题过程

1、黑客使用的扫描器

打开webone.pcap流量包，按照协议类型逐一查询。当看到http协议的时候，发现了明显的AVWS扫描器特征。

通过 http contains acunetix 命令可以发现更多awvs的特征，说明黑客是用awvs扫描器进行扫描的。
此时也可得知黑客所使用的IP地址可能是192.168.94.59，这个IP地址到后面会有一定的作用。

2、黑客扫描到的登陆后台

登陆后台99%使用的是POST方法，直接使用过滤器过滤。

http.request.method=="POST"

找出存在rec=login的流量，通过追踪TCP流，如果看到是302重定向，基本就是表示登陆成功。

可以看到第一个就是302重定向了。
此处只是示例，后面还有很多是302重定向的流量，此处省略。

3、黑客登陆web后台所使用的账号密码（形式:username/password）

通过上题的查询，发现有很多302重定向登陆成功的结果，有很多不同的账号密码，为了确定黑客所使用的，根据第一题所查找的黑客的ip地址192.168.94.59，并得出上题查询的登录流量存在rec=login，再次使用过滤语句过滤。

http.request.method=="POST" and ip.src==192.168.94.59 and http contains "rec=login"

由于通过过滤之后，仍存在众多302重定向登陆的流量，逐一进行追踪TCP流这种方法不现实，因此根据其它大师以往的经验，直接追踪