buuctf 杂项 菜刀666

buuctf 杂项 菜刀666

这里提示是菜刀，菜刀流量特征就是base64+eval函数+z1参数
下载下来是个PCap流量包，这里可以选择wireshark，我平时喜欢用科来，这是我hw期间遇到的一款流量分析软件，国产的对国人比较友好🤦‍
这里解压完，直接放科来：

然后点击开始。
在分析之前，希望大家对网络知识有一定了解，这边注重tcp会话的描述，进去直接点tcp会话

一些简单题，直接找会话比较长的然后ctrl+f 找flag就秒了，这边每个会话都很长，需要慢慢找，这题要结合菜刀的特征+杂项内容zip和jpg文件头）去分析。

这里外网（大连那个标识）的都是加密的，看不到什么内容，本地标识的数据包很容易看出来是菜刀标识


政变正向用一下菜刀就知道特征了。
本来，一直解码aa参数内容去搞得，但是想一下，根据网站返回内容就可以就基本才出来base64加密的代码是干嘛的了。
这里不要急，一个个翻。
双击需要的会话，然后点数据流就可以了。

发现很多会话都是查看当前目录的，base解码aa参数读代码，其实也是，这里可以根据返回内容反推请求内容
当找到这个会话的时候
这里存在PK开头的数据流，PK开头是zip格式的文件头，也就是50 4B 03 04

鼠标放到PK那段，科来会提示我们数据包id号为1367

点击数据包，再点击1367数据包

右键点击复制HEX，也就是16进制数据了，然后找一个16进制编辑器把数据复制进去就行了，winhex或者010editor都可，平时使用010editor比较多
这里复制进去不要用ctrl+v，而是使用ctrl+shift+v，前者会复制到文本区域而非16进制区域，后者是复制到16进制区域
然后另保存为一个zip文件就行了

这里几个思路：
1、爆破
2、伪加密
3、流量里面存在密码
该zip文件需要解压密码，尝试4位数字爆破（这里我使用的是Archpr工具），失败。
伪加密，我使用了ZipCenOp，失败。
010editor文本区域最后也提示我们需要密码，继续查看pcap文件，注意这里只查看标识为本地的包，双击数据包，然后点击数据流，我们只读数据量，因为它可读。

在这次会话里面我们发现了一些蹊跷，这个包的数据流里面action参数格外的长


并且拖到最后我们发现结尾是FF D9，这是jpg文件的文件尾标识

直接ctrl + f 找 FFD8FF，这是jpg文件的文件头标识。发现是z2参数的标识，z1和z2都是菜刀的特征，用一次就知道了，

将z2参数值全部复制下来，ctrl+shift+v到010editor，另存为jpg格式


得到zip压缩文件的密码，
这里可以直接放微信里面，用微信的OCR
解压就得到flag了。