记录一道流量分析的题——攻防世界：流量分析1

下载附后后打开看到是一个challenge.pcapng 。利用wireshark进行流量分析

跟踪HTTP流和TCP流都发现在请求端，用户发送的数据包有蹊跷：

将URL解码：(需要解码两次)

第一次：

第二次：

可以明显看出这是基于时间的盲注攻击，并且攻击者是从flag文件中依次取出字符来进行盲注的，sleep(3)。

所以我们可以找到所有的HTTP的协议，注意：按时间进行排序，如果时间接近那么很有可能就是利用了盲注攻击的HTTP协议，换言之，协议中包含局部flag信息。

我们以时间为晒选规则来晒选HTTP协议

sleep(3)持续的时间大概是0.018ms

frame.time_delta>0.018&&http

我们得到了以时间排序好的HTTP报文