记录一道流量分析的题——攻防世界：流量分析1

下载附后后打开看到是一个challenge.pcapng 。利用wireshark进行流量分析

跟踪HTTP流和TCP流都发现在请求端，用户发送的数据包有蹊跷：

将URL解码：(需要解码两次)

第一次：

第二次：

可以明显看出这是基于时间的盲注攻击，并且攻击者是从flag文件中依次取出字符来进行盲注的，sleep(3)。

所以我们可以找到所有的HTTP的协议，注意：按时间进行排序，如果时间接近那么很有可能就是利用了盲注攻击的HTTP协议，换言之，协议中包含局部flag信息。

我们以时间为晒选规则来晒选HTTP协议

sleep(3)持续的时间大概是0.018ms

frame.time_delta>0.018&&http

我们得到了以时间排序好的HTTP报文
随便点开一个，比如565：
我们查看他的HTTP请求报文：

将其进行URL解码(依旧要进行两次解码)
得到：可以看到这次比较的Ascii 是 102，并且flag的序号为1
对102进行字符转换：

我们按照这个顺序往后找，就可以依次找到所有的flag了，(似乎最后一个时间隔得比较远，因)

最终得到的flag:

flag{1qwy2781}