CTF-流量分析

最新推荐文章于 2025-03-28 20:42:37 发布

T1M@

最新推荐文章于 2025-03-28 20:42:37 发布

阅读量3.2k

点赞数 8

文章标签：学习 web安全网络网络协议

本文链接：https://blog.youkuaiyun.com/qq_61774705/article/details/126312032

版权

查看流量包很明显sql盲注,导出http对象：

爆flag肯定是最长的那个，找到爆破位数的最后一次就是正确的flag的值：

102 108 97 103 123 52 55 101 100 98 56 51 48 48 101 100 53 102 57 98 50 56 102 99 53 52 98 48 100 48 57 101 99 100 101 102 55 125转换一下就行了。

看到数据包文件有FTP、SMTP、TCP、TSL等协议，不出意外是要找到私钥KEY去解密TSL/SSL了。可能泄露KEY的就是FTP：DATA和SMTP了。

QUIT是SMTP每次会话的退出命令，过滤器：

smtp contains QUIT

下面一个一个的去看，在最后一个发现图片的base：

解密：

然后填上私钥格式保存为保存为private.key：

在wireshark点击编辑 -> 首选项 -> TLS或者SSL -> Edit -> +号，找到刚刚的私钥文件导入，然后就会出现隐藏的http：

随便分析一个流量包：

数据采集H_eth0_NS_20160809_172819.pcap

统计IP:统计-->lPv4 Statistics-->All Addresses:

统计-会话：统计-->会话

统计--端点：统计-->端点：

所以黑客ip就很明显了。

电子邮件在发送和接收的过程中还要遵循一些基本协议和标准，这些协议主要有SMTP、POP3、IMAP、MIME等。在流量包里面一个一个的过滤，最后在这个流量包发现：

数据采集D_eth0_NS_20160809_164452.pcap

很明显的一个邮箱地址：

追踪TCP流发现邮件内容：

解码的确是钓鱼邮件：

发件人：

流量包：

数据采集H_eth0_NS_20160809_172819.pcap

过滤ip和http协议含有assert或者phpinfo：

ip.src==183.129.152.140 && http contains assert

发现可疑文件：

追踪http流，实现任意代码执行的确是后门：