攻防世界 misc --流量分析1

首先拿到流量包，先追踪一下tcp流，发现就一个包

这个应该是url编码，尝试解一下码

解码后发现还是url编码，继续解码

 

响应报文没什么问题，看看请求报文的内容：

id=1) and if((ascii(substr((select flag from flag),4,1))='102'),sleep(3),0) --  HTTP/1.1

看不懂，ai一下，就是对flag读取第一个字符转换为ascii码，如果和102相等，就延时三秒

 

从上面可以看出，这是对数据库中flag值进行盲注，如果成功，就延时3秒 ，所以我们在wireshark中设置http的延时大于等于三秒的过滤器：http.time >= 3

 

将每个包的相应值提取出来（可以用脚本，但我不会，有大佬的话可以放评论区），但我提取到第四个时，发现不用进行URL解码 ，有一个规律，在包中相同的位置就是flag值的数据（例：第一个值是102，但包中的是%2527102，），所以我们只需要把每个包中%2527后面的值收集起来，，再进行ascii解码

最后解出flag：   flag{1qwy2781}