Wireshark、binwalk、winhex流量分析题

Wireshark流量分析

这次需要分析的是一张图片，通过导入分析文件，使用http.request.line contains "image"过滤后的情况如下图

于是我逐一分析，发现含有base64编码的action参数太多，于是再仔细分析，发现了在response的返回情况下，有一个出现了6666.jpg文件，如图：

于是我认为出现这种情况则为上传成功，于是我对这串base64编码解码，却解密失败。

以上失败了，于是在length为5033里面找到了hex值，仔细分析文件头为FFD8，文件尾为FFD9，这不就是图片吗？于是打开winhex新建一个文件，输入ASCCI-hex进去，保存即可得到图片。

于是仔细一看这应该是个ctf题，之前在一步步踩坑base64的时候，有看见flag.txt，那么这个文件应该藏了flag，好奇心所致，将文件拖入kali，输入：

binwalk -e 6666.pcapng 
cd _6666.pcapng.extracted/

得到文件夹，进去一看，一堆散列的压缩文件，一看就不对劲。

打开压缩包，输入密码，文件出错，果然，验证猜想，然后再次binwalk，进入弄出来的_15B561.zip.extracted文件夹，双击打开0.zip文件，打开压缩包里的flag.txt，输入密码：Th1s_1s_p4sswd_!!! 成功拿到flag！

binwalk -e 15B561.zip

flag{3OpWdJ-JP6FzK-koCMAK-VkfWBq-75Un2z}