CTF——MISC习题讲解（流量分析winshark系列~三）

这道题给了一个流量包，内部分了7个小题 1：首先可以在导出HTTP中查看攻击流量 第一题的flag答案便是： [172.16.1.101] 2、查端口，我们找到黑客ip后便过滤ip，输入ip.addr==172.16.1.102 往下分析你会发现很集中的有端口扫描现象，黑客是通过37113来扫描的，你只需要看这些便可，便能得到flag，所以第二题flag为[21,23,80,445,3389,5007] 3/4两题、要分析出黑客最终获得的用户名就得找到黑客什么时候登录的，攻击点在哪里，那就用

也可以使用关键词phpinfo(),仔细查看每一个符合要求的流量包，得到。提示告知是文件传输的流量，那进去过滤http流量包即可，找到关于。，发现flag正确，所以后面看见的邮箱也就不需要试了。等关键字的数据包，另存后使用记事本打开，即可看到。还是上一题的流量包，我们知道发送邮件的协议一般为。在上上一题中，我们得到了黑客的攻击IP。这里要找文件名，因为是后门文件，一般是。我们首先尝试第一眼看到的。，首先过滤一下这个IP；发现次数最多的IP地址。2.或者搜索字符串。...

抓包前过滤：顾名思义就是在抓包前就把需要的报文设置好，这样抓包过程中就只会抓到想要的报文，但是对于开发测试来说这种方法的弊端在于：也许过滤后的报文不是预想的，这个时候想要其他报文就得重新抓取。winshark会自动对报文数据区的不同协议标注不同的颜色区分，可以在：视图->颜色规则里面查看预定义的颜色，也可以在视图->颜色规则菜单里自定义颜色。有个过滤器，点击绿色的小图标就可以选择刚刚添加的过滤条件，或者手工可以在捕获器输入框中输入（熟悉使用的情况下）抓包后过滤：就是先抓取所有的报文，然后过滤看自己想要的。

一般的TLS流量就是找到key，导入key，在导入key之后就会多出几个流量包（即加密流量包），在里边会有想要的答案。

先用wireshark筛选http的流量，假如没有则筛选tcp的流量，因为getshell是在命令行中执行的，可以用tcp contains “command”在关注的http.数据包或tcp数据包中选择流汇聚,可以将HTTP流或TCP流汇 聚或还原成数据，在弹出的框中可以看到数据内容。在关注的http.数据包或cp数据包中选择流汇聚,可以将HTTP 流或TCP流汇聚或还原成数据，在弹出的框中可以看到数据内容。比如查看数据包的时候，有的数据包有某种特征，比如有http(80)。Data数据单独复制出来。

在wireshark中导入保存的sslkey.log。

CTF——MISC习题讲解（流量分析winshark系列） 前言 上一章节我们已经做完一场比赛的杂项题目，这次给大家介绍一下不一样的，给大家来一期流量分析专题，在这个专题中，所有的题目链接都整理好了，就不给大家一一展示了，大家可以直接统一下载即可。 一、基础篇-----flag明文 首先打开文件发现以下界面 在这个界面直接ctrl+f，直接搜索flag关键字 然后直接查找就可以看到flag 二、基础篇----flag编码 1、bianma1 这个题直接查找flag的话是没有的，所以我们把flag直接编

CTF——MISC习题讲解（流量分析winshark系列） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列。 一、misc4 打开题目后除了一个流分包还有一个txt文档 既然都这么告诉了，那就直接在统计里寻找一下这个特殊的PHP文件 然后直接在界面搜索一下这个文件看看 直接能得到flag，其实这个题也就是基础题，并不是太难，只要会统计这个功能几乎就可以的。 flag{FLAG-GehFMsqCeNvof5szVpB2Dmjx} 二、telnet 打开题目后发现还是有一

CTF——MISC习题讲解（流量分析winshark系列~四） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列四。 一、工控协议分析 首先打开题目如下 搜索flag发现也没有什么有用的东西 其实在做流分题中还是有一个小技巧，就是看一下长度 排序看到确实有一个长度过于长，而且在下面也有base编码 然后导出分组字节流 这样的话先把对于的东西给去除，然后进行base64解码 发现是个图片，那就直接在这里转换为图片 得到flag{ICS-mms104} 二、管理员的密码就是fl

我见过的流量分析类型的题目总结： 一，ping 报文信息 （icmp协议） 二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载） 三，sql注入攻击 四，访问特定的加密解密网站（md5，base64） 五，后台扫描+弱密码爆破+菜刀 六，usb流量分析 七，WiFi无线密码破解 八，根据一组流量包了解黑客的具体行为 例题： 一，ping 报文信息 （icm...

先来题目： 一个最简单的流量分析题 这个题直接追踪http流查看每个流量包即可发现flag。 解题思路： 1.用wireshark打开，分析http流和tcp流 2.搜索和flag有关的关键字（txt,flag,secret,zip），寻找信息,寻找进一步解题思路 3.导出http流和tcp流查看 流量分析题总体题型： 一，ping 报文信息 （icmp协议） 二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载） 三，sql注入攻击 四，访问特定的加密解密网站（md5，base64） 五

又没办法了 最后东搞西搞发现 打开Wireshark的时候 server.key被改变了。但是我导入的时候报错了 搞了半天也没事反应 只能去看看别人怎么做的了。我直接复制原版server.key到另一个文件夹下 再导入就没问题了。一开始没事思路 直接百度CTF TLS题怎么做 发现是导入key。下载下来压缩包里面一个 pcap文件和key文件。附：flag{39u7v25n1jxkl123}直接提交试了一下 这就是flag。打开Wireshark后。我试了一下怎么要密码呀。server.key原样。

首先打开流量包；分别看一下不同协议的info;看看有没有什么特别奇怪或者很长的解释；一般flag就在里面（有可能是base64编码的；注意二次编码）；然后就是利用过滤语法看看有没有什么明显的流量包；进一步分析；看看有没有什么压缩包，图片,文件等等的；提取出来看看是否有flag等信息；还有注意几种特别的流量包；

题目介绍就是让拿Flag，另外的介绍在附件里流量分析200pt提示一：若感觉在中间某个容易出错的步骤，若有需要检验是否正确时，可以比较MD5: 90c490781f9c320cd1ba671fcb112d1c提示二：注意补齐私钥格式XXXXXXX看到这种内容基本可以确认是TLS加密了，这里之前没写过文章，不了解TLS加密流量的可以了解一下，Wireshark自带了TLS解密的地方，也就是我们找到密钥文件补上就行了找Key没什么技巧，要么靠感觉搜索，要么就是直接翻找了。

[第九章][9.3.3 TLS流量分析]TLS流量分析

1.在kali中使用Wireshark查看并分析2003桌面下的MHXA.pcapng数据包文件，通过分析数据包MHXA.pcapng找出黑客的IP地址，并将黑客的IP地址作为FLAG（形式：[IP地址]）提交。（2分） 过滤条件 http 172.16.1.102 2. 继续查看数据包文件MHXA.pcapng，分析出黑客扫描了哪些端口，并将全部的端口作为FLAG（形式：[端口名]，端口名2，端口名3…，端口名n]）从低到高提交。（3分） 21,23,80,445,3389 继续查看数据包文件MHX

你是一名安全防护人员，你发现有人成功入侵了公司的服务器，你查找有关的流量设备，发现了一个流量包文件，你认为它可能包含了一些重要的信息。但是当你打开它时，你发现它被加密了：你觉得这个文件可能被某种奇怪的系统加密过，你想要找出加密算法并解密出文件内容。Wireshark安全套接字层协议；传输层安全协议。SSL/TLS是保护计算机网络通讯安全的一类加密协议，它们在传输层上给原先非安全的应用层协议提供加密保护，如非安全的HTTP协议即可被SSL/TLS保护形成安全的HTTPS协议。使用Wireshark分析。

流量分析基础以及原理

这是一道关于网络数据包分析的题目，主要是wireshark工具的使用和发现代码、理解代码。同时要了解Linux 的 Shell脚本。