CTF——MISC习题讲解（流量分析winshark系列~四）

CTF——MISC习题讲解（流量分析winshark系列） 前言 上一章节我们已经做完一场比赛的杂项题目，这次给大家介绍一下不一样的，给大家来一期流量分析专题，在这个专题中，所有的题目链接都整理好了，就不给大家一一展示了，大家可以直接统一下载即可。 一、基础篇-----flag明文 首先打开文件发现以下界面 在这个界面直接ctrl+f，直接搜索flag关键字 然后直接查找就可以看到flag 二、基础篇----flag编码 1、bianma1 这个题直接查找flag的话是没有的，所以我们把flag直接编

CTF——MISC习题讲解（流量分析winshark系列） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列。 一、misc4 打开题目后除了一个流分包还有一个txt文档 既然都这么告诉了，那就直接在统计里寻找一下这个特殊的PHP文件 然后直接在界面搜索一下这个文件看看 直接能得到flag，其实这个题也就是基础题，并不是太难，只要会统计这个功能几乎就可以的。 flag{FLAG-GehFMsqCeNvof5szVpB2Dmjx} 二、telnet 打开题目后发现还是有一

CTF——MISC习题讲解（流量分析winshark系列~三） 前言 上一章节我们已经做完一场流量分析杂项题目，接下来继续给大家讲解流量分析系列三。 一、ssl流量 首先打开题目得到两个文件，一个是log结尾的文件，另一个就是正常的流分包TLSv1.3都是经过加密的流量，所以我们第一步就应该解密，首先在我们文件里有一个解密的东西，我们进行导入 点击 编辑->首选项-> 然后需要我们把题目中自带的文件直接导入进去看看 导入完后就有http的协议 然后就发现有了flag的字眼 然后就直接TLS流

本文详细记录了从网络流量分析到RSA解密获取flag的全过程。首先通过Wireshark分析HTTP流量，解码后发现加密压缩包，内含RSA公钥文件和提示。接着使用Python提取公钥参数，发现n1≈3e、n2≈e的特殊关系。利用factordb.com在线服务成功分解n1=p*q，最终通过计算p和q的MD5值得出flag：flag{d015aaeb4dec08e1db126e915d5a01cd}。整个过程涉及网络流量分析、Base64解码、RSA参数提取和大数分解等关键技术。

Misc 是英文 Miscellaneous 的前四个字母，杂项、混合体、大杂烩的意思。 Recon（信息搜集） 主要介绍一些获取信息的渠道和一些利用百度、谷歌等搜索引擎的技巧 Encode（编码转换） 主要介绍在 CTF 比赛中一些常见的编码形式以及转换的技巧和常见方式 Forensic && Stego（数字取证 && 隐写分析） 隐写取证是 Misc 中最为重要的一块，包括文件分析、隐写、内存镜像分析和流量抓包分析等等， 涉及巧妙的编码、隐藏数据、层层嵌套的文件中的文件，灵活利用搜索引擎获取所需

ZIP文件格式 50 4B 03 04：这是头文件标记（0x04034b50） 14 00：解压文件所需 pkware 版本 00 00：全局方式位标记（有无加密） 08 00：压缩方式 20 9E：最后修改文件时间 66 4F：最后修改文件日期 F2 1B 0F 4A：CRC-32校验（4A0F1BF2） 0E 00 00 00：压缩后尺寸 0C 00 00 00：未压缩尺寸 08 00：文...

流量包异常修复pcap包。

工业网络中存在的异常，尝试通过分析PACP流量包，分析出流量数据中的异常点，并拿到FLAG，flag形式为 flag{}。

发现没有什么有用的东西，然后用010editor尝试，发现里面有一个.zip文件，然后将文件后缀改为.zip，发现改后缀名无效，因此，我们使用Linux命令string 文件名，即可得到hctf或直接使用ida即可得到hctf。打开压缩包发现是一个图片，但根据题意，发现本题涉及密码，应该是一个文件，于是使用010editor打开，发现里面隐藏了一个压缩包，然后将图片的后缀改成.zip。此时，我们发现这像是一个图片地址，我们直接将其拉入浏览器，得到一张图片，然后使用qrcode扫描得到二维码。

发现文件里面是由东西的，那我们使用foremost命令将其分解下来。发现没有什么可以使用的值，我们放进kali去分离试试看。我们下载这个pacp包，发现是一个流量包。打开文件后发现flag。

1、MISC介绍 MISC，中文即杂项，包括隐写，数据还原，脑洞、社会工程、压缩包解密、流量分析取证、与信息安全相关的大数据等。 竞赛过程中解MISC时会涉及到各种脑洞，各种花式技巧，主要考察选手的快速理解、学习能力以及日常知识积累的广度、深度。 2、隐写术 隐写术包括图片、音频、视频等文件隐写，在处理这类问题时，应优先确认该文件的实际类型，可参考下图，查看其文件头信息。 常用以下工具： 1、010editor 查看文件类型 2、Binwalk 合并文件 3、Notepad++ 进行

发现账号name密码word，根据提示拼接账号密码，并将其放入MD5哈希生成器中，输出1d240aafe21a86afc11f38a45b541a49包上flag即可提交。发现一长串的base64编码，我们猜测可能是解码得到图片，我们将base64编码复制下来，将其解码成图片。下载后打开文件，查找http协议，跟踪后发现有一个fenxi.php我们查看。下载后发现是一个流量，打开后过滤http协议，然后追踪HTTP流。我们下载这个文件打开发现全是tcp流，我们直接追踪就好。查看TCP流，点击查找flag。

1、这是一张纯洁的图片？ 用文本或者notepad++打开，可以找到： 这是Unicode编码，找个在线网站解码： 2、talent 打开文件： 用wireshark打开： 3、隐写2 这题当时做真的难啊！用HexEditXP打开修改属性： 4、又一张图片，还单纯吗？ 放到虚拟机里用foremost分离（同binwalk）： 5、多种方法解决 解压出

Wireshark(前称Ethereal)是一个网络封包分析软件网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。用于决定将什么样的信息记录在捕捉结果中。依据协议过滤时，可直接通过协议来进行过滤，也能依据协议的属性值进行过滤。在捕捉结果中进行详细查找。它允许您在日志文件中迅速准确地找到所需要的记录。他们可以在得到捕捉结果后随意修改。

【代码】CTF_MISC_usb流量分析_攻防世界 m0_01。

流量分析基础以及原理

工控领域的TCP协议，有时wireshark会将response包解析为tcp协议，影响做题，如果筛选mms时出现连续request包，考虑wireshark解析错误，将筛选条件删除手动看一下。我们在SCADA 工程中写入了flag字段，请获取该工程flag，flag形式为 flag{}。工业网络中存在异常，尝试通过分析PCAP流量包，分析出流量数据中的异常点，并拿到FLAG。格式为 flag{}某10段工控网络中，工业协议中存在异常数据。2019-工业信息安全技能大赛-深圳站-工业协议分析1。

我见过的流量分析类型的题目总结： 一，ping 报文信息 （icmp协议） 二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载） 三，sql注入攻击 四，访问特定的加密解密网站（md5，base64） 五，后台扫描+弱密码爆破+菜刀 六，usb流量分析 七，WiFi无线密码破解 八，根据一组流量包了解黑客的具体行为 例题： 一，ping 报文信息 （icm...