CTF Misc(3)流量分析基础以及原理

在这里插入图片描述

前言

流量分析在ctf比赛中也是常见的题目，参赛者通常会收到一个网络数据包的数据集，这些数据包记录了网络通信的内容和细节。参赛者的任务是通过分析这些数据包，识别出有用的信息，例如登录凭据、加密算法、漏洞利用等等

工具安装

Wireshark是一款开源的网络数据包分析工具，用于捕获、分析和可视化网络流量。它在多个平台上可用，包括Windows、Mac和Linux，工具下载地址

https://www.wireshark.org/download.html

在这里插入图片描述

默认安装即可

工具介绍

查看捕获到的数据包列表

演示的流量包：

https://anonfiles.com/laS2l3v2zd/Alpha_1_pcapng

访问网址下载即可

在这里插入图片描述

这是流量包的文件格式

.pcapng

安装好wireshark后，双击打开这个文件

最上方的一栏是任务栏，下面是搜索框，最下面的是数据包的详细信息和数据包的数据

在这里插入图片描述

常用过滤器命令和语法

协议筛选：

tcp：显示所有TCP协议的数据包
udp：显示所有UDP协议的数据包
http：显示所有HTTP协议的数据包
dns：显示所有DNS协议的数据包
icmp：显示所有ICMP协议的数据包

在这里插入图片描述

在搜索框里输入http就能看到所有的http流量，其他同理

IP地址筛选：

ip.addr == 192.168.0.1：显示与指定IP地址相关的所有数据包
src host 192.168.0.1：显示源IP地址为指定地址的数据包
dst host 192.168.0.1：显示目标IP地址为指定地址的数据包

这里我们筛选192.168.1.25ip相关的数据包

在这里插入图片描述

筛选过后就是都关于这个ip的数据包流量

在这里插入图片描述

端口筛选：

tcp.port ==  80：显示使用指定TCP端口的数据包
udp.port == 53：显示使用指定UDP端口的数据包
port 80：显示源或目标端口为指定端口的数据包

筛选tcp 80端口的流量

在这里插入图片描述

逻辑运算符：

and：使用AND逻辑运算符连接多个条件，例如 tcp and ip.addr == 192.168.0.1
or：使用OR逻辑运算符连接多个条件，例如 tcp or udp
not：使用NOT逻辑运算符排除满足条件的数据包，例如 not tcp

筛选tcp流量和ip地址为192.168.1.5的流量包tcp and ip.addr == 192.168.1.5

在这里插入图片描述

比较运算符：

==：等于，例如 http.request.method == "POST"
!=：不等于，例如 ip.addr != 192.168.0.1
<、>：小于、大于，例如 tcp.len > 100

筛选http的post请求流量包http.request.method == “POST”

在这里插入图片描述

复杂筛选：

使用括号 () 来组合多个条件，例如 (tcp and port 80) or (udp and port 53)
使用复合条件进行筛选，例如 (tcp.flags.syn == 1 or tcp.flags.ack == 1) and ip.addr == 192.168.0.1

HTTP流量分析

演示的流量包：

https://anonfiles.com/laS2l3v2zd/Alpha_1_pcapng

访问网址下载即可

在这里插入图片描述

在这里插入图片描述

点击协议分级，可以看到这个流量包里所有协议的流量

在这里插入图片描述

有udp流量，ipv4流量，tcp流量，http流量，我们选择http流量数据，右击选择选中

在这里插入图片描述

在这里插入图片描述

就可以看到这个流量包里的所有http流量

我们随便选择一个包，跟踪他的http流量，以便查看详细数据

在这里插入图片描述

在这里插入图片描述

在下面，很明显能看到sql注入的流量

在这里插入图片描述

之后他上传了自己的php一句话木马并连接执行命令

在这里插入图片描述

右击跟踪这个流量包

在这里插入图片描述

在这里插入图片描述

这个一句话木马将执行的内容加密了，使用的是base64编码，我们复制加密后的参数，进入网站解密

https://base64.us/

在这里插入图片描述

他查询了C:\phpStudy\WWW\目录下的文件，我们可以看到回显

在这里插入图片描述

点击右下角的返回，继续跟踪流量包

在这里插入图片描述

在最后一个用一句话木马的流量里，可以看到它导出了一个叫flag.zip的文件

在这里插入图片描述

由于文件未加密，我们还能看到flag.txt的内容

在这里插入图片描述

flag.txt文件内的文本为：

DPS

DNS流量分析

题目下载地址：

https://anonfiles.com/S5Fc91v3za/capture_pcap

在这里插入图片描述

打开流量包，可以看到全是DNS流量，使用strings工具可以发现很多十六进制

在这里插入图片描述

我们把这些十六进制导出来

tshark -r capture.pcap -T fields -e dns.qry.name > a.txt

在这里插入图片描述

用文本编辑器把.pumpkincorp.com字符去掉

在这里插入图片描述

在这里插入图片描述

然后再用uniq工具将重复的字符串去掉

cat a.txt| uniq > b.txt

在这里插入图片描述
将十六进制转换为ascii码可以发现，这是一个Excel 文件

https://gchq.github.io/CyberChef/

在这里插入图片描述

可以看到flag文本

在这里插入图片描述

键盘流量分析

最常见的usb键盘流量包如下图

在这里插入图片描述

协议为USB，并且键盘数据存储在usbhid.data中，这里0c对应的就是i字符

在这里插入图片描述

在这里插入图片描述

我们将流量包里的usbhid.data数据提取出来，然后一一和字符对应即可，这里我开发了一个脚本，可以直接提取和转换usb键盘流量数据

https://github.com/baimao-box/KeyboardTraffic

在这里插入图片描述

在这里插入图片描述

总结

这篇文章我只是展示了一些流量分析的基础，想要成为大佬，就要多刷题

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/132958.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

ThreeJS-3D教学七-交互

ThreeJS-3D教学七-交互

在threejs中想要选中一个物体&#xff0c;点击或者鼠标悬浮&#xff0c;又或者移动端的touch事件&#xff0c;核心都是通过new THREE.Raycaster完成的。这里用到了一个概念&#xff0c;即我们点击时的 屏幕坐标 转换为 three中的3D坐标。 先看效果图&#xff1a; 代码是&#…
阅读更多...
计算机毕业设计选什么题目好？springboot 大学餐厅菜品推荐和点评系统

计算机毕业设计选什么题目好？springboot 大学餐厅菜品推荐和点评系统

✍✍计算机编程指导师 ⭐⭐个人介绍&#xff1a;自己非常喜欢研究技术问题&#xff01;专业做Java、Python、微信小程序、安卓、大数据、爬虫、Golang、大屏等实战项目。 ⛽⛽实战项目&#xff1a;有源码或者技术上的问题欢迎在评论区一起讨论交流&#xff01; ⚡⚡ Java实战 |…
阅读更多...
【机器学习】决策树原理及scikit-learn使用

【机器学习】决策树原理及scikit-learn使用

文章目录 决策树详解ID3 算法C4.5算法CART 算法 scikit-learn使用分类树剪枝参数重要属性和接口 回归树重要参数&#xff0c;属性及接口交叉验证代码示例 一维回归的图像绘制 决策树详解 决策树&#xff08;Decision Tree&#xff09;是一种非参数的有监督学习方法&#xff0c;…
阅读更多...
基于NLopt的C语言非线性优化案例

基于NLopt的C语言非线性优化案例

以官方给的例程&#xff0c;重新梳理&#xff0c;以供理解NLopt的使用。 问题被定义为&#xff1a; min ⁡ x ∈ R 2 x 2 s u b j e c t t o x 2 ≥ 0 , x 2 ≥ ( a 1 x 1 b 1 ) 3 , a n d x 2 ≥ ( a 2 x 1 b 2 ) 3 f o r p a r a m e t e r s a 1 2 , b 1 0 , a 2 − 1…
阅读更多...
VulnHub 兰皮昂 1 Lampiao

VulnHub 兰皮昂 1 Lampiao

一、信息收集 发现开发了22、80、1898端口 访问1898端口&#xff1a; 2.目录扫描 dirb http://192.168.103.179:1898 访问robots.txt目录 发现版本是 Drupal 7.54, 2017-02-01 二、漏洞利用 1.利用msf use 4 set RHOTS 192.168.103.179set RPORT 1898run #运行 shell #she…
阅读更多...
Python in Visual Studio Code 2023年10月发布

Python in Visual Studio Code 2023年10月发布

排版&#xff1a;Alan Wang 我们很高兴地宣布 Visual Studio Code 的 Python 和 Jupyter 扩展于 2023 年 10 月发布&#xff01; 此版本包括以下公告&#xff1a; Python 调试器扩展更新弃用 Python 3.7 支持Pylint 扩展更换时的 Lint 选项Mypy 扩展报告的范围和守护程序模式G…
阅读更多...
02Maven核心程序的下载与settings.xml文件的配置,环境变量的配置

02Maven核心程序的下载与settings.xml文件的配置,环境变量的配置

Maven核心程序的解压与配置 Maven的下载与解压 Maven官网下载安装包 将下载的Maven核心程序压缩包apache-maven-3.8.4-bin.zip解压到一个非中文且没有空格的目录 Maven的核心配置文件 在Maven的解压目录conf中我们需要配置Maven的核心配置文件settings.xml 配置本地仓库位置…
阅读更多...
【Node.js】路由

【Node.js】路由

基础使用 写法一&#xff1a; // server.js const http require(http); const fs require(fs); const route require(./route) http.createServer(function (req, res) {const myURL new URL(req.url, http://127.0.0.1)route(res, myURL.pathname)res.end() }).listen…
阅读更多...
Redis - php通过ssh方式连接到redis服务器

Redis - php通过ssh方式连接到redis服务器

1.应用场景 主要用于使用php通过ssh方式连接到redis服务器&#xff0c;进行一些操作. 2.学习/操作 1.文档阅读 chatgpt & 其他资料 SSH - 学习与实践探究_ssh应用场景 2.整理输出 2.1 是什么 TBD 2.2 为什么需要「应用场景」 TBD 2.3 什么时候出现「历史发展」 TBD 2.4 …
阅读更多...
HTTP协议是什么

HTTP协议是什么

HTTP (全称为 “超文本传输协议”) 是一种应用非常广泛的 应用层协议&#xff0c;是一种网络通信协议。 超文本&#xff1a;所谓 “超文本” 的含义, 就是传输的内容不仅仅是文本(比如 html, css 这个就是文本), 还可以是一些其他的资源, 比如图片, 视频, 音频等二进制的数据。…
阅读更多...
基于全景运动感知的飞行视觉脑关节神经网络全方位碰撞检测

基于全景运动感知的飞行视觉脑关节神经网络全方位碰撞检测

https:/doi.org/10.1155/2023/5784720 摘要&#xff1a; 生物系统有大量的视觉运动检测神经元&#xff0c;其中一些神经元可以优先对特定的视觉区域做出反应。然而&#xff0c;关于如何使用它们来开发用于全向碰撞检测的神经网络模型&#xff0c;很少有人做过工作。为此&#…
阅读更多...
Unity可视化Shader工具ASE介绍——5、ASE快捷键和常用节点介绍

Unity可视化Shader工具ASE介绍——5、ASE快捷键和常用节点介绍

大家好&#xff0c;我是阿赵。   继续介绍Unity可视化Shader插件ASE。这次来说一些常用节点的快捷键&#xff0c;顺便介绍一些常用的节点。   用过UE引擎的朋友可能会发现&#xff0c;ASE的整体用法和UE的材质节点编辑器非常的像&#xff0c;甚至连很多节点的快捷键都和UE的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023