CTF流量分析题大全（掘安攻防平台）

突然想做一下流量分析题，记得掘安攻防实验室上面有很多的流量分析题目，故做之

流量分析题一般使用的都是wireshark，（流量分析工具中的王牌

夺取阿富汗

说了分析http头，所以直接过滤http协议

追踪流

发现响应头里面有CTF: dGhlRmxhZ0luSHR0cEhlYWRlcg==

一看就是base64编码，解码得：

夺取阿曼:

下载之后解压，使用wireshark打开出错

当然在题目里面已经提示了pcap文件已经损毁，另外还有zip文件存在，我们先使用windows下的foremost的工具看能否分离出zip文件

得到压缩包，打开其中的key文件

获得key

夺取安哥拉：

打开之后发现全部都是TCP包，直接追踪流

仔细观察了一下数据流，发现有CTF{

同时可以看到下一行有some_，所以找到所有带有下划线的单词，即

some_,leaks_,are_,good_,leaks_

所以最后的答案是CTF{some_leaks_are_good_leaks_}

夺取澳大利亚:

这次的流量包挺大的，网站账户密码，我们首先过滤http数据流，一般账户和密码的提交方式都是post方式，所以我们的过滤语句写成这样:

http.request.method==POST

注意到第二个数据包是 /index.php?action=login&show_server_selection=1

追踪HTTP流

在流量包的最底端发现了user和password，按照题意拼凑即可

夺取巴布亚新几内亚：

随手找一个数据包追踪流就找到了flag（水

夺取刚果（布）

这里找了好久，过滤的语句写的是ftp

一直没有找到，回来看了一下题目，重点是 ftp-data

第三个数据包追踪流即可

夺取哥斯达黎加：

打开之后发现里面都是http的数据包，随便翻了几个数据包追踪流之后，发现里面的文本信息很多（虽然我都看不懂）

包括有PNG图片隐藏在数据流里面

所以我们采用foremost 或者 binwalk 分离出里面的东西

output里面有好几张图片，咱们不着急，慢慢找flag

先对第一张图片查看属性，然后使用StegSolve进行图像的分析:

左下角就出现flag了

flag{J0hn_th3_Sn1ff3r}

这道题考的知识点比之前几道题要稍微多一点

夺取格陵兰:

题目是ssl-sniffer2，对于ssl的嗅探

同时在下载的压缩包里面有一个私钥文件，所以应该是通过私钥解密数据包后找到flag

打开后发现里面都是TLSv1.2的数据

这里我就不会了，采用官方题解里面的做法:

打开编辑里面的首选项，（也可以使用ctrl+shift+p召唤打开）

打开Protocols，找到里面的TLS（我这里版本的原因没有找到，SSL一样的）

在右边的这个位置点击Edit

IP地址填127.0.0.1，端口是445端口（为啥要是445端口，这里我换成了443端口还是可以找到最后的flag），协议是http

key file放入私钥文件，

设置好了之后我们就一路ok下去

回到主页之后发现有两个http的数据包绿了

直接追踪ssl流，发现已经解密出了key

获得flag

夺取古巴:

打开数据包，查找post传输的数据包

可以推断是通过post传输一个文件

然后传输文件的五个包序号是 163,289,431,577,729

我们直接采用导出HTTP对象的方式导出这五个数据包

点击wireshark 左上方文件-->导出对象-->HTTP

导出刚才那几个序号的文件

使用WinHex打开第一个文件，发现有Rar文本数据

（右下角Rar）

打开第二个文件，发现开头部分跟第一个文件是相同的

所以可以猜测开头的是干扰数据，实际上POST传输的是一个压缩包文件，所以我们在WinHex里面重新打开一个文件，将五个文件里面的文本数据拼凑成rar文件

为了防止我们有的地方没有复制到，我们可以记下相同位置的十六进制的值，这里就是：

0160hB这里，我们之后的四个文件也在这个位置进行拼凑

拼凑好了之后保存为test1.rar文件

打开：

现在可以看到里面已经有flag.txt

但是此时压缩包报错，说文件头已损坏，并且打开是需要密码的

这里的话没有什么线索，我们可以猜测 1，需要密码爆破，但是这里文件头报错，所以应该不是密码爆破

2，是rar伪加密

不到最后我们不使用爆破，所以在010editor里面更改rar的文件头十六进制

将第二行里面的84改为80 ，再次打开压缩包的时候，就可以成功打开rar文件里面的flag.txt文件了

（这里有一个坑点，我们在拼凑rar文件的时候应当按照wireshark传输包的顺序来拼凑rar文件，而不是按照自己储存五个数据包文件的顺序来拼凑，因为windows是按照文件名来排序的而不是传输的顺序，如果不这么拼凑的话，就会提示你，不仅文件头错误而且文件尾也会错误，这里我找了好久才找到原因，太菜了

flag.txt文件里面打开后看到了 win32，说明这是一个exe文件

把flag文件的后缀名改成exe，打开看一下

打开之后就会看到几只苍蝇在桌面上爬行（这里就不截图了）

exe文件没有多余的线索的话我们就采用foremost 分离它看能否找到线索

分离出来了一大堆苍蝇的图片，将png图片拉到最下面，发现二维码：

扫描获取flag

夺取洪都拉斯：

打开之后打开几个流量包追踪流

发现其中有一个有 login 和 password

用户名是fake，密码是user

最后的flag就是 fakeuser

夺取几内亚:

打开流量包之后随便找一个进行追踪流:

发现密码，但是输入这个密码是错误的:backdoor...00Rm8.ate

在流量包里面我们可以发现这是一个传输给linux主机的包，在linux下我们可以使用showkey -a查看键盘跟ASCII码的映射关系:

在这里我们发现 .点对应的 ASCII码是0x7f

而在linux中对应0x7f的键盘位置是退格键

这就说明了，输入这一串密码的人，是先按下了backdoor之后，又删除了oor，再输入了00Rm8，然后再删除了8，最后输入了ate

知道了输入者输入的过程之后，我们就知道它的密码了:backd00Rmate

夺取加拿大:

打开流量包之后，看了一下导出对象里面的http，发现:

把flag.zip导出并保存，打开的时候发现有密码

一般这种有密码的话要么是伪加密，要么是爆破，或者是流量包里面有password

先观察流量包里面的其他文件，发现第三个是pass.php，而且是text/html格式的，导出看看

在里面发现了密码

打开压缩包，获取flag

夺取喀麦隆:

打开流量包，发现流量包的数量很少:

直接跟踪流，发现是以post的方式更新密码

查看post表单里面提交的数据:

发现password里面就有flag

在url在线解密网站上面进行解密，获得flag

夺取科特迪瓦:

题目里面已经给出了提示，有两个点是我们需要注意的:有密码的压缩包，通过邮箱传递的密码

我们先打开wireshark导出对象:

里面有两个压缩包，一个是flag.rar，另外一个是flag.zip

我们点击flag.rar可以看到返回的状态码是404，证明这个压缩包是无效的

所以保存flag.zip

打开之后有输入密码提示，回到wireshark

电子邮件是使用的smtp协议，而且在题目里面已经有了提示，所以我们过滤smtp，随手跟踪流量包

发现里面有一段base64编码，必然是要进行解密的

得到：

我们尝试使用ctf@zip.key进行解密，成功

获取flag

夺取克罗地亚:

题目里面已经有POST的提示了，我们打开流量包之后直接过滤post请求

有两个POST的包，追踪第一个:

发现了密码，提交flag{pssword}，无果

继而追踪第二个

发现了url编码的flag

在线url解码，获得flag:

夺取肯尼亚：

我们首先寻找ssc.key

这里我就不会了，参考官方题解，官方题解猜测key是通过ftp进行传输的，因此过滤ftp-data流

跟踪流:

发现私钥，保存在我们本地，导入SSL

跟之前的一道题类似，我们打开编辑-->首选项-->protocols-->SSL

点击+号

最后那里导入的是之前我们保存的本地的ssc.key私钥文件

然后我们一路OK下去

接着我们筛选ssl流

在这些绿色的解密后的传输包里面逐一追踪SSL流进行分析，寻找flag

发现FLAG

做道图片杂项题：

夺取罗马尼亚：

下载之后发现是docx文档，里面有一张360的图片

对这张图片进行各种操作，无果；

然后把doxc文档丢进foremost跑了一下，直接出了另外一张图片

密码确实是在图片中找。。。。

夺取马达加斯加:

感觉这个题目似曾相识，但是这个题目比之前做过的题目简单

既然是菜刀的流量，我们筛选http的包，查找可疑的流量：

有一个流量包是这个样子的

很明显看出来这一部分是十六进制编码，猜测是图片，将其保存

在winhex里面可以看到这是一张png图片

保存之

打开一看是只有一半的钥匙，估计还有另外一半的秘钥，继续在流量包里面寻找

发现另外一个流量包里面是这个样子的

看来这是一个rar文件

显示数据那里点击原始数据，然后save as

里面就是一个没有加密的压缩包的图片，正是秘钥的上半部分

拼凑起来即可获得flag

夺取马来西亚:

打开wireshark，因为是用户登录中的密码，密码一般都是通过http的POST请求进行传输的，所以我们筛选http里面的post请求

只有一个，直接跟踪TCP流

发现有pswrd，是经过url编码再经过base64加密的，解密得到

夺取毛利塔利亚:

看到题目里面有ftp流量包的提示，进去之后直接筛选ftp流量包

随便追踪一个看到里面有传输压缩包文件

筛选ftp-data，跟踪一下流文件

看到是pk头，看来是压缩包，存储在本地，打开

压缩包里面是一张png图片，直接就是flag了

夺取缅甸：

这里我们筛选ftp数据包:

随机追踪流量包:

因为是查找密码，所以这里的密码就是:cdts3500

夺取摩洛哥:

对打开的流量包进行分析

这里找了很久都没有什么发现，然后发现有SYN包

就是这种的:

同时这些SYN包都是发现同一个IP地址的

而且一会出现一个，一会出现一个，很奇怪，于是我们筛选ip是这样的数据包:

这里可以看出来他的端口号非常奇怪，因为每次的端口号都不一样

所以我们猜测信息藏在端口号里面，看上去端口号减去一万之后是ASCII码，于是我们写一个python脚本进行处理

st=[102,108,52,54,58,32,73,74,117,115,116,77,97,100,101,89,111,117,87,97,116,99,104,77,101,83,117,114,102,84,104,101,73,110,116,101,114,110,101,116]
test=''
for i in st:
    test+=chr(i)
print test

得到flag：