我见过的流量分析类型的题目总结：
一，ping 报文信息 （icmp协议）
二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载）
三，sql注入攻击
四，访问特定的加密解密网站（md5，base64）
五，后台扫描+弱密码爆破+菜刀
六，usb流量分析
七，WiFi无线密码破解
八，根据一组流量包了解黑客的具体行为
例题：
一，ping 报文信息 （icmp协议）
例1.1
打开流量包，发现有一大段的icmp协议的包，发现在icmp报文中夹杂着flag
这里可以依次查看每一个icmp报文数据，然后得到flag
也可以用脚本处理：（不推荐）
先过滤出 icmp协议的包》导出特定分组 》保存为flag.pcapng》然后用脚本处理：
（这个脚本只能处理data只有一个字节的包，局限性较大，还不如直接一个包一个包查看，反正flag也不会太长）
import pyshark
cap = pyshark.FileCapture('flag.pcapng')
for packet in cap:
data = ''+packet[packet.highest_layer].data
print(chr(int(data,16)),end='')
cap.close()
二，上传/下载文件（蓝牙obex，http，难:文件的分段上传/下载）
这类夹杂着文件的流量包最好处理，
方法一，直接用foremost直接分离提取一下就能提取出其中隐藏的文件，一般会直接分离出来一个 压缩包，一张图片，或者flag.txt都是有可能的
方法二，
自动提取通过http传输的文件内容
文件->导出对象->HTTP
在打开的对象列表中找到有价值的文件，如压缩文件、文本文件、音频文件、图片等，点击Save进行保存，或者Save All保存所有对象再进入文件夹进行分析。
手动提取通过http传输的文件内容
选中http文件传输流量包，在分组详情中找到data,Line-based text, JPEG File Interchange Format, data:text/html层，鼠标右键点击 – 选中 导出分组字节流。
如果是菜刀下载文件的流量，需要删除分组字节流前开头和结尾的X@Y字符，否则下载的文件会出错。鼠标右键点击 – 选中 显示分组字节
在弹出的窗口中设置开始和结束的字节（原字节数开头加3，结尾减3）
最后点击Save as按钮导出。
例2.1手机热点(蓝牙传输协议obex,数据提取)
题目来源：第七季极客大挑战
考点：蓝牙传输协议obex,数据提取
题目信息：(Blatand_1.pcapng)
题中说用 没流浪 向电脑传了文件 那肯定是 用的蓝牙 蓝牙协议 为 obex协议
帅选出 obex 协议包 ：发现 有一个包 里有一个 rar压缩包：
要分离出 这个 rar 包：
方法一：直接复制 数据块 然后复制到winhex中 转存为 rar
复制数据块 as Hex stream > 在winhex中粘贴 为 ASCII HEX > 删除前面的 多余信息 > 保存为 rar
方法二 ：用formost 分离：分离出来好多东西，不过我们目标是rar包
得到一张flag.git:
例2.2 抓到一只苍蝇
这题属于比较难的类型，是文件的分段传输，我们需要将几段数据拼接起来
首先在 分组字节流中 搜索一下 字符串 flag 找到第一个 包，追踪一下数据流 ，
然后就看到了上述信息，知道了应该是在用 qq邮箱传输文件，
文件的信息： fly.rar 文件的大小为 525701
{"path":"fly.rar","appid":"","size":525701,"md5":"e023afa4f6579db5becda8fe7861c2d3","sha":"ecccba7aea1d482684374b22e2e7abad2ba86749","sha3":""}
既然知道了在上传文件，肯定要用到 http的request的 POST方法
在过滤器中 输入
http && http.request.method==POST然后找到这5个包，第一个包是 文件的信息，后面5个包为数据
分别查看其中 date 的长度：
前四个 为 131436 最后一个为 17777
所以 131436*4 +17777=527571 与第一个包给出的 fly.rar的长度 525701 差 1820
因为每个包都包含头信息，1820/5 = 364
所以每个包的头信息为 364
接下来导出数据包：
wireshark->文件->导出对象->http->选择save对象
将对应的包 分别save 为 1 2 3 4 5
将这五个包拖进 kali中
执行：
dd if=1 bs=1 skip=364 of=11
dd if=2 bs=1 skip=364 of=22
dd if=3 bs=1 skip=364 of=33
dd if=4 bs=1 skip=364 of=44
dd if=5 bs=1 skip=364 of=55
将数据包的头部的 364个字节去除 得到 11 22 33 44 55
将这五个包合并
cat 11 22 33 44 55 > fly.rar查看一下 flag.rar的md5值是否正确
md5sum fly.rar正确
解压，跳出提示文件头损坏，并且要求输入密码
知道是伪密码，用winhex打开，修改文件头，将 84 改为 80，保存
2万+
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
