当前位置： 首页 > news >正文

misc流量分析

news 2025/6/29 12:44:49

一、wireshark语法

1、wireshark过滤语法
（1）过滤IP地址

ip.src==x.x..x.x 过滤源IP地址 
ip.dst==x.x.x.x 过滤目的IP 
ip.addr==x.x.x.x 过滤某个IP

（2）过滤端口号

tcp.port==80tcp.srcport==80 显示TCP的源端口80tcp.dstport==80 显示TCP的目的端口80

（3）过滤协议

直接输入协议名称 tcp/http/dns

（4）包长度过滤

udp.length==26tcp.len >=7

（5）http模式的过滤（极其重要，尤其是http contains "关键字"）

http.request.method=="GET"http.request.method=="POST" 筛选请求方式http.request.uri=="图片的路径"http cantains "GET"http contains "HTTP/1."http contains "flag"http contains "key"#看一下http协议流量包中有没有flag字段tcp contains "flag"

2、wireshark协议分级

协议分析的目的就是为了对整个流量包有一个大致的分析！

统计 ---> 协议分级

image

image

3、wireshark 流汇聚

（1）用于追踪tcp或者http的流量

image

追踪流中直接寻找是否有flag

image

wireshark数据提取
(1)ctf题目当作可能会将flag等信息藏在一些文件当作；比如藏在图片；压缩包；文本文档等；需要我们对流量包进行数据提取；将提取的数据进一步处理！

文件 -----> 导出对象 ------> HTTP

eg:有一个ncc.pcap流量包；打开首先在协议分级当作看一下流量包的比重；输入http contains "ncc";发现了一张.png照片
 

image

提取！

image


进一步对照片进行处理拿到flag!

(2)使用networkminer工具分析流量包直接提取出照片！

image

(3)手动提取！

image

二、流汇聚型

1、考点：
flag等信息直接藏在流量包当中；难度稍微提升提点的就是通过分析流量包看流量包中是否有其他文件；比如jpg;zip；png等等；需要进行数据提取进行下一步分析；这类题目往往和misc方向有关！

http contains "PSOT"http contains "flag"tcp contains "flag"http contains "zip"http contains "jpg"http contains "png"//根据筛选出来的流量包进行分析；看看是否有敏感数据；比如FFD8FF PK等等常见的文件开头；然后提取数据

2、例题：
1、流汇聚（直接流汇聚就能拿到flag)

image

2、提取数据的
(1)藏在压缩包中的（PK为压缩包文件的头部标识）
原始数据显示；然后保存16进制数据；010editor导入16进制数据；另存为即可

image

(2)藏在图片当中的

image

三、TLS流量

1、考点：
题目一般会提示让你导入 key;去解锁加密的流量包（flag一般藏在加密的流量包当中）；一般key藏在了给出的流量包中；使用tcp contains “KEY” ftp contains "key"筛选数据包；然后具体分析数据包找到KEY；导入KEY就可看到隐藏的流量包（http数据包如果没有导入KEY;wireshark是看不到的）；导入KEY的方法

编辑——>首选项——>协议——>TLS——>exit——>导入key——>应用

2、例题：

  • 例题1：
    （1）题目给出提示信息让我们区寻找KEY；常见的KEY藏在TCP流量包中；使用tcp contains “key”过滤数据包

    image


    追踪流分析数据包；发现了一段base64编码的内容；根据经验判断应该是base64编码转图片

    image


    base64在线解码工具：Base64解码 Base64编码 UTF8 GB2312 UTF16 GBK 二进制 十六进制 解密 - The X 在线工具
    解码之后得到一张图片；图片的内容为KEY

    image


    微信识别内容后保存为txt文件（提示文件给出了key的格式）

    image


    导入KEY出现了两个http流量包；追踪流发现了flag!（没有导入key之前没有发现flag)

    image

  • 例题2

题目提示是TSL加密；那就是要找到key导入密钥获取加密的流量包；输入http contains "key"筛选流量包；然后分析流量包；发现一个流量包很奇怪；追踪http流量发现了sslkey.log；另存到桌面；然后导入key；发现http流量包多了几个；分析http流量包拿到flag!

image

四、大流量

1、黑客IP地址

思路：黑客攻击会产生大量的流量；根据流量的大小、包的数量来判定是否为异常流量以及攻击者的IP。可以用统计工具分析一下

统计-会话。发现183.129.152.140与内网IP建立会话的Packets较多
 

image


统计-端点。同样发现183.129.152.140的包数最多。
 

image


统计-IPv4 Statistics-ALL Address。统计下IP，183.129.152.140的数量最多。
 

image


所以，183.129.152.140应该就是黑客的IP。分析其它数据包也印证了这个结果
2、黑客邮箱
发送邮件的协议一般为SMTP；首先尝试第一眼看到的xsser@live.cn，发现flag正确，所以后面看见的邮箱也就不需要试了。

3、后门名称

我们得到了黑客的攻击IP183.129.152.140，首先过滤一下这个IP

ip.addr == 183.129.152.140

后名文件一般是php；所以追踪流找到了后门文件为flag{admin.bak.php}

五、USB流量

1、键盘流量
（1）USB协议键盘数据部分，会出现在 Leftover Capture Data 或者 HID Data 中;长度为16位
 

image


提取数据：右键HID Data ；作为过滤应用；选中；然后复制
 

image


使用命令提取数据

//提取键盘流量；其中usbhid.data就是复制的字段内容 
tshark -r 键盘.pcapng -T fields -e usbhid.data |sed '/^\s*$/d' >flag.txt 
//使用脚本加上：；注意键盘流量是16位；鼠标是8位 
python .\冒号.py 
//提取键盘数据 
python .\usb_keyborad.py

image


2、鼠标流量
（1）USB协议鼠标数据部分，会出现在 Leftover Capture Data 或者 HID Data 中;长度为8位
（2）例题：打开流量包；根据Leftover Capture Data内容得出为鼠标流量；获得字段值为usb.capdata

image

//提取鼠标流量；其中usb.capdata为数据的字段tshark -r 鼠标.pcap -T fields -e usb.capdata |sed '/^\s*$/d' >flag.txt//加上：；注意键盘流量是8位;注意修改脚本python .\usb_mouse.pypython '.\坐标绘制图形 - 副本.py

image

六、webshell流量

例题
打开流量包；首先http contains "flag"；发现了结果符合条件的流量包（发现了菜刀webshell工具的流量；解码发现让我下载6666.jpj这个图片；追踪http流量包；一个一个查看）
 

image


查看完所有的http流量包之后；发现了 1.php 6666.jpg flag.txt hello.zip 几个文件；尝试提取出来；根据流量包；只找到6666.jpg和zip的数据内容
（1）提取666.jpg（JPG的头部数据为FFD8FF）
显示原始数据；保存16进制数据到txt文档中；然后010editor导入16进制数据；另存为1.jpg
 

image


 

image


我以为是flag；发现不是；那可能是zip的密码
（2）提取zip
分析数据包发现了zip的头部内容PK;提取压缩包（和提取图片的步骤一样）
 

image


然后发现解压需要密码；使用照片中的密码解密拿到flag！

七、wifi流量

例题
打开流量包出现现wireless LAN协议和802.11无线协议和Tp-Link,；判定为wifi流量包；使用airrcrack-ng工具进行破解

//获得BSSID地址BC:F6:85:9E:4E:A3aircrack-ng xxx.cap

image

//生成字典解密aircrack-ng -a2 -b BC:F6:85:9E:4E:A3 -w pass.txt wifi.cap

image

八、思路总结

首先打开流量包；

分别看一下不同协议的info;看看有没有什么特别奇怪或者很长的解释；

一般flag就在里面（有可能是base64编码的；注意二次编码）；

然后就是利用过滤语法看看有没有什么明显的流量包；

进一步分析；看看有没有什么压缩包，图片,文件等等的；

提取出来看看是否有flag等信息；

还有注意几种特别的流量包；

http://www.lryc.cn/news/432974.html

相关文章：

  • Linux驱动（五）：Linux2.6驱动编写之设备树
  • 算法【Java】 —— 前缀和
  • python网络爬虫（四）——实战练习
  • tio websocket 客户端 java 代码 工具类
  • 通过卷积神经网络（CNN）识别和预测手写数字
  • 【A题第二套完整论文已出】2024数模国赛A题第二套完整论文+可运行代码参考（无偿分享）
  • 一份热乎的数据分析(数仓)面试题 | 每天一点点，收获不止一点
  • 3 html5之css新选择器和属性
  • 【Kubernetes】K8s 的鉴权管理（一）：基于角色的访问控制（RBAC 鉴权）
  • 保研 比赛 利器： 用AI比赛助手降维打击数学建模
  • 秋招校招，在线性格测评应该如何应对
  • chrome 插件开发入门
  • 揭开面纱--机器学习
  • Python中的私有属性与方法：解锁面向对象编程的秘密
  • 开篇_____何谓安卓机型“工程固件” 与其他固件的区别 作用
  • DBeaver 连接 MySQL 报错 Public Key Retrieval is not allowed
  • 三个月涨粉两万，只因为知道了这个AI神器
  • vulhub GhostScript 沙箱绕过（CVE-2018-16509）
  • 李宏毅机器学习笔记——反向传播算法
  • 内推｜京东｜后端开发｜运维｜算法...｜北京 更多岗位扫内推码了解，直接投递，跟踪进度
  • 编写Dockerfile第二版
  • 校验码：奇偶校验，CRC循环冗余校验，海明校验码
  • 增维思考，减维问题，避免焦虑！
  • 自动化抢票 12306
  • 海外云服务器安装 MariaDB10.6.X （Ubuntu 18.04 记录篇二）
  • Mybatis_基础
  • 8Manage采购申请管理：轻松实现手动采购流程自动化
  • PADS Router 入门基础教程（一）
  • 一台手机一个ip地址吗？手机ip地址泄露了怎么办
  • 【扇贝编程】使用Selenium模拟浏览器获取动态内容笔记