流量分析
知识点：
流量包分析简介 - CTF Wiki (ctf-wiki.org)
Wireshark 基本语法，基本使用方法，及包过虑规则_wireshark语法_竹痕的博客-CSDN博客
MISC：流量包取证（pcap文件修复、协议分析、数据提取）_流量数据文件提取_小哈里的博客-CSDN博客
[DDCTF2018]流量分析
看了提示存在一个私钥
流量包中搜索KEY
tcp contains "KEY"
有一串base64的图片数据，追踪流把它拿出来
Base64解码
ORC在线识别
套上正确的SSL私钥格式
在wireshark中TLS用该SSL私钥进行解密
然后就可以查看http传输内容了
追踪一下HTTP流即可
发现flag
攻防世界-misc-流量分析1
wireshark打开，发现很多HTTP和TCP的包
追踪流看看
请求包url解码看看
GET /index.php?url=gopher://127.0.0.1:80/
_POST /admin.php HTTP/1.1
Host: localhost:80
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 78
id=1) and if((ascii(substr((select flag from flag),1,1))='45'),sleep(3),0) -- 可以看到是一个ssrf和sql的时间注入
对flag读取第一个字符转换为ascii码，如果和45相等，就延时三秒，就是对数据库中的flag进行猜解
那我们过滤数据包的条件就在wireshark输入命令，http.time >=3
一共14个包，依次对这14次请求的参数进行ASCII码还原，得到flag
flag{1qwy2781}
攻防世界-misc-流量分析
打开流量包，大概浏览了一下，发现找到了一些get语句
拿出一句分析一下看看，可以发现是一个sql的注入查询，substring函数取字符串的特定位置，从1取到38。查看每个位置对应的ascii码，当ascii码正确时，取下个位置
id=1' and ascii(substring((select keyid from flag limit 0,1),1,1))=100#
用了下大佬的脚本
python
import re
with open("1.pcapng", "rb") as f: #打开名为"1.pcapng"的文件，使用二进制模式读取文件内容。
contents = f.read()
res = re.compile(r'0,1\),(\d+),1\)\)=(\d+)%23').findall(str(contents)) #使用正则表达式模式匹配文件内容，提取符合模式的数据。匹配到的结果以列表形式存储在变量res中。
dic = {} #创建一个空字典dic。
for a, b in res: #遍历匹配到的结果列表。
if a in dic: #检查字典dic中是否已存在键a。
if int(b) > dic[a]: #如果当前匹配到的值b（转换为整数类型）大于字典中键a对应的值，则执行以下操作。
dic[a] = int(b) #更新字典dic，将键a的值更新为当前匹配到的值b（转换为整数类型）。
else:
dic[a] = int(b)
flag = ""
for i in range(1,39): #遍历范围为1到38的整数。
flag += chr(dic[str(i)]) #将字典dic中键为字符串形式的当前整数i的值，转换为相应的字符，并添加到字符串flag中。
print(flag)得到结果
日志分析
知识点：
电子取证-Windows日志分析 | W4rnIn9 (joner11234.github.io)
[陇剑杯 2021]简单日志分析（问1）
某应用程序被攻击，请分析日志后作答：
黑客攻击的参数是______。（如有字母请全部使用小写）直接看日志文件，可以发现参数是user
[陇剑杯 2021]简单日志分析（问2）
某应用程序被攻击，请分析日志后作答：
黑客查看的秘密文件的绝对路径是_____________。
base64解密里面传的语句即可得到
[陇剑杯 2021]简单日志分析（问3）
某应用程序被攻击，请分析日志后作答：
黑客反弹shell的ip和端口是_____________。和上一问一样，分析这些语句，解密后就知道
[闽盾杯 2021]日志分析
一个日志文件，解码后发现有sqlmap的日志 ，大概分析一下
判断其ascii码值的大小关系，判断正确返回的长度为675错误返回长度678这样我们就可以根据每一位的返回结果判断具体的ascii值通过搜索password分析
一直推下去 ，最后将ascii转换为字符即可
NSSCTF{ngjfdsUbdK}
