2025龙信杯流量分析

1.攻击机的ip是多少？[标准格式：111.111.111.111]

192.168.111.1

找到后台目录报错的流量数据，攻击机就是发起访问的IP

2.被攻击网站服务器开放端口数量是多少？[标准格式：1]

3

3.攻击者对参数fuzzing成功数量是多少？[标准格式：1]

0

这里需要利用脚本去过滤fuzz的数据包并找到返回包有返回内容的数据包，这里可以得到是fuzz/file.php,对应的参数是/file.php?xxx=/etc/passwd,让ai来写一个脚本

一开始我用的是匹配192.168.111.179作为被接收地址，但是最后得到的结果是308，后续看了一下数据包，发现每次fuzz的状态码基本都是200，而且有内容返回，所以这样找不到具体的答案，然后根据Aura的脚本，这里用的是将192.168.111.179作为发送方，也就是i直接找返回的数据包，最后得到的是0个

python 复制代码

from scapy.all import rdpcap, IP, TCP, Raw
import re

def analyze_pcapng(file_path):
    """
    对齐pyshark脚本逻辑：
    1. 192.168.111.179是请求发起方（ip.src）
    2. 仅匹配GET请求，URL包含/file.php和/etc/passwd
    3. 响应包判定逻辑对齐pyshark（file_data/content-length/帧长度）
    """
    packets = rdpcap(file_path)
    # 仅宽松匹配：同时包含/file.php和/etc/passwd（和pyshark脚本一致）
    file_php_pattern = re.compile(r"/file\.php", re.IGNORECASE)
    etc_passwd_pattern = re.compile(r"/etc/passwd", re.IGNORECASE)
    valid_flows = {}

    # 1. 筛选符合条件的请求包（对齐pyshark的is_request_packet+request_matches）
    for pkt in packets:
        if IP in pkt and TCP in pkt and Raw in pkt:
            ip_layer = pkt[IP]
            tcp_layer = pkt[TCP]
            raw_data = pkt[Raw].load.decode(errors="ignore")

            # 错误点1修正：IP过滤方向（179是请求发起方，即src）
            if ip_layer.src != "192.168.111.179":
                continue

            # 错误点3修正：仅匹配GET请求（对齐pyshark的request_method == 'GET'）
            if "GET " not in raw_data or "HTTP/1." not in raw_data:
                continue

            # 错误点2修正：宽松匹配URL（仅检查两个字符串同时存在）
            if not (file_php_pattern.search(raw_data) and etc_passwd_pattern.search(raw_data)):
                continue

            # 记录TCP流标识（用tcp.stream逻辑，对齐pyshark）
            # scapy无原生tcp.stream，用四元组模拟（和pyshark的tcp.stream等价）
            flow_id = (ip_layer.src, tcp_layer.sport, ip_layer.dst, tcp_layer.dport)
            valid_flows[flow_id] = {
                "request_data": raw_data,
                "response_has_body": False,
                "uri": ""
            }
            # 提取URL（对齐pyshark的request_uri）
            uri_match = re.search(r"GET (.*?) HTTP/1\.", raw_data)
            if uri_match:
                valid_flows[flow_id]["uri"] = uri_match.group(1)

    # 2. 响应包判定（完全对齐pyshark的response_has_body逻辑）
    for pkt in packets:
        if IP in pkt and TCP in pkt and Raw in pkt:
            ip_layer = pkt[IP]
            tcp_layer = pkt[TCP]
            raw_data = pkt[Raw].load.decode(errors="ignore")
            flow_id = (ip_layer.dst, tcp_layer.dport, ip_layer.src, tcp_layer.sport)

            if flow_id in valid_flows and not valid_flows[flow_id]["response_has_body"]:
                # 判定是否是响应包（包含HTTP响应码）
                if "HTTP/1. 200" in raw_data or "HTTP/1. 404" in raw_data or "HTTP/1. 500" in raw_data:
                    # 情况1：检查是否有file_data（对应pyshark的http.file_data）
                    if "root:x:" in raw_data or "bin:x:" in raw_data:  # /etc/passwd特征内容
                        valid_flows[flow_id]["response_has_body"] = True
                    # 情况2：检查Content-Length（对应pyshark的content_length_header）
                    cl_match = re.search(r"Content-Length: (\d+)", raw_data, re.IGNORECASE)
                    if cl_match:
                        try:
                            if int(cl_match.group(1)) > 0:
                                valid_flows[flow_id]["response_has_body"] = True
                        except:
                            pass
                    # 情况3：帧长度>100（对应pyshark的pkt.length>100）
                    if len(raw_data) > 100:
                        valid_flows[flow_id]["response_has_body"] = True

    # 3. 统计最终匹配结果（仅保留有响应体的）
    final_matches = [(flow_id, data["uri"]) for flow_id, data in valid_flows.items() if data["response_has_body"]]

    # 输出结果（对齐pyshark脚本的输出格式）
    print('--- 统计结果 ---')
    print(f'满足条件的请求数量: {len(final_matches)}')
    if final_matches:
        print('示例（tcp流四元组, uri）:')
        for idx, (flow_id, uri) in enumerate(final_matches[:20], 1):
            print(f'  stream={flow_id}  uri={uri}')

if __name__ == "__main__":
    pcapng_file = r"lxb.pcapng"  # 替换为你的数据包路径
    try:
        analyze_pcapng(pcapng_file)
    except Exception as e:
        print(f"出错：{e}")