Writeup 4 NUAACTF 2020 Wireshark 流量分析题

Writeup 4 NUAACTF 2020 Wireshark 流量分析题

一、题目信息

项目	内容
赛事	NUAACTF 2020
题目类型	MISC / 流量分析
题目描述	流量分析听过么
flag	nuaactf{wir2sha4k_1s_gReat}

二、解题过程

3.1 打开流量包，过滤 HTTP

使用 Wireshark 打开题目附件（flag.pcapng），在显示过滤栏输入：

http

回车，只保留 HTTP 协议数据包。

3.2 定位 /flag.zip 请求的响应包

在过滤结果中浏览请求列表，找到针对 /flag.zip 的 HTTP 请求（Frame 25），点击其对应的 HTTP 200 OK 响应包（Frame 34）。

查看该响应包的头部信息，关键字段如下：

HTTP/1.1 200 OK
Server: nginx
Date: Thu, 21 May 2020 03:29:44 GMT
Content-Type: application/zip
Content-Length: 177
Last-Modified: Thu, 21 May 2020 03:29:20 GMT
Connection: keep-alive
ETag: "5ec5f590-b1"
Accept-Ranges: bytes

• Content-Type: application/zip ------ 服务器返回的是一个 ZIP 压缩包
• Content-Length: 177 ------ 包体共 177 字节

响应体开头为 PK..，即 ZIP 文件魔数 PK\x03\x04，确认这是一个合法的 zip 文件。

3.3 导出 ZIP 文件

1. 在 Wireshark 数据包分组列表中选中该 HTTP 响应包（确保选中的是响应包，而不是请求包）。
2. "文件"菜单 → 选择 "导出分组字节流..."（Export Packet Bytes...）。
3. 在保存对话框中：
   • 文件名填写 flag.zip
   • 保存类型选择 "所有文件"（避免被自动加后缀）
4. 点击保存，得到 flag.zip。

3.4 解压 ZIP，读取 Flag

解压得到 flag.txt，查看内容：

nuaactf{wir2sha4k_1s_gReat}

即得到最终 Flag。

三、关键点总结

1. 先过滤 http ，快速定位 /flag.zip 请求。
2. 认准响应包 ：Content-Type: application/zip 和响应体开头的 PK.. 是判断依据。
3. 导出分组字节流 时务必选中响应包，保存为 .zip 文件。
4. 解压 后直接读取 flag.txt，内容即 Flag。

Rambo

2026年10月27日

🎉🎉🎉