一些wireshark的題目（不定時更新）

[buuctf]sqltest

今天遇到一個有趣的流量分析的題目，它將sql注入與流量分析較為簡單的結合了一下，先看一下原題

下載附件后，是一個sqltest.pcapng文件，用wireshark打開

我們可以發現http中都是一些bool注入的語句，於是進行導出http對象，

我們可以從中推斷出正確的ascii值，在對一個字符進行bool判斷時，被重復判斷的ASCII值就是正確的字符，最后提取到：
102 108 97 103 123 52 55 101 100 98 56 51 48 48 101 100 53 102 57 98 50 56 102 99 53 52 98 48 100 48 57 101 99 100 101 102 55 125

轉為字符串得flag
flag{47edb8300ed5f9b28fc54b0d09ecdef7}

 從此題可以引出一些類似題目，比如http中會有登錄信息，那flag就有可能為password   [SUCTF2018]followme

 

 

 

[XMAN]AutoKey

這道題目查看了其他大師傅的wp才寫出來（菜雞留下淚水），下載文件用wireshark打開，會發現都是一些USB數據，要想到提取USB數據，使用tshark語句

tshark -r 流量包文件 -T fields -e usb.capdata > 輸出文件

提取出文件會發現是一行一行的數據，

用腳本將數字兩兩用冒號分開

import re
a = open("usbdata2.txt",'w+')
for line in open("usbdata.txt"):
    result = re.sub(r"(?<=\w)(?=(?:\w\w)+$)", ":", line)
    a.write(result)
    print(result)

使用腳本將這些數字翻譯一下

#!usr/bin/env python
#-*- coding:utf-8 -*-

mappings = { 0x04:"A",  0x05:"B",  0x06:"C", 0x07:"D", 0x08:"E", 0x09:"F", 0x0A:"G",  0x0B:"H", 0x0C:"I",  0x0D:"J", 0x0E:"K", 0x0F:"L", 0x10:"M", 0x11:"N",0x12:"O",  0x13:"P", 0x14:"Q", 0x15:"R", 0x16:"S", 0x17:"T", 0x18:"U",0x19:"V", 0x1A:"W", 0x1B:"X", 0x1C:"Y", 0x1D:"Z", 0x1E:"1", 0x1F:"2", 0x20:"3", 0x21:"4", 0x22:"5",  0x23:"6", 0x24:"7", 0x25:"8", 0x26:"9", 0x27:"0", 0x28:"\n", 0x2a:"[DEL]",  0X2B:"    ", 0x2C:" ",  0x2D:"-", 0x2E:"=", 0x2F:"[",  0x30:"]",  0x31:"\\", 0x32:"~", 0x33:";",  0x34:"'", 0x36:",",  0x37:"." }
nums = []
keys = open('usbdata.txt')
for line in keys:
    if line[0]!='0' or line[1]!='0' or line[3]!='0' or line[4]!='0' or line[9]!='0' or line[10]!='0' or line[12]!='0' or line[13]!='0' or line[15]!='0' or line[16]!='0' or line[18]!='0' or line[19]!='0' or line[21]!='0' or line[22]!='0':
         continue
    nums.append(int(line[6:8],16))
keys.close()
output = ""
for n in nums:
    if n == 0 :
        continue
    if n in mappings:
        output += mappings[n]
    else:
        output += '[unknown]'
print 'output :\n' + output

翻譯結果為

[unknown]A[unknown]UTOKEY”.DECIPHER'[unknown]MPLRVFFCZEYOUJFJKYBXGZVDGQAURKXZOLKOLVTUFBLRNJESQITWAHXNSIJXPNMPLSHCJBTYHZEA

將一些無關字符去掉，變為

MPLRVFFCZEYOUJFJKYBXGZVDGQAURKXZOLKOLVTUFBLRNJESQITWAHXNSIJXPNMPLSHCJBTYHZEALOGVIAAISSPLFHLFSWFEHJNCRWHTINSMAMBVEXPZ

然后看大師傅的wp，需要用到AUTOKEY密碼解密，腳本地址http://www.practicalcryptography.com/cryptanalysis/stochastic-searching/cryptanalysis-autokey-cipher/ ，以及大師傅的結果

 

 但是我總是提示缺少ngram_score模塊，然后用pip又無法安裝，最后在http://www.practicalcryptography.com/cryptanalysis/text-characterisation/quadgrams/ 發現這是一個自定義模塊，但是菜雞還不會在kail導入python自定義模塊，所以希望大佬多多指導（菜雞膜拜）

 [tcp/ip隱寫]

將tcp所有中的identification提取出來，轉ascII，在base91解密即可  【羊城杯2020秘密傳輸】