------------恢復內容開始------------
------------恢復內容開始------------
1、php version
題目：
這道題提示PHP version可能是一個關鍵點，因此可以嘗試抓包，使用burpsuite抓包如下：
這里能夠看出，key、ver都是注入點。其實還有一個注入點，那就是在POST頭的URL鏈接，也即/LX/web4/index.php的后綴，因此可以通過burp看看有沒有index.php后面的注入點進行，通過intruder暴破如下：
爆破結果如下：
從差異性上可以發現，確實存在.bak的網站，因此嘗試訪問http://106.39.10.134:20006/LX/web4/index.php.bak，發現有如下代碼：
從代碼上看出，需要有一個get類型的ver變量，只要ver=version，就會給key賦值，並echo key。而在前面的報文里可以清楚的發現version的值如下：
因此最終就可以清楚，在http://106.39.10.134:20006/LX/web4/index.php后面加上?ver=5.4.41即可以獲得key如下：
2、流量題1
從流量上看，就是A和B之間的通信，因此從報文角度入手分析。
導出HTTP的對象如下：
這里雖然對hacker.png進行了提取，但是png中並沒有有效信息，因此繼續分析流。
而在這里發現一大堆同一文件的傳輸（下載下來打開可以發現是同一文件），區別在於后綴不同，如下：
因此提取name字段后面的后綴，形成一段16進制的信息如下：
這段16進制信息中，123404B0304與zip文件頭的504B0304類似，而且最后包括504B0506的尾巴，因此把開頭的1234改為5，進而形成了一個zip文件如下：
這里還需要密碼，進一步分析流量發現有一個key的參數，因此判斷可能是解壓的key=?id=1128%23
最終解壓發現flag
3、文件提取1
發現依然是兩台機器進行相互通信，因此進行流追蹤。
突然發現流追蹤其實是對0X、1X、2X、3X進行的追蹤，因此需要分析前后因果關系。翻頁如下：
在0X、1X、2X中基本的情況都如上圖，就是不斷的進行代碼注入，沒有上傳實質文件，但在3X中存在流信息如下：
從紅框2處綜合可以判斷出，最后那一塊應該是一個要上傳的壓縮文件，因此將內容的十六進制拷貝並重新整合成一個zip文件如下：
解壓后發現確實有一個文件，十六進制讀打開后發現flag
4、文件信息提取
這個流量數據里面的信息非常雜，需要從協議中進行過濾，看到了TCP協議，本能的還是對TCP進行過濾，進行追蹤流
追蹤過程中發現了一個hehehe.rar文件在登錄后進行了上傳，而后一個文件就是整個rar的上傳流如下：
因此對文件內容進行存儲，並將后綴名改為rar，發現確實是一個rar文件，但是需要密碼如下：
繼續追蹤流，發現有如下信息：
將ready之后，EOF之前的信息base64並轉碼為中文后發現密碼為：
一枝紅杏出牆來
解開后發現6666666的文件加上后綴以后並不能生效，進一步發現是缺少了PNG頭，因此加上PNG頭如下：
最終打開文件發現了flag：
5、另一個文件信息提取（轉載已實踐）
1.下載文件wireshark打開分析文件
2.過濾出post請求
http.request.method == "POST"
3.分析出是在上傳文件。
找到文件參數數據包
數據包的內容：一封帶附件的郵件
發件人：81101652@qq.com
收件人：king@woldy.net
附件：fly.rar
附件大小：525701 Bytes
4.根據文件結構分析出文件內容在第2-6個POST請求包中
5.hex導出數據包
6.根據文件導出大小計算http頭文件大小，並刪除。
五個文件合計大小為 527521
源文件大小為 525701
求出頭部數據總和為 527521 - 525701 = 1820
沒個數據包HTTP頭部大小為 1820 / 5 = 364 bytes
用linux中 dd 命令完成進制刪除操作
這里也可以用hexEdit直接看數據包，把rar頭前面的內容刪除
7.win命令合並文件
copy /B 1.1+2.1+3.1+4.1+5.1 wxk.rar
linux中可以： cat 1.1 2.1 3.1 4.1 5.1 >> result.rar
7.打開壓縮包分析flag.txt
直接打開flag.txt文件需要解壓密碼
直接使用winhex 16進制編輯器打開壓縮文件發現是偽加密
將74 84 改為74 80
再次打開flag.txt 文件亂碼
用binwalk查看下，發現大量的png：
使用foremost進行分解，發現多個照片和一個二維碼：
掃碼獲得flag
flag{m1Sc_oxO2_Fly}
————————————————
版權聲明：本文為CSDN博主「火中的冰~」的原創文章，遵循CC 4.0 BY-SA版權協議，轉載請附上原文出處鏈接及本聲明。
原文鏈接：https://blog.csdn.net/qq_42094992/article/details/108397413
1.下載文件wireshark打開分析文件
2.過濾出post請求http.request.method == "POST"
3.分析出是在上傳文件。找到文件參數數據包
數據包的內容：一封帶附件的郵件發件人：81101652@qq.com收件人：king@woldy.net附件：fly.rar附件大小：525701 Bytes4.根據文件結構分析出文件內容在第2-6個POST請求包中
5.hex導出數據包
6.根據文件導出大小計算http頭文件大小，並刪除。五個文件合計大小為 527521
源文件大小為 525701
求出頭部數據總和為 527521 - 525701 = 1820
沒個數據包HTTP頭部大小為 1820 / 5 = 364 bytes
用linux中 dd 命令完成進制刪除操作
7.win命令合並文件copy /B 1.1+2.1+3.1+4.1+5.1 wxk.rar
7.打開壓縮包分析flag.txt直接打開flag.txt文件需要解壓密碼
直接使用winhex 16進制編輯器打開壓縮文件發現是違加密
將74 84 改為74 80
再次打開flag.txt 文件亂碼
用winhex查看一下
文件中找到一個兩個png文件分別提取文件
掃碼獲得flagflag{m1Sc_oxO2_Fly}————————————————版權聲明：本文為CSDN博主「火中的冰~」的原創文章，遵循CC 4.0 BY-SA版權協議，轉載請附上原文出處鏈接及本聲明。原文鏈接：https://blog.csdn.net/qq_42094992/article/details/108397413
6、文件隱寫提取
這個圖：
放入到Stegslove中，查看圖片屬性如下：
從PK上發現這是一個壓縮文件，因此Save Bin來存儲為1.rar，並解壓如下：
從HexEdit中發現1這個文件是ELF文件類型：
因此放到linux中去執行，但其實可以不執行，直接使用strings命令解決問題：（strings為了解決可執行文件可打印內容輸出的問題）
7、雙圖男神
發現2張圖，分別編碼有first、second，這樣就可以考慮使用stegsolve進行解密，將2張圖片進行疊加，然后觀察灰度變化情況如下：
疊加以后，分別發現2張不清晰的二維碼圖：
進而再重新用stegsolve去讀取其中的圖片，通過觀察灰度變化，找到以下三個二維碼
注意，兩張原生二維碼分別產生了三張清晰二維碼（注意兩張都要參與）
解出來內容分別是：
U2FsdGVkX18IBEATgMBe8NqjIqp65CxRjjMxXIIUxIjBnAODJQRkSLQ/+lHBsjpv1BwwEawMo1c=
DES
6XaMMbM7
推測如下：
解密算法：DES
密鑰：6XaMMbM7
密文：U2FsdGVkX18IBEATgMBe8NqjIqp65CxRjjMxXIIUxIjBnAODJQRkSLQ/+lHBsjpv1BwwEawMo1c=
使用該網站https://tool.oschina.net/encrypt/解密得到flag：
8、EXIF信息查看器：https://exif.tuchong.com/
9、IHDR類題目
1）通過在HexEdit中修改Height值，擴展圖片的范圍，找到flag（注意，長寬不宜擴展太多，一般長不動，寬擴展一點點都是OK的）
2）通過在HexEdit中一般Width不要太動，動也只動一兩個bit，否則很影響圖片上文字的方向和順序，動Height會比較合適。另外有時候stegsolve打不開是因為crc校驗有問題，這時候可以先右鍵打開，然后畫圖保存：
3)GIF文檔如果完整的話可以通過stegsolve工具，使用frame browser進行分離
