搜索

[21059] 2020-06-05_HW防守之流量分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-06-05_HW防守之流量分析 H W 防 守 之 流 量 分 析 L e m o n S e c   2 0 2 0 - 0 6 - 0 5 因 为 要 涉 及 到 流 量 分 析 ， 网 上 一 般 很 难 找 到 真 实 的 环 境 流 量 ， 这 里 我 们 已 C T F 流 量 分 析 题 为 例 。 就 往 年 H W 来 说 ， 防 守 方 除 了 看 监 控 设 备 、 分 析 监 控 报 警 、 分 析 溯 源 之 外 ， 流 量 分 析 在 H W 中 是 常 用 的 分 析 攻 击 者 行 为 的 手 段 。 练 练 手 ： 练 练 手 ： 第 一 届   “ 百 度 杯 ”   信 息 安 全 攻 防 总 决 赛   线 上 选 拔 赛 ： f i n d   t h e   f l a g p a c p 文 件 地 址 ： h t t p s : / / s t a t i c 2 . i c h u n q i u . c o m / i c q / r e s o u r c e s / f i l e u p l o a d / C T F / B S R C / 2 0 1 7 / B S R C 3 - 1 / f i n d t h e f l a g . c a p ■   W E B 流 量 包 分 析 流 量 包 分 析 W E B 数 据 包 分 析 的 题 目 主 要 出 现 W E B 攻 击 行 为 的 分 析 上 ，   典 型 的 W E B 攻 击 行 为 有 ： W E B 扫 描 、 后 台 目 录 爆 破 、 后 台 账 号 爆 破 、 W E B S H E L L 上 传 、 S Q L 注 入 等 等 。 ■   W E B 扫 描 分 析 扫 描 分 析 题 型 ： 题 型 ： 通 过 给 出 的 流 量 包 获 取 攻 击 者 使 用 的 W E B 扫 描 工 具 。 解 题 思 路 ： 解 题 思 路 ： 常 见 的 W E B 扫 描 器 有 A w v s ， N e t s p a r k e r ， A p p s c a n ， W e b i n s p e c t ， R s a s （ 绿 盟 极 光 ） ， N e s s u s ， W e b R e a v e r ， S q l m a p 等 。 要 识 别 攻 击 者 使 用 的 是 哪 一 种 扫 描 器 ， 可 通 过 w i r e s h a r k 筛 选 扫 描 器 特 征 来 得 知 。 相 关 命 令 ： h t t p   c o n t a i n s   “ 扫 描 器 特 征 值 ” 。 常 见 的 扫 描 器 特 征 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 5 6 2 9 1 . h t m 我 们 在 进 行 流 程 分 析 前 ， 一 定 要 先 熟 悉 常 见 攻 击 者 工 具 的 特 征 ； 练 练 手 ： 练 练 手 ： 安 恒 八 月 月 赛 流 量 分 析 ： 黑 客 使 用 的 是 什 么 扫 描 器 ？ p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g   提 取 码 ： q 6 r o ■   后 台 目 录 爆 破 分 析 后 台 目 录 爆 破 分 析 题 型 ： 题 型 ： 已 知 攻 击 者 通 过 目 录 爆 破 的 手 段 获 取 了 网 站 的 后 台 地 址 ， 请 通 过 给 出 的 流 量 包 获 取 后 台 地 址 。 解 题 思 路 ： 解 题 思 路 ： 要 获 取 流 量 包 中 记 录 的 后 台 地 址 ， 可 通 过 w i r e s h a r k 筛 选 后 台 u r l 特 征 来 得 知 。 相 关 命 令 ： h t t p   c o n t a i n s   “ 后 台 u r l 特 征 ” 。 常 见 后 台 u r l 特 征 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 5 6 2 9 1 . h t m l 练 练 手 ： 练 练 手 ： 安 恒 八 月 月 赛 流 量 分 析 ： 黑 客 扫 描 到 的 后 台 登 录 地 址 是 什 么 ？ p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g   提 取 码 ： q 6 r o ■   后 台 账 号 爆 破 后 台 账 号 爆 破 题 型 ： 题 型 ： 已 知 攻 击 者 通 过 暴 力 破 解 的 手 段 获 取 了 网 站 的 后 台 登 陆 账 号 ， 请 通 过 给 出 的 流 量 包 获 取 正 确 的 账 号 信 息 。 解 题 思 路 ： 解 题 思 路 ： W E B 账 号 登 陆 页 面 通 常 采 用 p o s t 方 法 请 求 ， 要 获 取 流 量 包 中 记 录 的 账 号 信 息 可 通 过 w i r e s h a r k 筛 选 出 P O S T 请 求 和 账 号 中 的 关 键 字 如 ‘ a d m i n ’ 。 相 关 命 令 ： h t t p . r e q u e s t . m e t h o d = = ” P O S T ”   & &   h t t p   c o n t a i n s   = =   “ 关 键 字 ” 练 练 手 ： 练 练 手 ：
安 恒 八 月 月 赛 流 量 分 析 ： 黑 客 使 用 了 什 么 账 号 密 码 登 录 了 w e b 后 台 ？ p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g   提 取 码 ： q 6 r o ■   W E B S H E L L 上 传 上 传 题 型 ： 题 型 ： 已 知 攻 击 者 上 传 了 恶 意 w e b s h e l l 文 件 ， 请 通 过 给 出 的 流 量 包 还 原 出 攻 击 者 上 传 的 w e b s h l l 内 容 。 解 题 思 路 ： 解 题 思 路 ： W e b s h e l l 文 件 上 传 常 采 用 p o s t 方 法 请 求 ， 文 件 内 容 常 见 关 键 字 e v a l ， s y s t e m ， a s s e r t 要 。 获 取 流 量 包 中 记 录 的 w e b s h e l l 可 通 过 w i r e s h a r k 筛 选 出 P O S T 请 求 和 关 键 字 . 相 关 命 令 ： h t t p . r e q u e s t . m e t h o d = = ” P O S T ”   & &   h t t p   c o n t a i n s   = =   “ 关 键 字 ” 练 练 手 ： 练 练 手 ： 安 恒 八 月 月 赛 流 量 分 析 ： 黑 客 上 传 的 w e b s h e l l 文 件 名 是 ？ 内 容 是 什 么 ？ p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g   提 取 码 ： q 6 r o ■   U S B 流 量 包 分 析 流 量 包 分 析 U S B 流 量 指 的 是 U S B 设 备 接 口 的 流 量 ， 攻 击 者 能 够 通 过 监 听 u s b 接 口 流 量 获 取 键 盘 敲 击 键 、 鼠 标 移 动 与 点 击 、 存 储 设 备 的 铭 文 传 输 通 信 、 U S B 无 线 网 卡 网 络 传 输 内 容 等 等 。 在 C T F 中 ， U S B 流 量 分 析 主 要 以 键 盘 和 鼠 标 流 量 为 主 。 ■   键 盘 流 量 键 盘 流 量 U S B 协 议 数 据 部 分 在 L e f t o v e r   C a p t u r e   D a t a 域 中 ， 数 据 长 度 为 八 个 字 节 。 其 中 键 盘 击 键 信 息 集 中 在 第 三 个 字 节 中 。 数 据 如 下 图 所 示 ： 如 上 图 所 示 击 键 信 息 为 0 × 0 5 ， 对 应 的 按 键 为 “ B “ 。 具 体 的 键 位 映 射 关 系 可 参 考 ： 《 U S B 键 盘 协 议 中 键 码 》 中 的 H I D   U s a g e   I D ， 链 接 ： h t t p s : / / w e n k u . b a i d u . c o m / v i e w / 9 0 5 0 c 3 c 3 a f 4 5 b 3 0 7 e 9 7 1 9 7 1 e . h t m l 题 型 ： 题 型 ： F l a g 藏 于 u s b 流 量 中 ， 通 过 U S B 协 议 数 据 中 的 键 盘 键 码 转 换 成 键 位 。 解 题 思 路 ： 解 题 思 路 ： 1 . 使 用 k a l i   l i n u x 中 的 t s h a r k   命 令 把 c a p   d a t a 提 取 出 来 ： t s h a r k   - r   u s b . p c a p   - T   f i e l d s   - e   u s b . c a p d a t a   >   u s b d a t a . t x t ， 并 去 除 空 行 。 2 .   根 据 《 U S B 键 盘 协 议 中 键 码 》 中 的 H I D   U s a g e   I D 将 数 据 还 原 成 键 位 。 练 练 手 ： 练 练 手 ： 安 全 评 测 人 员 在 对 某 银 行 卡 密 码 输 入 系 统 进 行 渗 透 测 试 ， 截 获 了 一 段 通 过 U S B 键 盘 输 入 6 位 数 字 密 码 的 流 量 ， 其 中 也 包 含 了 一 些 其 他 无 关 的 U S B 设 备 的 流 量 ， 你 能 从 中 恢 复 出 6 位 数 字 密 码 吗 ？ 最 终 提 交 的 f l a g 格 式 为 f l a g 。 p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g 提 取 码 ： q 6 r o p y t h o n 键 盘 键 码 转 换 脚 本 ： 同 上
■   鼠 标 流 量 鼠 标 流 量 U S B 协 议 鼠 标 数 据 部 分 在 L e f t o v e r   C a p t u r e   D a t a 域 中 ， 数 据 长 度 为 四 个 字 节 。 其 中 第 一 个 字 节 代 表 按 键 ， 当 取 0 × 0 0 时 ， 代 表 没 有 按 键 、 为 0 × 0 1 时 ， 代 表 按 左 键 ， 为 0 × 0 2 时 ， 代 表 当 前 按 键 为 右 键 。 第 二 个 字 节 可 以 看 成 是 一 个 s i g n e d   b y t e 类 型 ， 其 最 高 位 为 符 号 位 ， 当 这 个 值 为 正 时 ， 代 表 鼠 标 水 平 右 移 多 少 像 素 ， 为 负 时 ， 代 表 水 平 左 移 多 少 像 素 。 第 三 个 字 节 与 第 二 字 节 类 似 ， 代 表 垂 直 上 下 移 动 的 偏 移 。 数 据 如 下 图 所 示 ： 如 上 图 所 示 数 据 信 息 为 0 × 0 0 0 0 2 0 0 0 ， 表 示 鼠 标 垂 直 向 上 移 动 2 0 。 题 型 ： 题 型 ： F l a g 藏 于 u s b 流 量 中 ， 通 过 U S B 协 议 数 据 中 的 鼠 标 移 动 轨 迹 转 换 成 F l a g 。 解 题 思 路 ： 解 题 思 路 ： 1 .   使 用 k a l i   l i n u x 中 的 t s h a r k   命 令 把 c a p   d a t a 提 取 出 来 ： t s h a r k   - r   u s b . p c a p   - T   f i e l d s   - e   u s b . c a p d a t a   >   u s b d a t a . t x t ， 并 去 除 空 行 。 2 .   根 据 u s b 协 议 鼠 标 数 据 还 原 鼠 标 移 动 轨 迹 。 练 练 手 ： 练 练 手 ： 这 是 一 道 鼠 标 流 量 分 析 题 。 p a c p 文 件 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 b G E I P e X D C b h y b m W O y G r 8 O g   提 取 码 ： q 6 r o p y t h o n 鼠 标 数 据 转 换 脚 本 ： 同 上 ■   其 他 流 量 包 分 析 其 他 流 量 包 分 析 除 了 常 规 的 W E B 和 U S B 流 量 外 ， 可 能 还 存 在 诸 如 S M T P , T e l n e t 等 流 量 ， 均 与 W E B 流 量 分 析 类 似 ， 不 再 赘 述 。 0 × 0 3   总 结 总 结 以 上 为 斗 哥 了 解 的 流 量 分 析 在 C T F 比 赛 中 的 基 本 题 型 ， 欢 迎 大 家 补 充 。 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 2 0 1 8 3 0 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理