搜索

[12390] 2018-02-23_WireShark+Winhex：流量分析的好搭档

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-02-23_WireShark+Winhex：流量分析的好搭档 W i r e S h a r k + W i n h e x ： 流 量 分 析 的 好 搭 档 康 康 你 秋 裤 穿 反 啦   F r e e B u f   2 0 1 8 - 0 2 - 2 3 这 篇 文 章 你 将 学 会 的 知 识 点 有 这 篇 文 章 你 将 学 会 的 知 识 点 有 1 、 进 阶 的 w i r e s h a r k 的 流 量 分 析 、 解 码 、 追 踪 流 、 导 出 文 件 2 、 利 用 h a c k b a r 进 行 b a s e 6 4 、 U R L 编 码 转 换 3 、 利 用 w i n h e x 还 原 流 量 中 的 文 件 4 、 常 见 的 图 像 文 件 和 压 缩 文 件 的 文 件 头 标 志 ， 以 及 是 否 对 多 余 定 界 符 敏 感 讲 解 讲 解 这 里 用 最 近 的 一 道 安 恒 杯 有 难 度 的 流 量 分 析 题 为 例 作 为 讲 解 ， 题 目 叫 做 “ 中 国 菜 刀 6 6 6 ” 。 题 目 流 量 包 下 载 地 址 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 c 2 W F Q 3 Q 密 码 ： v 0 e 7 。 格 式 是 p c a p n g 封 装 ， 这 里 用 w i r e s h a r k 打 开 ： 一 共 2 1 3 9 个 分 组 ， 提 到 中 国 菜 刀 ， 想 到 可 能 与 w e b 相 关 ， 首 先 试 试 在 上 方 过 滤 器 中 输 入 h t t p 过 滤 以 显 示 h t t p 分 组 ：
流 量 分 析 流 量 分 析 先 随 意 点 击 一 条 报 文 ， 右 键 - 追 踪 流 - h t t p 流 我 们 能 看 到 大 量 红 色 和 蓝 色 的 报 文 解 析 ， 红 色 代 表 发 出 的 ， 蓝 色 代 表 服 务 器 回 应 的 。 我 们 能 看 到 有 一 大 串 的 b a s e 6 4 _ d e c o d e ， 后 面 都 是 字 母 数 字 ， 偶 尔 还 夹 杂 着 夹 杂 着 “ * * % 2 B ” 以 及 ” % 3 D ” ， 所 以 首 先 想 到 是 U R L * * 编 码 编 码 ， 先 用 h a c k b a r 的 u r l d e c o d e 进 行 u r l 解 码 ： 这 里 消 除 掉 一 些 “ % ” 转 义 后 变 成 了 真 正 的 b a s e 6 4 编 码 ， 我 们 用 b a s e 6 4 _ d e c o d e 再 进 行 转 换 ： 这 里 有 好 多 处 类 似 的 转 换 ： 看 到 了 最 后 的 u p l o a d 了 麽 ？ 很 有 可 能 入 侵 过 程 中 会 上 传 小 马 ， 再 用 菜 刀 连 ， 我 们 观 察 到 h t t p 报 文 条 目 也 不 多 ， 拿 到 报 文 ， 根 据 一 般 的 入 侵 思 路 和 顺 序 来 反 复 按 照 上 文 提 到 的 方 法 不 断 分 析 ： 这 里 有 一 句 话 木 马 ， 验 证 了 入 侵 思 路 的 猜 想 ， 这 也 就 是 为 什 么 我 们 过 滤 后 的 h t t p 报 文 有 大 量 的 1 . p h p 的 名 字 ， 我 们 接 着 往 上 回 溯 ， 发 现 ： 答 案 就 在 里 面 ， 提 示 需 要 p a s s w o r d ， 我 们 来 查 看 流 量 原 始 数 据 ， 看 看 对 应 的 文 件 类 型 ：
这 里 我 们 需 要 知 道 5 0   4 b   0 3 是 是   z i p 压 缩 文 件 的 标 志 压 缩 文 件 的 标 志 ， 一 般 来 说 ， 看 到 p k 很 有 可 能 是 z i p 压 缩 文 件 ， 除 此 之 外 你 还 需 要 知 道 的 ： 5 0   4 B   0 3 0 4 ： 这 是 头 文 件 标 记   1 4   0 0 ： 解 压 文 件 所 需   p k w a r e 版 本   0 0   0 0 ： 全 局 方 式 位 标 记 （ 有 无 加 密 ）   0 8   0 0 ： 压 缩 方 式   0 7   7 6 ： 最 后 修 改 文 件 时 间   F 2   4 8 ： 最 后 修 改 文 件 日 期 有 兴 趣 的 同 学 动 手 试 试 这 是 不 是 伪 加 密 ， 当 然 后 面 提 示 的 y o u   n e e d   p a s s w o r d 暗 示 这 里 不 是 伪 加 密 ， 下 面 是 文 件 提 取 文 件 提 取 ， 有 两 种 方 案 ： 这 里 我 们 选 择 方 法 一 ， w i n h e x 的 讲 解 的 讲 解 在 后 面 。 我 们 顺 利 保 存 文 件 为 h e l l o . z i p 当 我 们 打 开 时 ， 就 会 发 现 必 须 要 输 入 密 码 ：
这 里 有 一 点 需 要 注 意 ， 如 果 你 细 心 的 话 会 发 现 ， 保 存 后 的 文 件 如 果 用 w i n h e x 打 开 ， 你 会 发 现 有 你 会 发 现 有 3 位 定 界 符 ， 这 是 位 定 界 符 ， 这 是 w i r e s h a r k 自 带 的 自 带 的 ， ， 为 了 区 分 各 协 议 层 之 间 的 东 西 添 加 的 ， 但 是 由 于 z i p 压 缩 文 件 对 定 界 符 不 敏 感 ， 直 接 向 后 识 别 5 0   4 B 0 3 ， 所 以 即 便 有 定 界 符 也 可 以 顺 利 打 开 文 档 ： 我 们 这 里 只 要 把 定 界 符 摸 清 楚 ， 不 论 方 法 一 还 是 方 法 二 都 是 轻 车 熟 路 ， 我 们 这 里 只 要 把 定 界 符 摸 清 楚 ， 不 论 方 法 一 还 是 方 法 二 都 是 轻 车 熟 路 ， 好 啦 ， 目 前 为 止 ， 这 道 流 量 分 析 才 做 完 了 一 半 , 我 们 还 需 要 知 道 解 压 缩 的 p a s s w o r d 是 什 么 。 回 到 报 文 中 去 ， 向 上 检 索 ， 会 发 现 一 串 很 大 的 报 文 ：
这 里 就 要 思 考 了 没 这 么 一 大 长 串 是 什 么 呢 ？ 视 频 ？ 音 频 ？ 我 们 需 要 牢 记 的 是 ， j p g 、 、 j p e g 图 像 文 件 都 是 以 图 像 文 件 都 是 以 F F D 8 开 开 头 ， 头 ， F F D 9 结 束 结 束 。 我 们 对 应 查 看 红 色 方 框 内 的 信 息 发 现 ， 传 输 的 是 图 片 对 应 的 原 始 数 据 的 1 6 进 制 字 符 ， 也 就 是 说 ， 这 里 传 输 的 是 对 应 的 十 六 进 制 字 符 ， 而 不 是 图 片 ！ 可 见 这 道 题 的 犀 利 。 我 们 要 保 证 头 脑 清 晰 的 是 ， 我 们 只 需 用 这 些 十 六 进 制 字 符 ， 就 可 以 还 原 整 张 图 片 ， 所 以 我 们 找 到 对 应 数 据 层 区 域 z 2 的 值 右 键 复 制 值 就 可 以 了 。 接 下 来 ， 就 要 用 到 w i n h e x 来 还 原 这 样 图 片 ： 选 择 新 建 一 张 5 0 0 0 字 节 左 右 的 文 件 ， 复 制 时 选 择 最 后 一 个 A S C I I - H E X ， 选 择 O K ：
这 里 注 意 的 是 ， 因 为 图 片 文 件 对 定 界 符 敏 感 图 片 文 件 对 定 界 符 敏 感 ， 如 果 在 其 他 情 况 下 复 制 原 始 十 六 进 制 ， 要 去 掉 w i r e s h a r k 设 计 的 3 位 定 界 符 ， 否 则 无 法 正 常 打 开 文 件 ！ 直 接 将 定 界 符 设 置 为 0 0   0 0   0 0   也 可 以 访 问 ， 直 接 操 作 文 件 的 十 六 进 制 码 是 w i n h e x 的 精 髓 ！ 保 存 文 件 为 X X X . J P G 后 打 开 ： 嫌 麻 烦 的 话 用 O C R 工 具 直 接 识 别 里 面 的 字 符 ， 用 它 来 打 开 z i p 压 缩 文 件 即 可 复 习 回 顾 复 习 回 顾 我 们 复 习 整 个 过 程 ， 我 们 注 意 到 ： 1 、 z i p 对 定 界 符 不 敏 感 ， 图 片 对 定 界 符 敏 感 ， 只 要 弄 明 白 这 个 ， 不 论 那 种 方 法 都 可 以 还 原 文 件 。 2 、 Z i p 压 缩 包 是 真 实 存 在 的 ， 而 包 含 答 案 图 片 却 是 以 对 应 的 十 六 进 制 以 t e x t 传 输 的 。 3 、 题 目 是 菜 刀 6 6 6 ， 回 溯 整 个 流 量 ， 是 先 访 问 了 1 . p h p ， 最 后 服 务 器 返 回 了 拿 站 期 间 的 一 句 话 木 马 ， 图 片 是
k a l i 的 ， 怪 不 得 报 文 里 面 有 k a l i 相 关 的 d e b 文 件 ， 然 而 这 一 切 都 是 干 扰 报 文 ， 真 正 重 要 的 还 是 那 个 z i p 以 及 p a s s w o r d 图 片 。 4 、 报 文 大 多 数 是 一 次 不 能 传 输 ， 分 割 为 好 多 分 片 的 ， 但 事 实 上 我 们 只 要 分 析 其 中 一 个 分 片 ， 分 析 其 中 一 个 分 片 ， w i r e s h a r k 会 会 自 动 帮 我 们 把 其 它 分 片 组 合 到 一 起 自 动 帮 我 们 把 其 它 分 片 组 合 到 一 起 ， 所 以 我 们 能 看 到 分 片 ， 但 分 析 时 是 感 觉 不 到 的 。 我 们 这 次 介 绍 的 知 识 点 ： 1 、 怎 样 分 析 流 量 ， 追 踪 流 。 2 、 怎 样 解 码 b a s e 6 4 、 u r l 。 3 、 两 种 流 量 中 提 取 文 件 的 方 法 。 4 、 z i p 压 缩 包 以 及 j p g 图 片 文 件 的 文 件 标 识 符 ， 以 及 是 否 对 定 界 符 敏 感 。 5 、 用 w i n h e x 还 原 保 存 流 量 中 的 文 件 。 文 章 中 如 有 谬 误 ， 或 还 有 其 他 疑 问 ， 或 者 你 还 有 更 多 的 思 路 ， 请 在 评 论 中 留 言 ， 欢 迎 交 流 。 * 本 文 原 创 作 者 ： 康 康 你 秋 裤 穿 反 啦 ， 属 于 本 文 原 创 作 者 ： 康 康 你 秋 裤 穿 反 啦 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理