搜索

[12590] 2018-04-15_如何在CTF中少走弯路（基础篇）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-04-15_如何在CTF中少走弯路（基础篇） 如 何 在 C T F 中 少 走 弯 路 （ 基 础 篇 ） Y o k e e n   F r e e B u f   2 0 1 8 - 0 4 - 1 5 自 己 并 不 是 专 业 的 赛 棍 也 没 有 打 过 很 多 比 赛 ， 这 篇 文 章 是 自 己 在 自 己 并 不 是 专 业 的 赛 棍 也 没 有 打 过 很 多 比 赛 ， 这 篇 文 章 是 自 己 在 C T F 中 对 于 杂 项 这 块 知 识 学 习 的 小 结 ， 希 望 可 以 对 初 入 中 对 于 杂 项 这 块 知 识 学 习 的 小 结 ， 希 望 可 以 对 初 入 C T F 的 同 学 有 所 帮 助 ， 在 的 同 学 有 所 帮 助 ， 在 C T F 中 少 走 弯 路 从 而 更 快 的 提 升 自 中 少 走 弯 路 从 而 更 快 的 提 升 自 己 。 己 。 一 、 流 量 分 析 篇 一 、 流 量 分 析 篇 通 常 比 赛 中 会 提 供 一 个 包 含 流 量 数 据 的   P C A P   文 件 ， 有 时 候 也 会 需 要 选 手 们 先 进 行 修 复 或 重 构 传 输 文 件 后 ， 再 进 行 分 析 。 P C A P   这 一 块 作 为 重 点 考 察 方 向 ， 复 杂 的 地 方 在 于 数 据 包 里 充 满 着 大 量 无 关 的 流 量 信 息 ， 因 此 如 何 分 类 和 过 滤 数 据 是 参 赛 者 需 要 完 成 的 工 作 。 概 括 来 讲 在 比 赛 中 的 流 量 分 析 有 以 下 三 个 方 向 ： 概 括 来 讲 在 比 赛 中 的 流 量 分 析 有 以 下 三 个 方 向 ： 1 、 流 量 包 修 复 2 、 协 议 分 析 3 、 数 据 提 取 我 们 首 先 用 一 个 合 天 的 实 验 来 对 流 量 分 析 进 行 初 探 （ 我 们 首 先 用 一 个 合 天 的 实 验 来 对 流 量 分 析 进 行 初 探 （ w i r e s h a r k 之 文 件 还 原 ） 之 文 件 还 原 ） 场 景 ： 场 景 ： 黑 客 通 过 A R P 欺 骗 ， 使 用 w i r e s h a r k 获 取 了 整 个 局 域 网 内 的 流 量 信 息 ， 无 意 之 中 发 现 有 人 在 某 个 网 站 上 上 传 了 一 份 文 件 ， 但 是 他 不 知 道 怎 么 用 w i r e s h a r k 去 还 原 这 份 文 件 ， 所 以 将 监 听 的 数 据 报 保 存 了 一 份 w i r e s h a r k 监 听 记 录 ， 我 们 需 要 对 流 量 包 进 行 分 析 并 还 原 出 目 标 所 上 传 的 图 片 。 操 作 流 程 ： 操 作 流 程 ： 打 开 数 据 包 发 现 数 据 共 有 1 4 8 条 （ 算 很 少 了 ） 但 是 手 动 一 条 一 条 去 审 计 也 很 费 精 力 。 利 用 w i r e s h a r k 的 显 示 过 滤 功 能 ， 因 为 从 题 目 中 我 们 确 定 ， 上 传 时 候 访 问 的 是 网 站 ， 所 以 在 f i l t e r 中 输 入 h t t p ， 显 示 所 有 的 h t t p 协 议 数 据 包 ， 还 剩 下 3 2 个 通 过 分 析 我 们 发 现 在 末 尾 第 1 4 3 条 数 据 中 看 到 u p l o a d 关 键 词 的 p o s t 数 据 包 ， 从 而 怀 疑 这 条 就 是 涉 及 到 上 传 的 数 据 包 。
知 识 补 充 知 识 补 充 以 前 的 P O S T 方 式 是 不 支 持 传 送 文 件 的 ， 对 于 普 通 的 p o s t 来 说 ， 他 的 C o n t e n t - t y p e 是 a p p l i c a t i o n / x - w w w - f r o m - u r l e n c o d e ， 也 就 意 味 着 消 息 的 内 容 会 被 u r l 编 码 ， 但 是 后 来 支 持 传 送 文 件 ， 将 C o n t e n t - t y p e 扩 展 为 m u l t i p a r t / f o r m - d a t a ， 来 向 s e r v e r 发 送 二 进 制 数 据 ， 并 且 还 要 用 一 个 内 容 分 隔 符 来 分 割 数 据 ， b o u n d r y . 同 时 c h r o m e 和 i e 的 策 略 也 有 所 不 同 ， I E 是 传 送 完 整 的 路 径 ， 而 C h r o m e 只 传 送 文 件 名 。 如 果 拥 有 编 写 网 站 的 经 验 ， 就 会 知 道 上 传 文 件 提 交 可 以 使 用 一 个 p o s t 表 单 的 形 式 ， 所 以 也 可 以 使 用 显 示 过 滤 器 选 出 所 有 P O S T 方 法 提 交 的 数 据 包 （ h t t p . r e q u e s t . m e t h o d = = ” P O S T ” ） 通 过 对 这 个 数 据 包 进 行 分 析 ， 得 到 确 实 上 传 了 一 张 图 片 ， 文 件 名 为 b i n g o . p n g ， 同 时 由 于 文 件 较 大 ， T C P 协 议 对 其 进 行 了 切 片 ， 一 共 切 了 5 个 片 ， 点 击 各 个 F r a m e 可 以 看 到 每 个 包 中 的 内 容 。 其 实 在 这 一 步 我 们 就 可 以 直 接 将 其 中 图 片 的 十 六 进 制 数 据 进 行 复 制 ， 用 一 些 十 六 进 制 编 辑 器 （ 例 如 W i n h e x ） 写 入 其 中 保 存 为 b i n g o . p n g 就 可 以 了 （ 注 意 去 掉 不 该 有 的 数 据 。 ）
这 里 我 们 利 用 T C P 流 跟 踪 ， 对 这 个 会 话 进 行 完 整 分 析 。 有 两 个 数 据 包 ， 一 个 是 请 求 的 包 ， 一 个 是 响 应 的 包 ， 我 们 选 择 较 大 的 请 求 包 （ 因 为 里 边 包 含 原 始 图 片 信 息 ） ， 选 择 原 始 类 型 将 其 进 行 保 存 。
然 后 利 用 w i n h e x 将 其 打 开 ， 发 现 其 囊 括 了 整 个 H T T P 请 求 （ 包 括 请 求 所 用 的 头 部 以 及 所 P O S T 的 数 据 包 括 b o u n d a r y ） 这 里 就 不 用 原 实 验 中 的 方 法 了 因 为 较 为 麻 烦 ， 我 们 知 道 P N G 图 片 的 文 件 头 为 8 9   5 0   4 E   4 7 ， 所 以 直 接 在 w i n h e x 中 搜 索 十 六 进 制 数 据 ， 删 除 其 前 边 的 所 有 数 据 。
图 片 传 送 完 毕 还 有 其 相 关 的 尾 部 信 息 （ 可 在 刚 才 的 w i r e s h a r k 流 中 查 看 ） ， 也 对 其 进 行 删 除 操 作 最 后 将 其 命 名 为 b i n g o . p n g ， 打 开 图 片 得 到 k e y 。 现 在 我 们 来 对 在 比 赛 中 的 三 个 方 向 进 行 分 析 现 在 我 们 来 对 在 比 赛 中 的 三 个 方 向 进 行 分 析 1 、 流 量 包 修 复 、 流 量 包 修 复 比 如 一 个 流 量 包 它 的 文 件 头 也 是 对 的 ， 里 边 也 没 有 包 含 其 他 的 文 件 等 等 等 等 ， 但 是 就 是 打 开 出 现 一 些 未 知 的 错 误 ， 这 时 候 就 要 考 虑 对 流 量 包 进 行 修 复 。 这 类 题 目 考 察 较 少 ， 通 常 都 借 助 现 成 的 工 具 例 如 P C A P F I X 直 接 修 复 。 T o o l s : P c a p F i x   O n l i n e     h t t p s : / / f 0 0 l . d e / h a c k i n g / p c a p f i x . p h p P c a p F i x       h t t p s : / / g i t h u b . c o m / R u p 0 r t / p c a p f i x / t r e e / d e v e l 下 边 介 绍 流 量 包 几 个 常 见 的 块 ， 详 细 介 绍 可 以 看 ： h t t p : / / w w w . t c p d u m p . o r g / p c a p / p c a p . h t m l 一 般 文 件 结 构 一 般 文 件 结 构 常 见 块 常 见 块 S e c t i o n   H e a d e r   B l o c k （ 必 须 存 在 ） （ 必 须 存 在 ）
I n t e r f a c e   D e s c r i p t i o n   B l o c k （ 接 口 描 述 ， 必 须 存 在 ， 描 述 接 口 特 性 ） （ 接 口 描 述 ， 必 须 存 在 ， 描 述 接 口 特 性 ） P a c k e t   B l o c k （ 数 据 块 ） （ 数 据 块 ） 2 、 协 议 分 析 、 协 议 分 析 此 类 方 向 需 要 对 分 析 流 量 包 工 具 所 用 的 语 法 有 一 定 的 掌 握 ， 这 里 以 w i r e s h a r k 为 例 ， 须 掌 握 w i r e s h a r k 过 滤 器 （ 捕 捉 过 滤 器 与 显 示 过 滤 器 ） 的 基 础 语 法 ， 从 而 更 快 更 精 准 的 获 取 指 定 的 信 息 捕 捉 过 滤 器 ： 用 于 决 定 将 什 么 样 的 信 息 记 录 在 捕 捉 结 果 中 ， 需 要 在 开 始 捕 捉 前 设 置 。 显 示 过 滤 器 ： 用 于 在 捕 获 结 果 中 进 行 详 细 查 找 ， 可 以 在 得 到 捕 捉 结 果 后 进 行 更 改 捕 捉 过 滤 器 基 础 语 法 捕 捉 过 滤 器 基 础 语 法 P r o t o c o l 可 能 的 值 :   e t h e r ,   f d d i ,   i p ,   a r p ,   r a r p ,   d e c n e t , l a t ,   s c a ,   m o p r c ,   m o p d l ,   t c p   a n d   u d p ， 如 果 没 有 特 别 指 明 是 什 么 协 议 ， 则 默 认 使 用 所 有 支 持 的 协 议 。 D i r e c t i o n 可 能 的 值 :   s r c ,   d s t ,   s r c   a n d   d s t ,   s r c   o r   d s t ， 如 果 没 有 特 别 指 明 来 源 或 目 的 地 ， 则 默 认 使 用   “ s r c   o r   d s t ”   作 为 关 键 字 。 H o s t ( s ) 可 能 的 值 ：   n e t ,   p o r t , h o s t ,   p o r t r a n g e ， 如 果 没 有 指 定 此 值 ， 则 默 认 使 用 ” h o s t ” 关 键 字 。 例 如 ， ” s r c   1 0 . 1 . 1 . 1 ” 与 ” s r c   h o s t   1 0 . 1 . 1 . 1 ” 相 同 。 L o g i c a l   O p e r a t i o n s 可 能 的 值 ： n o t ,   a n d ,   o r 否 ( “ n o t ” ) 具 有 最 高 的 优 先 级 ， 或 ( “ o r ” ) 和 与 ( “ a n d ” ) 具 有 相 同 的 优 先 级 “ n o t   t c p   p o r t   3 1 2 8   a n d   t c p   p o r t 2 3 ” 与 ” ( n o t   t c p   p o r t   3 1 2 8 )   a n d   t c p   p o r t 2 3 ” 相 同 。 举 例 分 析 ： 举 例 分 析 ： t c p   d s t   p o r t   3 1 2 8                   / / 目 的 T C P 端 口 为 3 1 2 8 的 封 包 。 i p   s r c   h o s t   1 0 . 1 . 1 . 1           / / 来 源 I P 地 址 为 1 0 . 1 . 1 . 1 的 封 包 。 P r o t o c o l       D i r e c t i o n       H o s t ( s )         V a l u e       L o g i c a l O p e r a t i o n s         o t h e r   e x p r e s s i o n t c p                       d s t                       1 0 . 1 . 1 . 1           8 0             a n d           t c p   d s t   1 0 . 2 . 2 . 2         3 1 2 8
h o s t   1 0 . 1 . 2 . 3                                 / / 目 的 或 来 源 I P 地 址 为 1 0 . 1 . 2 . 3 的 封 包 。 s r c   p o r t r a n g e   2 0 0 0 - 2 5 0 0 / / 来 源 为 U D P 或 T C P ， 并 且 端 口 号 在 2 0 0 0 至 2 5 0 0 范 围 内 的 封 包 n o t   i c m p       / / 除 了 i c m p 以 外 的 所 有 封 包 。 显 示 过 滤 器 基 础 语 法 显 示 过 滤 器 基 础 语 法 P r o t o c o l 可 以 使 用 大 量 位 于 O S I 模 型 第 2 至 7 层 的 协 议 。 在 E x p r e s s i o n 中 可 以 看 到 ， 例 如 ， I P ， T C P ， D N S ， S S H S t r i n g 1 ， ， S t r i n g 2 可 选 择 显 示 过 滤 器 右 侧 表 达 式 ， 点 击 父 类 的 + 号 ， 然 后 查 看 其 子 类 C o m p a r i s o n   O e r a t o r s 可 以 使 用 六 种 比 较 运 算 符 L o g i c a l   E x p r e s s i o n s 举 例 举 例 s n m p   | |   d n s   | |   i c m p                         / / 显 示 S N M P 或 D N S 或 I C M P 封 包 i p . a d d r   = =   1 0 . 1 . 1 . 1                                 / / 显 示 源 或 目 的 I P 为 1 0 . 1 . 1 . 1 的 封 包 i p . s r c   ! =   1 0 . 1 . 2 . 3   a n d   i p . d s t ! = 1 0 . 4 . 5 . 6   / / 显 示 源 不 为 1 0 . 1 . 2 . 3 并 且 目 的 不 为 1 0 . 4 . 5 . 6 的 封 包 t c p . p o r t   = =   2 5                   / / 显 示 来 源 或 目 的 T C P 端 口 号 为 2 5 的 封 包 t c p . d p o r t   = =   2 5                   / / 显 示 目 的 T C P 端 口 号 为 2 5 的 封 包 如 果 过 滤 器 语 法 是 正 确 的 ， 表 达 式 背 景 为 绿 色 ， 否 则 为 红 色 如 果 过 滤 器 语 法 是 正 确 的 ， 表 达 式 背 景 为 绿 色 ， 否 则 为 红 色 前 文 中 的 w i r e s h a r k 文 件 还 原 就 可 以 说 是 一 个 很 基 础 的 数 据 包 流 量 分 析 。 3 、 数 据 提 取 、 数 据 提 取 这 一 块 是 流 量 包 中 另 一 个 重 点 ， 通 过 对 协 议 分 析 ， 找 到 题 目 的 关 键 点 ， 从 而 对 所 需 要 的 数 据 进 行 提 取 。 P r o t o c o l         S t r i n g 1   S t r i n g 2           C o m p a r i s o n O p e r a t o r         V a l u e       L o g i c a l   O p e r a t i o n s           o t h e r   e x p r e s s i o n
可 以 学 习 一 下 t s h a r k 的 使 用 。 t s h a r k 作 为 w i r e s h a r k 的 命 令 行 版 ， 高 效 快 捷 是 它 的 优 点 ， 配 合 其 余 命 令 行 工 具 ( a w k , g r e p ) 等 灵 活 使 用 ， 可 以 快 速 定 位 ， 提 取 数 据 从 而 省 去 了 繁 杂 的 脚 本 编 写 常 用 方 法 常 用 方 法 ： t s h a r k   – r   . p c a p   – Y   - T   f i e l d s   – e   |   *   >   d a t a 流 量 包 例 题 分 析 流 量 包 例 题 分 析 题 目 题 目 1 、 、 M I S C . r a r k e y 为 文 本 格 式 ， 你 找 得 到 吗 ？ 这 道 题 非 常 基 础 ， 一 般 也 是 我 拿 到 流 量 包 首 先 会 看 的 ， 既 然 要 找 的 文 本 格 式 ， 那 我 就 直 接 查 看 用 w i r e s h a r k 打 开 数 据 包 ， 在 文 件   - >   导 出 对 象 中 ， 选 择 H T T P 拉 到 最 下 方 ， 发 现 有 一 份 t x t 文 件 ， 选 中 并 s a v e ， 打 开 文 件 后 得 到 k e y   题 目 题 目 2 ： ： I S C C   M i s c   就 在 其 中 就 在 其 中 打 开 数 据 包 ， 简 单 分 析 一 下 ， a r p 寻 找 到 目 的 i p 的 M A C 地 址 进 行 通 信 ， T C P 三 次 握 手 ， 然 后 利 用 F T P 进 行 文 件 下 载 ， 我 们 来 追 踪 T C P 流
e q 是 等 于 的 意 思 ， 后 边 的 序 号 是 一 次 完 整 的 T C P 连 接 ， 依 次 更 改 直 到 我 们 想 要 的 内 容 看 到 有 个 p u b . k e y 还 有 其 他 一 些 文 件 ， 看 到 这 些 信 息 需 要 敏 感 一 点 ， 从 这 个 公 钥 自 然 联 想 到 私 钥 ， 私 钥 可 以 干 嘛 ？ 这 里 边 的 文 件 和 私 钥 有 什 么 关 系 ？ 难 道 是 被 加 密 的 文 件 要 用 私 钥 来 进 行 解 密 ？ 再 翻 一 翻 发 现 一 枚 私 钥 ， 应 该 确 定 是 需 要 使 用 密 钥 来 对 文 件 进 行 解 密 。 把 私 钥 复 制 出 去 ， 存 为 p r i v a t e . k e y ， 数 据 包 里 边 还 有 很 多 文 件 ， 我 们 用 b i n w a l k 查 看 一 下 看 有 没 有 是 否 可 以 提 取
发 现 一 个 压 缩 包 ， 里 边 有 一 个 k e y . t x t ， 我 们 使 用 f o r e m o s t 对 其 进 行 提 取 ， 并 解 压 出 这 个 k e y . t x t ， 但 是 打 印 发 现 里 边 的 数 据 是 乱 码 ， 大 可 能 是 被 加 密 了 ？ 然 后 使 用 o p e n s s l 对 其 进 行 解 密 成 功 得 到 f l a g 。 o p e n s s l   的 使 用 的 使 用 o p e n s s l 是 一 个 功 能 强 大 的 工 具 包 ， 它 集 成 了 众 多 密 码 算 法 及 实 用 工 具 。 我 们 即 可 以 利 用 它 提 供 的 命 令 台 工 具 生 成 密 钥 、 证 书 来 加 密 解 密 文 件 ， 也 可 以 在 利 用 其 提 供 的 A P I 接 口 在 代 码 中 对 传 输 信 息 进 行 加 密 。 O p e n s s l 的 简 单 使 用 ： 1 、 生 成 一 个 密 钥 、 生 成 一 个 密 钥 这 里 - o u t 指 定 生 成 文 件 的 。 需 要 注 意 的 是 这 个 文 件 包 含 了 公 钥 和 密 钥 两 部 分 公 钥 和 密 钥 两 部 分 ， 也 就 是 说 这 个 文 件 即 可 用 来 加 密 也 可 以 用 来 解 密 。 后 面 的 1 0 2 4 是 生 成 密 钥 的 长 度 。 2 、 提 取 文 件 中 的 公 钥 、 提 取 文 件 中 的 公 钥 - i n 指 定 输 入 文 件 ， - o u t 指 定 提 取 生 成 公 钥 的 文 件 名 。 至 此 ， 我 们 手 上 就 有 了 一 个 公 钥 ， 一 个 私 钥 （ 包 含 公 钥 ） 。 现 在 可 以 将 用 公 钥 来 加 密 文 件 了 。 3 、 在 目 录 中 创 建 一 个 、 在 目 录 中 创 建 一 个 h e l l o 的 文 本 文 件 ， 然 后 用 此 前 生 成 的 公 钥 加 密 文 件 的 文 本 文 件 ， 然 后 用 此 前 生 成 的 公 钥 加 密 文 件 - i n 指 定 要 加 密 的 文 件 ， - i n k e y 指 定 密 钥 ， - p u b i n 表 明 是 用 纯 公 钥 文 件 加 密 ， - o u t 为 加 密 后 的 文 件 4 、 解 密 文 件 、 解 密 文 件 - i n 指 定 要 加 密 的 文 件 ， - i n k e y 指 定 密 钥 ， - p u b i n 表 明 是 用 纯 公 钥 文 件 加 密 ， - o u t 为 加 密 后 的 文 件 。 题 目 题 目 3 ： ： G o o g l e - C T F - 2 0 1 6 ： ： a - c u t e - s t e g o s a u r u s - 1 0 0 h t t p s : / / g i t h u b . c o m / c t f s / w r i t e - u p s - 2 0 1 6 / t r e e / m a s t e r / g o o g l e - c t f - 2 0 1 6 / f o r e n s i c s / a - c u t e - s t e g o s a u r u s - 1 0 0 当 时 做 出 这 道 题 的 并 不 多 ， 全 球 只 有 2 6 支 队 伍 ， 给 我 我 也 不 会 做 ， 拿 过 来 咱 看 看 o p e n s s l   g e n r s a   - o u t   t e s t . k e y   1 0 2 4 o p e n s s l   r s a   - i n   t e s t . k e y   - p u b o u t   - o u t t e s t _ p u b . k e y o p e n s s l   r s a u t l   - e n c r y p t   - i n   h e l l o   - i n k e y t e s t _ p u b . k e y   - p u b i n   - o u t   h e l l o . e n o p e n s s l   r s a u t l   - d e c r y p t   - i n   h e l l o . e n   - i n k e y t e s t . k e y   - o u t   h e l l o . d e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理