搜索

[13591] 2018-12-29_浅谈读取USB键盘流量的隐藏数据技巧

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-29_浅谈读取USB键盘流量的隐藏数据技巧 浅 谈 读 取 U S B 键 盘 流 量 的 隐 藏 数 据 技 巧 o h h a t m y   F r e e B u f   2 0 1 8 - 1 2 - 2 9 0 × 0 0   预 备 预 备 w i r e s h a r k 是 一 款 可 以 用 来 抓 取 流 量 的 工 具 ， 可 以 用 它 来 分 析 流 量 ， 从 中 发 现 黑 客 所 做 的 记 录 和 改 动 ， 对 我 们 分 是 一 款 可 以 用 来 抓 取 流 量 的 工 具 ， 可 以 用 它 来 分 析 流 量 ， 从 中 发 现 黑 客 所 做 的 记 录 和 改 动 ， 对 我 们 分 析 被 攻 击 情 况 和 进 行 防 御 有 很 大 的 帮 助 ， 析 被 攻 击 情 况 和 进 行 防 御 有 很 大 的 帮 助 ， u s b k e y b o a r d 可 以 隐 藏 一 些 信 息 ， 通 常 ， 我 们 可 以 使 用 以 上 工 具 和 方 法 可 以 隐 藏 一 些 信 息 ， 通 常 ， 我 们 可 以 使 用 以 上 工 具 和 方 法 从 中 发 现 一 些 隐 藏 信 息 。 从 中 发 现 一 些 隐 藏 信 息 。 0 × 0 1   数 据 准 备 数 据 准 备 假 设 有 一 段 流 量 ， 协 议 是 u s b ， 我 用 w i r e s h a r p 打 开 这 个 包 ， 可 以 看 到 里 面 的 字 段 和 内 容 ： 可 以 看 出 内 容 主 要 是 L e f t o v e r   C a p t u r e   D a t a ， 首 先 要 对 u s b 协 议 进 行 分 析 ， 右 键 选 项 ， 然 后 点 击 应 用 为 列 ， 可 以 将 该 域 的 值 在 主 面 板 上 显 示 ， u s b k e y b o r a d 的 数 据 包 数 据 长 度 为 8 个 字 节 ， 每 两 位 是 一 个 字 节 ， 而 按 键 的 数 据 都 在 第 三 个 字 节 处 ， 就 是 0 0 、 0 1 、 0 2 、 0 3 … 1 1 、 1 2 、 1 3 、 1 4 ， 键 位 和 H E X 数 值 之 间 的 对 应 关 系 如 下 图 所 示 ：
要 提 取 出 来 这 些 数 据 以 进 行 分 析 ， 就 需 要 使 用 工 具 和 脚 本 来 对 这 些 数 据 进 行 处 理 ， 以 下 是 实 现 方 法 。 0 × 0 2   实 现 实 现 首 先 ， 我 们 需 要 使 用 到 w i r e s h a r k 里 的 工 具 t s h a r k ， 这 是 w i r e s h a r k 工 具 的 命 令 行 程 序 ， 效 率 更 高 ， 如 果 是 l i n u x 系 统 ， 则 需 要 安 装 t s h a r k 包 ， 安 装 完 之 后 就 执 行 t s h a r k 命 令 ， 如 果 是 w i n d o w s 则 直 接 安 装 w i r e s h a r k ， 里 面 自 带 了 t s h a r k 程 序 ， 可 以 直 接 执 行 。 然 后 执 行 ： 这 样 ， 就 生 成 了 一 个 u s b . d a t a 文 件 ， 这 个 文 件 就 是 t s h a r k 对 u s b . p c a p 流 量 包 内 数 据 的 截 取 ， 其 实 就 是 个 t x t 文 档 ， 可 以 直 接 查 看 。 当 我 们 用 文 本 文 档 打 开 查 看 的 时 候 ： 发 现 里 面 的 数 据 就 是 原 来 L e f t o v e r   C a p t u r e   D a t a 列 的 数 据 ， 这 列 数 据 就 是 u s b 键 盘 键 位 的 代 码 ， 可 以 对 这 列 数 据 进 行 处 理 ， 过 滤 掉 无 用 的 流 量 ， 保 留 与 键 位 有 关 的 流 量 ， 也 就 是 第 三 个 字 节 的 数 据 ， 精 简 一 下 。 " t s h a r k . e x e "   - r   u s b . P c a p   - T   f i e l d s   - e   u s b . c a p d a t a   >   u s b . d a t a
将 以 上 p y t h o n 脚 本 保 存 为 一 个 文 件 ， 然 后 执 行 ： 打 开 这 个 t x t 文 件 ， 发 现 里 面 有 一 段 由 数 字 组 成 的 字 段 ， 很 长 ， 这 就 是 我 们 需 要 的 数 据 ： 将 这 段 字 段 拷 贝 出 来 ， 然 后 扔 到 0 1 0 e d i t o r 当 中 ：
发 现 这 段 字 段 很 像 一 种 文 件 格 式 ， 就 是 z i p 压 缩 包 格 式 ， 因 为 它 的 开 头 是 5 0 4 B , 也 就 是 P K ， 而 P K 这 个 文 件 头 就 是 压 缩 包 的 头 ， 所 以 我 们 可 以 把 这 段 字 段 保 存 为 z i p 压 缩 包 格 式 ： 保 存 之 后 ， 就 直 接 打 开 这 个 压 缩 包 ， 看 到 里 面 有 个 文 件 ， 叫 f l a g . t x t ： 再 点 击 打 开 ， 发 现 没 有 密 码 ， 直 接 就 打 开 了 ， 里 面 是 隐 藏 的 数 据 。 0 × 0 3   E N D 有 时 候 不 仅 仅 是 在 键 位 编 码 当 中 ， 也 可 能 在 u s b 鼠 标 坐 标 里 ， 也 是 需 要 先 用 t s h a r k 抽 取 鼠 标 坐 标 数 据 信 息 ， 再 运 用 p y t h o n 强 大 的 作 图 功 能 对 坐 标 数 据 进 行 绘 制 ， 以 得 到 图 形 化 隐 藏 数 据 。 * 本 文 作 者 ： 本 文 作 者 ： o h h a t m y ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理