搜索

[13825] 2019-03-04_你可能没见过的流量取证

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-03-04_你可能没见过的流量取证 你 可 能 没 见 过 的 流 量 取 证 Y a l e 1 0 2 4   F r e e B u f   2 0 1 9 - 0 3 - 0 4 0 x 0 1   前 言 前 言 还 有 半 年 就 毕 业 了 ， 这 段 时 间 看 自 己 的 小 本 本 ， 整 理 出 之 前 练 习 过 的 一 些 经 典 的 还 有 半 年 就 毕 业 了 ， 这 段 时 间 看 自 己 的 小 本 本 ， 整 理 出 之 前 练 习 过 的 一 些 经 典 的 C T F 题 目 ， 希 望 现 在 的 萌 新 能 题 目 ， 希 望 现 在 的 萌 新 能 通 过 练 习 这 些 题 目 事 半 功 倍 ， 更 好 地 提 升 技 术 水 平 。 本 文 包 括 一 共 通 过 练 习 这 些 题 目 事 半 功 倍 ， 更 好 地 提 升 技 术 水 平 。 本 文 包 括 一 共 4 个 题 目 ， 是 流 量 取 证 方 向 ， 针 对 的 是 个 题 目 ， 是 流 量 取 证 方 向 ， 针 对 的 是 C T F 中 比 较 少 见 的 一 些 协 议 ， 比 如 键 盘 、 鼠 标 、 无 线 、 蓝 牙 、 自 定 义 的 私 有 协 议 等 等 。 中 比 较 少 见 的 一 些 协 议 ， 比 如 键 盘 、 鼠 标 、 无 线 、 蓝 牙 、 自 定 义 的 私 有 协 议 等 等 。 0 x 0 2 2 0 1 6 年 谷 歌 C T F 一 道 2 0 0 分 的 题 目 ， 针 对 的 是 U S B 鼠 标 的 流 量 分 析 。 这 类 题 目 在 这 几 年 不 时 被 国 内 的 出 题 人 借 鉴 ， 不 过 本 质 还 是 掌 握 了 几 条 关 键 的 命 令 ， 之 后 都 能 秒 f l a g ， 慢 慢 地 就 没 有 什 么 新 意 了 。 但 是 初 学 w i r e s h a r k 或 者 流 量 分 析 的 萌 新 而 言 还 是 比 较 有 意 思 的 。 题 目 只 给 了 数 据 包 没 有 其 他 提 示 ： 使 用 w i r e s h a r k 打 开 可 以 看 到 都 是 u s b 协 议 。 在 第 8 6 条 可 以 看 到 d e v i c e d e s c r i p t o r 。 展 开 查 看 细 节 会 发 现 这 是 罗 技 的 一 款 鼠 标 。
从 第 9 8 条 开 始 往 下 可 以 看 到 “ U S B I n t e r r u p t ” 并 且 这 些 数 据 包 具 有 一 些 数 据 。 我 们 推 测 这 是 鼠 标 移 动 过 程 中 ， 通 过 中 断 获 取 位 置 信 息 ， 怎 么 判 断 出 是 位 置 信 息 呢 ？ 看 下 面 几 张 连 续 的 图 就 明 白 了 ： 我 们 知 道 采 集 二 维 的 数 据 ， 只 需 x , y 坐 标 就 可 以 了 ， 上 面 的 几 张 截 图 都 是 x , y 交 替 着 采 集 ， 至 于 数 据 ， 则 在 l e f t o v e r c a p t u r e   d a t a 中 变 化 着 。 使 用 t s h a r k 从 p c a p - n g 文 件 中 提 取 了 鼠 标 的 数 据 。
数 据 量 比 较 大 ， 看 最 后 1 0 行 稍 微 验 证 一 下 ： 观 察 数 据 的 变 化 ， 推 测 第 二 个 、 第 三 个 字 节 即 坐 标 变 化 ， 所 以 使 用 a w k 命 令 将 其 转 换 为 坐 标 ： 查 看 后 1 0 行 转 换 出 的 数 据 ： 有 了 数 据 之 后 就 可 以 使 用 G n u P l o t 来 绘 图 了 。 导 入 坐 标 所 在 的 文 件 即 可 。 生 成 的 图 像 可 以 看 到 C T F 字 样 ， 不 过 不 太 正 常 ： 镜 像 变 化 下 即 可 ， 变 化 后 得 到 f l a g 。 0 x 0 3 H a c k I T   2 0 1 7 的 一 道 题 目 ， 也 是 考 U S B 的 一 道 题 目 ， 不 过 这 次 是 针 对 键 盘 的 ， 而 且 结 题 需 要 参 考 U S B 键 盘 编 码 解 码 的 规 范 ， 算 是 在 流 量 取 证 的 基 础 上 加 上 了 对 新 知 识 的 获 取 、 分 析 、 利 用 的 能 力 ， 以 及 考 察 快 速 编 写 脚 本 的 能 力 。 使 用 w i r e s h a r k 打 开 数 据 包 ， 发 现 还 是 一 道 U S B 的 题 ：
在 第 2 8 7 条 可 以 推 测 出 这 是 采 集 键 盘 输 入 的 数 据 ： 该 文 件 非 常 小 ， 大 多 数 是 对 按 键 进 行 编 码 的 U S B _ I N T E R R U P T 事 件 。 和 上 一 题 类 似 的 思 路 ， 可 以 先 把 L e f t o v e r   C a p t u r e   D a t a 提 取 出 来 。 使 用 下 图 的 命 令 ： 得 到 的 数 据 类 似 下 图 ： 这 些 数 据 该 如 何 解 析 呢 ？
查 阅 U S B 规 范 ， 下 图 的 表 格 向 我 们 展 示 了 如 何 解 码 各 个 键 ： 从 图 中 可 以 知 道 A 被 编 码 为 0 x 0 4 ， 以 此 类 推 。 知 道 了 编 码 规 律 之 后 就 可 以 写 脚 本 了 ： 输 出 的 结 果 可 能 会 有 多 种 排 列 ， 在 其 中 找 到 f l a g 就 可 以 了 。 0 x 0 4 s u - c t f   2 0 1 6 的 一 道 题 目 ， 题 目 本 身 并 不 难 ， 但 是 做 习 惯 了 T C P 的 p r o t o c o l 的 题 目 后 碰 到 8 0 2 . 1 1 可 能 会 有 些 懵 ， 其 实 本 质 都 是 一 样 的 ， 拿 到 f l a g 要 求 能 够 意 识 到 8 0 2 . 1 1 无 线 协 议 的 关 键 - 路 由 器 ， 进 一 步 进 行 文 件 导 出 、 解 密 等 ， 这 道 题 目 还 有 种 解 法 是 使 用 a i r c r a c k 进 行 破 解 ， 有 兴 趣 的 童 鞋 可 以 自 行 尝 试 。 典 型 处 理 方 法 如 下 ：
同 样 ， 先 使 用 w i r e s h a r k 打 开 数 据 包 ， 看 到 很 多 T P - L I N k 的 流 量 ， 推 测 这 是 无 线 流 量 。 8 0 2 . 1 1 不 是 很 熟 悉 ， 不 如 先 过 滤 出 t c p 协 议 来 分 析 。 选 中 一 条 t c p 的 ， 然 后 跟 踪 t c p 流 ， 可 以 看 到 通 过 G E T 命 令 请 求 名 为 r o m - 0 的 文 件 , 左 上 角 导 出 h t t p 对 象 保 存 即 得 到 r o m - 0 。 在 上 面 的 图 中 注 意 到 特 殊 字 符 串 H d b g a r e a 。 搜 索 引 擎 查 一 下 ： 第 一 条 和 路 由 器 相 关 ： 点 击 下 载 链 接 下 载 后 即 可 使 用 ： 解 密 后 得 到 密 码 为 R o m e 4 0 4 0 。
在 w i r e s h a r k 中 ， 依 次 E d i t - > P r e f e r e n c e s - > P r o t o c o l s - > I E E E 8 0 2 . 1 1   - >   D e c r y p t i o n   K e y s   - >   N e w   - >   W P A - P W D ， 输 入 密 码 ： 点 击 o k 后 ， 有 很 多 数 据 流 就 被 解 密 。 有 很 多 G E T ， 但 是 只 有 一 个 P O S T ， 去 看 看 这 个 P O S T 。 在 报 文 里 就 找 到 了 f l a g 。 0 x 0 5 H I T C O N   2 0 1 8 的 一 道 题 目 ， 这 道 题 目 比 较 新 颖 ， 而 且 有 趣 ， 容 易 把 赛 棍 往 弯 路 上 个 带 ， 会 花 大 量 时 间 尝 试 隐 写 这 一 块 的 技 术 ， d d 、 s t e g o , b i n w a l k , f o r e m o s t 等 往 上 怼 ， 后 来 才 意 识 到 题 目 考 察 的 自 定 义 的 私 有 协 议 ， 非 常 有 特 点 ， 算 是 考 察 到 了 流 量 分 析 的 本 质 ， 而 且 考 察 选 手 的 读 写 代 码 能 力 ， 对 选 手 综 合 素 质 要 求 比 较 高 。 题 目 给 的 是 一 个 压 缩 文 件 。 解 压 ：
解 压 后 得 到 两 个 文 件 。 图 片 长 这 样 ： 还 有 个 p k l g 文 件 ， 可 以 使 用 w i r e s h a r k 打 开 。 p c a p 显 示 蓝 牙 流 量 ， w i r e s h a r k 识 别 出 了 H C I _ E V T 、 R F C O M M 等 协 议 。 等 没 听 说 过 ， 咋 整 啊 。 最 开 始 解 压 拿 到 图 片 的 时 候 ， 按 照 隐 写 术 的 办 法 分 析 ， 什 么 都 没 找 到 ， 现 在 再 次 回 过 头 来 ， 看 到 了 ” l e g o ” ， e m m m ， 乐 高 积 木 ， 不 像 提 示 ， E V 3 ？ 去 搜 索 引 擎 查 一 下 ： 第 一 条 就 很 符 合 题 意 ~ 再 加 上 关 键 词 w i r e s h a r k 试 试 ：
第 一 条 是 g i t h u b 上 的 一 个 工 具 ~ 赛 棍 的 多 年 经 验 告 诉 我 们 ， 这 可 能 是 用 于 帮 助 w i r e s h a r k 解 析 某 些 私 有 协 议 用 的 一 个 工 具 。 看 人 家 的 描 述 果 然 如 此 ： 按 照 说 明 ， 通 过 命 令 行 相 应 加 载 解 析 器 ， 然 后 使 用 w i r e s h a r k 打 开 之 前 的 数 据 包 。 此 时 再 用 e v 3 进 行 过 滤 ： E V 3 的 报 文 如 下 ：
有 好 几 个 参 数 ， 这 些 参 数 代 表 什 么 意 思 呢 ？ 由 于 这 是 一 个 私 有 协 议 ， 我 们 需 要 去 实 现 它 的 源 码 里 去 找 定 义 。 还 记 得 第 一 次 搜 索 引 擎 找 到 的 m i n d s t o r m 吗 ， 在 源 码 里 我 们 找 到 ： 现 在 我 们 知 道 了 第 二 个 参 数 是 x 坐 标 ， 第 三 个 是 y 坐 标 ， 第 四 个 是 我 们 的 字 符 。   那 么 我 们 就 可 以 一 条 条 地 根 据 这 个 跟 着 解 析 信 息 了 ， 刀 耕 火 种 太 慢 ， 直 接 上 脚 本 吧 。 在 此 之 前 需 要 把 数 据 导 出 为 j s o n 格 式 ： 关 键 片 段 ， 按 照 参 数 定 义 进 行 解 析 ： 运 行 即 得 到 f l a g 了 。 0 x 0 6   后 记 后 记 在 C T F 比 赛 中 划 水 划 了 两 年 ， 也 就 在 萌 新 前 打 肿 脸 充 胖 子 ， 本 文 主 要 面 向 萌 新 以 及 对 流 量 取 证 感 兴 趣 的 师 傅 们 ， 望 各 位 大 佬 轻 喷 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理