http://metasploit.lofter.com/post/d9d60_89a1f47

第一波刷题资料来源在上面链接，有pcap文件提供下载以及wp


A：Pwnium 2014 USB if for fun

工具strings：

涨姿势：用wireshark的搜索：


自动跳到了902号帧，也看到了flag


B：passwd.pcap

先用strings找到想要的字符串

然后追踪TCP流

以hex形式打开：

查询一下，0x7f是del删除，0x0d是回车

所以密码是：backd00Rmate

这里很奇怪的是：看到了帐户名和密码，但是显示的是incorrect啊~为啥会是对的呢

但是换了种姿势：去字符串列表里搜索Password，找到了43号帧，追踪TCP流发现的还是这个东西，所以~~~


C：ISF2014 Chopper

文件很小就8K，帧也不多，感觉应该还是相同套路可以操作的题

一样的想法：搜索ISG2014，x.tar.gz

发现在追踪：tcp.stream eq 3可以发现文件的传送

发现下面的就是数据，还是要以原始数据来保存为二进制文件

然后注意文件头标志：

所以，*.tar.gz的文件头标记为1F 8B 08，根据这个来恢复文件，最后得到flag

ISG{China_Ch0pper_Is_A_Slick_Little_Webshe11}


D：SCTF Misc400a

文件很大，需要将字符串导出到文件来分析，搜索后发现存在字符串：wwwroot.rar

在搜索中发现：有很多个相同字符串，那怎么判断是哪一个tcp流呢

选择：Statistics -> Conversations

选择到TCP，看到有一个Bytes特别大的，那当然可能是文件传送

选择Follow Stream，就找到了我们需要的东西：

标准rar的文件头，抠出来

打开发现需要提供密码，那么在之前的TCP流中肯定会协商密码

在Stream 19中，看到了1.gif

在Stream 18中，看到了RAR字头

看到了base64_decode，把这段字符串扣下来，先urldecode，再base64decode，可以看到：

密码就是JJBoom，成功打开了rar文件，解压发现了1.gif（这个文件还是有点问题打不开哈哈哈）

（这个Stream 18，19也就是一个一个尝试出来的，因为从21倒着往前数，也没几个数，而且有很多有问题的不完全的TCP流，一个一个验证，即可打开压缩包）


E：misc_fly

在strings中可以看到gif，jpg等文件格式，然后可以发现是QQ邮箱的数据发送记录

在tcp.stream eq 15中，发现了gif文件

但是恢复出来不对，打不开

这个抠出来可以看到一个gif，意义不大，一般的CTF题最终还是要找到flag的


搜索字符串：fly.rar，可以找到这个

文件大小为525701bytes，之后有md5，sha加密检验


过滤POST请求，分析数据



在这里可以看到包的大小为131436，这5个包的大小为131416 * 4 + 1777 = 527441 > 525701，说明之前相同的附加数据为来回的通信数据

一开始因为wireshark版本问题看不到这些数据

文件 -> 导出对象 -> HTTP

根据刚才的分析，把这5个包保存下来，分别保存为1，2，3，4，5

然后需要处理头部并且合并

https://blog.csdn.net/ab748998806/article/details/46279849

linux下命令为：

dd if=1 bs=1 skip=364 of=1.1
dd if=2 bs=1 skip=364 of=2.1
dd if=3 bs=1 skip=364 of=3.1
dd if=4 bs=1 skip=364 of=4.1
dd if=5 bs=1 skip=364 of=5.1
cat  1.1  2.1  3.1  4.1  5.1  >  fly.rar
md5sum fly.rar

说明正确下载到了rar文件，接着解压rar文件的时候又有个新的坑：RAR伪加密，即：修改了文件的加密标志位，但是并没有加密，找到对应位置改回来

打开之后是：4d5a：MZ，有点像可执行文件啊

点开运行，好多好多flys啊！

说明flag以文件形式藏在这个可执行文件里了

用linux下工具：foremost

https://www.topjishu.com/5800.html

在生成的output文件夹中，发现了这个

扫描得到flag：flag{m1Sc_oxO2_Fly}