记一次Webshell流量分析2 | 添柴不加火

目录

• 题目
  
• 流量分析
  

题目

这是一道ctf题目，只需要找到flag即可。
流量分析

首先打开流量包，协议分级，发现HTTP流占比较多

过滤HTTP流，大致看一下，发现上传了php文件

过滤POST请求

分析第一个HTTP流，发现一句话木马，典型的蚁剑流量

继续往下分析，解密蚁剑流量

继续分析，发现上传了一张图片，但是png头前面有其他字符，结尾也是，将其删除

找到其返回包，对text data进行“显示分组字节”操作，然后通过右下角的开始、结束进行删除多余字符串

删除之后，点击显示为“图像”

其实也可以写脚本删除多于字符并输出图像，脚本如下：
点击查看代码

1. with open('A:/下载/1.txt', 'rb') as f:
2.     data = f.read()
4. # 查找标识符位置（注意标识符在响应体中是以文本形式存在的，需处理编码）
5. # 响应体中的标识符是 "ebd5863dd2" 和 "20b0e2946"
6. start_marker = b'ebd5863dd2'
7. end_marker = b'20b0e2946'
9. start = data.find(start_marker) + len(start_marker)
10. end = data.find(end_marker, start)
12. if start != -1 and end != -1:
13.     png_data = data[start:end]
14.     with open('A:/下载/output.png', 'wb') as out:
15.         out.write(png_data)
16.     print("图片已保存为 output.png")
17. else:
18.     print("未找到标识符")

复制代码

得到密钥key

继续分析流量，发现最后有一个压缩包，将其导出并解密，得到flag

来源：程序园用户自行投稿发布，如果侵权，请联系站长删除
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！