流量分析的学习

1 某公司内网网络被黑客渗透，请分析流量，给出黑客使用的扫描器

2 某公司内网网络被黑客渗透，请分析流量，得到黑客扫描到的登陆后台是(相对路径即可)

3 某公司内网网络被黑客渗透，请分析流量，得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

4 某公司内网网络被黑客渗透，请分析流量，得到黑客上传的webshell文件名是，内容是什么,提交webshell内容的base编码

5 某公司内网网络被黑客渗透，请分析流量，黑客在robots.txt中找到的flag是什么

6 某公司内网网络被黑客渗透，请分析流量，黑客找到的数据库密码是多少
7 某公司内网网络被黑客渗透，请分析流量，黑客在数据库中找到的hash_code是什么

8 某公司内网网络被黑客渗透，请分析流量，黑客破解了账号ijnu@test.com得到的密码是什么

9 某公司内网网络被黑客渗透，请分析流量，被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip

10 某公司内网网络被黑客渗透，请分析流量，黑客使用了什么账号登陆了mail系统（形式: username/password）

11某公司内网网络被黑客渗透，请分析流量，黑客获得的vpn的ip是多少

1.扫描器

常见的WEB扫描器有Awvs,Netsparker, Appscan, Webinspect, Rsas,Nessus, WebReaver, Sqlmap。有的CTF题会考察攻击者使用的是哪一种扫描器，所以在做这类题之前，先要了解各个扫描器所含的特征。

先按协议类型排序分类

稍微筛选一下，就能看见相关的信息，发现有acunetix的特征

为了验证猜想，这里使用http contains "acunetix" 或者 http contains "wvs"

找到了很多相关的信息

所以基本可以确认黑客所使用的扫描器就是awvs

2.登录后台

常见后台地址

admin

manager

login

system

尝试去直接直接过滤地址 http contains “admin” 

我们就会发现 登陆的尝试字段admin/login.php?rec=login

其次我们可以从登录后台的方法去判断

登录后台的方法无非就两种 post和get

因为get的方法不安全 在提交url的时候会有问题

所以第一步，基本可以确定登录后台的方法百分之99就是POST方法

这里我们使用 http.request.method==”POST”  POST大写

 我们依然可看到他的登录地址是admin

如果还不确定

所以我们下一步就是去追踪tcp流 我们只要看到302重定向，就表示登录成功了

        或者说，如果黑客要攻击后台，一定会去请求,web出现大量的404 Not Found 而且是从黑客ip发现请求，所以我们也可以选择筛选，从前两题分析得到的黑客的IP地址，以及含有404的记录

ip.addr==192.168.32.189(黑客ip)&&http contains "404"

经过分析，可以得到对应的后台地址/admin/login.php?rec=login​

3.账号密码

        这里的思路也很简单，当黑客扫描到后台登陆页面时，肯定会先使用万能密码和弱口令进行尝试，而登陆页面一般都是​​POST​​请求，万能密码和弱口令一般都是含有​​admin​​的，而且登陆页面一般是有​​login​​这个关键字的，所以可以利用这些进行过滤

         筛选结束以后，可以看到大量的爆破账号密码的记录，按照经验而言，一般最后得到的流量信息就是，最后成功爆破出来的账号密码

        到最后，可以发现，有两个IP是成功登录的，192.168.94.59和192.168.94.233，从记录以及内容都可以分析得到，黑客的ip为192.168.94.59，而且后面该ip，使用该密码，进行了一系列改密码夺权的操作

        所以，可以确定账号密码为password=g00dPa$$w0rD&user_name=klwuqlfj

4.webshell上传

        这里的思路就是，上传webshell的方式大部分都是POST，get传参风险比较大，而且尝试过滤eval，system,assert等关键字。

        通过过滤发现，在image的目录下，多了一个a.php文件是比较可疑的，追踪流可以发现，其中含有类似一句话木马的内容

        而且后面有一段base64解码的内容，通过删掉一些url编码的内容以后，可以看见，很大概率，这个a.php就是webshell。而且很明显可以知道，这里的1234就是传入的参数，而且eval为执行函数，尝试检索木马前缀。

        没有，那这里就考虑换个协议看看

       在第一个里面追踪tcp流找到了对应的木马内容

base64编码以后如下

 5.在robots.txt 找flag

        很简单，直接检索robot.txt,追踪流

flag:87b7cb79481f317bde90c116cf36084

也可以选择导出文本对象，把robots.txt导出来来查看flag

6.数据库密码

        找数据库密码就涉及到三个关键字，分别是​​mysql、database、password​​,可以通过这几个关键字来进行查询。直接过滤http数据包，查看数据包的末尾，如果数据库登陆成功，那么http响应码应该为200，逐一查看响应码为200的数据包，即可找到数据库密码

        输入命令 http contains "database"&&http.response.code==200（这个流量只有一条）

        定位到了这个http流量

答案为：e667jUPvJjXHvEUv

7.hash_code

        在上面的一题里面得到了较为关键的信息，就是，数据库的ip

        所以这里先选择筛选一下关键字和这个ip

mysql contains "hash_code" && ip.src==10.3.3.101

        没什么技巧之类的，只能是多搓几个包

最后通过筛选得到这个内容

8.ijnu@test.com得到的密码

也挺简单的，直接在tcp协议中过滤这个，然后分组详情查询，得到相关的md5值

解密

得到答案，密码为：edc123!@#

9.网卡内网ip

        网卡问题 ， 就是eth0 eth1 ens33 lo 等等这些网络接口，所以进行关键字搜索tcp contains “eth0”

        找到了内网ip和外网ip：192.168.32.189（外），10.3.3.100（内）

   eth0, eth1, ens33, lo 是不同的网络接口名称，它们用于标识计算机上的网络接口。不同的操作系统和不同版本的Linux可能使用不同的命名规则来标识这些接口。

网络接口名称解释

1. eth0 和 eth1

   • eth0 和 eth1 是传统的网络接口名称，通常用于表示以太网接口。
   • 在较早的Linux发行版中，网络接口通常按照这种方式命名。eth0 表示第一个以太网接口，eth1 表示第二个以太网接口，依此类推。
   • 这种命名方式被称为 传统接口命名。

2. ens33

   • ens33 是一种新的网络接口命名规则，称为 “一致性网络接口命名”（Predictable Network Interface Names）。这种命名规则由系统d（systemd）引入，用于提供更一致和稳定的接口名称。
   • 在这种规则下，接口名称通常包括一个前缀（如 ens 表示以太网接口），后跟一个数字或其他标识符。ens33 中的 33 可能指示接口的特定设备路径或其他硬件相关信息。

3. lo

   • lo 是 回环接口（Loopback Interface） 的名称。回环接口用于计算机内部的网络通信，通常指 127.0.0.1 地址。
   • 这个接口用于在计算机内部进行网络请求和测试，即使在没有物理网络连接的情况下，计算机也能通过 lo 接口进行网络通信。
   • 这个接口的IP地址范围是 127.0.0.0/8，最常用的是 127.0.0.1。

接口名称的变化

在较新的Linux发行版中，系统可能使用 一致性网络接口命名（Predictable Network Interface Names），以替代传统的 eth0, eth1 等命名。这种命名方式基于硬件的固件信息或系统配置，以提供更加稳定和可预测的网络接口名称。例如：

• enp0s3：表示一个以太网接口，其中 en 表示以太网（Ethernet），p0s3 表示硬件位置（例如 PCI 总线 0, 槽 3）。
• wlp2s0：表示一个无线接口，其中 wl 表示无线（Wireless），p2s0 表示硬件位置（例如 PCI 总线 2, 槽 0）。

使用和配置

• 查看网络接口：在Linux系统中，可以使用 ip a 或 ifconfig 命令来查看所有网络接口及其状态。

• 配置网络接口：配置网络接口通常涉及编辑网络配置文件或使用网络管理工具。例如，在 Ubuntu 上，可以使用 netplan 工具配置网络接口，而在 CentOS 上，通常使用 network-scripts。

 10.登录mail系统的账号

        既然要筛选黑客登录的mail系统的账号，还是选择先过滤post请求和关于“mail”的信息

        在筛选出来的流量包中，密码显示的是被加密以后的结果，而且在尝试以后发现并不是base64，而是AES

AES加密算法原理的详细介绍与实现-CSDN博客

        那么这里的思路就是通过查找黑客进行了大量爆破以及尝试的记录里面去找密码的加密函数。还是要重新过滤到服务器返回的信息里面去找，找状态码为200的记录中去找服务器返回的信息。

        取出来发现是AES的CBC加密，填充格式为ZeroPadding，密钥为字符串1234567812345678的hash值，偏移量为1234567812345678

Var key_hash = CryptoJS.MD5('1234567812345678');

var key = CryptoJS.enc.Utf8.parse(key_hash);

var iv  = CryptoJS.enc.Utf8.parse('1234567812345678');

form.password.value = CryptoJS.AES.encrypt(form.password.value, key, { iv: iv,mode:CryptoJS.mode.CBC,padding:CryptoJS.pad.ZeroPadding});

        在下一次的数据请求中，发现登录用户还是wenwenni

        因为这个用户刚刚推出，所以猜测是使用cookie登录的，查看一下返回数据44号中出现{"success":true}，代表登陆成功。         

        在42号数据请求中，发现登录用户为wenwenni，再查看一下返回数据44号中出现{“success”:true}，代表登陆成功。

(http contains "{\"success\":true}" or http.request.method=="POST") and ip.addr==192.168.94.59

        从后往前看，18152是登陆成功的返回结果，对应的17126则应该就是正确的加密后的密码

        1234567812345678的hash加密MD5值为d959caadac9b13dcb3e609440135cf54

        在线aes解密

得到了密码：admin!@#PASS123

账号为：admin

密码判断

 总结：

        流量分析是监控和评估网络流量的过程，目的是理解网络性能、检测异常行为和优化网络资源。主要内容包括：

1. 流量监控

   实时或定期检查网络流量，以检测网络带宽使用情况、流量峰值和带宽瓶颈。

2. 数据收集

   收集网络数据包、流量统计和日志。常用工具有 Wireshark、tcpdump 和网络流量分析器（如 NetFlow、sFlow）。

3. 流量分析

   • 流量分类：根据应用、协议或IP地址对流量进行分类。
   • 异常检测：识别异常流量模式或潜在的安全威胁。
   • 性能评估：分析延迟、丢包率和吞吐量等网络性能指标。

4. 报告和可视化

   使用图表和报告展示流量趋势、带宽使用和网络健康状况。工具如 Grafana、Nagios 和 SolarWinds 常用于可视化。

5. 优化和调整

   根据分析结果调整网络配置、带宽分配和负载均衡策略，以提高网络性能和可靠性。