玄机平台流量特征分析-waf 上的截取的黑客攻击流量

X] BiliBili：落寞的鱼丶[X] 公众号：鱼影安全[X] CSDN：落寞的魚丶[X] 知识星球：中职-高职-CTF竞赛[X] 信息安全评估(高职)、中职网络安全、金砖比赛、世界技能大赛省选拔选拔赛培训等欢迎师傅们交流学习~应急响应工程师小徐在 waf 上下载了一段黑客的攻击流量，请你分析黑客的攻击流量，并且找到对应的关键信息提供给应急小组协助修复漏洞这个数据包也比较简单，就是数据量比较大，所以我们要利用搜索功能还是要细心点！🆗我们下期见。

简介：应急响应工程师小徐在 waf 上下载了一段黑客的攻击流量，请你分析黑客的攻击流量，并且找到对应的关键信息提供给应急小组协助修复漏洞。

上面登录成功的序号是733517，那么我们直接看733517后来的数据包里面有什么信息，先过滤一下ip，只保留攻击者的ip。由于攻击者已经成功登录系统，那么我们直接看最后一条登录信息报文，攻击者传了什么参数。账号密码传参是使用了POST传参，那么我们就可以设置下一个筛选方案了。这种请求的，大概滤就是攻击者，我们可以结合攻击IP做下一步判断。发现这个攻击者一直在请求a.php文件，怀疑是木马。直接跟踪查找蚁剑的返回包即可。同样在蚁剑的响应包里面查找到。解码base64编码。这显示了是蚁剑流量。

流量分析 玄机

1.黑客成功登录系统的密码2.黑客发现的关键字符串3.黑客找到的数据库密码。

玄机靶场；第六章 流量特征分析-waf 上的截获的黑客攻击流量；http流量分析；tshark；目录扫描；登录爆破。

我们通过wireshark默认的时间排序，去找到最后仍然在post login.php的包，去尝试回答flag。那如果想更精准的确定是哪个包的话，我们可以通过追踪这条数据流，去看这条数据流的上下报文，通过观察目标机和发起机的响应报文判断是否成功。图片中可以看到，在No.734555和No.734560是有POST a.php这个数据的，应该是一个webshell马。依据上一问，找到攻击者成功拿到密码登录的信息，根据wireshark依时间排序的流量继续看，该数据包是在No.733517。

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！​​​​内容实在太多，不一一截图了。

流量特征分析-蚁剑流量分析

一个不错的应急平台可以练习，做点练习做记录。[X] BiliBili：落寞的鱼丶[X] 公众号：鱼影安全[X] CSDN：落寞的魚丶[X] 知识星球：中职-高职-CTF竞赛欢迎师傅们交流学习~应急响应小组成员老狼在 waf 上下载了一段流量，请你分析黑客攻击手法，并且解答下面问题。

想起来一个思路，用wireshark抓包工具，去看一下每种攻击行为的流量，如果能分析出一些攻击行为的流量特征也不错。之前也学过wireshark，但是做的都是一些其他流量分析，还没使用这个工具进行分析一些攻击行为。......

本文介绍了IP通信的基础概念。IP协议用于端到端通信，通过IP数据包封装数据，路由器进行转发。IP地址用于识别通信对象，由网络和主机部分组成，可通过子网掩码划分范围。数据传输方式分为单播（单一接收方）、广播（同一网络所有主机）和组播（特定主机组）。子网掩码以连续1和0表示网络/主机部分，可用十进制或前缀法表示。网络地址（主机位全0）和广播地址（主机位全1）具有特殊用途。