CTFHUB技能树-Misc-流量分析-ICMP数据隐藏技巧实战

1. 从“Ping一下”到“藏点东西”ICMP协议的另一面大家好我是老张在网络安全和CTF这个圈子里摸爬滚打了十来年。今天咱们不聊那些复杂的漏洞利用也不讲高深的协议分析就从一个最基础、最常用的网络命令——ping说起。我相信只要是接触过网络的朋友没有谁没用过ping命令来测试网络通不通。它背后的协议就是ICMP互联网控制报文协议。在大多数人眼里ICMP就是个用来报告网络状况的“信使”比如告诉你“目标主机不可达”或者“请求超时”。但在我们这些搞安全、玩CTF的人看来这个看似简单的“信使”肚子里可是能藏不少“私货”的。这就是CTFHUB技能树里Misc杂项分类下“流量分析”模块中关于ICMP数据隐藏技巧的核心。题目往往给你一个网络流量包.pcap文件让你从一堆看似正常的ping请求和回复中找出被隐藏起来的flag信息。这就像在一堆普通的信件里找出用特殊墨水书写的秘密情报。听起来是不是有点侦探破案的感觉我第一次接触这类题目时也觉得挺有意思它完全颠覆了我对ICMP协议“人畜无害”的刻板印象。那么ICMP到底是怎么藏东西的呢简单来说ICMP报文除了必须的“类型”、“代码”、“校验和”这些标准头部字段外后面还跟着一个“数据”字段。这个字段原本是用来携带时间戳等信息以便计算往返时间的。但协议本身并没有严格规定这里面必须放什么。这就给了我们“可乘之机”——我们可以把想要传递的任意数据比如一段文本、一个文件碎片甚至是一段代码悄悄地塞进这个“数据”字段里。在网络上传输时它看起来就是一个普通的ping包除非你仔细检查它的载荷内容否则很难发现异常。这种手法在实际的网络渗透测试中也常被用于构建隐蔽信道绕过一些简单的流量检测。而在CTF比赛中出题人则把flag用各种方式编码后藏在了这些ICMP包的数据段里等着我们去发现和提取。2. 实战前的准备工具与环境搭建工欲善其事必先利其器。要玩转ICMP流量分析你得先准备好几样趁手的工具。别担心这些东西都是免费且容易上手的。首先是Wireshark。这绝对是网络流量分析的“瑞士军刀”图形化界面功能强大。你可以去官网下载安装过程很简单。安装好后第一次打开可能会看到很多网络接口如果你是在分析已有的流量包文件直接点击“文件”-“打开”就行。Wireshark的强大之处在于它的过滤器和协议解析能力。对于ICMP流量我们最常用的过滤器就是icmp。如果你想只看ping请求Echo Request可以进一步过滤为icmp.type 8看回复则是icmp.type 0。在分析CTF题目时我们通常需要仔细查看每个ICMP包的“数据”部分在Wireshark的包详情面板里展开Internet Control Message Protocol就能看到Data字段这里可能就是flag藏身之处。其次是命令行工具Tshark。你可以把它理解为Wireshark的命令行版本。对于需要批量处理、自动化提取数据的场景Tshark比图形界面高效得多。很多Linux系统会预装Windows上安装Wireshark时通常也会一并安装。你可以打开命令行输入tshark -h看看有没有输出来验证是否安装成功。Tshark的核心用法是通过-r参数指定流量包文件用-Y参数相当于Wireshark的显示过滤器来过滤包然后用-T fields -e来提取指定字段的值。比如提取所有ICMP请求包的数据字段命令大概是tshark -r your.pcap -Y icmp icmp.type8 -T fields -e data。这个命令的结果可以直接输出到文件或者通过管道传递给其他命令处理非常灵活。最后是Python和相关库。如果你不想记忆复杂的Tshark命令参数或者想进行更复杂的处理逻辑用Python写个小脚本是更好的选择。这里我强烈推荐pyshark这个库它本质上是对Tshark的一个Python封装让你能用Python对象的方式轻松地访问每一个数据包及其字段。安装也很简单pip install pyshark就行。当然Python自带的socket、struct等库也能直接解析pcap文件但对于新手来说pyshark的易用性是无与伦比的。我个人的工作流是先用Wireshark图形界面快速浏览定位可疑流量和模式然后用Tshark命令做初步的数据提取和验证最后如果逻辑复杂或者需要反复使用就写成Python脚本固化下来。这样既能保证分析的深度又能提升效率。准备好这些工具后我们还需要一个练习用的流量包。你可以直接在CTFHUB的“技能树-Misc-流量分析-ICMP”相关题目里下载附件通常就是.pcap或.pcapng文件。我建议你跟着文章自己动手操作一遍光看是学不会的。下面我们就进入实战环节看看flag到底是怎么藏又是怎么找的。3. 技巧一直白的数据隐藏ICMP-Data这是最基础、也是最常见的一种出题方式。出题人直接把flag的每一个字符以ASCII码或其十六进制形式塞进了连续多个ICMP Echo Request也就是ping请求包的数据字段里。我们打开CTFHUB上“ICMP-Data”这道题的流量包用Wireshark过滤icmp.type 8。你会发现这些请求包的数据字段长度都差不多但内容看起来是随机的十六进制数。别被表象迷惑我们得仔细看。以第一个包为例在Wireshark的包详情面板里找到Data字段它可能显示为一串像616263646566...这样的十六进制数字。我们需要关注的是其中某几个固定的字节。我当年做这道题时挨个点开前面几个包对比它们的Data字段很快就发现了一个规律每个包Data字段的某两个字节比如第24到26位注意这里是十六进制字符串的索引位置不是字节位置正好对应着flag的一个字符的ASCII码十六进制值。第一个包是63十六进制对应字符‘c’第二个包是74对应‘t’第三个是66对应‘f’……连起来就是“ctfhub”。后面紧接着的包Data字段的相同位置出现了7b和7d这分别是‘{’和‘}’的ASCII码。这下就实锤了flag就是被这样一段段藏起来的。手动提取太麻烦我们上脚本。这里给你两个我常用的方法你可以根据喜好选择。方法一使用Tshark命令行提取。思路很直接用Tshark过滤出所有ICMP请求包只输出它们的data字段注意这里data是Tshark的字段名代表整个数据部分然后编写脚本从每一行的固定位置截取两个字符转换成十进制再转为ASCII字符。下面这个Python脚本就是干这个的它调用了系统命令tshark#!/usr/bin/env python3 # -*- coding: utf-8 -*- import subprocess # 使用tshark提取所有ICMP请求包的数据字段保存到临时文件 # 确保你的tshark在系统PATH环境变量中或者给出完整路径 pcap_file icmp_data.pcap command ftshark -r {pcap_file} -Y icmp icmp.type8 -T fields -e data temp_data.txt subprocess.run(command, shellTrue, checkTrue) flag with open(temp_data.txt, r) as f: for line in f: line line.strip() if len(line) 24: # 确保数据长度足够 # 假设flag字符藏在第24-26个字符十六进制字符串位置之间 # 例如字符串616263...第24-26个字符是63即十六进制的0x63对应字符c hex_value line[24:26] flag chr(int(hex_value, 16)) print(f提取到的Flag: {flag})这个方法依赖外部命令需要配置环境变量但胜在思路清晰命令参数也容易理解。方法二使用Pyshark库解析。这是我更推荐的方式纯Python环境更优雅也便于集成到更复杂的分析流程中。pyshark允许我们像操作列表一样操作数据包集合。#!/usr/bin/env python3 # -*- coding: utf-8 -*- import pyshark # 加载流量包并应用显示过滤器只加载ICMP请求包 cap pyshark.FileCapture(icmp_data.pcap, display_filtericmp icmp.type8) # 注意pyshark.FileCapture默认是“懒加载”遍历时才读包。对于小文件没问题。 flag for packet in cap: # packet.icmp 是ICMP层对象data_data 是数据字段的十六进制字符串表示 # 我们需要的数据在 data_data 字符串的特定位置 hex_data_str packet.icmp.data_data # 同样从第24-26字符位置提取具体位置需要根据实际流量调整 char_hex hex_data_str[24:26] flag chr(int(char_hex, 16)) cap.close() print(f提取到的Flag: {flag})运行这段代码你应该就能看到完整的flag被打印出来比如ctfhub{c87eb99796406ac0b}。这里的关键在于找到数据隐藏的固定偏移位置。出题人不会把位置搞得太刁钻通常就在数据字段的开头、结尾或某个固定偏移处。多观察几个包对比一下规律自然就出来了。4. 技巧二利用长度字段编码ICMP-Length如果出题人觉得直接把数据塞进去太明显可能会玩点更隐蔽的花样。CTFHUB上的“ICMP-Length”这道题就是一个经典例子。它利用的不是Data字段的内容而是整个ICMP数据包的长度Length来传递信息。你可能会问ping包的长度不是可以随便指定吗是的我们平时用ping -l命令就可以指定发送数据的大小。在这道题里出题人发送了一系列ICMP请求包每个包的整体长度或者说数据部分的长度被精心设置成了flag每个字符的ASCII码值。比如ASCII码里‘c’是99‘t’是116‘f’是102……那么第一个包的长度就被设置成99第二个是116第三个是102以此类推。用Wireshark打开流量包过滤icmp.type 8。这次不要只看Data字段了把注意力移到Wireshark主窗口的列表视图。通常有一列叫“Length”显示的是整个数据帧的长度包括以太网头、IP头等。我们需要的是ICMP数据部分的长度。更准确地说在Wireshark的包详情里展开Internet Control Message Protocol下面有一个字段叫Data length或者data_len这个值才是我们需要的。你会看到这些值是一串看起来没什么规律的数字99, 116, 102, 104, 117, 98, 123, 97, 99, 98, 54, 53, 57, 102, 48, 50, 51, 125。如果你对ASCII码表熟悉一眼就能看出这串数字对应的正是ctfhub{acb659f023}。同样我们可以用脚本自动化这个过程。使用Tshark的话提取的字段名是data.len。#!/usr/bin/env python3 # -*- coding: utf-8 -*- import subprocess pcap_file icmp_len.pcap # 使用tshark提取data.len字段 command ftshark -r {pcap_file} -Y icmp icmp.type8 -T fields -e data.len temp_len.txt subprocess.run(command, shellTrue, checkTrue) flag with open(temp_len.txt, r) as f: for line in f: length_str line.strip() if length_str: # 确保不是空行 flag chr(int(length_str)) print(f提取到的Flag: {flag})用Pyshark来实现会更简洁直接访问packet.icmp.data_len属性即可。这里有个小细节data_len属性返回的是字符串类型需要转换成整数。#!/usr/bin/env python3 # -*- coding: utf-8 -*- import pyshark cap pyshark.FileCapture(icmp_len.pcap, display_filtericmp icmp.type8) flag for packet in cap: # data_len 字段直接代表了数据长度其值就是ASCII码 flag chr(int(packet.icmp.data_len)) cap.close() print(f提取到的Flag: {flag})这种方法比直接隐藏数据更隐蔽因为网络管理员或安全设备通常只会监控异常大的ping包死亡之ping那种对于这种长度略有不同但都在合理范围内的包很容易忽略。在实际的CTF比赛中遇到ICMP题目如果Data字段看起来是乱码或者没有明显规律一定要记得去检查一下长度字段说不定惊喜就在那里。5. 技巧三二进制编码与进阶玩法ICMP-LengthBinary出题人的脑洞是无限的当他们把长度编码和二进制结合起来时题目难度和趣味性就上了一个台阶。“ICMP-LengthBinary”这道题就是很好的代表。题目提示已经很明显了就是考察二进制与length的关系。用Wireshark打开流量包过滤出ICMP请求然后观察data_len字段。你可能会发现长度值只有两种32和64。这立刻让人联想到二进制里的0和1。一种很自然的思路是把一种长度映射成0另一种映射成1。但问题来了是32代表0、64代表1还是反过来甚至会不会有更复杂的映射关系比如需要同时生成两串二进制字符串我当时的做法是先按照最简单的假设写脚本试试。假设32代表064代表1遍历所有包生成一串二进制字符串。然后把这串二进制数转换成字节再解码成字符串看看是不是有意义的文本。如果不是那就换过来64代表032代表1。在本题中你会发现两种映射都能生成一串长长的二进制字符串。但只有其中一串能正确解码出可读的flag另一串解码出来是乱码。脚本可以这样写#!/usr/bin/env python3 # -*- coding: utf-8 -*- import pyshark cap pyshark.FileCapture(icmp_len_binary.pcap, display_filtericmp icmp.type8) # 使用load_packets()将所有包加载到内存方便多次访问 cap.load_packets() binary_str_1 # 假设 32-0, 64-1 binary_str_2 # 假设 32-1, 64-0 for packet in cap: length packet.icmp.data_len if length 32: binary_str_1 0 binary_str_2 1 elif length 64: binary_str_1 1 binary_str_2 0 else: # 如果有其他长度可能需要处理本题中应该没有 pass print(映射1 (32-0, 64-1):, binary_str_1) print(映射2 (32-1, 64-0):, binary_str_2) # 将二进制字符串转换为字节数据 def bin_to_text(bin_str): # 确保二进制字符串长度是8的倍数 n int(bin_str, 2) # 将整数转换为字节然后尝试解码 return n.to_bytes((n.bit_length() 7) // 8, big).decode(ascii, errorsignore) try: print(\n尝试解码映射1:) print(bin_to_text(binary_str_1)) except Exception as e: print(f解码失败: {e}) try: print(\n尝试解码映射2:) print(bin_to_text(binary_str_2)) except Exception as e: print(f解码失败: {e}) cap.close()运行脚本你会得到两串二进制其中一串解码后就是ctfhub{04efed1e05}。这里用到了一个技巧将很长的二进制字符串先转换成整数再用to_bytes方法转换成字节序列最后用ASCII解码。当然你也可以用Python的binascii库或者在线工具来解码。这种二进制编码的方式信息密度比直接用ASCII码表示长度要高得多。一个包只携带1比特0或1的信息要传递一个完整的flag需要发送很多个包。这在理论上可以构建一种非常低速但极其隐蔽的通信信道因为每个包看起来都极其正常只是长度在几个固定值之间变化很难被基于内容的检测规则发现。6. 举一反三更多可能的隐藏姿势与防御思路通过上面三个实战案例我们已经掌握了ICMP数据隐藏的几种基本套路直接藏在数据字段里、用长度字段编码、用长度表示二进制位。但出题人的创意远不止这些我结合自己的经验再给大家拓展几种可能遇到的“变种”以及在实际安全工作中该如何防范这类隐蔽信道。第一种变种藏在ICMP报文的其他字段里。ICMP报文头里除了类型、代码、校验和还有一个16位的“标识符”字段和16位的“序列号”字段这两个字段在Echo请求/应答中用于匹配请求和回应。它们同样可以被用来携带数据。比如可以把flag的字符编码后依次放在序列号字段里。在Wireshark中对应的字段名是icmp.seq。提取方法和提取data_len几乎一模一样。第二种变种更复杂的编码方式。不仅仅是简单的ASCII码对应。出题人可能会使用Base64、莫尔斯电码、甚至是自定义的替换密码对flag进行编码后再分段隐藏。这时候你提取出一串数据后可能看起来还是乱码就需要根据题目描述或经验尝试各种常见的解码方式。例如提取出一串十六进制数据先转换成字节然后尝试用Base64解码或者提取出一串只有两种字符如‘A’和‘B’的字符串可以尝试当成二进制或莫尔斯电码来解。第三种变种结合时间戳或流量时序。这是一种更高级的玩法。flag信息可能不是直接放在包内容里而是通过数据包发送的时间间隔来传递。比如发送间隔短代表0间隔长代表1。这就需要我们分析pcap文件中每个包的时间戳frame.time_relative或frame.time_delta计算包与包之间的时间差再根据阈值转换为二进制数据。用Tshark可以这样提取时间间隔tshark -r tricky.pcap -T fields -e frame.time_delta。这类题目对分析者的综合能力要求更高。那么作为一个网络管理员或安全分析师该如何检测和防范这种利用ICMP协议进行的隐蔽通信呢我分享几个实用的思路监控ICMP流量速率和模式正常的ping命令通常是连续、有规律地发送几个探测包。而用于传输数据的隐蔽信道往往会发送大量、连续或具有固定模式的ICMP包比如长度在几个固定值间循环。设置阈值告警对ICMP流量速率异常过高的主机进行排查。检查ICMP载荷内容深度包检测DPI设备可以检查ICMP数据字段的内容。如果其中包含大量可打印字符、特定模式或非随机数据就值得警惕。当然如果数据被加密或编码过检测难度会增大。关注ICMP标识符和序列号正常的ping工具产生的标识符和序列号通常有规律如递增。如果发现这些字段出现异常值如固定的ASCII码值可能就是可疑信号。建立白名单机制在严格的内网环境中可以只允许特定的、必要的ICMP报文类型如目的不可达、超时通过限制甚至禁止外部的Echo请求/应答。使用网络流量分析工具进行基线比对定期分析网络流量建立正常ICMP流量的基线。当出现偏离基线的异常模式时工具可以自动告警。对于CTF选手来说了解这些防御思路反过来也能帮助你构思更巧妙的隐藏方法。但记住CTF是合法合规的学习和竞技这些技术知识应该用于提升防御能力而不是进行未经授权的测试。7. 打造你的分析工具箱脚本优化与实用技巧经过前面几个实战你可能已经写出了能用的脚本。但作为一个老手我习惯让工具更顺手、更健壮。下面分享几个我优化脚本和提升效率的小技巧希望能帮你少走弯路。技巧一让脚本更通用、更健壮。我们之前的脚本都硬编码了文件名、过滤条件和数据位置。一个更好的做法是使用命令行参数让脚本更灵活。#!/usr/bin/env python3 # -*- coding: utf-8 -*- import argparse import pyshark def extract_flag_from_icmp_data(pcap_file, filter_str, start_idx, end_idx): 从ICMP数据字段的固定位置提取flag cap pyshark.FileCapture(pcap_file, display_filterfilter_str) flag for pkt in cap: hex_str pkt.icmp.data_data if len(hex_str) end_idx: flag chr(int(hex_str[start_idx:end_idx], 16)) cap.close() return flag def extract_flag_from_icmp_length(pcap_file, filter_str): 从ICMP数据长度字段提取flag cap pyshark.FileCapture(pcap_file, display_filterfilter_str) flag for pkt in cap: flag chr(int(pkt.icmp.data_len)) cap.close() return flag if __name__ __main__: parser argparse.ArgumentParser(description从ICMP流量中提取隐藏的flag) parser.add_argument(-f, --file, requiredTrue, helpPCAP流量文件路径) parser.add_argument(-t, --type, choices[data, length], requiredTrue, help隐藏类型: data 或 length) parser.add_argument(--filter, defaulticmp icmp.type8, helpWireshark显示过滤器 (默认: icmp icmp.type8)) parser.add_argument(--start, typeint, default24, help数据字段起始索引(仅typedata时有效)) parser.add_argument(--end, typeint, default26, help数据字段结束索引(仅typedata时有效)) args parser.parse_args() if args.type data: result extract_flag_from_icmp_data(args.file, args.filter, args.start, args.end) elif args.type length: result extract_flag_from_icmp_length(args.file, args.filter) print(f提取结果: {result})这样你就可以通过命令行python icmp_extractor.py -f icmp_data.pcap -t data --start 24 --end 26来运行脚本方便地调整参数。技巧二处理大流量文件时注意性能。pyshark默认的懒加载方式对于大文件很友好但如果你需要反复遍历数据包使用cap.load_packets()一次性加载到内存会更快不过会消耗更多内存。Tshark命令行在处理超大文件时通常比用pyshark遍历更高效尤其是在只需要提取一两个字段的情况下。技巧三善于利用Wireshark的统计和绘图功能辅助分析。面对一个陌生的ICMP流量包除了直接看包内容我通常会先打开Wireshark的“统计”-“对话”功能看看哪些IP地址之间在频繁地进行ICMP通信。然后在“统计”-“IO图表”里可以图形化查看ICMP流量的变化趋势如果发现流量是均匀的脉冲状很可能就是在进行有规律的隐蔽传输。这些宏观视角的信息有时比埋头看单个包更能快速定位问题。技巧四养成记录和总结的习惯。每做完一道题或者分析完一个真实的案例把关键的过滤语句、发现的规律、使用的脚本命令都记录在一个笔记里。我自己的笔记里就有一个“流量分析速查表”记录了各种常见协议隐藏数据的可能位置、常用Tshark字段名、以及一些解码小技巧。时间长了这就是你个人的知识宝库再遇到新题翻翻笔记往往能快速找到思路。最后也是最重要的多练。CTFHUB的技能树提供了很好的阶梯式练习环境。从最简单的“ICMP-Data”开始逐步挑战更复杂的题目。试着不用看Writeup自己独立完成。过程中遇到的每一个错误都是宝贵的经验。当你能够不假思索地写出提取脚本并能一眼看出流量中的异常模式时你就真正掌握了这项技能。网络安全的世界里细节决定成败而流量分析正是锤炼你观察力和耐心最好的磨刀石之一。