[DDCTF2018]从FTP/SMTP到TLS：流量分析中的密钥泄露与解密实战

1. 从FTP/SMTP流量中寻找密钥泄露的蛛丝马迹第一次接触这类流量分析题目时我完全不知道从哪里入手。看着Wireshark里密密麻麻的数据包就像面对一堵密不透风的墙。但经过多次实战后我发现FTP和SMTP这两个传统协议往往就是突破口。FTP协议有个特点它默认以明文传输数据。在追踪FTP流时我习惯先过滤出ftp-data协议。这次题目中有两个压缩包文件保存下来后发现都提示格式错误。这种情况很常见可能是文件头损坏或者故意设置的障碍。这时候不要死磕换个思路去看看SMTP流量。SMTP协议同样存在明文传输的问题。我通常会用smtp contains QUIT这样的过滤条件快速定位完整的邮件会话。在多次邮件往来中base64编码的图片附件特别值得关注。记得有次比赛flag就藏在图片的EXIF信息里。这次题目中的base64字符串经过解码后果然发现了关键的RSA私钥。2. 处理异常数据格式的实战技巧遇到损坏的压缩包时我的第一反应是用hex编辑器检查文件头。常用的zip文件头是50 4B 03 04如果发现异常可以尝试修复。但更高效的做法是转而分析其他协议流量毕竟出题人通常会设置多个解题路径。base64解码时最容易遇到的问题是换行符和空格干扰。我习惯先用Python的base64模块尝试标准解码如果失败再考虑手动清理数据。这次题目中的私钥字符串就混入了空格需要用字符串处理函数清理import base64 def clean_key(key_str): return .join(key_str.split()).replace( , )私钥格式校验也很关键。完整的RSA私钥应该包含-----BEGIN RSA PRIVATE KEY-----头和尾而且要注意换行符的使用。有次比赛我就因为漏了换行符导致Wireshark无法识别私钥格式。3. TLS解密的关键配置步骤拿到私钥后的解密过程看似简单但有几个坑我踩过多次。首先确保私钥文件权限设置正确chmod 600 private.key否则Wireshark可能会静默失败。Wireshark的TLS配置界面有点隐蔽点击编辑-首选项找到Protocols列表中的TLS在(Pre)-Master-Secret log filename添加私钥文件记得勾选Reassemble TLS records spanning multiple TCP segments有时候解密不成功可能是因为TLS版本不匹配。我遇到过只支持TLS1.2的情况需要在SSL协议设置中禁用其他版本。如果还是不行可以尝试在过滤栏输入ssl查看握手过程确认是否使用了正确的加密套件。4. 流量分析的高效工作流经过多次CTF实战我总结出一套高效的流量分析流程快速概览先用tcp !ssl过滤出可能的明文协议协议分析按协议类型分层检查FTP-SMTP-HTTP数据提取重点关注文件传输和base64编码内容交叉验证用md5校验关键文件如题目提示的90c490781f9c320cd1ba671fcb112d1c解密测试拿到密钥后立即尝试解密小段流量验证对于大型数据包我习惯先用tshark命令行工具预处理tshark -r capture.pcap -Y ftp-data --export-objects ftp,./exported_files这种方法能自动提取FTP传输的所有文件比手动保存高效得多。同样技巧也适用于HTTP文件提取。5. 从加密流量中捕获Flag的技巧成功解密TLS流量后最后的挑战往往是定位flag。我常用的过滤条件包括http contains flaghttp contains DDCTFframe contains {有时候flag可能分片传输这时候需要追踪整个TCP流。在Wireshark中右键点击数据包选择Follow - TCP Stream记得把显示格式设为ASCII。有次比赛flag被base64编码后分藏在多个HTTP响应头里差点错过。对于二进制flag可以尝试hexdump查看import binascii print(binascii.hexlify(decrypted_data))这种方法的优点是能发现隐藏的非打印字符特别是一些CTF喜欢在flag前后添加特殊字节作为标记。