日志分析和流量分析

目录

[陇剑杯 2021]日志分析（问1）

[陇剑杯 2021]日志分析（问2）

[陇剑杯 2021]日志分析（问3）

[陇剑杯 2021]简单日志分析（问1）

[陇剑杯 2021]简单日志分析（问3）

[陇剑杯 2021]SQL注入（问1）

[陇剑杯 2021]SQL注入（问2）

 [陇剑杯 2021]SQL注入（问3）

[陇剑杯 2021]webshell（问1）

[陇剑杯 2021]webshell（问2）

[陇剑杯 2021]webshell（问3）

[陇剑杯 2021]webshell（问4）

[陇剑杯 2021]webshell（问5）

[陇剑杯 2021]webshell（问6）

[陇剑杯 2021]webshell（问7）

---

对于日志分析

个人感觉就是攻击或者恶意访问后

后台数据库的记录

这个在sqli-labs中也出现过 result.txt

这就和日志分析类似

我们直接做题

在刷NSSCTF 发现陇剑杯 对于取证和流量分析日志分析的考点多

我们直接开始刷 陇剑杯 的日志分析

[陇剑杯 2021]日志分析（问1）

源代码泄露

这我们就能想到 通过 dirsearch 直接扫 然后脱库

所以我们看看有没有 zip结尾的备份文件

发现了www.zip 并且访问状态是200 说明成功访问了

[陇剑杯 2021]日志分析（问2）

 很简单的提示 既然写入文件 那么就需要命令

我们看看有没有命令类型的

url解码看看

 发现了有点反序列化的意思

然后就能发现了写入的文件为sess_car

[陇剑杯 2021]日志分析（问3）

 从上道题的url解码也能发现

 读取flag的是SplFileObject类 说明答案就是这个

[陇剑杯 2021]简单日志分析（问1）

这里一样的 我们能发现是类似 dirsearch 的扫描器

 攻击参数 那我们去看看哪里是攻击 的命令

发现了 就是 user

 我们直接把上一道题目的base解码看看

发现是命令执行

那我们直接搜 user看看

又发现俩大托

那我们解码看看

 flag就是这个

[陇剑杯 2021]简单日志分析（问3）

 我们把最后一个解码

 ip 端口也都出来了

[陇剑杯 2021]SQL注入（问1）

 最开始看到if 以为是时间注入

 后面发现是盲注

所以flag是布尔注入

[陇剑杯 2021]SQL注入（问2）

 那我们直接看最下面就知道了

flag是 sqli#flag#flag

 [陇剑杯 2021]SQL注入（问3）

那我们直接去 sqli.flag的地方看看

看看规律

 37,1到38,1

都是从 %C2%80开始

说明 %C2%80前就是查询成功的地方

所以我们只需要筛选出%C2%80前面的字符 组合起来就是flag了

f

l

 a

 g

最后的flag是

flag{deddcd67-bcfd-487e-b940-1217e668c7db}

 接下来就是流量分析

流量分析就是 一个流量包

通过 分析各种协议 然后提取数据

个人感觉流量分析跨度很大

简单直接搜flag即可

困难还要提取并且经过misc处理

pcap 主要通过 wireshark来提取

我们继续通过  [陇剑杯 2021]来学习

[陇剑杯 2021]webshell（问1）

 挂马 然后查找登录密码

追踪流看看

感觉没有特别的发现 那我们直接看看  登录 肯定需要login页面 我们直接搜 login

 

 找到了密码

[陇剑杯 2021]webshell（问2）

修改了日志文件 

我们直接搜 .log

 

因为是绝对路径 所以要加上 /var/www/html 根目录开始取

[陇剑杯 2021]webshell（问3）

权限是什么

我们平常是root 但是我们刚刚在搜索绝对路径的时候 有搜到 whoami 命令 我们去看看

最后发现 在post类型中 存在一个200 相应的内容 我们看看

搜索user

 出现了 www-data

[陇剑杯 2021]webshell（问4）

 搜文件

那我们当时在 2问的时候 绝对路径上发现了 1.php 我们搜一下

发现了 就是 1.php

[陇剑杯 2021]webshell（问5）

 代理客户端

 此处知道链接密码是 aaa那我们直接过滤aaa

 

 

 发现了

frpc

[陇剑杯 2021]webshell（问6）

 我们既然找到了 代理客户端 那我们跟进 一下

我们看看 客户端访问的地方 还是过滤 aaa然后查看http流

反正不多 拿去一个一个解密看看

然后这里发现没有全部解密完成

那我们删除前面的

 发现还是解密不出来 把 a= 删除

 

 发现了192.168.239.123

[陇剑杯 2021]webshell（问7）

 直接搜一下socks5发现没有

但是我们之前得到的frpc协议里面好像存在内容 我们回去看看

发现了 插件密码 解密看看  发现不是 那我们就直接提交 发现成功

0HDFt16cLQJ#JTN276Gp

这里就做完了 基础的日志分析和流量分析

感觉流量分析给我的感觉 就是需要筛选 还是挺难的