CISCN 2023 初赛 被加密的生产流量

题目附件给了 modbus.pcap
存在多个协议 但是这道题多半是 考 modbus


会发现 每次的 Query 末尾的两个字符 存在规律
猜测是base家族
可以尝试提取流量中的数据
其中Word Count字段中的22871 是10进制转16进制在转ascii字符串
先提取 过滤器判断字段
tshark -r modbus.pcap -Y "modbus" -T json > 1.json

tshark -r modbus.pcap -Y "modbus" -T json -e modbus.word_cnt > 2.json

当作字典正常提取即可
以为部分不存在 modbus.word_cnt字段

用 try-catch 处理 异常空白

import json
import libnum
with open('2.json') as f:data = json.load(f)a=[]
for i in data:try:a.append(i['_source']['layers']['modbus.word_cnt'][0])except:continue
result=b""
for i in a:if i != '5':result+=libnum.n2s(int(i))
print(result)

得到数据 MMYWMX3GNEYWOXZRGAYDA===

解密后是base32编码
c1f_fi1g_1000
NSSCTF{c1f_fi1g_1000}