点击联系客服
客服QQ: 客服微信:
搜索
热搜: 活动 交友 discuz
Hi~登录注册
查看: 317|回复: 50

2021绿色城市杯网络安全大会-小姐-流量分析

[复制链接]

1

主题

1

帖子

-7

积分

限制会员

积分
-7
发表于 2021-10-1 07:29:05 | 显示全部楼层 |阅读模式
2021年“绿城杯”网络安全大赛-Misc-流量分析

标题名称:流程分析

标题内容:复杂的流程分析

题目分数:200.0

题目难度:中等

相关附件:流动分析的附件。zip

解题思路:

1.流量通过一次。发现config.php是webshell。寻找攻击者使用webshell的方法。发现可疑的POST流量。UA标头为python  requests。返回包搜索程序以报告错误。使用Laravel。



在流量中发现可疑字符串。





2.网上查找资料发现是 CVE-2021-3129 漏洞攻击特征。对字符串进行解密。解密方法如

下面:

AAA*替换=00空,用于卸载base64解码

再破译几个就能发现写在webshell上。





3.Webshell  密码为 14433。查找一句话木马特征。找到解密方法。





4.获取马来西亚内容,直接看重点。从原来的POST参数值中减去前两个数字,base64就可以直接解密。



5.层层解密,找到压缩包加密密码。

\ CD/d  d  : \ PHP  study  _ pro  \ www  \ secret  c  3360 \ program  files  \ 7-

zip  \ 7 z  . exe  " x  secret  . zip-PP  4 u  k  6 qk  h  6 gv  qwg  3y  echo  378 df  2 c  234 CD  echo

Fb7f8f。”

我将查找Secret.zip。其实我以前见过。内容是。cobaltstrike.beacon_keys。





6.根据 PK  头发现是压缩文件。就是前后有 webshell  带上去字符串。导出通过 winhex

修改生成的zip文件。您可以使用上面的密码解压缩。

Cobaltstrike流量解密

请参阅Wbglil大哥文章和工具。解密Cobaltstrike公钥和私钥。解除私钥后解密元数

而且根据身高。通过密钥解密返回数据。

过程如下:

解密私钥。通过私钥解密元数据并导入AES  KEY。通过AES  KEY解密通信流





获取元数据解密AES  KEY





提示:元数据是心跳包,请求通过cookie发送的/en_US/all.js路径。通信数据是

POST请求/submit.php?Id=
回复

使用道具 举报

1

主题

385

帖子

-244

积分

限制会员

积分
-244
发表于 2021-10-1 07:31:12 | 显示全部楼层
小手一抖,积分到手!
回复

使用道具 举报

1

主题

353

帖子

-206

积分

限制会员

积分
-206
发表于 2021-10-1 07:55:56 | 显示全部楼层
前排支持下
回复

使用道具 举报

1

主题

406

帖子

-274

积分

限制会员

积分
-274
发表于 2021-10-1 08:26:24 | 显示全部楼层
前排支持下
回复

使用道具 举报

1

主题

401

帖子

-215

积分

限制会员

积分
-215
发表于 2021-10-1 10:09:11 | 显示全部楼层
我是个凑数的。。。
回复

使用道具 举报

1

主题

375

帖子

-234

积分

限制会员

积分
-234
发表于 2021-10-1 10:58:51 | 显示全部楼层
不错不错,楼主您辛苦了。。。
回复

使用道具 举报

0

主题

385

帖子

-278

积分

限制会员

积分
-278
发表于 2021-10-1 11:20:45 | 显示全部楼层
谢谢楼主,共同发展
回复

使用道具 举报

1

主题

382

帖子

-253

积分

限制会员

积分
-253
发表于 2021-10-1 12:46:07 | 显示全部楼层
帮帮顶顶!!
回复

使用道具 举报

1

主题

378

帖子

-231

积分

限制会员

积分
-231
发表于 2021-10-1 13:14:37 | 显示全部楼层
学习了,谢谢分享、、、
回复

使用道具 举报

0

主题

388

帖子

-215

积分

限制会员

积分
-215
发表于 2021-10-1 13:45:52 | 显示全部楼层
帮你顶下哈!!
回复

使用道具 举报

游客
回复
您需要登录后才可以回帖 登录 | 立即注册

快速回复 返回顶部 返回列表