2021绿色城市杯网络安全大会-小姐-流量分析

qhsz6083 · 发表于 2021-10-1 07:29:05

2021年“绿城杯”网络安全大赛-Misc-流量分析

标题名称：流程分析

标题内容：复杂的流程分析

题目分数：200.0

题目难度：中等

相关附件：流动分析的附件。zip

解题思路：

1.流量通过一次。发现config.php是webshell。寻找攻击者使用webshell的方法。发现可疑的POST流量。UA标头为python requests。返回包搜索程序以报告错误。使用Laravel。

在流量中发现可疑字符串。

2.网上查找资料发现是 CVE-2021-3129 漏洞攻击特征。对字符串进行解密。解密方法如

下面：

AAA*替换=00空，用于卸载base64解码

再破译几个就能发现写在webshell上。

3.Webshell 密码为 14433。查找一句话木马特征。找到解密方法。

4.获取马来西亚内容，直接看重点。从原来的POST参数值中减去前两个数字，base64就可以直接解密。

5.层层解密，找到压缩包加密密码。

\ CD/d d : \ PHP study _ pro \ www \ secret c 3360 \ program files \ 7-

zip \ 7 z . exe " x secret . zip-PP 4 u k 6 qk h 6 gv qwg 3y echo 378 df 2 c 234 CD echo

Fb7f8f。”

我将查找Secret.zip。其实我以前见过。内容是。cobaltstrike.beacon_keys。

6.根据 PK 头发现是压缩文件。就是前后有 webshell 带上去字符串。导出通过 winhex

修改生成的zip文件。您可以使用上面的密码解压缩。

Cobaltstrike流量解密

请参阅Wbglil大哥文章和工具。解密Cobaltstrike公钥和私钥。解除私钥后解密元数

而且根据身高。通过密钥解密返回数据。

过程如下：

解密私钥。通过私钥解密元数据并导入AES KEY。通过AES KEY解密通信流

获取元数据解密AES KEY

提示：元数据是心跳包，请求通过cookie发送的/en_US/all.js路径。通信数据是

POST请求/submit.php？Id=

iNqLE3488405 · 发表于 2021-10-1 07:31:12

小手一抖，积分到手！

RhQOdk820792 · 发表于 2021-10-1 07:55:56

前排支持下

VYsOSP94627 · 发表于 2021-10-1 08:26:24

前排支持下

TmHlyT263864 · 发表于 2021-10-1 10:09:11

我是个凑数的。。。

jGFF06363186 · 发表于 2021-10-1 10:58:51

不错不错，楼主您辛苦了。。。

sBiPeP128323 · 发表于 2021-10-1 11:20:45

谢谢楼主，共同发展

lahM8d528346 · 发表于 2021-10-1 12:46:07

帮帮顶顶！！

R2e0MF833029 · 发表于 2021-10-1 13:14:37

学习了，谢谢分享、、、

KaryRok · 发表于 2021-10-1 13:45:52

帮你顶下哈！！