[misc]shell流量分析 100

0x00 已知條件

給了一個(gè)“+_+.rar.977e2c637dc492fb9a7cf7595c852044”助隧,去掉多余的后綴得到“+_+.rar”唆香,該壓縮包里是Winpcap抓的包嫌变,用Wireshark可以查看。

image.png

發(fā)現(xiàn)主要是57370端口(控制端)和2333端口(被控端)間的通信躬它。通過(guò)"$"不難猜到是shell交互腾啥。

image.png

上圖是其中一個(gè)數(shù)據(jù)幀的載荷部分,可以看出2333端口是reverse shell冯吓,通過(guò)追蹤TCP流可以看到完整的shell指令交互過(guò)程倘待,如下圖,除了cat腳本的部分外都是對(duì)目錄的訪問(wèn)(類似紅框內(nèi)的操作)组贺。

image.png

0x01 條件分析

最重要的部分是上面打印的function.py里的內(nèi)容凸舵,可以看出這是一個(gè)AES加解密腳本,經(jīng)過(guò)運(yùn)行發(fā)現(xiàn)message是它給出的一個(gè)樣例example失尖,解密結(jié)果如下圖啊奄,是flag的格式。

image.png

藍(lán)色框是加密結(jié)果掀潮,而紅色框是解密結(jié)果菇夸。但是該結(jié)果得到的只是一堆"x",顯然仍需要尋找仪吧。

將shell的交互數(shù)據(jù)拉到最下面庄新,可以發(fā)現(xiàn)"flag"這個(gè)文件cat出來(lái)是一個(gè)顯然加密過(guò)的字符串:
“mbZoEMrhAO0WWeugNjqNw3U6Tt2C+rwpgpbdWRZgfQI3MAh0sZ9qjnziUKkV90XhAOkIs/OXoYVw5uQDjVvgNA==”

根據(jù)字符串末尾的兩個(gè)等號(hào)和function.py腳本中import過(guò)base64庫(kù),猜測(cè)該字符串是由base64編碼的薯鼠。

image.png

下面對(duì)該字符串連續(xù)進(jìn)行base64解碼和調(diào)用腳本中的decrypt函數(shù)進(jìn)行解密择诈,得到結(jié)果。(注意僅base64解碼后的結(jié)果形式與上圖藍(lán)色框類似出皇,故想到調(diào)用腳本函數(shù)繼續(xù)解密)

image.png
image.png
最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
  • 序言:七十年代末吭从,一起剝皮案震驚了整個(gè)濱河市,隨后出現(xiàn)的幾起案子恶迈,更是在濱河造成了極大的恐慌涩金,老刑警劉巖,帶你破解...
    沈念sama閱讀 222,946評(píng)論 6 518
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件暇仲,死亡現(xiàn)場(chǎng)離奇詭異步做,居然都是意外死亡,警方通過(guò)查閱死者的電腦和手機(jī)奈附,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 95,336評(píng)論 3 399
  • 文/潘曉璐 我一進(jìn)店門全度,熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái),“玉大人斥滤,你說(shuō)我怎么就攤上這事将鸵∶阒眩” “怎么了?”我有些...
    開封第一講書人閱讀 169,716評(píng)論 0 364
  • 文/不壞的土叔 我叫張陵顶掉,是天一觀的道長(zhǎng)草娜。 經(jīng)常有香客問(wèn)我,道長(zhǎng)痒筒,這世上最難降的妖魔是什么宰闰? 我笑而不...
    開封第一講書人閱讀 60,222評(píng)論 1 300
  • 正文 為了忘掉前任,我火速辦了婚禮簿透,結(jié)果婚禮上移袍,老公的妹妹穿的比我還像新娘。我一直安慰自己老充,他們只是感情好葡盗,可當(dāng)我...
    茶點(diǎn)故事閱讀 69,223評(píng)論 6 398
  • 文/花漫 我一把揭開白布。 她就那樣靜靜地躺著啡浊,像睡著了一般觅够。 火紅的嫁衣襯著肌膚如雪。 梳的紋絲不亂的頭發(fā)上虫啥,一...
    開封第一講書人閱讀 52,807評(píng)論 1 314
  • 那天蔚约,我揣著相機(jī)與錄音奄妨,去河邊找鬼涂籽。 笑死,一個(gè)胖子當(dāng)著我的面吹牛砸抛,可吹牛的內(nèi)容都是我干的评雌。 我是一名探鬼主播,決...
    沈念sama閱讀 41,235評(píng)論 3 424
  • 文/蒼蘭香墨 我猛地睜開眼直焙,長(zhǎng)吁一口氣:“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼景东!你這毒婦竟也來(lái)了?” 一聲冷哼從身側(cè)響起奔誓,我...
    開封第一講書人閱讀 40,189評(píng)論 0 277
  • 序言:老撾萬(wàn)榮一對(duì)情侶失蹤斤吐,失蹤者是張志新(化名)和其女友劉穎,沒(méi)想到半個(gè)月后厨喂,有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體和措,經(jīng)...
    沈念sama閱讀 46,712評(píng)論 1 320
  • 正文 獨(dú)居荒郊野嶺守林人離奇死亡,尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 38,775評(píng)論 3 343
  • 正文 我和宋清朗相戀三年蜕煌,在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了派阱。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點(diǎn)故事閱讀 40,926評(píng)論 1 353
  • 序言:一個(gè)原本活蹦亂跳的男人離奇死亡斜纪,死狀恐怖贫母,靈堂內(nèi)的尸體忽然破棺而出文兑,到底是詐尸還是另有隱情,我是刑警寧澤腺劣,帶...
    沈念sama閱讀 36,580評(píng)論 5 351
  • 正文 年R本政府宣布绿贞,位于F島的核電站,受9級(jí)特大地震影響誓酒,放射性物質(zhì)發(fā)生泄漏樟蠕。R本人自食惡果不足惜,卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 42,259評(píng)論 3 336
  • 文/蒙蒙 一靠柑、第九天 我趴在偏房一處隱蔽的房頂上張望寨辩。 院中可真熱鬧,春花似錦歼冰、人聲如沸靡狞。這莊子的主人今日做“春日...
    開封第一講書人閱讀 32,750評(píng)論 0 25
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽(yáng)甸怕。三九已至,卻和暖如春腮恩,著一層夾襖步出監(jiān)牢的瞬間梢杭,已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 33,867評(píng)論 1 274
  • 我被黑心中介騙來(lái)泰國(guó)打工秸滴, 沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留武契,地道東北人。 一個(gè)月前我還...
    沈念sama閱讀 49,368評(píng)論 3 379
  • 正文 我出身青樓荡含,卻偏偏與公主長(zhǎng)得像咒唆,于是被迫代替她去往敵國(guó)和親。 傳聞我的和親對(duì)象是個(gè)殘疾皇子释液,可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 45,930評(píng)論 2 361

推薦閱讀更多精彩內(nèi)容