使用wireshark自帶的tshark命令行工具捣郊，可以將 leftover capture data單獨(dú)提取出來，具體命令為：
tshark.exe -r usb1.pcap -T fields -e usb.capdata > usbdata.txt
然后我們需要編寫腳本從得出的userdata.txt文件中過濾出鍵盤擊鍵相關(guān)的流量，并根據(jù)上述映射表脚粟，將鍵盤按鍵按照對應(yīng)關(guān)系輸出出來淡诗，這里附上簡要的腳本：
mappings = { 0x04:"A", 0x05:"B", 0x06:"C", 0x07:"D", 0x08:"E", 0x09:"F", 0x0A:"G", 0x0B:"H", 0x0C:"I", 0x0D:"J", 0x0E:"K", 0x0F:"L", 0x10:"M", 0x11:"N",0x12:"O", 0x13:"P", 0x14:"Q", 0x15:"R", 0x16:"S", 0x17:"T", 0x18:"U",0x19:"V", 0x1A:"W", 0x1B:"X", 0x1C:"Y", 0x1D:"Z", 0x1E:"1", 0x1F:"2", 0x20:"3", 0x21:"4", 0x22:"5", 0x23:"6", 0x24:"7", 0x25:"8", 0x26:"9", 0x27:"0", 0x28:"\n", 0x2a:"[DEL]", 0X2B:" ", 0x2C:" ", 0x2D:"-", 0x2E:"=", 0x2F:"[", 0x30:"]", 0x31:"\", 0x32:"~", 0x33:";", 0x34:"'", 0x36:",", 0x37:"." }
nums = []
keys = open('usbdata.txt')
for line in keys:
if line[0]!='0' or line[1]!='0' or line[3]!='0' or line[4]!='0' or line[9]!='0' or line[10]!='0' or line[12]!='0' or line[13]!='0' or line[15]!='0' or line[16]!='0' or line[18]!='0' or line[19]!='0' or line[21]!='0' or line[22]!='0':
continue
nums.append(int(line[6:8],16))
keys.close()
output = ""
for n in nums:
if n == 0 :
continue
if n in mappings:
output += mappings[n]
else:
output += '[unknown]'
print 'output :\n' + output
首先同樣使用tshark 命令將cap data提取出來:
tshark.exe -r usb2.pcap -T fields -e usb.capdata > usbdata.txt
每一個數(shù)據(jù)包的數(shù)據(jù)區(qū)有四個字節(jié)骇塘，第一個字節(jié)代表按鍵，當(dāng)取0x00時(shí)韩容，代表沒有按鍵款违、為0x01時(shí)，代表按左鍵群凶，為0x02時(shí)插爹，代表當(dāng)前按鍵為右鍵。第二個字節(jié)可以看成是一個signed byte類型请梢，其最高位為符號位赠尾，當(dāng)這個值為正時(shí)，代表鼠標(biāo)水平右移多少像素毅弧，為負(fù)時(shí)气嫁，代表水平左移多少像素。第三個字節(jié)與第二字節(jié)類似够坐，代表垂直上下移動的偏移寸宵。
了解協(xié)議相關(guān)約定之后，可編寫腳本將數(shù)據(jù)包的內(nèi)容變成一系列點(diǎn)的集合咆霜，為了區(qū)分左右按鍵邓馒，可以特意對第一個字節(jié)的內(nèi)容作一下判斷。相關(guān)腳本如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
nums = []
keys = open('data.txt','r')
posx = 0
posy = 0
for line in keys:
if len(line) != 12 :
continue
x = int(line[3:5],16)
y = int(line[6:8],16)
if x > 127 :
x -= 256
if y > 127 :
y -= 256
posx += x
posy += y
btn_flag = int(line[0:2],16) # 1 for left , 2 for right , 0 for nothing
if btn_flag == 1 :
print posx , posy
keys.close()
本題的flag藏在右鍵信息中蛾坯，當(dāng)btn_flag 取2時(shí)光酣，運(yùn)行腳本可以得到一系列坐標(biāo)點(diǎn)：
[圖片上傳中。脉课。救军。（2）]
得到這些點(diǎn)之后财异，需要將他們畫出來，因而需要輔以gnuplot 或者其他的繪圖工具唱遭，gnuplot的命令為"plot inputfile"戳寸，運(yùn)行如下：
[圖片上傳中。拷泽。疫鹊。（3）]
最后得到本題的flag： XNUCA{USBPCAPGETEVERYTHING}
[圖片上傳中。司致。拆吆。（4）]
