wireshark 十六进制过滤_CTF流量分析之wireshark使用
01.基本介紹
在CTF比賽中，對于流量包的分析取證是一種十分重要的題型。通常這類題目都是會提供一個包含流量數(shù)據(jù)的pcap文件，參賽選手通過該文件篩選和過濾其中無關(guān)的流量信息，根據(jù)關(guān)鍵流量信息找出flag或者相關(guān)線索。
pcap流量包的分析通常都是通過圖形化的網(wǎng)絡(luò)嗅探器——wireshark進(jìn)行的，這款嗅探器經(jīng)過眾多開發(fā)者的不斷完善，現(xiàn)在已經(jīng)成為使用最為廣泛的安全工具之一。接下來，斗哥來為大家講解這款工具的基本使用。
02.基本使用
Wireshark的基本使用分為數(shù)據(jù)包篩選、數(shù)據(jù)包搜索、數(shù)據(jù)包還原、數(shù)據(jù)提取四個部分。
1. 數(shù)據(jù)包篩選：
數(shù)據(jù)包篩選功能是wireshark的核心功能，比如需要篩選出特定的協(xié)議如HTTP，Telnet等，也可能需要篩選出ip地址，端口等。
1.1??篩選ip：
●源ip篩選
輸入命令：ip.src == 地址
地址.png (107.75 KB, 下載次數(shù): 11)
2019-3-26 15:04 上傳
或者手動操作：
點擊任意一個符合篩選條件的數(shù)據(jù)包，找到IPv4下的Source字段。
字段.png (123.3 KB, 下載次數(shù): 3)
2019-3-26 15:04 上傳
右鍵點擊Source字段，作為過濾器應(yīng)用 – 選中。
選中.png (300.99 KB, 下載次數(shù): 4)
2019-3-26 15:05 上傳
●目的ip篩選
輸入命令：ip.dst == 地址
篩選.png (49.6 KB, 下載次數(shù): 4)
2019-3-26 15:06 上傳
或者手動操作：
點擊任意一個符合篩選條件的數(shù)據(jù)包，找到IPv4下的Destination字段，右鍵點擊Source字段，作為過濾器應(yīng)用 – 選中。
選中.png (529.26 KB, 下載次數(shù): 7)
2019-3-26 15:07 上傳
其他字段篩選與上面類似：
1.2??mac地址篩選:
eth.dst ==A0:00:00:04:C5:84 篩選目標(biāo)mac地址
eth.addr==A0:00:00:04:C5:84 篩選MAC地址
1.3??端口篩選：
tcp.dstport == 80??篩選tcp協(xié)議的目標(biāo)端口為80 的流量包
tcp.srcport == 80??篩選tcp協(xié)議的源端口為80 的流量包
udp.srcport == 80??篩選udp協(xié)議的源端口為80 的流量包
1.4??協(xié)議篩選：
tcp??篩選協(xié)議為tcp的流量包
udp 篩選協(xié)議為udp的流量包
arp/icmp/http/ftp/dns/ip??篩選協(xié)議為arp/icmp/http/ftp/dns/ip的流量包
1.5??包長度篩選：
udp.length ==20? ?篩選長度為20的udp流量包
tcp.len >=20??篩選長度大于20的tcp流量包
ip.len ==20??篩選長度為20的IP流量包
frame.len ==20 篩選長度為20的整個流量包
1.6? ?http請求篩選
請求方法為GET：http.request.method==“GET”篩選HTTP請求方法為GET的??流量包
請求方法為POST：http.request.method==“POST”篩選HTTP請求方法為POST的流量包
指定URI：http.request.uri==“/img/logo-edu.gif”篩選HTTP請求的URL為/img/logo-edu.gif的流量包
請求或相應(yīng)中包含特定內(nèi)容：http contains “FLAG” 篩選HTTP內(nèi)容為/FLAG的流量包
2. 數(shù)據(jù)包搜索：
在wireshark界面按“Ctrl+F”，可以進(jìn)行關(guān)鍵字搜索：
關(guān)鍵字.png (189.64 KB, 下載次數(shù): 4)
2019-3-26 15:09 上傳
Wireshark的搜索功能支持正則表達(dá)式、字符串、十六進(jìn)制等方式進(jìn)行搜索，通常情況下直接使用字符串方式進(jìn)行搜索。
字符.png (54.78 KB, 下載次數(shù): 6)
2019-3-26 15:09 上傳
搜索欄的左邊下拉，有分組列表、分組詳情、分組字節(jié)流三個選項，分別對應(yīng)wireshark界面的三個部分，搜索時選擇不同的選項以指定搜索區(qū)域：
指定 區(qū)域.png (47.46 KB, 下載次數(shù): 2)
2019-3-26 15:11 上傳
分組列表：
分組 1.png (94.13 KB, 下載次數(shù): 3)
2019-3-26 15:12 上傳
分組詳情：
分組 2.png (96.49 KB, 下載次數(shù): 4)
2019-3-26 15:12 上傳
分組字節(jié)流：
分組 3.png (93.74 KB, 下載次數(shù): 6)
2019-3-26 15:13 上傳
3.??數(shù)據(jù)包還原
在wireshark中，存在一個交追蹤流的功能，可以將HTTP或TCP流量集合在一起并還原成原始數(shù)據(jù)，具體操作方式如下：
選中想要還原的流量包，右鍵選中，選擇追蹤流 – TCP流/UPD流/SSL流/HTTP流。
流.png (336.39 KB, 下載次數(shù): 5)
2019-3-26 15:13 上傳
可在彈出的窗口中看到被還原的流量信息：
彈出.png (74.89 KB, 下載次數(shù): 6)
2019-3-26 15:14 上傳
4. 數(shù)據(jù)提取
Wireshark支持提取通過http傳輸(上傳/下載)的文件內(nèi)容，方法如下：
選中http文件傳輸流量包，在分組詳情中找到data或者Line-based text data:text/html層，鼠標(biāo)右鍵點擊 – 選中 導(dǎo)出分組字節(jié)流。
鼠標(biāo).png (203.29 KB, 下載次數(shù): 6)
2019-3-26 15:15 上傳
如果是菜刀下載文件的流量，需要刪除分組字節(jié)流前開頭和結(jié)尾的X@Y字符，否則下載的文件會出錯。鼠標(biāo)右鍵點擊 – 選中 顯示分組字節(jié)…
分組.png (238.14 KB, 下載次數(shù): 4)
2019-3-26 15:16 上傳
在彈出的窗口中設(shè)置開始和結(jié)束的字節(jié)(原字節(jié)數(shù)開頭加3，結(jié)尾減3)
結(jié)尾.png (43.89 KB, 下載次數(shù): 5)
2019-3-26 15:16 上傳
最后點擊save as按鈕導(dǎo)出。
03. 總結(jié)
以上為wireshark網(wǎng)絡(luò)嗅探器中關(guān)于流量分析在CTF比賽中的基本使用。下一篇流量分析文章為大家介紹CTF比賽中流量分析的基本題型解法。
qrcode_for_gh_223e082fe8a7_430.jpg (41.93 KB, 下載次數(shù): 7)
2019-3-26 15:17 上傳
總結(jié)
以上是生活随笔為你收集整理的wireshark 十六进制过滤_CTF流量分析之wireshark使用的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： Java SE 01 Java概述
- 下一篇： 网易邮箱服务器怎么注册,免费网易域名邮箱