01.基本介紹

在CTF比賽中，對于流量包的分析取證是一種十分重要的題型。通常這類題目都是會提供一個包含流量數(shù)據(jù)的pcap文件，參賽選手通過該文件篩選和過濾其中無關(guān)的流量信息，根據(jù)關(guān)鍵流量信息找出flag或者相關(guān)線索。

pcap流量包的分析通常都是通過圖形化的網(wǎng)絡(luò)嗅探器——wireshark進行的，這款嗅探器經(jīng)過眾多開發(fā)者的不斷完善，現(xiàn)在已經(jīng)成為使用最為廣泛的安全工具之一。接下來，斗哥來為大家講解這款工具的基本使用。

02.基本使用

Wireshark的基本使用分為數(shù)據(jù)包篩選、數(shù)據(jù)包搜索、數(shù)據(jù)包還原、數(shù)據(jù)提取四個部分。

1. 數(shù)據(jù)包篩選：

數(shù)據(jù)包篩選功能是wireshark的核心功能，比如需要篩選出特定的協(xié)議如HTTP，Telnet等，也可能需要篩選出ip地址，端口等。

1.1??篩選ip：

●源ip篩選

輸入命令：ip.src == 地址

地址.png (107.75 KB, 下載次數(shù): 11)

2019-3-26 15:04 上傳

或者手動操作：

點擊任意一個符合篩選條件的數(shù)據(jù)包，找到IPv4下的Source字段。

字段.png (123.3 KB, 下載次數(shù): 3)

2019-3-26 15:04 上傳

右鍵點擊Source字段，作為過濾器應(yīng)用 – 選中。

選中.png (300.99 KB, 下載次數(shù): 4)

2019-3-26 15:05 上傳

●目的ip篩選

輸入命令：ip.dst == 地址

篩選.png (49.6 KB, 下載次數(shù): 4)

2019-3-26 15:06 上傳

或者手動操作：

點擊任意一個符合篩選條件的數(shù)據(jù)包，找到IPv4下的Destination字段，右鍵點擊Source字段，作為過濾器應(yīng)用 – 選中。

選中.png (529.26 KB, 下載次數(shù): 7)

2019-3-26 15:07 上傳

其他字段篩選與上面類似：

1.2??mac地址篩選:

eth.dst ==A0:00:00:04:C5:84 篩選目標mac地址

eth.addr==A0:00:00:04:C5:84 篩選MAC地址

1.3??端口篩選：

tcp.dstport == 80??篩選tcp協(xié)議的目標端口為80 的流量包

tcp.srcport == 80??篩選tcp協(xié)議的源端口為80 的流量包

udp.srcport == 80??篩選udp協(xié)議的源端口為80 的流量包

1.4??協(xié)議篩選：

tcp??篩選協(xié)議為tcp的流量包

udp 篩選協(xié)議為udp的流量包

arp/icmp/http/ftp/dns/ip??篩選協(xié)議為arp/icmp/http/ftp/dns/ip的流量包

1.5??包長度篩選：

udp.length ==20? ?篩選長度為20的udp流量包

tcp.len >=20??篩選長度大于20的tcp流量包

ip.len ==20??篩選長度為20的IP流量包

frame.len ==20 篩選長度為20的整個流量包

1.6? ?http請求篩選

請求方法為GET：http.request.method==“GET”篩選HTTP請求方法為GET的??流量包

請求方法為POST：http.request.method==“POST”篩選HTTP請求方法為POST的流量包

指定URI：http.request.uri==“/img/logo-edu.gif”篩選HTTP請求的URL為/img/logo-edu.gif的流量包

請求或相應(yīng)中包含特定內(nèi)容：http contains “FLAG” 篩選HTTP內(nèi)容為/FLAG的流量包

2. 數(shù)據(jù)包搜索：

在wireshark界面按“Ctrl+F”，可以進行關(guān)鍵字搜索：

關(guān)鍵字.png (189.64 KB, 下載次數(shù): 4)

2019-3-26 15:09 上傳

Wireshark的搜索功能支持正則表達式、字符串、十六進制等方式進行搜索，通常情況下直接使用字符串方式進行搜索。

字符.png (54.78 KB, 下載次數(shù): 6)

2019-3-26 15:09 上傳

搜索欄的左邊下拉，有分組列表、分組詳情、分組字節(jié)流三個選項，分別對應(yīng)wireshark界面的三個部分，搜索時選擇不同的選項以指定搜索區(qū)域：

指定 區(qū)域.png (47.46 KB, 下載次數(shù): 2)

2019-3-26 15:11 上傳

分組列表：

分組 1.png (94.13 KB, 下載次數(shù): 3)

2019-3-26 15:12 上傳

分組詳情：

分組 2.png (96.49 KB, 下載次數(shù): 4)

2019-3-26 15:12 上傳

分組字節(jié)流：

分組 3.png (93.74 KB, 下載次數(shù): 6)

2019-3-26 15:13 上傳

3.??數(shù)據(jù)包還原

在wireshark中，存在一個交追蹤流的功能，可以將HTTP或TCP流量集合在一起并還原成原始數(shù)據(jù)，具體操作方式如下：

選中想要還原的流量包，右鍵選中，選擇追蹤流 – TCP流/UPD流/SSL流/HTTP流。

流.png (336.39 KB, 下載次數(shù): 5)

2019-3-26 15:13 上傳

可在彈出的窗口中看到被還原的流量信息：

彈出.png (74.89 KB, 下載次數(shù): 6)

2019-3-26 15:14 上傳

4. 數(shù)據(jù)提取

Wireshark支持提取通過http傳輸(上傳/下載)的文件內(nèi)容，方法如下：

選中http文件傳輸流量包，在分組詳情中找到data或者Line-based text data:text/html層，鼠標右鍵點擊 – 選中 導(dǎo)出分組字節(jié)流。

鼠標.png (203.29 KB, 下載次數(shù): 6)

2019-3-26 15:15 上傳

如果是菜刀下載文件的流量，需要刪除分組字節(jié)流前開頭和結(jié)尾的X@Y字符，否則下載的文件會出錯。鼠標右鍵點擊 – 選中 顯示分組字節(jié)…

分組.png (238.14 KB, 下載次數(shù): 4)

2019-3-26 15:16 上傳

在彈出的窗口中設(shè)置開始和結(jié)束的字節(jié)(原字節(jié)數(shù)開頭加3，結(jié)尾減3)

結(jié)尾.png (43.89 KB, 下載次數(shù): 5)

2019-3-26 15:16 上傳

最后點擊save as按鈕導(dǎo)出。

03. 總結(jié)

以上為wireshark網(wǎng)絡(luò)嗅探器中關(guān)于流量分析在CTF比賽中的基本使用。下一篇流量分析文章為大家介紹CTF比賽中流量分析的基本題型解法。

qrcode_for_gh_223e082fe8a7_430.jpg (41.93 KB, 下載次數(shù): 7)

2019-3-26 15:17 上傳

總結(jié)

以上是生活随笔為你收集整理的wireshark 十六进制过滤_CTF流量分析之wireshark使用的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。