陇剑杯线上-Wifi-WP

admin 2021年9月28日14:26:23CTF专场陇剑杯线上-Wifi-WP已关闭评论60 views2309字阅读7分41秒阅读模式

悲伤教会了我喜悦。

来自:一言

前言

这道大题是我最有思路的一道题,可惜最后卡在最后一步,解密哥斯拉的返回流量.

(不然感觉有希望进线下了

题目描述

网管小王最近喜欢上了ctf网络安全竞赛,他使用“哥斯拉”木马来玩玩upload-labs,并且保存了内存镜像、wifi流量和服务器流量,让您来分析后作答:(本题仅1小问)

答题要求

小王往upload-labs上传木马后进行了cat /flag,flag内容为_____________。(压缩包里有解压密码的提示,需要额外添加花括号)

题目下载

提取码:GAME

答题过程

1.下载附件后,解压后发现三个文件:Windows 7-dde00fa9.vmem    服务器.pcapng    客户端.cap

2.根据该项目叫wifi,所以推测解题关键就在客户端.cap里,所以用Wireshark打开客户端.cap后,如下图:

CTF|陇剑杯线上-Wifi-WP

发现全是加密的wifi包

3.大家都知道如果要解密wifi流量包的话,需要知道wifi的ssid和密码才可以解密,所以接下来我们就需要拿到Windows 7-dde00fa9.vmem镜像文件中的wifi密码,利用volatility(kali自带)获取镜像信息:

Source Code

  1. volatility -f 'Windows 7-dde00fa9.vmem' imageinfo

CTF|陇剑杯线上-Wifi-WP

4.获取到镜像的profile,知道是win7系统,关于系统保存的wifi密码文件地址:如果是Windows Vista或Windows 7,保存在c:ProgramDataMicrosoftWlansvcProfilesInterfaces[网卡Guid],每个无线网络对应一个XML文档,所以我们需要获取这个遍历这个镜像中的文件:

Shell

  1. volatility -f 'Windows 7-dde00fa9.vmem' --profile=Win7SP1x86_23418 filescan > 1.txt

CTF|陇剑杯线上-Wifi-WP

5.接下来要查找存放wifi密码的文件,找了一遍没有发现xml文件,然后回过头去看题目的提示:(压缩包里有解压密码的提示,需要额外添加花括号),这不是很明显了吗?,直接线查找zip的文件,果然在第二个zip处找到了一个My_Wifi.zip文件

CTF|陇剑杯线上-Wifi-WP

6.找到文件后将其导出:

HTML

  1. volatility -f 'Windows 7-dde00fa9.vmem' --profile=Win7SP1x86_23418 dumpfiles -Q 0x000000003fdc38c8 --dump-dir=./

CTF|陇剑杯线上-Wifi-WP

7.成功获取到zip文件,不过需要自己重命名过去,下载到本机后重命名为My_Wifi.zip,然后解压过程中发现密码??,用rar打开压缩包后发现解压密码提示:

CTF|陇剑杯线上-Wifi-WP

password is Network Adapter GUID(密码是网卡id)

8.之前说到win7的wifi密码就存放在c:ProgramDataMicrosoftWlansvcProfilesInterfaces[网卡Guid]中,所以我们继续在镜像文件中搜索,直接搜索Interfaces:

CTF|陇剑杯线上-Wifi-WP

9.拿到解压密码:{529B7D2A-05D1-4F21-A001-8F4FF817FC3A},解压后拿到wifi密码,用ie浏览器打开。

CTF|陇剑杯线上-Wifi-WP

10.成功拿到wifi密码和ssid,[email protected]_qwe   My_Wifi,那就可以尝试解密wifi流量包了。设置方法:编辑-首选项-Protocols-IEEE 802.11-Edit,设置好后点击ok,就可以看到解密的流量包了

CTF|陇剑杯线上-Wifi-WP

CTF|陇剑杯线上-Wifi-WP

11.现在我们已经解密到wifi包了,但是不知道请求的服务器地址是多少,所以现在打开 服务器.pcapng 开始查看网管上传哥斯拉时候的包,上传包肯定是POST了,所以直接筛选post包即可。

CTF|陇剑杯线上-Wifi-WP

12.拿到了请求的包,先进行url解码,再找个php在线执行看一下那段编码的内容:

CTF|陇剑杯线上-Wifi-WP

12.相信大家一眼就看出来了就是哥斯拉的马,并且使用了xor_base64的加密器,配置也是默认配置,密码:pass 密钥:key,也拿到了服务器ip:42.192.84.152 ,所以我们返回到wifi流量包,直接筛选服务器ip的包,找到几个哥斯拉加密的返回包

CTF|陇剑杯线上-Wifi-WP

13.接下来需要解密哥斯拉的流量,在网上找到一个文章:https://www.freebuf.com/sectool/285693.html ,解密脚本如下:

14.根据上面的文章可以知道(对于PHP_XOR_BASE64加密方式来说,前后各附加了16位的混淆字符),所以我们拿到的流量要先删除前16位和后16位字符

原始返回包:72a9c691ccdaab98fL1tMGI4YTljMn75e3jOBS5/V31Qd1NxKQMCe3h4KwFQfVAEVworCi0FfgB+BlWZhjRlQuTIIB5jMTU=b4c4e1f6ddd2a488

真正内容:fL1tMGI4YTljMn75e3jOBS5/V31Qd1NxKQMCe3h4KwFQfVAEVworCi0FfgB+BlWZhjRlQuTIIB5jMTU=

然后将需要解密的内容改进脚本,丢到php环境中运行即可拿到flag

CTF|陇剑杯线上-Wifi-WP

Flag

flag{5db5b7b0bb74babb66e1522f3a6b1b12}

相关推荐: dll劫持从0到1 - 篇1(基础)

STATEMENT声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷…

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年9月28日14:26:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  陇剑杯线上-Wifi-WP http://cn-sec.com/archives/555831.html