前言承接第一篇 CTF 流量分析，中间涉及部分知识内容，顺便自己再熟悉一遍，常规CTF或者说工控流量分析用到的工具 wireshark 之外似乎不怎涉及，，，协议 TCP协议 TCP(Transmission Control Protocol 传输控制协议)是一种面向连接(连接导向)的、可靠的、基于IP的传输层协议。 OSI七层模型 TCP协议的报文格式 TCP三次握手以及四次挥手，三次握手以及四次挥手首先需要了解这几个概念第一次握手:客户端发送一个TCP的SYN标志位置1的包指明客户打算连接的服务器的端口，以及初始序号X,保存在包头的序列号(Sequence Number)字段里。第二次握手:服务器发回确认包(ACK)应答。即SYN标志位和ACK标志位均为1同时，将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即X+1。第三次握手:客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方。四次挥手顺序：第一次挥手：Client发送一个FIN，用来关闭Client到Server的数据传送，Client进入FIN_WAIT_1状态。第二次挥手：Server收到FIN后，发送一个ACK给Client，确认序号为收到序号+1,Server进入CLOSE_WAIT状态。第三次挥手：Server发送一个FIN，用来关闭Server到Client的数据传送，Server进入LAST_ACK状态。第四次挥手：Client收到FIN后，Client进入TIME_WAIT状态，接着发送一个ACK给Server，确认序号为收到序号+1，Server进入CLOSED状态，完成四次挥手到这里为止，就直接对接上连载文一的问题一，方便直接确定，简单理解就是端口开放：攻击方发送SYN包，受害主机返回SYN ACK 攻击主机发送 ACK,受害主机返回RST ACK 端口CLOSE 攻击方发送SYN包，受害主机返回RST ACK 可结合文一的数据包来分析。 ARP协议 ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。简单来说就是可以确定主机mac地址的协议。 ARP协议报文格式图片来源于网上老师傅的，其实也无需对报文格式了解，概念本身就比较好理解。 ICMP协议 ICMP 是 TCP/IP 模型中网络层的重要成员，与 IP 协议、ARP 协议、RARP 协议及 IGMP 协议共同构成 TCP/IP 模型中的网络层。ping 和 tracert是两个常用网络管理命令，ping 用来测试网络可达性，tracert 用来显示到达目的主机的路径。简单理解来说就理解为ping的时候利用的就是ICMP协议。 HTTP协议 HTTP是一个属于应用层的面向对象的协议， HTTP请求由三部分组成，分别是：请求行、消息报头、请求正文,可以根据请求包的内容去理解 HTTP协议的报文格式涉及工控的部分协议 Modbus协议直接看该协议的pdf，看的头懵，直接切入重点具体的交互线圈寄存等也时不大了解，一般牵涉到的这类协议的话，直接用脚本提取应该就行，文末附的有参考链接，内有脚本和原理。 S7comm协议 S7协议基于OSI模型，S7协议包含三部分 Header->Parameter->Data 一般题目中的似乎好像再数据部分吧，，，，，还有其它协议 MMS 协议等等。但是工控类的题目总的来说也有技巧吧。过滤语法 ip.addr==x.x.x.x 含有地地址x.x.xx ip.src==x.x.x.x 源地址为x.x.x.x ip.dst==x.x.x.x 目的地址为x.x.x.x arp|http|tcp 过滤各类协议 tcp.port == 22 tcp端口为22的流量 http.request.method== "POST" 请求方式为POST的http协议流量 tcp contains "flag" tcp协议中含有字符“flag”，内容过滤 http.request.uri contains "flag" htttp请求中含有字符串 eth.dst == A0:00:00:04:C5:84 // 过滤目标mac eth.src eq A0:00:00:04:C5:84 // 过滤来源mac eth.dst==A0:00:00:04:C5:84 eth.dst==A0-00-00-04-C5-84 eth.addr eq A0:00:00:04:C5:84 / / 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的 http.request.method == "GET" http.request.method == "POST" http.request.uri == "/img/logo-edu.gif" http contains "GET" http contains "HTTP/1." // GET包 http.request.method == "GET" && http contains "Host: " http.request.method == "GET" && http contains "User-Agent: " // POST包 http.request.method == "POST" && http contains "Host: " http.request.method == "POST" && http contains "User-Agent: " // 响应包 http contains "HTTP/1.1 200 OK" && http contains "Content-Type: " http contains "HTTP/1.0 200 OK" && http contains "Content-Type: " //联合语句 http contains "HTTP/1.0 200 OK" && http contains "Content-Type: " 参考链接 https://www.cnblogs.com/nongchaoer/p/11975947.html https://www.cnblogs.com/bj-mr-li/p/11106390.html https://www.jianshu.com/p/d3725391af59 https://www.cnblogs.com/light2018/p/12362790.html

下一篇，某CTF之从“头”再来的日志分析（三）

@智能安全助手谢师傅这么多的支持啦

@GoTTY 谢谢师傅支持"#p2845

W3_1Day 半夜加班“水”文么

和对交流多交流，ahahhhhh

一文教你怎么搞定流量包（二）

GoTTY 无奈水文

GoTTY 菜的很

W3_1Day 有点高产

W3_1Day 比不过

有点高产

S.pang 互相学习嘛，感谢关注

W3_1Day 6666666

@psych1 "谢谢小姐姐支持

@kidll "感谢师傅关注

😀

666

« 上一页