流量练习2

内存余响
内存余响

内存余响

2026年10月7日 23:30
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

某公司内网网络被黑客渗透，简单了解，黑客首先攻击了一台web服务器，破解了后台的账户密码，随之利用破解的账号密码登陆了mail系统，然后获取了vpn的申请方式，然后登陆了vpn，在内网pwn掉了一台打印机，请根据提供的流量包回答下面有关问题

链接：https://pan.baidu.com/s/1rlKVlXtCR794E7ZQPhQf6Q 提取码：lulu

1、给出黑客使用的扫描器

首先我们得到了六个附件

根据这个命名来我们知道有两个邮件，两个vpn两个web的

我们先看web1

根据题目找扫描器。常见的扫描器就是sqlmap，awvs(acunetix)，netsparker，appscan，nessus

然后我们可以过滤一下http

就看到了这个acunetix.wvs

或者我们直接过滤这个

http contains \"awvs\"

我们可以看到有大量的查询语句，过滤其他也有但是不是查询语句

2、得到黑客扫描到的登陆后台是(相对路径即可) /admin/login.php

过滤admin

http contains \"admin\"

我们就可以发现在这登陆账号密码

3、得到黑客使用了什么账号密码登陆了web后台(形式:username/password)

我发现了人事登陆的账号密码，再结合上一题，黑客肯定是在一样的地方登陆，过滤一下

http contains \"rce=login\"

发现有好多人都登陆过

黑客登陆肯定是用admin登陆

这样我们也知道了黑客的地址192.168.94.59

4、得到黑客上传的webshell文件名是什么，内容是什么,提交webshell内容的base编码

ip.src == 192.168.94.59&&http&&http.request.method==\"POST\"

可以看到，他在这个本来应该上传图片的里面上传了a.php

可以看到上传了一句话木马

5、黑客在robots.txt中找到的flag是什么

过滤包含robot的，追踪流

6、黑客找到的数据库密码是多少

涉及数据库密码，关键字就是password，mysql，database

黑客能找到密码，就说明很可能他已经成功登陆了，那我们就可以查看响应码为200的数据包

我们可以过滤一下这些，只有在这里我们发现了一条流量包

http.response.code==200&&http contains \"database\"

e667jUPvJjXHvEUv

追踪流我们也可以看到数据库ip

7、黑客在数据库中找到的hash\_code是什么

webone这个流量里面没有数据库ip的这个流量包，数据库的流量在webtwo里面

mysql contains \"hash\_code\"

只有mysql和tcp的流量，两个分别看一下

追踪tcp流得到

d1c029893df40cb0f47bcf8f1c3c17ac

8、黑客破解了账号[email protected]得到的密码是什么

tcp contains \"[email protected]\"

解密b78f5aa6e1606f07def6e839121a22ec得到

9、被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip

网卡名称一般为eth0，ens33

tcp contains \"eth0\"

追踪一条最大的流

eth0 :192.168.32.198

eth1:10.3.3.100

10、黑客获得的vpn,ip是多少

查看vpntwo统计-ipv4，可以看到有三个ip出现最多

查看smb

可以看到10.3.4.96回复response，这个就是smb服务器

再来看看10.3.4.55

10.3.4.3先ping10.3.4.55，而且10.3.4.3每次都向10.3.4.55发包，然后10.3.4.55回包

黑客的vpn ip就是10.3.4.3