安恒2018年三月月赛MISC蜘蛛侠呀

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

到处都是知识盲区hhh

下载了out.pcap之后，里面有很多ICMP包

看到ttl之后联想到西湖论剑里面的一道杂项题，无果

看WP知道可以使用wireshark的tshark命令提取流量包里面的文件，原因在于

$$START$$ END CERTIFICATE

这些都在提示我们流量包里面传输了一个文件，从开始到结束

wireshark跨平台，在windows和linux上面都可以很好使用，我直接在命令行里面输出data文件了。

tshark的命令参数参考:

https://www.cnblogs.com/liun1994/p/6142505.html

我们采用这个命令

tshark -r out.pcap -T fields -e data > out.txt

-r 读取本地文件，也就是我们下载的pcap包

-T 设置解码结果输出的格式

-e 当-T字段指定时，设置输出哪些字段

打开得到的out.txt文件看看

看起来好像是十六进制，我们使用python脚本转换一波

lines=open('out.txt','rb').readlines() file=open('old_file.txt','wb') for line in lines: file.write(line.strip().decode('hex')) file.close()

打开得到的old_file.txt文件

可以看出来有重复冗余字段，也就是每四行都是重复的。

于是再写一个去冗余的脚本

a=open('old_file.txt') f=open('old2_file.txt','w') i=0; result='' while i!=72156: result=a.readline() if i%4==0: f.write(result) i+=1 result='' f.close()

现在打开old2_file.txt文件

可以看出来已经去除了冗余部分，不过第一行和最后一行是多余的，同时每一行开始的九个字符也是多余的，剩下的组合起来看上去就像是BASE64编码，于是再写脚本去除这些多余的东西，同时base64解码

import base64 lines=open('old2_file.txt','rb').readlines() file=open('new_file','wb') result='' for line in lines[1:-1]: result+=line[9:].strip() file.write(base64.b64decode(result))

得到的new_file文件头是PK