计算机网络-网络协议分析-威胁数据流实战Bravo-1.pcapng流量分析答案

肖云老师 课程：威胁数据流实战
![](/media/202307/2023-07-05_165110_2730840.8702615808092388.png)

题目：
![](/media/202307/2023-07-05_165127_1981050.575778071635454.png)

# 分析过程
------------

分析包：
## 第1题
1、分析windows7桌面下的Bravo-1.pcapng数据包文件，通过分析数据包Bravo-1.pcapng找出恶意用户目录扫描的第2个目录名，并将该目录名作为flag提交

![](/media/202307/2023-07-05_171001_3515590.9367772899069382.png)
过滤规则是http
在过滤的http里面找第二个出现路径不一样的包，找包出现的第二个不同的路径
flag加密提交
参考答案：
```uploads```

## 第2题
2、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，分析出恶意用户通过哪个目录写入的一句话木马，并将该目录名作为flag提交

![](/media/202307/2023-07-05_171009_1969980.27438593666265276.png)
写入的包是上传包，所以过滤post包，过滤规则为

http.request.method== "POST"
http contains "POST"

找到上传的木马包(一般找最大的包)，找包上传的路径
参考答案：
```phpMyadmin```

## 第3题
3、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，分析出恶意用户读取了服务器什么文件，并将该文件名及后缀作为flag提交

![](/media/202307/2023-07-05_171024_6831880.9938274533320612.png)
过滤规则为1http.request.method== "POST"
2http contains "POST"
在过滤出来的包里面找文件(文件名为flag.txt)
Flag加密提交
参考答案案：
```flag.txt```

## 第4题
4、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，分析出恶意用户写入一句话木马的路径是什么，并将该路径作为flag提交

![](/media/202307/2023-07-05_171030_4611120.5394779373065922.png)
找到上传一句话木马的包，在包里面有木马路径
Flag加密提交即可
过滤规则为
http.request.method== "POST"
http contains "POST"
参考答案：
```c:/WWW/FI/shell2.php```

## 第5题
5、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，分析出恶意用户连接一句话木马的密码是什么，并将一句话密码作为flag提交

![](/media/202307/2023-07-05_171034_7754460.18723023915479564.png)
找到上传的一句话木马，密码就在木马里面
Flag加密提交即可
过滤规则为
http.request.method== "POST"
http contains "POST"
参考答案：
```cia```

## 第6题
6、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，分析出恶意用户下载了什么文件，并将文件名及后缀作为flag提交

![](/media/202307/2023-07-05_171038_8074250.07247299221531323.png)
过滤规则为
http.request.method== "GET"
http contains "GET"
在包上找文件名，flag加密提交

参考答案：
```connect.docx```

## 第7题
7、继续查看windows7桌面下的Bravo-1.pcapng数据包文件，将Web服务器连接的数据库名作为flag提交

![](/media/202307/2023-07-05_171046_7658400.1119254620941349.png)
过滤规则为
http.request.method== "POST"
http contains "POST"
在过滤出来的包里用追踪流找，打开追踪流之后，在查找里面输入db，查找数据库
Flag加密提交

参考答案：
```performance_schema```