工控安全取证

 

 

打开发现是一个.log文件，里面是一堆乱码

 

 将后缀名改为.pcap打开

按时间排序

 

 

分析流量包发现存在ICMP、TCP、UDP协议的流量包，观察数据包发现少数几个ICMP。

一开始，IP地址192.168.0.9向IP地址192.168.0.99发送了一个ICMP的Ping请求，之后才是大量的TCP请求数据。猜测在每次发送TCP请求是，会先进行一次ICMP的Ping请求。

将协议排序后，发现ICMP协议刚好分成了四段。

尝试第四次攻击的几个编号

 

 flag{155989}