流量分析（buuctf版）

1.被嗅探的流量

分析题目为文件传输的数据

文件传输一般直接找POST（大写）包

搜索框搜素http.request.method==POST

得到两个包体，其中一个含有图片文件打开含图片的包体

向下滑动得到flag，flag为flag{da73d88936010da1eeeb36e945ec4b97}

2.easycap

翻译为简单的帽子，感觉没什么特殊含义，那就开做，下载点击得到一个全是TCP流的界面

没什么头绪，追踪一下TCP流试试得到flag

flag{385b87afc8671dee07550290d16a8071}

3.数据包中的线索

题目如下：

题目中提到在线交流，过滤一下http流试试

过滤得到四个包体，但不知道是哪一个包体，选择预览框内容较多的试试

得到

这一串玩意，感觉是base64（有大有小有数字有字符嘛）但是感觉这一大串不可能只包含一串flag，猜测可能是base64转图片（其实是看转换结果它告诉的）

点击下载得到图片为flag为flag{209acebf6324a09671abc31c869de72c}

网站为

https://the-x.cn/encodings/Base64.aspx

4.百里挑一

题目如下

题目说有很多图片但是下载得到的是一串流量，考虑应该是将图片藏在流量里了，导出http流看看

得到一大堆图片，没得丝毫头绪（后面去看大佬笔记发现是要去kali里面查看）exiftoll *|grep flag命令得到

它说还有一半，那应该是在剩下的流量分析里面搜素

tcp.stream eq 114

尝试追踪TCP流

得到剩下一半flag