题目思路

题目没有给出提示，但根据标题命名得知分析的是蚁剑流量包，所以我们可以直接查看http数据包进行分析。通过对统计数据的分析，我们可以得到http数据大致的访问信息，再通过查询语句过滤流量包得到成功访问的流量包

下载数据包

flag1

木马的连接密码是多少
1、左键点击“统计”->“HTTP”->“分组计数器”查看分析HTTP流量数据

2、http contains “200” 查看http协议中包含200（成功登录返回值）的流量包

1

http contains "200"

3、右键其中一个请求包，点击“追踪流”->“HTTP流”，进行查看分析，得到木马的连接密码是 “1”

flag

1

flag{1}

flag2

黑客执行的第一个命令是什么
题目思路：通过分析刚才语句过滤后的流量包，我们发现这些就是蚁剑连接执行命令的流量包，可以直接根据流量包顺序进行分析查看分析，解码后（根据编码特征发现是Base64编码）得到第一个命令执行语句
1、查看第1个流量包中执行的命令信息

2、右键编码“Value”位置，点击“分组字节流”，开始位置调整为“2”，解码为调整为“Base64”，查看流量包执行的命令内容，得到第一个执行的命令 “id”（查看当前用户uid）

1

蚁剑会在编码前加两位随机生成的字符，所以需要调整开始位置

flag

1

flag{id}

flag3

黑客读取了哪个文件的内容，提交文件绝对路径?
题目思路：根据之前的题目，我们已经找到了蚁剑连接的流量，以及执行的命令。继续对流量进行分析，查看流量包内容，得到读取的文件绝对路径
1、依次查看请求流量包以及以及返回流量包，第三个返回包中回显了大量信息，猜测查看了文件内容（其实根据经验可以直接看出查看的是/etc/passwd文件）
根据数据包来看，很明显是读取了passwd文件返回的内容。

2、点击第3个请求包，右键编码“Value”位置，位置，点击“分组字节流”，开始位置调整为“2”，解码为调整为“Base64”，查看流量包执行的命令内容，得到黑客查看文件命令 “cat /etc/passwd”

flag

1

flag{/etc/passwd}

flag4

黑客上传了什么文件到服务器，提交文件名?
题目思路：根据之前做的分析，继续查看后面的流量包。通过分析回显流量包，发现第5个返回包与第2个返回包相比多了一个文件，由此可以得到文件名，当然我们也可以直接分析解码得到上传文件名

flag

1

flag{flag.txt}

flag5

黑客上传的文件内容是什么?
题目思路：我们在得到黑客上传的文件名后，通过查看返回包我们可以发现上传文件与执行系统命令的请求数据并不相同，只能查看请求数据包进行分析，通过对请求包数据的解码分析得到上传文件内容
1、点击第4个请求包，右键“追踪流”->“HTTP流”，将编码复制，进行解码

2、首先进行URL解码（直接根据编码特征进行判断），查看后发现流量包后面有两段编码

3、最后一段编码明显是Base64编码（解码后就是上传文件的绝对路径），猜测第二段编码为文件内容（蚁剑上传的文件会对内容进行16进制加密），进行解密得到文件内容 “flag{write_flag}”

1
2
3

https://www.lddgo.net/string/hex

666C61677B77726974655F666C61677D0A

flag

1

flag{write_flag}

flag6

黑客下载了哪个文件，提交文件绝对路径
题目思路：这个与之前相同，直接查看流量包信息，解码后即可获得
1、右键编码“Value”位置，位置，点击“分组字节流”，开始位置调整为“2”，解码为调整为“Base64”，查看流量包执行的命令内容，得到黑客下在的文件名 “config.php”

1

flag{/var/www/html/config.php}