Tags:流量分析,DASCTF,WebShell,蚁剑AntSword
0x00. 题目
附件路径：https://pan.baidu.com/s/1GyH7kitkMYywGC9YJeQLJA?pwd=Zmxh#list/path=/CTF附件
附件名称：202204_DASCTF_SimpleFlow.zip
0x01. WP
1. 分析http协议，找到附件数据
在最几个响应包中看到504B0304的压缩包特征，分析请求包内容删除干扰信息后导出备用，并发现蚁剑AntSword的流量特征
...
function asoutput(){
$output=ob_get_contents();ob_end_clean();
echo "eb32"."7956";
echo @asenc($output);
echo "44e7"."1eb66";
}
...
2. 排查前面的流量，发现一异常响应流量
分析响应流量，看到adding: ../flag.txt (deflated 10%)\n
猜测前面的请求流量为压缩命令
cd "/Users/chang/Sites/test";zip -P PaSsZiPWorD flag.zip ../flag.txt;echo [S];pwd;echo [E]
3. 解压压缩包，得到flag
Yes,this is the flag file.
And the flag is:
DASCTF{f3f32f434eddbc6e6b5043373af95ae8}