日志分析1.青少年 ctf 流量一找到流量包用 http 过滤一下因为题目提示了 tomcat,而 tomcat 是 java 写的所以文件后缀是 jsp,java,class 等。而 webshell 的利用都是 http/https 协议所以用之过滤。一般做到这里看到 b.jsp是非正常命名。 尝试提交文件名 flag{b.jsp} 不对 。查看这个文件也没有东西。那就不是这个文件webshell 被转移了。利用工具 D 盾将数据包文件直接拖入 D 盾扫描到 webshell 的真正位置。code 即为 flag ,base64 解密flag{A7b4_X9zK_2v8N_wL5q4}2. 日志流量二中一个IP有访问webshell的流量已提取部分放在了两个pcapng中了。请帮他解密该流量这题需要解密流量根据经验找到传输的数据包。根据 webshell 的特征判断是哥斯拉它基本是 AES 加密。key 值由先前文件里的内容获得初步解密后所圈的内容会帮我们自动确认格式Gzip这里使用 Gunzip 再解码发现不是 flag,再往下换值带入得到 flagflag{sA4hP_89dFh_x09tY_lL4SI4}3.日志流量三黑客疑似通过webshell上传了文件所以我们需要找到那个上传文件的数据包通过判断数据长度确定传输的数据包将原始数据解码得知是 PDF 文件将解码后的内容保存为 pdf ,下载打开得到 flag。flag{dD7g_jk90_jnVm_aPkcs}