PicoCTF - shark on wire 2

Posted on | Post modified | In |

PicoCTF - shark on wire 2

Recon

這一提出的很硬要，誰知道會把flag藏在這種地方，也沒有任何的提示，如果不是看1根本不知道這題要表達甚麼，也可能是我太蔡

  1. Simple Recon

    首先做一些基本的recon，諸如dump files/string search/follow tcp or udp之類的，會發現UDP packets會有一些訊息出現，其中出現Start和一些a/b最後接著end

  2. Set filter as udp.port==22

    會發現其中所有的len都一樣，就只有source port不一樣，同樣都是5xxx開頭，而後三位數就是flag

  3. Extract Flag

    所以只要把所有的port擷取出來拚在一起，就可以拿到flag了

Exploit

1
2
3
4
5
6
7
8
9
 
import pyshark

capture = pyshark.FileCapture('./PicoCTF/Misc/shark on wire 2/capture.pcap', display_filter='udp.port == 22')

data = []
for pkt in capture:
    if pkt.udp.port != '5000':
        data.append(chr(int(pkt.udp.port[1:])))
print("".join(data))

Flag: picoCTF{p1LLf3r3d_data_v1a_st3g0}

Reference

  1. PicoCTF 2019 - shark on wire 2:-1: ↩