MMS 协议

过滤一下mms协议，发现有两条不一样的

将其拼接放随波逐流里跑一下知道是base91，得到flag：flag{3QSZjGU5qey6}

恶意文件

通过IDA分析发现进行了socket 连接，找到IP和端口，最后得到flag：flag{1.15.228.170:8023}

攻击行为还原

首先在crontab文件中发现注解有可疑字符串，base64→base32解出来后半段flag

然后在id_rsa文件中rsa解密得到另一部分，最后拼接得到flag：flag{SSH_Brute_Force}

1
2
3
4
5
6
7
8
9
10
from gmpy2 import *
 
n=1606938044309278499168642398192229212629290234347717645487123
e=65537
c=1566077545968868311749088444723100549024925747577903610033503
phi = (1267650600235241044365044382487-1)*(1267650600260888172240281085029-1)
d = invert(e,phi)
print(bytes.fromhex(hex(pow(c,d,n))[2:]))
 
# flag{SSH_Brut

留痕取证

追踪tcp流可发现如下可疑字符串

接着rot13解得前半段flag

后半段flag通过string找到，拼接起来得到flag：flag{bufujiugana}

漏洞挖掘

file一下发现是个二进制文件，并且运行发现需要密码

用IDA打开分析发现可疑字符串

进而得到如下信息

转一下hex，再栅栏解得flag：flag{d5000loginpassisDLBhh@0812}

密文破解

爆破md5，得到flag：flag{1500.87}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
import hashlib
data = "{}1_1001_10_600_600_{}{}00{}{}7_202103301539"
md5_data = "b9fd??9d5??c1?f6c??abd????5ac??7"
 
t=""
for i in range(32,129):#所有可见字符
    t += chr(i)
 
for i1 in t:
    for i2 in t:
        for i3 in t:
            for i4 in t:
                for i5 in t:
                    tmp = data.format(i1,i2,i3,i4,i5)
                    tmd5 = hashlib.md5(tmp.encode()).hexdigest()
                    if tmd5[:4] == "b9fd" and tmd5[6:9] == "9d5" and tmd5[-1] == "7":
                        print(tmp)
 
# 1_1001_10_600_600_1500.87_202103301539

文件格式分析

很明显需要修复一下文件头得到一个压缩包，解出来一个log，通过ciphey解出flag：flag{W3lc0Me_t0_Xinx1}