ICMP协议，DNS协议，http协议流量分析

流量分析ICMP协议考点：

flag1

用tshark分析ICMP协议的数据后 ，发现没有收获，可以观察每个数据的长度

每个数据的长度会隐藏信息

前两个数据包的长度是Zm，跟flag的base64编码=Zmxh有相同部分，思路就有了

提出数据长度

发现有相同的数据（英文一个ICMP协议的request和relay的数据长度相同），利用请求标准type过滤所有ICMP协议的其中的relay，只保留request

让ICMP type==8过滤请求包

让ICMP type==0过滤相应包

之后在用tshark提取所有数据-Y ICMP.type==0并将提取的数据交给cyperchef就可以得到一半flag

当用协议分级发现流量包中出现DNS协议时，DNS一般不出现在流量包中，若出现了则有隐藏内容

讲name那一层应用为列

用tshark提出name列

发现有很多脏数据利用Linux虚拟机，下面照片上切换目录的操作再用Linux提取

提取我们需要的内容dnslog.cn

以.为分界提取出前面的数字部分

讲分离出来的数字进行二进制转照片（Python脚本等方法）

发现只能提取类似二维码的部分照片（标准二维码数据基本为正方形）

通过name length=65分离出相应包和请求包

再根据flags后面的内容0x0100和0x8182分离相应包和请求包

再用tshark提取出来

二进制转照片但是二维码还是不正确

继续，将重复的请求过滤出来

相同方法把数据提出来二进制转换成图片即可得到二维码，扫描后得到flag2

flag3为http协议，在http协议里面搜索}的base64编码就可以找到隐藏的ipg照片，base64转码就可以得到flag3