# 网络流量中的巨兽踪迹

## 题面

警报！小P同学学校的网络监控系统发现服务器存在异常外联流量，疑似遭受了隐蔽的APT攻击！安全团队迅速响应，通过流量镜像捕获到了一个关键的 pcap 数据包。初步分析显示，攻击者可能使用了一种代号为“G”的知名工具来窃取数据并维持持久控制，流量按照每 16 字节一组进行异或混淆，其流量特征犹如巨兽般隐秘而危险。

现在，学校的网络安全防线面临严峻考验。急需你这样专业的网络取证分析员加入调查团队。你的任务就是深入分析这个 pcap 文件，从复杂的流量中揪出隐藏的两个关键 Flag，帮助我们彻底揭露这次攻击的真相！

## 预期解法

通过题面中“巨兽”、“G”的提示不难发现，是哥斯拉流量包。

sol文件夹中给出了解密的代码。当然，其中的解压密码等信息需要逐步分析后获取。如果你没有解密哥斯拉流量的工具，可以参考解密代码的步骤和写法。

筛选http流量，分别解密响应和请求流量，可以从请求部分获得flag1，从响应部分获得一个带密码的压缩包,同时也能解码全部交互的过程。

其中最关键的一条指令：

```
sh -c "cd /srv/; find / -name 'flag' -type f -exec zip -e /tmp/archive.zip -P"$USER:$PWD" {} + 2>/dev/null" 2>&1
```

- 进入 /srv/ 目录；
- 在全盘查找所有名为 flag 的普通文件；
- 用 zip 工具（带加密，密码为当前用户名:目录），打包到 /tmp/archive.zip。

使用默认用户www-data和当前目录/srv 获得解压密码，并解压flag。