CTF实战数据包解题及思路-开发者社区

1.数据包解题方法及思路

数据包分析题在CTF中基本是战数必考题目，这类题目一般是据包解题及思给出一个pcap包文件，要求从中分析出Flag。战数有的据包解题及思简单，直接通过字符串检索就可以获取，战数有点需要破解密码，据包解题及思有的战数需要保存文件，虽然样式很多，据包解题及思但仍然有迹可寻。战数

1.1数据包简介

1.pcap文件简介

pcap文件是据包解题及思常用的数据报存储格式，它是高防服务器战数按照特定格式存储的一种文件格式，通过记事本等普通编辑工具打开pcap文件显示为乱码，据包解题及思pcap文件只能使用专业的战数数据包处理软件来打开，例如wireshark等。据包解题及思wireshark可以抓包、战数查看包以及另存为cap包等。

2. PCAP文件构成

PCAP文件由一个PCAP文件头和多个PCAP数据包组成，PCAP数据又由数据包头和数据包内容组成，PCAP总体结构如图 1所示。

图1pcap总体结构图

（1）文件头

每一个pcap文件只有一个文件头，总共占24（B）字节，以下是总共7个字段的含义。服务器租用

Magic(4B) ：标记文件开始，并用来识别文件和字节顺序。值可以为0xa1b2c3d4或者0xd4c3b2a1，如果是0xa1b2c3d4表示是大端模式，按照原来的顺序一个字节一个字节的读，如果是0xd4c3b2a1表示小端模式，下面的字节都要交换顺序。现在的电脑大部分是小端模式。源码下载

Major(2B)：当前文件的主要版本号，一般为0x0200

Minor(2B)：当前文件的次要版本号，一般为0x0400

ThisZone(4B)：当地的标准事件，如果用的是GMT则全零，一般全零

SigFigs(4B) ：时间戳的精度，一般为全零

SnapLen(4B) ：最大的存储长度，设置所抓获的数据包的最大长度，云计算如果所有数据包都要抓获，将值设置为65535

LinkType(4B) ：链路类型。解析数据包首先要判断它的LinkType，所以这个值很重要。一般的值为1，即以太网。

（2）数据包头（Packet Header）

数据包头可以有多个，每个数据包头后面都跟着真正的数据包。以下是Packet Header的4个字段含义：

Timestamp(4B) ：时间戳高位，精确到seconds，这是免费模板Unix时间戳。捕获数据包的时间一般是根据这个值。

Timestamp(4B) ：时间戳低位，能够精确到microseconds

Caplen(4B) ：当前数据区的长度，即抓取到的数据帧长度，由此可以得到下一个数据帧的位置。

Len(4B)：离线数据长度，网路中实际数据帧的长度，一般不大于Caplen，多数情况下和Caplen值一样

（3）包数据（Packet Data）

Packet是建站模板链路层的数据帧，长度就是Packet Header中定义的Caplen值，所以每个Packet Header后面都跟着Caplen长度的Packet Data 。也就是说pcap文件并没有规定捕获的数据帧之间有什么间隔字符串。Packet数据帧部分的格式就是标准的网络协议格式了。