流量分析第二题

题目地址：

链接：https://pan.baidu.com/s/1NPEx6x4CfsevzGyDUG_Azw 
--来自百度网盘超级会员V3的分享

一、 分析

        首先掠过前面的一大堆连接的包，找到可以追踪TCP流的包。通过第二个流可以看出大概是是一个文件上传的操作。那么我们下面就需要找到他上传的文件。

 

通过第四个流，发现有个havefun.zip，应该就是我们要找的文件。 

 

二、追踪

        追踪第十个TCP流，同样掠过前面的SYN，ACK那些，直接来到Post这里，点进去。

而且z1解码后为一个文件的路径。

 

 

         然后看到z2后面的值为504B，很敏感的就知道这是一个zip的开头，那我们就把他导出即可。

 导出之后打不开，拉到winhex里，发现编码不对，我们得把Hex转成Ascii才行。 

 

来到 notepad++，用插件转成Ascll。然后保存即可打开(是个伪加密)。