拿到 pcapng 文件后首先分析流量类型发现有 TCP 连接其中一个连接使用端口 21FTP 默认控制端口确认这是 FTP 流量从控制连接端口 21中提取所有 FTP 命令和响应表格命令 / 响应 说明USER uftp 用户名uftpPASS whoami127.0.0.1 密码whoami127.0.0.1MKD key is here 创建了 key is here 目录CWD key is here 进入该目录STOR key.zip 上传 key.zip 文件STOR README.txt 上传 README.txt 文件FTP 使用被动模式PASV每次数据传输都会建立新的 TCP 连接从227 Entering Passive Mode (192,168,174,141,71,31)中解析数据端口端口号 71 × 256 31 18207每个 LIST、STOR 命令对应一个数据连接从数据连接中提取文件内容key.zip197 字节从 STOR 命令对应的数据连接中提取是一个 ZIP 压缩包README.txt66 字节说明文档中文内容README.txt 内容UTF-8 编码中文秘密钥匙就在很多用户名密码用一样的密码。意思是ZIP 压缩包的密码和 FTP 登录密码相同。使用 FTP 密码whoami127.0.0.1解压 key.zip解压成功得到key.txt内容KEY{351d5ead1ca31ed33deb6f6a3111e117}先找控制连接FTP 控制连接通常在端口 21先看控制连接里的命令了解用户做了什么操作用户名、密码、上传 / 下载了什么文件都能在控制连接里看到再找数据连接FTP 数据连接的端口不固定主动模式服务器端口 20被动模式从 227 Entering Passive Mode (a,b,c,d,p1,p2) 中计算端口 p1×256p2每个 LIST、RETR、STOR 命令都会对应一个数据连接提取文件内容注意 TCP 序列号按顺序重组数据注意传输方向STOR 是客户端→服务器上传RETR 是服务器→客户端下载注意传输模式ASCII 模式和二进制模式TYPE A / TYPE I注意隐藏信息密码可能藏在 README、注释、文件名里注意密码复用的情况很多人不同地方用同一个密码压缩包可能有密码密码可能在流量的其他地方