【Sword系列】第七届全国残疾人职业技能大赛样题-网络安全-Rocking

本文涉及的产品
服务治理 MSE Sentinel/OpenSergo,Agent数量 不受限
可观测可视化 Grafana 版,10个用户账号 1个月
简介: pcapng是一种数据包文件格式,用于捕获网络数据包,这是Wireshark捕获和分析网络数据包的标准格式。它可以记录从网络接口捕获的所有数据包,包括源和目的地址、协议类型、数据长度和时间戳等详细信息。 pcapng文件格式更加灵活和可扩展,能够支持更多的数据包类型和元数据信息。除了Wireshark之外,许多其他网络分析工具也支持pcapng格式文件。

前言

pcapng是一种数据包文件格式,用于捕获网络数据包,这是Wireshark捕获和分析网络数据包的标准格式。它可以记录从网络接口捕获的所有数据包,包括源和目的地址、协议类型、数据长度和时间戳等详细信息。 pcapng文件格式更加灵活和可扩展,能够支持更多的数据包类型和元数据信息。除了Wireshark之外,许多其他网络分析工具也支持pcapng格式文件。

JWT (JSON Web Token) 由三部分组成: 头部 (Header)、载荷 (Payload) 和签名 (Signature)。

  1. 头部 (Header):包含了JWT的基本信息,通常包含两部分,类型和加密算法。示例:{"alg":"HS256","typ":"JWT"}。

  2. 载荷 (Payload):也称为声明 (Claims),包含了需要传递的信息,例如用户ID、姓名、邮箱等,以及其他自定义数据。载荷分为三个部分:注册声明 (Registered Claims)、公共声明 (Public Claims) 和私有声明 (Private Claims)。

  3. 签名 (Signature):JWT的签名是将头部和载荷进行加密,然后使用密钥生成的。用于验证在传输过程中是否被篡改。签名的生成需要使用头部中指定的加密算法和密钥。通常使用 HMACSHA256 算法进行签名。最终,JWT 的签名部分将会使用 Base64 编码进行传输。

这三部分将使用点号(.)连接起来,形成一个完整的JWT字符串,例如:xxxxx.yyyyy.zzzzz。

一、Rocking

1.打开题目

image.png

2.解题

下载后发现是个数据包
image.png

用Wireshark软件打开,搜索追踪HTTP流发现flag.zip
image.png

导出flag.zip
image.png
image.png

打开zip文件发现需要密码
image.png

追踪HTTP流
在这里插入图片描述
发现base64位字符串,有过编程经验都知道这是JWT令牌

ZmxhZzphenVsY3JlbWE=

解密码
image.png

得到:flag:azulcrema
image.png

得到flag:HTTP_BASIC_AUTH_IS_EASY

目录
相关文章
|
1月前
|
网络安全 数据安全/隐私保护 XML
2024“天一永安杯“宁波第七届网络安全大赛极安云科战队部分WP
2024“天一永安杯“宁波第七届网络安全大赛极安云科战队部分WP
2024“天一永安杯“宁波第七届网络安全大赛极安云科战队部分WP
|
1月前
|
安全 关系型数据库 MySQL
2023 金砖国家职业技能大赛网络安全省赛二三阶段样题(金砖国家未来技能挑战赛)
2023 金砖国家职业技能大赛网络安全省赛二三阶段样题(金砖国家未来技能挑战赛)
|
1月前
|
安全 网络协议 网络安全
2023 金砖国家职业技能大赛网络安全省赛理论题样题(金砖国家未来技能挑战赛)
2023 金砖国家职业技能大赛网络安全省赛理论题样题(金砖国家未来技能挑战赛)
|
1月前
|
安全 Linux 网络安全
第十六届山东省职业院校技能大赛中职组网络安全赛项竞赛正式试题
第十六届山东省职业院校技能大赛中职组网络安全赛项竞赛正式试题
|
1月前
|
安全 JavaScript 前端开发
第十六届山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题—B模块安全事件响应/网络安全数据取证/应用安全
该内容描述了一次网络安全演练,包括七个部分:Linux渗透提权、内存取证、页面信息发现、数字取证调查、网络安全应急响应、Python代码分析和逆向分析。参与者需在模拟环境中收集Flag值,涉及任务如获取服务器信息、提权、解析内存片段、分析网络数据包、处理代码漏洞、解码逆向操作等。每个部分都列出了若干具体任务,要求提取或生成特定信息作为Flag提交。
41 0
|
1月前
|
安全 Linux 网络安全
第十六届山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题—A模块基础设施设置/安全加固
该任务是网络安全工程师模拟实战,目标是强化A模块服务器(Windows和Linux)的安全性。任务包括:设置强密码策略,限制用户权限,如禁用命令提示符,隐藏登录用户名;实施Nginx安全策略,禁止目录浏览,限制HTTP请求,调整超时时间,降权运行;配置日志监控,设定不同日志文件大小及覆盖规则;加固SSHD, VSFTPD, IIS服务,修改SSH端口,限制root登录,调整VSFTPD和IIS设置;优化本地安全策略,禁止匿名访问,保护密码存储,控制用户登录;最后,设计防火墙规则,限制SSH枚举,防御DoS攻击,并控制DNS解析请求。所有更改需截图并附说明,按指定格式保存提交。
22 0
|
1月前
|
安全 测试技术 网络安全
2024年山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题-C安全事件响应/网络安全数据取证/应用安全
B模块涵盖安全事件响应和应用安全,包括Windows渗透测试、页面信息发现、Linux系统提权及网络安全应急响应。在Windows渗透测试中,涉及系统服务扫描、DNS信息提取、管理员密码、.docx文件名及内容、图片中单词等Flag值。页面信息发现任务包括服务器端口、主页Flag、脚本信息、登录成功信息等。Linux系统渗透需收集SSH端口号、主机名、内核版本,并实现提权获取root目录内容和密码。网络安全应急响应涉及删除后门用户、找出ssh后门时间、恢复环境变量文件、识别修改的bin文件格式及定位挖矿病毒钱包地址。
20 0
|
1月前
|
安全 Linux 网络安全
2024年山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题-B-CTF夺旗与攻击
模块C和D是CTF夺旗比赛,分别侧重攻击和防御。作为渗透测试工程师,你需要在靶机(Linux/Windows)上找寻多种漏洞,如命令注入、文件上传、文件包含、远程代码执行和缓冲区溢出,以获取权限。同时,注意不能攻击裁判服务器,违者将被罚离场。提交靶机的唯一标识flag值并按规则加分。模块D中,你需要在堡垒服务器上发现并修复同样类型的漏洞,保证服务可用性,制作系统防御报告,所有截图需清晰,文件以PDF格式保存提交。
22 0
|
1月前
|
安全 Linux 网络安全
2024年山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题-C基础设施设置/安全加固
网络安全工程师需对AServer08(Win)和AServer09(Linux)进行安全加固,包括密码策略(复杂性、长度),Windows用户管理(所有权、命令提示符、用户名显示),Nginx安全配置(禁止目录浏览、限制HTTP请求、超时设置、降权运行)。日志监控涉及安全、应用和系统日志的最大大小及覆盖策略。中间件服务加固涉及SSH(端口、root登录、计划任务、PID路径),VSFTPD(非特权用户、连接端口、本地用户限制),IIS(日志审计、关闭WebDAV)。本地安全策略涵盖匿名枚举、无登录关闭、凭证存储、权限应用和登录超时
23 0
|
1月前
|
安全 测试技术 网络安全
2024年山东省职业院校技能大赛中职组 “网络安全”赛项竞赛试题-B模块安全事件响应/网络安全数据取证/应用安全
该文本描述了一组网络安全挑战,涉及Windows渗透测试、数字取证和Web安全。挑战包括使用Kali Linux进行系统扫描、DNS信息提取、管理员密码获取、文件名和内容检索以及图片中单词的识别。此外,还有针对FTPServer的数据包分析,寻找恶意用户活动的痕迹如HTTP访问、端口扫描、密码和木马密码。在Web安全部分,需通过渗透测试不同页面,解决一系列逻辑谜题以获取Flag。最后,有跨站脚本渗透测试,要求访问多个服务器目录并依据页面提示触发弹框以获得Flag。
37 0