1. 项目概述从流量海洋中精准捕获Flag在CTFCapture The Flag夺旗赛的Misc杂项或Web类题目中流量分析是绕不开的经典题型。给你一个动辄几十兆、包含成千上万个数据包的抓包文件比如经典的http1.pcapng要求你从中找到一个形如flag{...}的字符串这就像是在信息的汪洋大海里捞一根特定的针。新手面对Wireshark密密麻麻的列表和十六进制数据流往往感到无从下手要么被海量数据淹没要么在错误的协议层里徒劳搜索。这篇文章我就以一个老CTF玩家的视角结合http1.pcapng这个典型的案例文件带你走一遍完整的实战流程。我们不止步于“找到Flag”更要深挖“为什么这么找”以及“如何更快、更准地找”。我会分享一套从宏观到微观、从协议过滤到内容挖掘的标准化分析思路并附上大量我踩过坑后才总结出的独家技巧。无论你是刚入门的新手还是想提升效率的老手这套方法都能让你在面对流量分析题时思路清晰手到擒来。2. 分析前的核心思路与工具准备2.1 理解题目意图与常见Flag藏匿点拿到一个流量分析题别急着打开Wireshark。先花一分钟思考出题人可能把Flag藏在哪里。这决定了你后续分析的主攻方向。在HTTP/HTTPS流量中Flag常见的藏身之处无非以下几类明文传输最基础的一种。Flag直接出现在某个HTTP请求或响应的URL参数、Cookie、表单数据、响应体HTML/JSON/文本中。http1.pcapng这类入门题往往就是这种。协议头部藏在HTTP头部字段里比如自定义的X-Flag、Flag头或者对常见头如User-Agent、Referer进行篡改和编码。文件传输Flag可能隐藏在通过HTTP上传或下载的文件里。你需要从流量中提取出文件如图片、文档、压缩包再进行二次分析。协议交互逻辑Flag的获取可能需要遵循特定的请求顺序比如先访问A页面获取一个Token再用这个Token去请求B页面。这需要你理清会话Session和请求间的逻辑关系。编码与加密Flag虽然被传输但经过了Base64、Hex、URL编码甚至简单的凯撒密码、XOR加密。你需要识别并解码。对于http1.pcapng从名称和常见出题套路来看极大可能属于第1类——明文传输。我们的策略就是快速过滤出HTTP流量然后集中火力在HTTP协议内容中搜索Flag。2.2 Wireshark必备配置与快捷键工欲善其事必先利其器。在开始分析前对Wireshark做几个简单配置能极大提升效率。显示配置进入编辑 - 首选项 - 外观我习惯将“列”设置增加几项有用的信息默认已有No.序号 Time时间 Source源地址 Destination目标地址 Protocol协议 Length长度 Info信息。建议添加http.request.uri 显示HTTP请求的完整URI一眼就能看到访问路径和参数非常直观。http.response.code 显示HTTP响应状态码快速定位404、200、302等关键响应。 添加方法在“列”设置点击“”类型选择“自定义”字段名填入上面的字段即可。着色规则Wireshark默认的着色规则已经不错但我们可以强化一下HTTP相关流量。HTTP请求http.request可以设置为醒目的背景色如浅蓝色。HTTP响应http.response可以设置为另一种颜色如浅绿色。TCP错误/重传这些通常与解题无关可以设置为灰色降低干扰。 设置路径视图 - 着色规则。必须刻在脑子里的快捷键CtrlF 打开搜索框。这是找Flag的核心武器。记住要在“分组详情”中搜索并选择“字符串”选项。CtrlAltShiftT 跟踪TCP流更常用的是右键点击数据包 - 追踪流 - TCP流。这能将一次完整的HTTP会话请求响应以明文形式呈现是分析交互逻辑的神器。CtrlShiftD 清除当前所有过滤器。Ctrl↑/↓ 在已应用的不同过滤器历史间切换。注意在比赛或做题时时间紧张不要沉迷于调整完美的配色。上述列配置是性价比最高的投入务必设置好。3. 四步法实战解剖http1.pcapng现在我们正式打开http1.pcapng文件。假设你对此文件一无所知让我们用一套标准化流程来破解它。3.1 第一步宏观扫描与协议统计打开文件后首先映入眼帘的是数据包列表。不要慌我们先看整体。看协议列快速滚动看看主要有哪些协议。大概率你会看到大量的TCP、HTTP可能还有TLS如果题目是HTTPS。http1.pcapng应该主要是HTTP。使用“统计”菜单统计 - 协议分级 这里会以树状图和百分比告诉你整个抓包文件中各协议的分布情况。确认HTTP协议占比最高这坚定了我们主攻HTTP的信心。统计 - 对话 查看“TCP”或“IPv4”标签页。这里列出了所有通信对IP:Port - IP:Port及其数据量。通常流量最大的几个对话就是关键业务发生的地方。留意那些数据包数量多或字节数大的对话。实操心得如果“协议分级”里出现大量TLS但题目又叫http1那可能提示Flag在建立TLS连接前的明文握手信息中或者出题人故意混淆。但本例中我们聚焦HTTP。3.2 第二步精准过滤HTTP流量Wireshark的显示过滤器是缩小战场的关键。在过滤器栏输入http回车后列表将只显示HTTP协议的数据包。现在界面清爽多了只剩下HTTP请求和响应。更精细的过滤http.request 只查看所有HTTP请求GET, POST等。http.response 只查看所有HTTP响应。http.response.code 200 只查看成功的响应。http.request.uri contains “login” 查看URI中包含“login”的请求。对于找Flag我建议先使用http.request因为请求中的参数尤其是GET参数经常是出题点。快速浏览Info列或你自定义的http.request.uri列寻找可疑的URL。技巧在http1.pcapng中你可能会看到一个请求的URI特别长或者包含像?keyword...、?id...、?file...这样的参数这些就是需要重点检查的地方。3.3 第三步深入检查请求与响应找到了可疑的HTTP请求包比如一个带参数的GET请求接下来就是深入查看其内容。查看分组详情选中该数据包中间面板的“分组详情”窗口展示了这个数据包从物理层到应用层的所有信息。逐层展开展开Hypertext Transfer Protocol 这里是HTTP协议的详细信息。查看Request Method、Request URI 确认请求方法和路径。重点展开Full request URI或Query String Parameters 如果URI有参数这里会将其解析成键值对一目了然。Flag可能直接作为参数值出现。追踪TCP流关键步骤在可疑的数据包上右键选择追踪流 - TCP流。这时会弹出一个新窗口将这次TCP连接中的所有数据包括请求头和响应头、正文以ASCII形式默认呈现。这是分析HTTP交互最有效的方式。在TCP流窗口你会看到原始的HTTP请求和响应数据。请求部分检查请求行、请求头。特别注意Cookie、User-Agent、Referer等字段Flag可能经过编码后藏在这里。响应部分检查状态行、响应头。然后最关键的是看响应体。Flag很可能就在返回的HTML页面、JSON数据或一段纯文本中。在http1.pcapng案例中的实战 应用过滤器http.request后你很可能发现一个GET请求其URI类似于/index.php?flag...或者/search?q...。选中它追踪TCP流。在响应体中你可能会看到一段HTML其中包含类似!-- flag is: flag{this_is_a_sample} --的注释或者直接就在网页正文中显示flag{...}。3.4 第四步使用搜索功能进行最终确认如果通过以上步骤你已经肉眼发现了Flag那很棒。但有时Flag可能被分割、编码或者藏在非常不起眼的地方。这时就需要动用终极武器全局搜索。按下CtrlF打开搜索窗口。范围选择“分组详情”。“分组列表”只搜索列表显示的信息“分组字节流”是搜索原始十六进制通常不直接用。类型选择“字符串”。输入搜索词最直接输入flag{。这是CTF Flag最常见的形式。如果出题人标准这能直接定位。扩大范围如果搜不到可以尝试搜索flag、Flag、FLAG。如果题目提示了格式比如提示Flag格式为ctf{...}那就搜ctf{。重要技巧在搜索前最好先应用过滤器http将搜索范围限定在HTTP流量内避免在TCP握手、TLS协商等无关协议的数据中浪费时间。搜索到的结果会高亮。点击搜索结果Wireshark会自动定位到对应的数据包。此时再结合“分组详情”或“追踪TCP流”来查看Flag的完整上下文。在http1.pcapng中的最终操作过滤器栏输入http。CtrlF在“分组详情”中搜索字符串flag{。大概率会直接定位到包含Flag的HTTP响应数据包。在该数据包的“分组详情”中展开HTTP部分在响应体里找到完整的Flag字符串。4. 进阶技巧与常见问题排查掌握了基本流程你已经能解决80%的HTTP流量分析题。下面这些进阶技巧和问题排查经验能帮你攻克剩下的20%。4.1 当Flag被编码或加密时如果你按照上述方法搜不到明文的flag{那Flag很可能被处理过。识别编码Base64 特征是有A-Z, a-z, 0-9, , /和结尾的长度通常是4的倍数。在TCP流或搜索中看到类似ZmxhZ3t...的字符串它就是flag{的Base64编码ZmxhZ3s。Hex十六进制 特征是只有0-9, a-f组成。666c61677b就是flag{的Hex表示。URL编码 特征是有很多%符号如%66%6c%61%67%7b。如何应对Wireshark内置解码对于Base64或Hex有时Wireshark在“分组详情”的“查询字符串参数”或“表单参数”中会自动解码。留意查看。使用“追踪流”的显示格式在TCP流窗口顶部有一个“显示数据为”的下拉框。除了“ASCII”还可以尝试“EBCDIC”、“Hex Dump”、“C Arrays”等有时换个视角就能发现规律。外部工具解码将可疑字符串复制出来使用CyberChef一个强大的在线编解码网站或本地Python脚本进行解码尝试。在CTF中Base64是最常见的。4.2 当Flag隐藏在传输的文件中有些题目HTTP流量负责传输一个文件如flag.zip,secret.pngFlag藏在文件里。识别文件传输查找Content-Type为application/octet-stream、image/png、application/zip等的HTTP响应。查看Content-Disposition: attachment响应头这表示是文件下载。提取文件在传输该文件的TCP流窗口确保“显示数据为”是“原始数据”。点击“另存为...”按钮将原始数据保存为一个文件如dump.bin。根据Content-Type或文件魔术头Magic Bytes重命名为正确的扩展名如.zip,.png。用相应软件打开分析。对于图片可能要用Stegsolve工具查看隐写对于压缩包可能需要解压密码密码可能在其他请求里。4.3 常见问题与排查技巧实录问题1应用http过滤器后什么数据包都没有可能原因1流量实际上是HTTPSTLS加密的HTTP。过滤器http只匹配明文HTTP端口默认80。尝试使用tls或ssl过滤器但加密后内容不可直接读题目可能需要你分析证书、SNI信息或者Flag在加密前的Client Hello中。可能原因2HTTP运行在非标准端口。尝试过滤TCP端口如tcp.port 8080然后对流量右键尝试“解码为...”将其解码为HTTP协议。排查先看“协议分级”确认HTTP协议是否存在。如果只有TCP和TLS那很可能就是HTTPS。问题2搜索flag{无结果但题目肯定有Flag。排查步骤确认搜索范围是否在“分组详情”中搜索是否应用了过于狭窄的过滤器如http.response.code404先清除过滤器或只用tcp进行全局搜索。尝试变体搜索flag、Flag、FLAG。注意大小写Wireshark搜索默认可能区分大小写。检查编码如上文所述尝试搜索Base64、Hex的常见特征字符。查看大流量响应在“对话”统计中找到收发字节数最大的TCP流追踪它。Flag可能藏在传输的图片或文件二进制中需要提取后分析。问题3TCP流窗口内容乱码看不懂。原因可能显示格式不对或者内容是压缩、加密的。解决切换“显示数据为”为“原始数据”先保存下来。检查HTTP响应头是否有Content-Encoding: gzip。如果有说明内容被Gzip压缩了。你需要先用脚本或工具解压。在Linux下可以用echo [原始数据] | base64 -d | gzip -d来尝试解压需先将原始数据适当处理。这可能是一道需要解压的题目。问题4有太多HTTP流量不知道从何看起。策略先看异常状态码过滤http.response.code 400查看错误请求出题人可能把线索放在404页面或500错误信息里。关注POST请求过滤http.request.method POST因为提交数据的行为往往更关键。关注特定路径如果URI中有admin、flag、secret、upload、download等关键词优先检查。时间排序与跟随流按照时间顺序从头开始选择一个看起来是发起会话的请求如GET /然后右键“追踪流”完整地看完一次会话理解业务逻辑。我个人在实战中养成的一个习惯是永远先做一次全局的flag{搜索这常常能秒杀简单题。如果不行再按照“统计-过滤-追踪-搜索”的流程进行深度分析。这套组合拳下来绝大多数HTTP流量分析题都无所遁形。记住保持耐心仔细阅读每一个你可能忽略的响应头和注释Flag往往就在你认为最不可能的地方。
CTF流量分析实战：从Wireshark基础到HTTP协议Flag捕获
1. 项目概述从流量海洋中精准捕获Flag在CTFCapture The Flag夺旗赛的Misc杂项或Web类题目中流量分析是绕不开的经典题型。给你一个动辄几十兆、包含成千上万个数据包的抓包文件比如经典的http1.pcapng要求你从中找到一个形如flag{...}的字符串这就像是在信息的汪洋大海里捞一根特定的针。新手面对Wireshark密密麻麻的列表和十六进制数据流往往感到无从下手要么被海量数据淹没要么在错误的协议层里徒劳搜索。这篇文章我就以一个老CTF玩家的视角结合http1.pcapng这个典型的案例文件带你走一遍完整的实战流程。我们不止步于“找到Flag”更要深挖“为什么这么找”以及“如何更快、更准地找”。我会分享一套从宏观到微观、从协议过滤到内容挖掘的标准化分析思路并附上大量我踩过坑后才总结出的独家技巧。无论你是刚入门的新手还是想提升效率的老手这套方法都能让你在面对流量分析题时思路清晰手到擒来。2. 分析前的核心思路与工具准备2.1 理解题目意图与常见Flag藏匿点拿到一个流量分析题别急着打开Wireshark。先花一分钟思考出题人可能把Flag藏在哪里。这决定了你后续分析的主攻方向。在HTTP/HTTPS流量中Flag常见的藏身之处无非以下几类明文传输最基础的一种。Flag直接出现在某个HTTP请求或响应的URL参数、Cookie、表单数据、响应体HTML/JSON/文本中。http1.pcapng这类入门题往往就是这种。协议头部藏在HTTP头部字段里比如自定义的X-Flag、Flag头或者对常见头如User-Agent、Referer进行篡改和编码。文件传输Flag可能隐藏在通过HTTP上传或下载的文件里。你需要从流量中提取出文件如图片、文档、压缩包再进行二次分析。协议交互逻辑Flag的获取可能需要遵循特定的请求顺序比如先访问A页面获取一个Token再用这个Token去请求B页面。这需要你理清会话Session和请求间的逻辑关系。编码与加密Flag虽然被传输但经过了Base64、Hex、URL编码甚至简单的凯撒密码、XOR加密。你需要识别并解码。对于http1.pcapng从名称和常见出题套路来看极大可能属于第1类——明文传输。我们的策略就是快速过滤出HTTP流量然后集中火力在HTTP协议内容中搜索Flag。2.2 Wireshark必备配置与快捷键工欲善其事必先利其器。在开始分析前对Wireshark做几个简单配置能极大提升效率。显示配置进入编辑 - 首选项 - 外观我习惯将“列”设置增加几项有用的信息默认已有No.序号 Time时间 Source源地址 Destination目标地址 Protocol协议 Length长度 Info信息。建议添加http.request.uri 显示HTTP请求的完整URI一眼就能看到访问路径和参数非常直观。http.response.code 显示HTTP响应状态码快速定位404、200、302等关键响应。 添加方法在“列”设置点击“”类型选择“自定义”字段名填入上面的字段即可。着色规则Wireshark默认的着色规则已经不错但我们可以强化一下HTTP相关流量。HTTP请求http.request可以设置为醒目的背景色如浅蓝色。HTTP响应http.response可以设置为另一种颜色如浅绿色。TCP错误/重传这些通常与解题无关可以设置为灰色降低干扰。 设置路径视图 - 着色规则。必须刻在脑子里的快捷键CtrlF 打开搜索框。这是找Flag的核心武器。记住要在“分组详情”中搜索并选择“字符串”选项。CtrlAltShiftT 跟踪TCP流更常用的是右键点击数据包 - 追踪流 - TCP流。这能将一次完整的HTTP会话请求响应以明文形式呈现是分析交互逻辑的神器。CtrlShiftD 清除当前所有过滤器。Ctrl↑/↓ 在已应用的不同过滤器历史间切换。注意在比赛或做题时时间紧张不要沉迷于调整完美的配色。上述列配置是性价比最高的投入务必设置好。3. 四步法实战解剖http1.pcapng现在我们正式打开http1.pcapng文件。假设你对此文件一无所知让我们用一套标准化流程来破解它。3.1 第一步宏观扫描与协议统计打开文件后首先映入眼帘的是数据包列表。不要慌我们先看整体。看协议列快速滚动看看主要有哪些协议。大概率你会看到大量的TCP、HTTP可能还有TLS如果题目是HTTPS。http1.pcapng应该主要是HTTP。使用“统计”菜单统计 - 协议分级 这里会以树状图和百分比告诉你整个抓包文件中各协议的分布情况。确认HTTP协议占比最高这坚定了我们主攻HTTP的信心。统计 - 对话 查看“TCP”或“IPv4”标签页。这里列出了所有通信对IP:Port - IP:Port及其数据量。通常流量最大的几个对话就是关键业务发生的地方。留意那些数据包数量多或字节数大的对话。实操心得如果“协议分级”里出现大量TLS但题目又叫http1那可能提示Flag在建立TLS连接前的明文握手信息中或者出题人故意混淆。但本例中我们聚焦HTTP。3.2 第二步精准过滤HTTP流量Wireshark的显示过滤器是缩小战场的关键。在过滤器栏输入http回车后列表将只显示HTTP协议的数据包。现在界面清爽多了只剩下HTTP请求和响应。更精细的过滤http.request 只查看所有HTTP请求GET, POST等。http.response 只查看所有HTTP响应。http.response.code 200 只查看成功的响应。http.request.uri contains “login” 查看URI中包含“login”的请求。对于找Flag我建议先使用http.request因为请求中的参数尤其是GET参数经常是出题点。快速浏览Info列或你自定义的http.request.uri列寻找可疑的URL。技巧在http1.pcapng中你可能会看到一个请求的URI特别长或者包含像?keyword...、?id...、?file...这样的参数这些就是需要重点检查的地方。3.3 第三步深入检查请求与响应找到了可疑的HTTP请求包比如一个带参数的GET请求接下来就是深入查看其内容。查看分组详情选中该数据包中间面板的“分组详情”窗口展示了这个数据包从物理层到应用层的所有信息。逐层展开展开Hypertext Transfer Protocol 这里是HTTP协议的详细信息。查看Request Method、Request URI 确认请求方法和路径。重点展开Full request URI或Query String Parameters 如果URI有参数这里会将其解析成键值对一目了然。Flag可能直接作为参数值出现。追踪TCP流关键步骤在可疑的数据包上右键选择追踪流 - TCP流。这时会弹出一个新窗口将这次TCP连接中的所有数据包括请求头和响应头、正文以ASCII形式默认呈现。这是分析HTTP交互最有效的方式。在TCP流窗口你会看到原始的HTTP请求和响应数据。请求部分检查请求行、请求头。特别注意Cookie、User-Agent、Referer等字段Flag可能经过编码后藏在这里。响应部分检查状态行、响应头。然后最关键的是看响应体。Flag很可能就在返回的HTML页面、JSON数据或一段纯文本中。在http1.pcapng案例中的实战 应用过滤器http.request后你很可能发现一个GET请求其URI类似于/index.php?flag...或者/search?q...。选中它追踪TCP流。在响应体中你可能会看到一段HTML其中包含类似!-- flag is: flag{this_is_a_sample} --的注释或者直接就在网页正文中显示flag{...}。3.4 第四步使用搜索功能进行最终确认如果通过以上步骤你已经肉眼发现了Flag那很棒。但有时Flag可能被分割、编码或者藏在非常不起眼的地方。这时就需要动用终极武器全局搜索。按下CtrlF打开搜索窗口。范围选择“分组详情”。“分组列表”只搜索列表显示的信息“分组字节流”是搜索原始十六进制通常不直接用。类型选择“字符串”。输入搜索词最直接输入flag{。这是CTF Flag最常见的形式。如果出题人标准这能直接定位。扩大范围如果搜不到可以尝试搜索flag、Flag、FLAG。如果题目提示了格式比如提示Flag格式为ctf{...}那就搜ctf{。重要技巧在搜索前最好先应用过滤器http将搜索范围限定在HTTP流量内避免在TCP握手、TLS协商等无关协议的数据中浪费时间。搜索到的结果会高亮。点击搜索结果Wireshark会自动定位到对应的数据包。此时再结合“分组详情”或“追踪TCP流”来查看Flag的完整上下文。在http1.pcapng中的最终操作过滤器栏输入http。CtrlF在“分组详情”中搜索字符串flag{。大概率会直接定位到包含Flag的HTTP响应数据包。在该数据包的“分组详情”中展开HTTP部分在响应体里找到完整的Flag字符串。4. 进阶技巧与常见问题排查掌握了基本流程你已经能解决80%的HTTP流量分析题。下面这些进阶技巧和问题排查经验能帮你攻克剩下的20%。4.1 当Flag被编码或加密时如果你按照上述方法搜不到明文的flag{那Flag很可能被处理过。识别编码Base64 特征是有A-Z, a-z, 0-9, , /和结尾的长度通常是4的倍数。在TCP流或搜索中看到类似ZmxhZ3t...的字符串它就是flag{的Base64编码ZmxhZ3s。Hex十六进制 特征是只有0-9, a-f组成。666c61677b就是flag{的Hex表示。URL编码 特征是有很多%符号如%66%6c%61%67%7b。如何应对Wireshark内置解码对于Base64或Hex有时Wireshark在“分组详情”的“查询字符串参数”或“表单参数”中会自动解码。留意查看。使用“追踪流”的显示格式在TCP流窗口顶部有一个“显示数据为”的下拉框。除了“ASCII”还可以尝试“EBCDIC”、“Hex Dump”、“C Arrays”等有时换个视角就能发现规律。外部工具解码将可疑字符串复制出来使用CyberChef一个强大的在线编解码网站或本地Python脚本进行解码尝试。在CTF中Base64是最常见的。4.2 当Flag隐藏在传输的文件中有些题目HTTP流量负责传输一个文件如flag.zip,secret.pngFlag藏在文件里。识别文件传输查找Content-Type为application/octet-stream、image/png、application/zip等的HTTP响应。查看Content-Disposition: attachment响应头这表示是文件下载。提取文件在传输该文件的TCP流窗口确保“显示数据为”是“原始数据”。点击“另存为...”按钮将原始数据保存为一个文件如dump.bin。根据Content-Type或文件魔术头Magic Bytes重命名为正确的扩展名如.zip,.png。用相应软件打开分析。对于图片可能要用Stegsolve工具查看隐写对于压缩包可能需要解压密码密码可能在其他请求里。4.3 常见问题与排查技巧实录问题1应用http过滤器后什么数据包都没有可能原因1流量实际上是HTTPSTLS加密的HTTP。过滤器http只匹配明文HTTP端口默认80。尝试使用tls或ssl过滤器但加密后内容不可直接读题目可能需要你分析证书、SNI信息或者Flag在加密前的Client Hello中。可能原因2HTTP运行在非标准端口。尝试过滤TCP端口如tcp.port 8080然后对流量右键尝试“解码为...”将其解码为HTTP协议。排查先看“协议分级”确认HTTP协议是否存在。如果只有TCP和TLS那很可能就是HTTPS。问题2搜索flag{无结果但题目肯定有Flag。排查步骤确认搜索范围是否在“分组详情”中搜索是否应用了过于狭窄的过滤器如http.response.code404先清除过滤器或只用tcp进行全局搜索。尝试变体搜索flag、Flag、FLAG。注意大小写Wireshark搜索默认可能区分大小写。检查编码如上文所述尝试搜索Base64、Hex的常见特征字符。查看大流量响应在“对话”统计中找到收发字节数最大的TCP流追踪它。Flag可能藏在传输的图片或文件二进制中需要提取后分析。问题3TCP流窗口内容乱码看不懂。原因可能显示格式不对或者内容是压缩、加密的。解决切换“显示数据为”为“原始数据”先保存下来。检查HTTP响应头是否有Content-Encoding: gzip。如果有说明内容被Gzip压缩了。你需要先用脚本或工具解压。在Linux下可以用echo [原始数据] | base64 -d | gzip -d来尝试解压需先将原始数据适当处理。这可能是一道需要解压的题目。问题4有太多HTTP流量不知道从何看起。策略先看异常状态码过滤http.response.code 400查看错误请求出题人可能把线索放在404页面或500错误信息里。关注POST请求过滤http.request.method POST因为提交数据的行为往往更关键。关注特定路径如果URI中有admin、flag、secret、upload、download等关键词优先检查。时间排序与跟随流按照时间顺序从头开始选择一个看起来是发起会话的请求如GET /然后右键“追踪流”完整地看完一次会话理解业务逻辑。我个人在实战中养成的一个习惯是永远先做一次全局的flag{搜索这常常能秒杀简单题。如果不行再按照“统计-过滤-追踪-搜索”的流程进行深度分析。这套组合拳下来绝大多数HTTP流量分析题都无所遁形。记住保持耐心仔细阅读每一个你可能忽略的响应头和注释Flag往往就在你认为最不可能的地方。
