1. 全栈程序员必看首页

记一次CTF的USB流量分析

全栈程序员-站长 • • 未分类 • 阅读 179

记一次CTF的USB流量分析最近在研究鼠标流量，找到如下的文章：https://www.cnblogs.com/hackxf/p/10670844.html根据这个师傅的说法，不同的鼠标抓到的流量不一样，一般的鼠标流量是四个字节，第一个字节表示按键指示左键右键，第二个字节表示水平位移，为正（小于127）是向右移动，为负（补码负数，大于127小于255）是向左移动。第三个字节表示垂直位移，为正（小于127）是向上移动，为负…

大家好，又见面了，我是你们的朋友全栈君。

usb鼠标流量

最近在研究鼠标流量，找到如下的文章：
https://www.cnblogs.com/hackxf/p/10670844.html
根据这个师傅的说法，不同的鼠标抓到的流量不一样，一般的鼠标流量是四个字节，第一个字节表示按键指示左键右键，第二个字节表示水平位移，为正（小于127）是向右移动，为负（补码负数，大于127小于255）是向左移动。第三个字节表示垂直位移，为正（小于127）是向上移动，为负（补码负数，大于127小于255）是向下移动。事实上，起作用的只是三个相邻的字节。
然而，有些鼠标的流量似乎不那么标准，比如上面那个师傅，他抓出来的流量是8字节的，于是他就取了1、2、3字节来进行分析。而我抓到的流量是6字节的。
如下图：
在这里插入图片描述

经过分析，我对应的起作用的字节是2、3、4字节，稍微修改了下师傅的脚本。

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >127 :
        y -=256
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(posy)+'\n')
keys.close()
result.close()

同时在控制台里面运行以下命令出来了结果。

tshark -r test2.pcapng -T fields -e usb.capdata > usbdata.txt
python3 sniffer.py
gnuplot.exe -e "plot 'result.txt'" -p

但是这样的图像出来是反的。
在这里插入图片描述

于是我又加了个负号。

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >127 :
        y -=256
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(-posy)+'\n')
keys.close()
result.close()

图像正了，但还是有倾斜，又反复试了多次，和画图的结果还是不太一样。
在这里插入图片描述
在这里插入图片描述
经过对比，稍微调整了参数,具体的参数作用注释里面有说明

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >120 :#这个参数控制单个字符的高度，如果高度过大导致字符过瘦，请调大
        y -=264#这个参数控制字符串的倾斜程度，如果向下倾斜就调高，如果向上倾斜就调低
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(-posy)+'\n')
keys.close()
result.close()

这下结果就比较接近了。
在这里插入图片描述
流量详见附件：
https://download.csdn.net/download/fjh1997/12374482

2. USB键盘流量

usb键盘流量就容易的多，主要起作用的是七个字节（1、3～8）。键盘流量只记录按下的按键。释放按键不进行记录。

在mac os catalina 15上面抓usb流量比较方便

重启Mac,进入恢复模式
在终端里面输入csrutil disable关闭SIP保护
再次重启之后使用命令sudo ifconfig XHC20 up
开启端口之后使用wireshark抓包即可。

BYTE1 --
       |--bit0:   Left Control是否按下，按下为1 
       |--bit1:   Left Shift  是否按下，按下为1 
       |--bit2:   Left Alt    是否按下，按下为1 
       |--bit3:   Left GUI    是否按下，按下为1 
       |--bit4:   Right Control是否按下，按下为1  
       |--bit5:   Right Shift 是否按下，按下为1 
       |--bit6:   Right Alt   是否按下，按下为1 
       |--bit7:   Right GUI   是否按下，按下为1 
BYTE2 -- 暂不清楚，有的地方说是保留位
BYTE3--BYTE8 -- 这六个为普通按键

详细的对照表可以去这里看：
https://www.usb.org/sites/default/files/documents/hut1_12v2.pdf
但是在抓包的时候也需要注意一些点同时在抓流量的时候也会遇到一些问题，比如8个字节都是0的USB流量太多以及其他USB设备的流量的干扰，需要用filter“usb.capdata != 00:00:00:00:00:00:00:00 and usb.src == “96.1.1””进行过滤，如下图。
在这里插入图片描述
再比如同样一个s没加shift是0000160000000000，加了shift之后是0200160000000000
在这里插入图片描述

在这里插入图片描述
有些时候也会遇到多个按键一起按的情况，这个时候3～8字节可能会被利用起来。
在这里插入图片描述
这里我做了一个实验，输入”hello I’m good“之后查看抓到的流量是什么：

import os
os.system("tshark -r test.pcapng -T fields -e usb.capdata > usbdata.txt")
normalKeys = { 
   "04":"a", "05":"b", "06":"c", "07":"d", "08":"e", "09":"f", "0a":"g", "0b":"h", "0c":"i", "0d":"j", "0e":"k", "0f":"l", "10":"m", "11":"n", "12":"o", "13":"p", "14":"q", "15":"r", "16":"s", "17":"t", "18":"u", "19":"v", "1a":"w", "1b":"x", "1c":"y", "1d":"z","1e":"1", "1f":"2", "20":"3", "21":"4", "22":"5", "23":"6","24":"7","25":"8","26":"9","27":"0","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"-","2e":"=","2f":"[","30":"]","31":"\\","32":"<NON>","33":";","34":"'","35":"<GA>","36":",","37":".","38":"/","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}

shiftKeys = { 
   "04":"A", "05":"B", "06":"C", "07":"D", "08":"E", "09":"F", "0a":"G", "0b":"H", "0c":"I", "0d":"J", "0e":"K", "0f":"L", "10":"M", "11":"N", "12":"O", "13":"P", "14":"Q", "15":"R", "16":"S", "17":"T", "18":"U", "19":"V", "1a":"W", "1b":"X", "1c":"Y", "1d":"Z","1e":"!", "1f":"@", "20":"#", "21":"$", "22":"%", "23":"^","24":"&","25":"*","26":"(","27":")","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"_","2e":"+","2f":"{","30":"}","31":"|","32":"<NON>","33":"\"","34":":","35":"<GA>","36":"<","37":">","38":"?","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}


nums = []
keys = open('usbdata.txt')
for line in keys:
    if len(line)!=17: #首先过滤掉鼠标等其他设备的USB流量
         continue
    nums.append(line[0:2]+line[4:6]) #取一、三字节
keys.close()
output = ""
for n in nums:
    if n[2:4] == "00" :
        continue

    if n[2:4] in normalKeys:
        if n[0:2]=="02": #表示按下了shift
            output += shiftKeys [n[2:4]]
        else :
            output += normalKeys [n[2:4]]
    else:
        output += '[unknown]'
print('output :n' + output)

得到如下结果：
在这里插入图片描述

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/139794.html原文链接：https://javaforall.net

赞 (0)
全栈程序员-站长的头像全栈程序员-站长
0 0


相关推荐

  • 正则实现二代身份证号码验证详解[通俗易懂]

    正则实现二代身份证号码验证详解[通俗易懂]

    正则实现二代身份证号码验证详解[通俗易懂]最近项目需要对身份证进行比较合理的筛选,并不想用到第三方接口,所以写了个方法:包括支持身份证号合法性验证,支持18位身份证号,支持地址编码、出生日期、校验位验证.基本上这样就可以了.IdCodeValid:function(code){ //身份证号合法性验证 //支持15位和18位身份证号 //支持地址编码、出生日期、校验位验证 varcity={11:”北京”,12:”…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年6月27日
    30
  • 在pycharm中安装pip_pycharm安装django

    在pycharm中安装pip_pycharm安装django

    在pycharm中安装pip_pycharm安装django转载地址：http://www.cnblogs.com/yuanzm/p/4089856.htmlPython，最近又开始玩起了这门语言。总的来说，个人很喜欢Python的语言风格，但是这门语言对于windows并不算很友好，因为如果是初学者在windows环境下安装，简直是折磨人，会遇到各种蛋疼的情况。本文希望提供傻瓜式的教程，能够令读者成功安装Python和pip。第一步，我们先来安装Py…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年8月27日
    0
  • vb6: dim rs As New ADODB.Recordset 用户定义类型未定义[通俗易懂]

    vb6: dim rs As New ADODB.Recordset 用户定义类型未定义[通俗易懂]

    vb6: dim rs As New ADODB.Recordset 用户定义类型未定义[通俗易懂]你没有启用ADODB的引用，或者加载ADODC控件，在“工程|引用”中添加“MicrosoftActiveXDataObject[版本号,比如2.8等]Library”就可以了[用户定义类型未定义]

    全栈程序员-站长的头像 全栈程序员-站长
    2022年7月15日
    13
  • original_keras_version = f.attrs[‘keras_version‘].decode(‘utf8‘)

    original_keras_version = f.attrs[‘keras_version‘].decode(‘utf8‘)

    original_keras_version = f.attrs[‘keras_version‘].decode(‘utf8‘)File”/home/liqiang/anaconda3/envs/tensorflow1.8/lib/python3.6/site-packages/keras/engine/saving.py”,line1004,inload_weights_from_hdf5_grouporiginal_keras_version=f.attrs[‘keras_version’].decode(‘utf8’)AttributeError:’str’objecthasnoatt…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年10月18日
    0
  • centos7 本地yum源配置_centos官方yum源

    centos7 本地yum源配置_centos官方yum源

    centos7 本地yum源配置_centos官方yum源准备上面三个文件。[root@localhost~]#yuminstall-ylibxml2-python-2.9.1-5.el7_0.1.x86_64.rpm[root@localhost~]#yuminstall-ycreaterepo-0.4.11-3.el5.noarch.rpm使用createrepo–version命令查看是否安装成功，出现…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年8月13日
    4
  • MySQL死锁产生原因和解决方法 全栈程序员社区-公众号

    MySQL死锁产生原因和解决方法

    点击上方“全栈程序员社区”，星标公众号 重磅干货，第一时间送达 作者：王啸tr1912 blog.csdn.net/tr1912/article/details/81668423 …

    全栈程序员-站长的头像 全栈程序员-站长
    2021年6月26日
    88

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号