1. 全栈程序员必看首页

记一次CTF的USB流量分析

全栈程序员-站长 • • 未分类 • 阅读 181

记一次CTF的USB流量分析最近在研究鼠标流量，找到如下的文章：https://www.cnblogs.com/hackxf/p/10670844.html根据这个师傅的说法，不同的鼠标抓到的流量不一样，一般的鼠标流量是四个字节，第一个字节表示按键指示左键右键，第二个字节表示水平位移，为正（小于127）是向右移动，为负（补码负数，大于127小于255）是向左移动。第三个字节表示垂直位移，为正（小于127）是向上移动，为负…

大家好，又见面了，我是你们的朋友全栈君。

usb鼠标流量

最近在研究鼠标流量，找到如下的文章：
https://www.cnblogs.com/hackxf/p/10670844.html
根据这个师傅的说法，不同的鼠标抓到的流量不一样，一般的鼠标流量是四个字节，第一个字节表示按键指示左键右键，第二个字节表示水平位移，为正（小于127）是向右移动，为负（补码负数，大于127小于255）是向左移动。第三个字节表示垂直位移，为正（小于127）是向上移动，为负（补码负数，大于127小于255）是向下移动。事实上，起作用的只是三个相邻的字节。
然而，有些鼠标的流量似乎不那么标准，比如上面那个师傅，他抓出来的流量是8字节的，于是他就取了1、2、3字节来进行分析。而我抓到的流量是6字节的。
如下图：
在这里插入图片描述

经过分析，我对应的起作用的字节是2、3、4字节，稍微修改了下师傅的脚本。

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >127 :
        y -=256
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(posy)+'\n')
keys.close()
result.close()

同时在控制台里面运行以下命令出来了结果。

tshark -r test2.pcapng -T fields -e usb.capdata > usbdata.txt
python3 sniffer.py
gnuplot.exe -e "plot 'result.txt'" -p

但是这样的图像出来是反的。
在这里插入图片描述

于是我又加了个负号。

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >127 :
        y -=256
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(-posy)+'\n')
keys.close()
result.close()

图像正了，但还是有倾斜，又反复试了多次，和画图的结果还是不太一样。
在这里插入图片描述
在这里插入图片描述
经过对比，稍微调整了参数,具体的参数作用注释里面有说明

#sniffer.py
nums = []
keys = open('usbdata.txt','r')
result=open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    if len(line) != 18 :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >120 :#这个参数控制单个字符的高度，如果高度过大导致字符过瘦，请调大
        y -=264#这个参数控制字符串的倾斜程度，如果向下倾斜就调高，如果向上倾斜就调低
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)  # 1 for left , 2 for right , 0 for nothing
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(-posy)+'\n')
keys.close()
result.close()

这下结果就比较接近了。
在这里插入图片描述
流量详见附件：
https://download.csdn.net/download/fjh1997/12374482

2. USB键盘流量

usb键盘流量就容易的多，主要起作用的是七个字节（1、3～8）。键盘流量只记录按下的按键。释放按键不进行记录。

在mac os catalina 15上面抓usb流量比较方便

重启Mac,进入恢复模式
在终端里面输入csrutil disable关闭SIP保护
再次重启之后使用命令sudo ifconfig XHC20 up
开启端口之后使用wireshark抓包即可。

BYTE1 --
       |--bit0:   Left Control是否按下，按下为1 
       |--bit1:   Left Shift  是否按下，按下为1 
       |--bit2:   Left Alt    是否按下，按下为1 
       |--bit3:   Left GUI    是否按下，按下为1 
       |--bit4:   Right Control是否按下，按下为1  
       |--bit5:   Right Shift 是否按下，按下为1 
       |--bit6:   Right Alt   是否按下，按下为1 
       |--bit7:   Right GUI   是否按下，按下为1 
BYTE2 -- 暂不清楚，有的地方说是保留位
BYTE3--BYTE8 -- 这六个为普通按键

详细的对照表可以去这里看：
https://www.usb.org/sites/default/files/documents/hut1_12v2.pdf
但是在抓包的时候也需要注意一些点同时在抓流量的时候也会遇到一些问题，比如8个字节都是0的USB流量太多以及其他USB设备的流量的干扰，需要用filter“usb.capdata != 00:00:00:00:00:00:00:00 and usb.src == “96.1.1””进行过滤，如下图。
在这里插入图片描述
再比如同样一个s没加shift是0000160000000000，加了shift之后是0200160000000000
在这里插入图片描述

在这里插入图片描述
有些时候也会遇到多个按键一起按的情况，这个时候3～8字节可能会被利用起来。
在这里插入图片描述
这里我做了一个实验，输入”hello I’m good“之后查看抓到的流量是什么：

import os
os.system("tshark -r test.pcapng -T fields -e usb.capdata > usbdata.txt")
normalKeys = { 
   "04":"a", "05":"b", "06":"c", "07":"d", "08":"e", "09":"f", "0a":"g", "0b":"h", "0c":"i", "0d":"j", "0e":"k", "0f":"l", "10":"m", "11":"n", "12":"o", "13":"p", "14":"q", "15":"r", "16":"s", "17":"t", "18":"u", "19":"v", "1a":"w", "1b":"x", "1c":"y", "1d":"z","1e":"1", "1f":"2", "20":"3", "21":"4", "22":"5", "23":"6","24":"7","25":"8","26":"9","27":"0","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"-","2e":"=","2f":"[","30":"]","31":"\\","32":"<NON>","33":";","34":"'","35":"<GA>","36":",","37":".","38":"/","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}

shiftKeys = { 
   "04":"A", "05":"B", "06":"C", "07":"D", "08":"E", "09":"F", "0a":"G", "0b":"H", "0c":"I", "0d":"J", "0e":"K", "0f":"L", "10":"M", "11":"N", "12":"O", "13":"P", "14":"Q", "15":"R", "16":"S", "17":"T", "18":"U", "19":"V", "1a":"W", "1b":"X", "1c":"Y", "1d":"Z","1e":"!", "1f":"@", "20":"#", "21":"$", "22":"%", "23":"^","24":"&","25":"*","26":"(","27":")","28":"<RET>","29":"<ESC>","2a":"<DEL>", "2b":"\t","2c":"<SPACE>","2d":"_","2e":"+","2f":"{","30":"}","31":"|","32":"<NON>","33":"\"","34":":","35":"<GA>","36":"<","37":">","38":"?","39":"<CAP>","3a":"<F1>","3b":"<F2>", "3c":"<F3>","3d":"<F4>","3e":"<F5>","3f":"<F6>","40":"<F7>","41":"<F8>","42":"<F9>","43":"<F10>","44":"<F11>","45":"<F12>"}


nums = []
keys = open('usbdata.txt')
for line in keys:
    if len(line)!=17: #首先过滤掉鼠标等其他设备的USB流量
         continue
    nums.append(line[0:2]+line[4:6]) #取一、三字节
keys.close()
output = ""
for n in nums:
    if n[2:4] == "00" :
        continue

    if n[2:4] in normalKeys:
        if n[0:2]=="02": #表示按下了shift
            output += shiftKeys [n[2:4]]
        else :
            output += normalKeys [n[2:4]]
    else:
        output += '[unknown]'
print('output :n' + output)

得到如下结果：
在这里插入图片描述

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/139794.html原文链接：https://javaforall.net

赞 (0)
全栈程序员-站长的头像全栈程序员-站长
0 0


相关推荐

  • 编码解码乱码字符集[通俗易懂]

    编码解码乱码字符集[通俗易懂]

    编码解码乱码字符集[通俗易懂]编码EnCode：将字符转化为字节解码DeCode：将字节转化为字符乱码：打个比方—比较多人知道的联通用字符集GBK的时候出现这样的情况：��ͨ，这就是乱码常见的中文字符集有：GBK和UTF-8国际上常用的字符集：Unicode（大字典）、ANSI UTF-8，中文占三个字节，英文占一个字节（变长），还有定长占两个字节（耗费空间多）GBK，中文占两个zijie…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年5月30日
    40
  • java打印数组元素_java Arrays快速打印数组的数据元素列表案例

    java打印数组元素_java Arrays快速打印数组的数据元素列表案例

    java打印数组元素_java Arrays快速打印数组的数据元素列表案例1、Arrays.toString用来快速打印一维数组的数据元素列表2、Arrays.deepToString快速打印一个二维数组的数据元素列表publicstaticstrictfpvoidmain(String[]args){String[][]arr={{“aaa”,”bbb”},{“ccc”}};for(intx=0;xfor(inty=0;ySystem.out….

    全栈程序员-站长的头像 全栈程序员-站长
    2022年5月6日
    37
  • java基本数据类型有哪些_java中有八种基本数据类型

    java基本数据类型有哪些_java中有八种基本数据类型

    java基本数据类型有哪些_java中有八种基本数据类型在java中有八种基本数据类型对应每种基本类型又有八种包装类型：基本类型：boolean，char，int，byte，short，long，float，double包装器类型：Boolean，Character，Integer，Byte，Short，Long，Float，Double从上面我们可以看到除了char和int其它的包装类型名称和对应的基本类型一样只是首字母大写了。既然有了基本…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年7月7日
    22
  • 2021最新Java基础篇(后续已更新到另一篇文章)

    2021最新Java基础篇(后续已更新到另一篇文章)

    2021最新Java基础篇(后续已更新到另一篇文章)提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档文章目录前言一、Java基础？1.1什么是变量:1.2类型的分类:1.3类型的大小:1.4类型的转换与强制类型转换:二、使用步骤1.引入库2.读入数据总结前言提示：在这里可以学到Java基础内容。一、Java基础？1.1什么是变量:变量就是系统为程序分配的一块内存单元，用来存储各种类型的数据。由于该存储单元中的数据可以发生改变，因此得名为”变量”1.2类型的分类:1、基本数据类型变量2、引用数据类型变量

    全栈程序员-站长的头像 全栈程序员-站长
    2022年7月9日
    19
  • laravel之跨域请求（一）「建议收藏」

    laravel之跨域请求（一）「建议收藏」

    laravel之跨域请求（一）「建议收藏」laravel之跨域请求（一）

    全栈程序员-站长的头像 全栈程序员-站长
    2022年4月24日
    47
  • java.util.ResourceBundle用法详解

    java.util.ResourceBundle用法详解

    java.util.ResourceBundle用法详解java.util.ResourceBundle用法详解

    全栈程序员-站长的头像 全栈程序员-站长
    2022年7月13日
    14

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号