【TryHackMe】Advent of Cyber3 (2021)を続けてみた Day9

# Welcome to Advent of Cyber 2021
クリスマスまでの25日間、毎日基本的な知識を学び、初心者向けの新しいセキュリティ演習を行うことで、サイバーセキュリティを始めることができます。

https://tryhackme.com/room/adventofcyber3

# day9
Wiresharkを使って基本的なパケット解析を行うために必要なスキルと知識を勉強します。
パケット解析とは、コンピューターのネットワーク・インターフェイスを通過するネットワーク・トラフィックをキャプチャして傍受するための技術です。
サイバーセキュリティ担当者にとって、パケット解析のスキルを身につけることは、ネットワークのトラブルシューティングや通信プロトコルの解析を行うための重要な要件です。Wiresharkなどのネットワーク解析ツールを使用して、ネットワークパケットをリアルタイムでキャプチャし、人間が読める形式で表示します。ライブキャプチャーやオフライン解析など、多くの高度な機能を備えています。このタスクでは、HTTP、DNS、FTPなどの各種プロトコル（暗号化されていないプロトコル）を解析するために、Wiresharkを使ったパケット解析の手順を詳しく説明します。
このタスクでは、PCAPファイルを準備してダウンロードし、指示に従い、さまざまなシナリオを使用して必要なパケット分析スキルを適用します。

```
┌──(kali㉿kali)-[~]
└─$  ls
AoC3.pcap
```

Wiresharkを実行し、提供されたPCAPファイルを次のようにインポートできます。

```
┌──(kali㉿kali)-[~]
└─$ sudo wireshark /home/AoC3.pcap 
[sudo] hoglet のパスワード:
 ** (wireshark:2307) 11:16:43.372538 [GUI WARNING] -- QStandardPaths: XDG_RUNTIME_DIR not set, defaulting to '/tmp/runtime-root'
 ** (wireshark:2307) 11:16:43.871866 [Main MESSAGE] -- Wireshark is up and ready to go, elapsed time 0.509s
```

HTTPトラフィックを検索する場合は、以下の様に入力します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/2b64250c-0243-53f1-5dc4-746517b11dc0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/1b20d531-7ee9-4eef-99bd-ca4915efc382.png)

`login`ディレクトリを発見。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/0294e792-4ec2-e072-346f-d2f2d8bd3c78.png)

`POST`メソッドでフィルタリングすると、username, passwordの値を発見。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/396bc2f6-7747-ec90-491c-6fffbe689058.png)

`User-Agent`も発見。

次にフィルターに`DNS`を設定して、パケットを１つ選びます。そして、右クリックして`追跡→UDPストリーム`を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/4d44b09d-ce7e-5136-cc76-4895b4e32626.png)

ここには、フラッグがないので、右下のストリームの値を変更してみます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/ffedb7e0-2d99-5334-c908-d56c91368c47.png)

つぎにFTPに関してです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/87fe4ced-a919-8f60-2d83-f82612567099.png)
PASS情報を取得できました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/a121c9ef-5c11-890e-9498-c85cbcce3d78.png)
`secret.txt`をSTORコマンドでアップロードしていることを確認しました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/c99fe3af-f4a2-7971-b9f1-9620f62691f5.png)
`data-text-lines`を`追跡→TCPストリーム`すると、テキストファイルのコンテンツ内容が分かりました。


# Answer
In the HTTP #1 - GET requests section, which directory is found on the web server?
<font color="White">login</font>
What is the username and password used in the login page in the HTTP #2 - POST section? 
<font color="White">McSkidy:Christmas2021!</font>
What is the User-Agent's name that has been sent in HTTP #2 - POST section?
<font color="White">TryHackMe-UserAgent-THM{d8ab1be969825f2c5c937aec23d55bc9}</font>
In the DNS section, there is a TXT DNS query. What is the flag in the message of that DNS query?
<font color="White">THM{dd63a80bf9fdd21aabbf70af7438c257}</font>
In the FTP section, what is the FTP login password?
<font color="White">TryH@ckM3!</font>
In the FTP section, what is the FTP command used to upload the`secret.txt`file?
<font color="White">stor</font>
In the FTP section, what is the content of the secret.txt file?
<font color="White">123^-^321</font>