HTB-Window’s Infinity Edge

首先拿到流量包，找到在upload上传的地方的流量

该流量很可能是上传了一个大马，通讯加密的密钥是 string p，根据经验推测很可能是aes加密（其实将数组的内容反混淆之后可以拿到源码，里面还存有aes的iv值，不过我们推测正确，就不需要反混淆了）。

后面上传的流量通过base64解码，aes解密后，能够得到原始数据（没有iv值的话，前几个字符会受到影响，但是不影响解题）

对每段命令进行解密后发现，有一段注入命令，注入了一段shellcode，该shellcode base64解密之后，发现是Potato提权工具，那么threadParameters参数就是执行的命令，base64解密该threadParameters参数之后，发现是gzip压缩格式，再次gzip解压缩，观察发现了命令执行：

增加了一个admin_infinity用户，还在C:\xor.k 的文件中写了xGk89_Ew 的字符串，那么只要找出剩余被xor加密的字段就可能找出flag了。

经过寻找，发现了另一个报文，用了同样的方法，drop了一段shellcode，base64 解密之后，再用gzip解压缩，发现是一串二进制（但是不可执行），其中存在c:\xor.k的明文，证明这串shellcode和该xor文件存在很大关联，但是不知道其中有哪一段是被xor异或加密过的，那么把整个文件都xor解密，然后在shellcode开头增加垃圾字符串来让xor的加密窗口平移，最后得出flag。