---
# System prepended metadata

title: Stager
tags: [CTF]

---

Thử thách chứa file pcap, mở bằng wireshark chúng ta có thể thấy dữ liệu được gửi khá nhiều qua DNS, có thể sử dụng bộ lọc DNS của Wireshark

![](https://hackmd.io/_uploads/ByC6KQzD3.png)

Có thể thấy được client đã truy vấn DNS rất nhiều qua các domain xxx3.thomdt.tk, xxx4.thomdt.tk, xxx5.thomdt.tk, ...

![](https://hackmd.io/_uploads/BkSW5QMv2.png)

Đọc response DNS Server trả về, server phân giải domain sang địa chỉ IPv6, tuy nhiên có thể thấy rằng đây không phải địa chỉ IPv6 mà đó chính là 1 nội dung đọc được khi chuyển từ Hex sang ASCII
----> Ghép vào chúng ta sẽ được flag

![](https://hackmd.io/_uploads/Skz85XMw2.png)
