http流量隐写分析-qcms
1.1数据包搜索、追踪流
在wireshark 界面，菜单 “编辑”--“查找分组”，或按快捷键 “Ctrl+F” ，
可以进行查找。Wireshark 的查找功能支持正则表达式、字符串、十六进
制等方式。
搜索栏的左边，有分组列表、分组详情、分组字节流三个选项，分别对
应wireshark 界面的三个部分，搜素时选择不同的选项以指定搜索区域:
“在分组字节流”里搜索 “字符串”一flag.
http流量隐写分析-qcms
在http.协议发送特殊字符时，都需要经过URL编码后才能发送。
分组详情的数据经过了URL解码，看到的是正常flag 内容
分组字节流是真实的网络数据，没有解码，将这一行数据进行
URL解码后，也可以得到flag 。
admin_name=admin&admin_password=flag%7BA bad beginning
makes a bad
ending.%7D&admin_ym-
acms&%E7%99%BB%E5%BD%95=%E7%99%BB%E5%BD%95
http流量隐写分析-qcms
那些隐藏信息
