被偷走的文件

1. 流量分析

tcp过滤，到tcp.stream eq 3的时候看到一个flag.rar（这里可以过滤ftp）

2. foremost输出文件

这里用binwalk -e的命令也可以

但是需要密码，查看其他信息，没有啥信息

3. ARCHPR暴力破解

得到密码，常用四位：5790

解压得到flag