O nome que o HTTPS não esconde

A Estância Santa Clara desconfia que uma planilha com dados de clientes vazou, e a suspeita recai sobre o notebook 10.0.0.120. Todo o tráfego dele é HTTPS, cifrado, e quase tudo vai para o mesmo endereço, 203.0.113.80, de uma empresa de hospedagem com centenas de sites. O notebook também usa DNS cifrado, então não há consultas DNS na captura.

Mesmo assim, dá para descobrir para qual site foi a conexão que enviou mais dados para fora. A flag é o nome desse servidor, com pontos e hífens trocados por _, dentro de TOCAIA{...}. Por exemplo, para loja-nova.campo.example a flag seria TOCAIA{loja_nova_campo_example}.

Baixe https.pcap.