2022首届盘古石电子数据取证比武题

第一部分：取证基础能力

1. windows系统版本:[答案格式:windows11][计算机取证][★☆☆☆☆]

该计算机镜像存在BitLocker加密分区

通过取证大师找到恢复密钥串进行BitLocker分区恢复

查找系统版本

2. 这个系统的安装时间 UTC+8:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★☆☆☆☆]

3.最后一次正常关机时间:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★☆☆☆☆]

4. 本地连接的DHCP的ip地址:[答案格式:127.0.0.1][计算机取证][★☆☆☆☆]

5. 计算机有几个分区:[答案格式:1][计算机取证][★☆☆☆☆]

6. 计算机bitlocker的盘符是什么:[答案格式:A][计算机取证][★☆☆☆☆]

7. bitlocker加密分区里有几个文件:[答案格式:1][计算机取证][★★☆☆☆]

8. 利用加密分区里带的密码字典解密文档文件，找到一个flag:[答案格式:flag{}][计算机取证][★★★☆☆]

9. 我天.docx的文件密码是什么？:[答案格式:666666][计算机取证][★★★☆☆]

10. 找到tc加密文件的路径是什么？:[答案格式:C:Windows][计算机取证][★★☆☆☆]

11. 解开tc加密文件，找到一个flag（6位数字）:[flag{}][计算机取证][★★★★★]

找到TC加密卷

使用PassWare Kit进行解密

揭秘后得到unprotected文件

用FTK manager打开,找到可疑文件并打开

暴力破解得到压缩包密码为991314

得到flag

12. 受害人访问过哪个论坛类网站:[答案格式:盘古石][计算机取证][★☆☆☆☆]

13. 该镜像系统分区的1个簇包含几个扇区？:[答案格式:1][计算机取证][★★☆☆☆]

使用取证大师的小程序进行取证

14. 该镜像分区3的起始扇区号:[答案格式:123456][计算机取证][★★☆☆☆]

即E盘的起始扇区号

15. 该镜像用的是什么分区表:[答案格式:ABC][计算机取证][★☆☆☆☆]

使用AIM挂载镜像

后使用DiskGenius解析

16. 远程桌面使用用户naizheng连接的ip地址:[答案格式:0.0.0.0][计算机取证][★★☆☆☆]

17. 什么时间启用了用户hacker:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★★★★☆]

18. 哪个用户什么时间删除了用户hacker:[答案格式:qianxin 2000-01-01 00:00:00 UTC+8][计算机取证][★★★★★]

19. 内存镜像的制作时间UTC+8:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★★★☆☆]

使用voltality进行解析

20. iPhone手机的IMEI号:[123456][手机取证][★☆☆☆☆]

21. 该手机安装了什么播放音乐的第三方应用:[答案格式:盘古石][手机取证][★★☆☆☆]

22. 该手机是否安装了telegram:[答案格式:是/否][手机取证][★★☆☆☆]

23. 该手机制作完备份的时间，非提取时间:[答案格式:2000-01-01 00:00:00 UTC+8][手机取证][★★★★☆]

24. 微信绑定的手机号是多少？:[答案格式:13104310431][手机取证][★☆☆☆☆]

25. 该手机连接过的带有汉字的wifi名密码是？:[答案格式:123456][手机取证][★★☆☆☆]

这题好像只能用盘古石的软件

26. 该手机浏览器搜索次数最多的关键词是:[答案格式:盘古石][手机取证][★☆☆☆☆]

27. 该手机蓝牙连接过的三星手机的MAC地址是？:[答案格式:00:00:00:00:00:00][手机取证][★☆☆☆☆]

第二部分：程序分析能力

28. exec的程序包名和签名序列号是:[答案格式:adc][APK分析][★☆☆☆☆]

先从计算机检材中导出相关软件后分析

29. exec关联服务器地址是:[答案格式:asd.as.d/acz.123.ccc][网络流][★★☆☆☆]

30. exec国内服务器的联系邮箱是:[答案格式:asd.as.d][网络流][★★★☆☆]

用站长之家查一下

31. exec的appKey是:[答案格式:asd][网络流][★★★☆☆]

抓包可以获得，但网站挂了抓不到了😥

一般在url中出现

32. exec的是否有安全检测行为:[答案格式:是/否][APK分析][★★★☆☆]

打开软件的瞬间会有提示

33. exec的检测方法的完整路径和方法名是:[答案格式:a.a.a()][APK分析][★★★☆☆]

34. exec的客服公司和ID是:[答案格式:asd][网络流][★★★☆☆]

抓包可以获得，但网站挂了抓不到了😥

35. 红星IPA的包名是:[答案格式:asd][IPA分析][★★☆☆☆]

36. 红星IPA的APIKEY是:[答案格式:asd][IPA分析][★★☆☆☆]

37. 红星IPA的权限有:[答案格式:as d a][IPA分析][★★☆☆☆]

38. 红星APK的包名是:[答案格式:ass.a.d][APK分析][★☆☆☆☆]

39. 红星APK的服务器地址是:[答案格式:ass.a.d:11][网络流][★☆☆☆☆]

40. 红星APK的程序入口是:[答案格式:a.v.b.n][APK分析][★☆☆☆☆]

41. 分析聊天工具，服务器的登录端口是:[答案格式:12][APK分析][★★☆☆☆]

在网络设置中可以看到

42. 分析聊天工具，用户归属的机构是:[答案格式:太阳][APK分析][★☆☆☆☆]

大佬的writeup说在数据库中找，但我找不到是哪个数据库

43. 结合手机流量分析聊天工具的登录账号和密码是:[答案格式:1212311/12312asd][APK分析][网络流][★★★★☆]

44. 结合手机流量分析红星APP启动了几次:[答案格式:12][网络流][★★☆☆☆]

45. 结合服务器分析聊天工具中邀请码是:[答案格式:12][APK分析][服务器分析][★★★★☆]

46. 文件services.exe创建可执行文件的路径是:[答案格式:C:Windows][exe分析][★☆☆☆☆]

47. 文件HackTool.FlyStudio.acz_unpack.exe是否调用了advapi32.dll动态函式链接库:[答案格式:是/否][exe分析][★★☆☆☆]

48. 文件HackTool.FlyStudio.acz.exe的远控链接url地址是:[答案格式:www.qianxin.com][exe分析][★★★☆☆]

49. 文件aspnet_wp.exe执行后的启动的进程是什么:[答案格式:qax.exe][exe分析][★★★☆☆]

50. 文件[4085034a23cccebefd374e4a77aea4f1]是什么类型的木马:[答案格式:勒索][exe分析][★★☆☆☆]

51. 文件[4085034a23cccebefd374e4a77aea4f1]网络连接的IP地址的归属地是哪个国家:[答案格式:中国][exe分析][★★★★☆]

52. 文件[4085034a23cccebefd374e4a77aea4f1]释放了哪些文件:[答案格式:qax.exe][exe分析][★★★★☆]（答对两个即可得分）

第三部分：网络取证能力

53. 系统使用的内核版本号[答题格式:3.10.0-123.el7.x86_64][服务器][★☆☆☆☆]

54. 服务器在云上的公网IP地址为[答题格式:8.8.8.8][服务器][★★☆☆☆]

这个服务器不知为什么需要手动饶过密码🥵

第一步重启该虚拟机，在重启之后就开始一直按e。

然后按向下箭头找到linux16开头的那一段，并且在这一段的结尾加上init=/bin/sh（友情提示：在加上这个命令之前别忘了敲一个空格）

在这里插入图片描述

在完成第二步之后，按下Ctrl+x进入单用户模式。

挂载根目录

1	mount -o remount, rw /

输入 “passwd + 用户名 ” 回车

输入 touch /.autorelable，然后回车。

输入 exec /sbin/init，重启centOS 。

查看服务器在云上的公网IP：

方法一.cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
TYPE=Ethernet
ONBOOT=yes
NM_CONTROLLED=no
BOOTPROTO=static
GATEWAY=110.42.6.254
DNS1=172.16.26.4
DNS2=172.16.26.3
IPADDR=110.42.6.198
NETMASK=255.255.255.0
方法二.宝塔面板 面板设置 服务器IP
方法三.cat /www/server/panel/data/iplist.txt
四.宝塔 phpmyadmin 访问日志
vi /www/wwwlogs/access.log

55. Linux ssh日志首次登录IP地址[答题格式:8.8.8.8][服务器][★★☆☆☆]

last

56. 服务器启动时设置了运行时间同步脚本，请查看脚本内时间同步服务器的地址[答题格式:time.windows.com][服务器][★★★★☆]

查看etc/rc.local文件

/bin/sh /root/time.sh：这行命令运行了一个名为 time.sh 的脚本文件。它使用 /bin/sh（Bourne Shell）来执行 /root/time.sh 中的命令或脚本。

查看/root/time.sh文件

这个脚本看起来是一个自解压缩的脚本，用于解压缩自身，并运行解压后的内容。让我们来看一下脚本的大致工作方式：

脚本开始时设置了一些变量和信号处理器，并尝试创建一个临时目录用于解压缩。
如果系统支持 mktemp 命令，则创建一个临时目录。否则，会在 /tmp 目录下创建一个临时目录。
脚本会将自身的内容从行号 45 开始截取，并将剩余内容通过 gzip 解压缩到临时文件中。
解压缩后，重新设置了文件的权限，并以异步方式删除临时目录。
接着运行解压后的内容，并传递脚本执行时的参数。
如果解压缩或执行过程出现问题，会输出相应的错误信息并以返回码 127 退出。

1	gzexe -d time.sh #gzip解压文件

得到服务器地址

57. 服务器在计划任务添加了备份数据库脚本，请解密该脚本后查看第二行的内容[答题格式:#叮叮当叮叮当][服务器][★★★★★]

58. 宝塔面板认证账号密码存储到数据库中进行了几次哈希加密[答题格式:1][服务器][★★★☆☆]

查看/www/server/panel/class/users.py文件

59. 宝塔面板第一次登录成功的IP地址[答题格式:8.8.8.8][服务器][★★★☆☆]

修改权限受阻

rm -rf /www/server/panel/config/basic_auth.json: 该命令尝试递归地强制删除指定路径下的文件或目录。然而，由于文件 /www/server/panel/config/basic_auth.json 具有 i (immutable) 属性，因此无法被普通方式删除。
lsattr /www/server/panel/config/basic_auth.json: 这个命令用于显示文件的属性。输出显示该文件的属性包括 i，表明该文件是不可修改的（immutable）。
chattr -i /www/server/panel/config/basic_auth.json: 这个命令尝试修改文件属性，具体是将 basic_auth.json 文件的 i 属性（不可修改）移除，允许对文件进行修改。
rm -rf /www/server/panel/config/basic_auth.json: 在成功移除文件的不可修改属性后，再次执行删除命令，这次应该能够成功删除 /www/server/panel/config/basic_auth.json 文件。