2024平航杯部分复现
https://blog.csdn.net/2301_80913334/article/details/138353267
id=e629a6ed-f93d-4ef8-a044-7dfc43ab2b8e
source=TGlu
author=
闻早起部分
一、介质取证
电脑
1、教徒“闻早起”所使用的笔记本电脑使用何种加密程式？
答案：
VeraCrypt
打开火眼证据分析
在文件中直接找到了VC由于暂时没有找到别的可疑加密程序所以答案猜测是VC
2、教徒“闻早起”所使用的笔记本电脑中安装了一款还原软件，其版本号为？【标准格式：1.2.3.4】
答案：8.71.020.5734
创建虚拟机
打开虚拟机发现需要密码
查看闻早起的检材照片发现电脑上贴着疑是密码的字符
输入密码后发现还需要pim（一般需要密码和pim）
密码：5FlowerMa)(ThousandGoldQiu]'/[;.
（官方给的实际中文音“五花马，千金裘”）
pim：88
打开后发现还原软件冰点还原
在桌面上找到软件的版本号信息
3、教徒“闻早起”所使用的笔记本电脑中登录的微信内部id为？【标准格式：ABCabc123】
答案：wxid_bsvr29ygby9712
进入电脑的WeChat Files文件夹，微信的内部id一般存放在这里
4、教徒“闻早起”所使用的笔记本电脑中名为“2023年Q4飞天五子棋教部门规章.docx”的下载地址为？（保留整个url）【标准格式：http://www.baidu.com:8080/admin.php】
答案：
http://openim.sys.lab:11001/#/chat/si_4690220374_6898676456
打开谷歌downloads发现“2023年Q4飞天五子棋教部门规章.docx”下载记录
进入C:\Users\Administrator（C:\用户\用户名），点击查看，勾选隐藏项目
进入 AppData\Local\Google\Chrome\User Data\Default
找到History将其拖到db browser打开，查看其downloads找到第五条为“2023年Q4飞天五子棋教部门规章.docx”
找到tab_url：http://openim.sys.lab:11001/#/chat/si_4690220374_6898676456（是从聊天中下载的）
补充：
tab_url可能是在标签页（tab）中当前显示的网页地址（URL），在开发浏览器扩展或与浏览器交互的脚本时，
tab_url
可能会用作存储或访问当前标签页URL的变量名。
5、教徒“闻早起”所使用的笔记本电脑中浏览器保存的聊天系统密码为？【标准格式：ABCabc123】
答案：e290c5be371f4
在靶机中安装webbrowserPassView
打开查看即可得到密码
U盘
6、教徒“闻早起”所使用的U盘中，共有几份邪教文档？【标准格式：1】
答案：4
用VC挂载U盘在检材照片中有密码和pim
密码：GlGjSSy)(*QyHfBqz()-
（官方给的实际中文音“苟利国家生死以，岂因福祸避趋之”）
pim：15
打开VC直接加载发现不正确
用csi在H盘挂载一个虚拟磁盘
再次打开VC，点击选择设备
再次挂载挂载成功
打开磁盘查看一共4份邪教文档
7、教徒“闻早起”所使用的U盘中，有一份文档明显提到了自焚时间，其时间为？(yyyy年mm月dd日，月日中0不保留)【标准格式：2025年1月1日】
答案：2001年1月23日
打开文档查看
二、程序功能分析
8、教徒“闻早起”所使用的笔记本电脑中有一个疑似木马病毒的文件，请找出该文件，并计算恶意程序的sha256(英文字母全大写)【标准格式：ABCCBA】
答案：C697009F1DCF0CFEEA75B0610449696A2BCF1C0733448284941BD9147AAD9832
玉王直部分
一、介质取证
电脑
打开火眼证据分析
发现没有什么可以利用的，直接仿真创建虚拟机
创建成功打开后发现一样需要密码和pim
打开检材照片发现密码和pim但pim不全需要枚举
密码：[]\BadQianMingMoonGuang14DSS,./
（官方给的实际中文音“床前明月光，疑是地上霜。”）
pim：18（枚举得到）
U盘
由图
可知直接连在电脑的U盘是
那么从身上搜出来的U盘就是
65、玉王直所使用的标签为“飞天五子棋教”的u盘密码为？【标准格式：ABCabc123!@#】
答案：ChaoPing2AnOpen)(*FengZheng1FanOver=-()
最开始不知道U盘密码和pim是啥，后面做到手机的时候在图片里找到了
密码：ChaoPing2AnOpen)(*FengZheng1FanOver=-()
（官方给的实际中文音“潮平两岸阔 风正一帆悬。”）
pim：30
66、玉王直所使用的标签为“飞天五子棋教”的u盘中“（内部）（机密）飞天五子棋教福音传播资料”中的“P5_4”集的md5值为？(英文字母全大写)【标准格式：ABCCBA】
答案：E49667FFBDDD49581B89C40CA76478D1
服务器部分
CSI挂载，挂载时要改为写入临时文件
一共要挂载6个虚拟磁盘
打开磁盘管理将盘符删去防止识别不到
删去后
打开vm搭建虚拟机
