第一届 长安杯电子数据取证竞赛 题解 - XD Forensics Wiki
https://forensics.xidian.edu.cn/writeups/ChanganCup2019/

第一届 长安杯电子数据取证竞赛 题解
¶
案情简介
¶
在一起电诈案件中，受害者称自己的银行卡被他人冒用，曾收到假冒公安的短信，因为自己在一个 P2P 网站中理财，假冒公安称该网站已被列外非法网站，要自己到公安备案网站填写自己的信息，并帮助自己追回本金，因此信以为真，在网站上填写了自己的信息和绑定的银行卡信息；办案机关推测嫌疑人可能是获取了 P2P 网站中的注册用户信息，从而进行定向诈骗，因此调取了 P2P 理财网站的服务器，现委派你对该服务器进行电子数据取证。
Part 1
¶
你获得该
P2P
理财网站服务器硬盘镜像文件“检材 1.E01”，根据这个镜像文件，回答下列问题：
1 计算“检材 1.E01”镜像的 SHA256 值是多少
¶
选项
A.
2b20022249e3e5d66d4bbed34ad337be5dd77b313c92dfe929aa56ed71449697
B.
6a574c40548110598bd4c88520d34b37d13b372066737ede3104743f986b7263
C.
5ee0b3809807bf8a39453695c5835cddfd33f65b4f5bee8b5670625291a6bc1c
D.
8495b678da27c64b54f083afefbcf9f83f94c1de133c70c175b4a784551939dd
答案
C
取证大师加载，右键计算
SHA256
：
2 该服务器的操作系统版本是什么
¶
选项
A.
CentOS release 6.5 (Final)
B.
Ubuntu 16.04.3 LTS
C.
Debian GNU/Linux 7.8 (wheezy)
D.
CentOS Linux release 7.6.1810(Core)
答案
D
3 该服务器内核版本是多少
¶
选项
A.
3.10.0-957.el7.x86_64
B.
3.2.0-4-amd64
C.
4.8.0-52-generic
D.
4.10.0-28-generic
答案
A
火眼仿真生成虚拟机，
VM
打开：
4 原服务器存在多少硬盘分区？
¶
选项
A. 1
B. 2
C. 3
D. 4
答案
B
5 原服务器中硬盘分区其中含有一个 LVM 逻辑卷的分区，请找出该分区内开始的逻辑区块地址
（LBA）
。（答案格式： 扇区，
Sector
）
¶
选项
A. 0
B. 2048
C. 2099200
D. 4194344
答案
C
逻辑区块地址
(Logical Block Address, LBA)
是描述计算机存储设备上数据所在区块的通用机制，一般用在像硬盘这样的辅助记忆设备。
LBA
可以意指某个数据区块的地址或是某个地址所指向的数据区块。
通过查找知道题目所说的分区是：
FMP
证据文件 -> 展开镜像 -> 选中 分区2 -> 摘要 -> 查看 物理位置：
但是这个内存物理地址的单位是字节
（Byte）
，而一个逻辑区块占用512位，所以要将这个值除以512。
1074790400/512=2099200
6 该
LVM
逻辑卷分区内
root
逻辑卷的文件系统是什么？
¶
选项
A. NTFS
B. EXT4
C. SWAP
D. XFS
答案
D
7 该
LVM
逻辑卷分区内
root
逻辑卷的物理大小是多少？（单位：
byte
）
¶
选项
A. 2,147,483,648
B. 2,147,504,128
C. 18,249,416,704
D. 20,400,046,080
答案
C
与答案
C
最为接近
8 请找出该服务器的网站访问端口是什么？
¶
选项
A. 22
B. 25
C. 80
D. 8091
答案
D
9 该服务器中运行了
docker
应用，在本地有多少
docker
镜像？
¶
选项
A. 10
B. 11
C. 12
D. 13
答案
B
10 该
docker
应用的
server
版本是多少？
¶
选项
A. 16.05.2
B. 17.03.08
C. 18.09.7
D. 19.03.3
答案
B
11 该
docker
应用中总共有多少容器节点？
¶
选项
A. 10
B. 11
C. 12
D. 13
答案
A
12 运行中的容器节点有多少？
¶
选项
A. 1
B. 2
C. 3
D. 4
答案
D
命令：
docker info
:
15 在运行中的容器节点中，其中一台容器
ID
为
15debb1824e6
的容器节点，它运行了什么服务？
¶
选项
A. ftp
B. ssh
C. nginx
D. smtp
答案
C
16 上题容器节点中，占用了主机的哪个端口？
¶
选项
A. 22
B. 8091
C. 39999
D. 未占用端口
答案
C
17 该服务器中网站运行在
docker
容器中，其中
web
服务使用的是什么应用？
¶
选项
A. apache
B. tomcat
C. nginx
D. IIS
答案
C
18 上题所述运行
web
服务的容器节点，使用的镜像名称是什么？
（格式 REPOSITORY：TAG）
¶
选项
A. apache: latest
B. tomcat: jessie-slim
C. nginx: jessie-slim
D. nginx: latest
答案
D
19 上题所述容器节点占用的容器端口是什么？
¶
选项
A. 22
B. 80
C. 8091
D. 未占用端口
答案
B
docker ps
命令中在
PORTS
里面显示了两个端口，前面
0.0.0.0
就是主机，也就是自己，而后面的转发端口就对应着
docker
的端口
20 网站目录所在的容器内部路径为（格式：容器 ID：路径）
¶
选项
A.
d1085c1a8828:/home/ vue2-element-touzi-admin
B.
53766d68636f:/ home/ vue2-element-touzi-admin
C.
16fc160060c1:/var/www/ vue2-element-touzi-admin
D.
15debb1824e6: /var/www/ vue2-element-touzi-admin
答案
B
可以进三个开启的容器找一下：
21 网站目录所在的主机路径为下列选项中的哪个？
¶
选项
A.
/var/lib/docker/overlay2/cca977c8ca4a251023000285fbc8b4556636e1adc53cb012c84133a7b857abfc/diff/home/vue2-element-touzi-admin
B.
/var/lib/docker/overlay2/fd27756120785ef656c9211b6147ef5f38d6a9811006d85359458f7fa8d45415/diff/home/vue2-element-touzi-admin
C.
/var/lib/docker/overlay2/f405ba5e3f1f0e04a3585fbc95a47d13b4009dd9d599ac91015babebd5a5ff9b/diff/var/www/ vue2-element-touzi-admin
D.
/var/lib/docker/overlay2/d42b9a02aa87386b137242f691cb3e6303c4c0f3441419efb17ff550fdf5de28/diff/var/www/ vue2-element-touzi-admin
答案
A
22 网站日志的路径在哪？（格式：容器 ID：路径）
¶
选项
A. 53766d68636f:/etc/nginx/logs/jrweb.log
B. 53766d68636f:/var/log/access.log
C. 16fc160060c1:/etc/nginx/logs/jrweb.log
D. 16fc160060c1:/var/log/access.log
答案
C
在取证大师里面搜索“投资”("
jrweb
")：
22题同21
23 案发当时，该服务器的原始
IP
地址是多少？
¶
选项
A. 192.168.160.89
B. 192.168.184.100
C. 192.168.120.111
D. 192.168.184.128
答案
D
可以看看上一个题的日志文件：
在这里明显能看到猜解密码的行为，所以这个时候就是“案发当时”，此时的
IP
地址就是
192.168.184.128:8091
24 在
docker
中，各容器节点和主机之间的网络连接模式是什么？
¶
选项
A. bridge 模式
B. host 模式
C. container 模式
D. none 模式
答案
A
Bash
$
docker
inspect
ID
25 当我们想将网站重构好时，访问网站时，web 应用在其中承担什么样的工作？
¶
选项
A. 运行网站
B. 转发
C. 反向代理
D. 负载均衡
答案
B
26 从网站日志中，我们可以看到嫌疑人入侵服务器所使用的 IP 是
¶
选项
A. 192.168.184.1
B. 192.168.160.89
C. 192.168.184.133
D. 192.168.160.169
答案
C
在上面的日志里面，我们明显可以看到用户
192.168.184.133
在爆破
admin
用户的
password
:
27 网站目录中网站的主配置文件是哪一个？(相对路径)
¶
选项
A. /config/index.js
B. /server/api.js
C. /server/index.js
D. /src/main.js
答案
C
28 该网站使用的是什么数据库？
¶
选项
A. mysql
B. oracle
C. mongodb
D. redis
答案
B
一般来说，项目都是从
github
上面
clone
下来的，所以根目录应该在
home
文件夹下，查看
README.md
文件，发现：
我们再分别查看27中的四个选项，只有
/server/index.js
有各种引入，所以这个应该是主配置文件（误×
这里他说的是
node js
的配置文件，所以应该在
/server
目录下，对比三个文件，明显就是
C
选项
29 所使用数据库的端口是多少？
¶
选项
A. 1521
B. 3306
C. 6379
D. 27017
答案
D
30 数据库所在服务器 IP 是多少？
¶
选项
A. 192.168.160.131
B. 192.168.184.131
C. 192.168.160.169
D. 192.168.184.129
答案
D
31 数据库的用户名是什么？
¶
选项
A. root
B. tougu
C. admin
D. goose
答案
A
32 数据库的密码是什么？
¶
选项
A. 123456
B. admin
C. goose
D. root
答案
D
33 该网站所使用的数据库库名是什么？
¶
选项
A. root
B. tougu
C. admin
D. goose
答案
B
查看
db.js
文件：
34 在案发时，黑客对该服务器某个文件/目录进行了加密，请问是哪个文件/目录？
¶
选项
A. ~/.bash_history
B. /var/log/
C. /etc/ssh/sshd_config
D. ~/runit-agent.txt
答案
A
Part 2
¶
你获得了该 P2P 理财网站数据库服务器硬盘镜像文件“检材 2.E01”，根据这个镜像文件，回答下列问题：
35 该数据库服务器使用数据库的安装路径在哪？
¶
选项
A. /etc/mysql/
B. /home/redis/
C. /etc/mongo/
D. /var/lib/mongo/
答案
D
36 数据库的配置文件的路径？
¶
选项
A. /var/lib/mongo/mongo.conf
B. /var/lib/mongo/mongod.conf
C. /etc/mongod.conf
D. /home/redis/redis.conf
答案
C
37 数据库的日志文件路径在哪里？
¶
选项
A. /etc/redis.log
B. /var/log/mongodb.log
C. /var/log/mongodb/mongod.log
D. /var/li/mongo/mongo.log
答案
C
顺手看看配置文件：
38 该数据库的网站用户表名是什么？
¶
选项
A. user
B. users
C. touzi
D. licai
答案
B
39 该数据库中网站用户表里的密码字段加密方式是
¶
选项
A. 未加密
B. 双重 MD5
C. MD5 加 salt
D. MD5
答案
A
40 该用户表被做过什么样的修改？
¶
选项
A. 删除用户
B. 修改用户密码
C. 修改用户名
D. 添加用户
答案
B
41 嫌疑人对该数据库的哪个库进行了风险操作？
¶
选项
A. licai
B. touzi
C. tougu
D. admin
答案
C
42 嫌疑人对上述数据库做了什么样的风险操作？
¶
选项
A. 修改库名
B. 添加库
C. 查询库
D. 删除库
答案
D
因为读取用户的注册信息在前端，所以我们回到前端（检材1）来看看代码：
这里逻辑很清晰，没有对
data[0].password
进行解密，或者
password
进行加密操作，所以应该是“未加密”
43 嫌疑人在哪个时间段内登陆数据库？
¶
选项
A. 18:03-18:48
B. 18:05-18:45
C. 18:01-18:50
D. 18:05-18:32
答案
D
44 嫌疑人在什么时间对数据库进行了 42 题所述的风险操作？
¶
选项
A. 18:09:37
B. 18:09:40
C. 18:09:44
D. 18:09:50
答案
A
Part 3
¶
经调查，你扣押获得了一台嫌疑人使用过的 VPN 服务器，并用服务器硬盘制作成“检材 3.E01” 镜像文件，根据该镜像文件，回答下列问题:
45 该服务器所使用的 VPN 软件，采用了什么协议
¶
选项
A. L2TP
B. PPTP
C. IPSec
D. NFS
答案
B
46 该服务器的时区为
¶
选项
A. Asia/ShangHai
B. Asia/Tokyo
C. Asia/Bangkok
D. Asia/Dhaka
答案
D
47 该服务器中对 VPN 软件配置的 option 的文件位置在哪里？
¶
选项
A. /etc/ppp/options.pptpd
B. /var/lib/vpn/options.pptpd
C. /etc/ipsec/options.ipsecd
D. /etc/l2tp/options.l2tpd
答案
A
48
VPN
软件开启了写入客户端的连接与断开，请问写入的文件是哪个？
¶
选项
A. wtmp
B. btmp
C. ftmp
D. tmp
答案
A
49
VPN
软件客户端被分配的 IP 范围是
¶
选项
A. 192.168.184.1-192.168.184.11
B. 192.168.184.12-192.168.184.18
C. 192.168.184.19-192.168.184.26
D. 192.168.184.27-192.168.184.35
答案
B
50 由
option
文件可以知道，
option
文件配置了
VPN
软件的日志路径为
¶
选项
A. /var/lib/logs/
B. /etc/logs/
C. /var/log/pptp/
D. /var/log/
答案
D
然后我们顺手打开配置文件：
然后再顺手看看
options
文件：
51
VPN
软件记录了客户端使用的名称和密码，记录的文件是
¶
选项
A. /etc/l2tp/chap-secrets
B. /etc/ipsec/pap-secrets
C. /etc/ppp/chap-secrets
D. /etc/ppp/pap-secrets
答案
C
四个选项的目录里面找一下~
52 在服务器时间
2019-07-02_02:08:27
登陆过
VPN
客户端的用户名是哪个？
¶
选项
A. root
B. vpn1
C. vpn2
D. vpn3
答案
C
53 上题用户登陆时的客户
IP
是什么？
¶
选项
A. 192.168.184.133
B. 172.16.81.101
C. 192.168.184.134
D. 192.168.43.238
答案
A
54 通过
IP172.16.80.188
登陆
VPN
服务器的用户名是哪个？
¶
选项
A. root
B. vpn1
C. vpn2
D. vpn3
答案
A
55 上题用户登陆
VPN
服务器的北京时间是
¶
选项
A. 2019-07-11_10:46:50
B. 2019-07-11_11:30:36
C. 2019-07-13_14:15:37
D. 2019-07-13_16:15:37
答案
D
查看日志文件：
前几题得知，服务器时间是
Asia/Dhaka
,比北京时间早
2h
，所以北京时间应该是
2019-07-13_16:15:37
56 该服务器曾被进行过抓包，请问
network.cap
是对哪个网卡进行抓包获得的抓包文件？
¶
选项
A. eth0
B. ens33
C. ens37
D. ens160
答案
B
57 对
ens37
网卡进行抓包产生的抓包文件并保存下来的是哪个？
¶
选项
A. network.cap
B. network1.cap
C. net0713.cap
D. net0713-1.cap
答案
D
58 从保存的数据包中分析可知，出口的
IP
为
¶
选项
A. 172.16.80.92
B. 172.16.81.101
C. 172.16.81.188
D. 172.16.80.133
答案
A
我们用
wireshark
打开
net0713.cap
文件跟踪
tcp
流，但是找不到
ABCD
任何一个选项……我们再打开
net0713-1.cap
数据包，找到答案：
但是为什么第一个数据包里面就没有答案呢？？？这是因为该
vpn
服务器为双网卡，对内IP为
192.168.184.133
，具备对检材1（
192.168.184.128
）和检材2（
192.168.184.129
）访问权限，出口/服务端IP为
172.16.80.92
。
Part 4
¶
你抓获了嫌疑人，并扣押了嫌疑人笔记本电脑，制作笔记本硬盘镜像文件“检材 4.E01”，请根据镜像文件，回答下列问题：
59 计算“检材 4.E01”文件的 sha256 值
¶
选项
A.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c5
B.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c6
C.
e6e47e210bd56c7071ce73ab5523736120071d0f3da5335936d7beb25c3914cd
D.
1e646dec202c96b72f13cc3cf224148fc4e19d6faaaf76efffc31b1ca2cdd200
答案
C
60 请分析该检材的操作系统版本
¶
选项
A. Windows 10 Education
B. Windows 10 Home
C. Windows 10 Pro
D. Windows 10 Enterprise
答案
A
61 找出该系统用户最后一次登陆时间
¶
选项
A. 2019-07-14 10:50:02
B. 2019-07-14 10:10:02
C. 2019-07-14 10:40:02
D. 2019-07-14 10:30:02
答案
C
62 找出该系统最后一次正常关机时间
¶
选项
A. 2019-07-14 17:30:05
B. 2019-07-14 10:30:05
C. 2019-07-14 11:30:05
D. 2019-07-14 12:30:05
答案
C
63 请计算检材桌面上文本文件的 sha256 值
¶
选项
A.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c5
B.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c6
C.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c7
D.
58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c8
答案
A
64 该系统于 2019 年 7 月 13 日安装的软件为
¶
选项
A. Eraser
B. Putty
C. Xftp
D. Xshell
答案
A
65 找出该嫌疑人于 2019-07-13 17:52:19 时，使用 WinRAR 工具访问了_____文件
¶
选项
A. navicat11.zip
B. we.tar.gz
C. test2-master.zip
D. BitLocker.rar
答案
D
66 系统于
2019-07-13 17:53:45
时运行了___程序
¶
选项
A. regedit.exe
B. WinRAR.exe
C. Xshell.exe
D. Foxmail.exe
答案
D
67 文件
test2-master.zip
是什么时间下载到本机的
¶
选项
A. 2019-07-13 14:21:01
B. 2019-07-13 17:22:01
C. 2019-07-13 15:23:01
D. 2019-07-13 16:20:01
答案
D
下载文件一般都是默认储存在“下载”文件夹下：
68 文件
test2-master.zip
是使用什么工具下载到本地的
¶
选项
A. Chrome
B. Internet Explorer
C. edge
D. 迅雷
答案
A
69 嫌疑人成功连接至
192.168.184.128
服务器的时间为
¶
选项
A. 2019-07-13 16:21:28
B. 2019-07-13 16:21:31
C. 2019-07-13 16:21:35
D. 2019-07-13 16:21:25
答案
A
在取证大师里面查看上网记录：
70 嫌疑人通过远程连接到
128
服务器，下载了什么文件到本机
¶
选项
A. web.tar.gz
B. we.tar.gz
C. home.tar.gz
D. wwwroot.tar.gz
答案
B
71 承接上一题，下载该文件用了多长时间
¶
选项
A. 10 秒
B. 20 秒
C. 15 秒
D. 25 秒
答案
C
72 请计算该下载文件的 sha256 值
¶
选项
A.
077d894557edf44e5792e0214e0f1c46b9b615be11ac306bcce2af9d666f47d8
B.
077d894557edf44e5792e0214e0f1c46b9b615be11ac306bcce2af9d666f47d7
C.
077d894557edf44e5792e0214e0f1c46b9b615be11ac306bcce2af9d666f47d6
D.
077d894557edf44e5792e0214e0f1c46b9b615be11ac306bcce2af9d666f47d5
答案
D
取证大师里面搜索关键字
.tar.gz
:
在检材四中找不到文件，又因为他是从
192.168.184.128
下载获取
we.tar.gz
，所以我们从检材一中找到文件，计算
SHA256
：
73 请分析并提取，嫌疑人所用的手机的
IMEI
号码
¶
选项
A. 352021062748965
B. 352021062748966
C. 352021062748967
D. 352021062748968
答案
C
国际移动设备识别码
（
International Mobile Equipment Identity
，
IMEI
），即通常所说的手机序列号、手机“串号”，用于在移动电话网络中识别每一部独立的手机等移动通信设备，相当于移动电话的身份证。
74 嫌疑人是通过何种方式联系到售卖恶意程序的卖家的
¶
选项
A. 微信
B. QQ
C. 短信
D. 邮件
答案
B
75 嫌疑人和卖家的资金来往是通过何种方式
¶
选项
A. 微信
B. QQ
C. 银行转账
D. 支付宝
答案
A
76 嫌疑人在犯罪过程中所使用的
QQ
账号为
¶
选项
A. 1649840939
B. 1137588348
C. 364505251
D. 1722629449
答案
A
77 卖家所使用的微信账号 ID 为
¶
选项
A. refrain_C
B. flame_guan
C. chao636787
D. sword19880521
答案
C
78 嫌疑人下载了几个恶意程序到本机
¶
选项
A. 1
B. 2
C. 3
D. 4
答案
B
我们在火眼取证中找到手机备份，然后添加到检材，然后分析，密码？？试一下检材4桌面上的
`niuroumian6
！对了！
然后我们翻一翻他的社交~看看
QQ
……两个号，一个号好没营养……看看另外一个，
woc
，大型犯罪现场！！！发现一些关键信息，我们做个笔记：
再瞅瞅微信，发现记录和
QQ
对应：
79 恶意程序被嫌疑人保存在什么位置
¶
选项
A. D:/DOWNLOAD
B. C:/USER
C. C:/
D. D:/
答案
D
80 恶意程序是使用什么工具下载到本地的
¶
选项
A. Chrome
B. Internet Explorer
C. edge
D. 迅雷
答案
C
81 嫌疑人是什么时间开始对受害者实施诈骗的
¶
选项
A. 2019-07-13 19:14:44
B. 2019-07-13 19:24:44
C. 2019-07-13 19:04:44
D. 2019-07-13 19:44:44
答案
C
82 请提取受害者的银行卡信息，银行卡账号为
¶
选项
A. 6225000088217563457
B. 6225000088257563456
C. 6225000088257563458
D. 6225000088257563459
答案
B
在电脑里面的备份平台里面有一台虚拟机，搞出来，有密码？？？搞他！我们先
修改密码
，在
/home/admin888/fund/
文件夹下发现
sqlite
数据库，我们导出来~
Bash
$
scp
root@192.168.247.155:/home/admin888/fund/db.sqlite3
./db.sqlite3
$
python3
-m
http.server
2021
然后根据手机号定位受害人是赵昊，数据库里面查看银行卡号：
83 请综合分析，嫌疑人第一次入侵目标服务器的行为发生在
¶
选项
A. 2019-07-13 16:17:30
B. 2019-07-13 16:17:32
C. 2019-07-13 16:17:35
D. 2019-07-13 16:17:38
答案
C
84 请综合分析，嫌疑人入侵服务所使用的登陆方式为
¶
选项
A. SSH 密码登陆
B. SSH 密钥登陆
C. 连接后门程序
D. FTP 登陆
答案
B
我们之前在检材四中的xshell数据文件中见到了密钥文件：
85 可知嫌疑人应对外发送过邮件，请分析并找到发出的邮件，可知邮件的发送时间为
¶
选项
A. 2019-07-13 17:55
B. 2019-07-14 17:56
C. 2019-07-14 17:57
D. 2019-07-14 17:58
答案
B
86 可知嫌疑人应对外发送过邮件，请分析并找到发出的邮件，可知邮件收件人为
¶
选项
A.
1649841939@qq.com
B.
1649840939@qq.com
C.
1649845939@qq.com
D.
1649848939@qq.com
答案
B
这个题目是真的骚，我们在前面有发现，他下载过
Foxmail
，于是我们查看
Foxmail
使用痕迹，然后把时间定位到
2019-07-13 17:52:20
，所以一般就选择A，但是是错的……因为他不一定用
Foxmail
发文件。所以我们换一个思路，在检材三中（嫌疑人使用的VPN服务器）有数据包，既然他发邮件，那么一定走了代理，所以我们再研究研究那个检材3的那两个数据包。这里有一个姿势点：
常用的电子邮件协议有
SMTP、POP3、IMAP4
它们都隶属于
TCP/IP
协议簇.
所以我们数据包里面直接找这几个协议：
87 请重构被入侵的网站，可知该网站后台管理界面的登陆用户名为
¶
选项
A. root
B. Administered
C. admin
D. user
答案
C
重构网站需要先恢复数据库，我们再检材2中有加密程序，有加密过的数据库。所以我们开始老本行！逆！
思路很简单，上
exp
：
Python
from
string
import
*
with
open
(
"db.encrypt"
,
'rb'
)
as
f
:
s
=
f
.
read
()
r
=
bytes
([((
x
^
0xaa
)
+
256
-
66
)
%
256
for
x
in
s
])
with
open
(
'db'
,
'wb'
)
as
inp
:
inp
.
write
(
r
)
然后计算
SHA256
：
我们在检材4的
C
盘中看到了一个待挂载的硬盘：
然后双击，显示
Bitlocker
：
我们打开
Bitlocker
：
现在我们缺少密码……还记得前面在翻
QQ
的时候看到的那个消息嘛，提示一下：
我们再根据他的
QQ
号和上面这个内容，可以猜到，在前面我们分析的邮件正是他用来备份密码的右键，我们复原一下邮件：
发现4个
EML
文件，导出以后，直接下载
但是有密码！！！我们联想检材4桌面上的字典和
niuroumian6
，我们尝试用这个字典来爆破压缩包。这里爆破用的工具是开膛手
john
和
hashcat
：
Bash
$
rar2john.exe
BitLocker.rar
BitLocker.rar:
$rar5$16$0
c231f49ba3ded4bc944dee58f2be760
$15$2
a5c3ec4a5380b7a9d5517cc8ba386b6
$8$07400
e39e08a2e03
$
hashcat.exe
-m
13000
-a
0
$rar5$16$0
c231f49ba3ded4bc944dee58f2be760
$15$2
a5c3ec4a5380b7a9d5517cc8ba386b6
$8$07400
e39e08a2e03
新建文本文档.txt
打开密钥备份文件，用恢复密钥成功解锁硬盘：
查看
db
文件，和我们前面逆向加密程序恢复的
db
一样。
里面还有那个网站的……所有东西，那我们把这个
dump
出来，：
88 请重构被入侵的网站，并登陆网站后台管理界面，对该网站进行证据固定，可知该网站首页左侧导航栏，不包含下列那个内容
¶
选项
A. 信息列表
B. 资金管理
C. 资金数据
D. 会员信息
答案
D
89 通过分析知，嫌疑人对目标服务器植入了勒索程序，请解密检材 2 中的被加密数据库， 其
sha256
值为
¶
选项
A.
8dcf2f71482bb492b546eec746c714be9324ea254778bf5cbb9e5115b30c77a2
B.
8dcf2f71482bb492b546eec746c714be9324ea254778bf5cbb9e5115b30c77a3
C.
8dcf2f71482bb492b546eec746c714be9324ea254778bf5cbb9e5115b30c77a4
D.
8dcf2f71482bb492b546eec746c714be9324ea254778bf5cbb9e5115b30c77a5
答案
A
90 通过分析知，嫌疑人有对目标服务器植入
ddos
程序，对该程序进行功能性分析，可知该程序会将自身复制到目标机器的什么目录下
¶
选项
A. /etc
B. /lib
C. /root
D. /tmp
答案
B
91 通过分析知，嫌疑人有对目标服务器植入 ddos 程序，对该程序进行功能性分析，可知该程序主控地址为（多选）
¶
选项
A. shaoqian.f3322.net
B. shaoqian.f3344.net
C. gh.dsaj3a2.org
D. gh.dsaj2a1.org
答案
AD
根据聊天记录易知，该
ddos
程序是
runit
，我们在检材四里面找到该文件，然后逆向分析……
我们在main函数里面看见有一些乱码，然后前面跟了解密函数。我们跟进然后机密看看：
然后我们再找找程序里面还有那些加密数据，然后写个脚本解一下：
Python
enc
=
[
"m7A4nQ_/nA"
,
"m [(n3"
,
"m6_6n3"
,
"m4S4nAC/n&ZV"
,
"m.[$n__#4%//C"
,
"m.[$n3"
,
"m4S4nAC/nA"
,
"m4S4nAC/n&ZV"
,
"m.[$n__#4%//C"
,
"m.[$n3"
]
a
=
[
0x36
,
0x46
,
0x36
,
0x7B
,
0x1C
,
0x19
,
0x27
,
0x34
,
0x2D
,
0x55
,
0x1B
,
0x50
,
0x42
,
0x27
,
0x5A
,
0x70
,
0x23
,
0x1C
,
0x29
,
0x33
,
0x54
,
0x19
,
0x23
,
0x6E
,
0x34
,
0x17
,
0x45
,
0x5C
,
0x41
,
0x79
,
0x59
,
0x26
,
0x7F
,
0x46
,
0x23
,
0x32
,
0x47
]
b
=
[
0x25
,
0x2A
,
0x1C
,
0x22
,
0x32
,
0x52
,
0x5C
,
0x73
,
0x20
,
0x70
,
0x17
,
0x5A
,
0x46
,
0x56
,
0x7C
,
0x2
,
0x76
,
0x76
,
0x6
,
0x3A
,
0x32
,
0x5B
,
0x57
,
0x2E
,
0x30
,
0x28
,
0x58
,
0x5B
,
0x1A
,
0x57
,
0x75
,
0x3
,
0x70
,
0x70
,
0x1C
,
0x29
,
0x33
,
0x54
,
0x0C
,
0x73
,
0x75
,
0x75
,
0x0D
,
0x49
,
0x5
,
0x9
,
0x75
,
0x1E
,
0x74
,
0x72
,
0x1C
,
0x74
,
0x71
,
0x1
,
0x18
,
0x73
,
0x7B
,
0x73
,
0x0D
]
key
=
[
0x42
,
0x42
,
0x32
,
0x46
,
0x41
,
0x33
,
0x36
,
0x41
,
0x41
,
0x41
,
0x39
,
0x35
,
0x34
,
0x31
,
0x46
,
0x30
]
for
i
in
enc
:
for
j
in
range
(
0
,
len
(
i
)):
print
(
chr
(
ord
(
i
[
j
])
^
key
[
j
%
16
]),
end
=
''
)
print
()
for
i
in
range
(
0
,
len
(
a
)):
print
(
chr
(
a
[
i
]
^
key
[
i
%
16
]),
end
=
''
)
print
()
for
i
in
range
(
0
,
len
(
a
)):
print
(
chr
(
b
[
i
]
^
key
[
i
%
16
]),
end
=
''
)
然后，，，然后我就不会了……至于复制到哪里，我是拿着答案去找的。main函数调用了一个daemon_process:
应该就是这样吧……
Frank会长说：“一直纠结一个题就没意思了！”
那就，，，放过吧~
92 压缩包
test2-master.zip
中的文件是什么？
¶
选项
A. 恶意软件
B. 加密程序
C. 密钥文件
D. 下载软件
答案
C
93 应用程序
TrueCrypt-7.2.exe
是在什么时间下载到本机的？
¶
选项
A. 2019-07-06 00:04:38
B. 2019-07-06 00:06:38
C. 2019-07-06 00:08:38
D. 2019-07-06 00:10:38
答案
C
94 文件 runit.txt 从哪个域名下载的？
¶
选项
A.
https://pan.forensix.cn/lib/367d7f96-299f-4029-91a8-a31594b736cf/runit
B.
https://pan.baidu.com/s/19uDE7H2RtEf7LLBgs5sDmg?errno=0&errmsg=AuthLoginSucess&&bduss=&ssnerror=0&traceid=
C.
https://pan.forensix.cn/seafhttp/files/dec88b97-b2bc-414f-93a3-dcbbc15d615/runit
D.
https://pan.forensix.cn/seafhttp/files/8fdf1982-e323-4efe-ae28-2bba21b5162c/runit
答案
D
95
BitLocker
密钥在什么位置？
¶
选项
A. D:/DOWNLOAD
B. C:/USER
C. C:/
D. D:/
答案
B
96
BitLocker.rar
生成的时间是？
¶
选项
A. 2019-07-13 17:51:47
B. 2019-07-13 17:52:19
C. 2019-07-13 17:53:24
D. 2019-07-13 16:31:06
答案
B
97 文件
we.tar.gz
传输完成的时间是？
¶
选项
A. 2019-07-13 16:31:06
B. 2019-07-13 16;33:00
C. 2019-07-13 16:33:15
D. 2019-07-13 16:33:30
答案
C
98 嫌疑人在什么时间登陆网页微信？
¶
选项
A. 2019-07-13 16:34:55
B. 2019-07-13 16:40:13
C. 2019-07-13 16:45:45
D. 2019-07-13 16:53:45
答案
A
99 嫌疑人于
2019-07-13 17:22:23
下载了什么文件？
¶
选项
A. 网站目录压缩文件
B. 数据库备份文件
C. 网站日志文件
D. 数据库日志文件
答案
B
100 硬盘 C 盘根目录中，文件
pagefile.sys.vhd
的作用是什么？
¶
选项
A.
pagefile
页面交换文件
B. 虚拟机启动文件
C. 系统配置文件
D. 虚拟磁盘
答案
D
……在前面我们双击这个，然后解开
Bitlocker
，就挂载上了
D
盘，所以应该是虚拟磁盘。
