2022蓝帽杯半决赛电子取证

参考博客蓝帽杯2022年半决赛 writeup(附取证题目+解压密码+附件)_是Mumuzi的博客-CSDN博客

AmyZYX - 博客园，官方wp

取证

手机取证_1

iPhone手机的iBoot固件版本号:（答案参考格式：iBoot-1.1.1）

iBoot-7429.62.1

原来这个ipone的zip镜像，是可以直接取证的，我解压了，然后思维固化了，然后就没取出来呜呜呜

手机取证_2

该手机制作完备份UTC+8的时间（非提取时间）:（答案参考格式：2000-01-01 00:00:00）

2022-01-11 18:47:38

2022-01-11T10:47:38Z，+8，2022-01-11 18:47:38

exe分析_1

文件services.exe创建可执行文件的路径是:（答案参考格式：C:\Windows.exe）

C:\Program Files\Common Files\Services\WmiApSvr.exe

在聊天记录里找到一个压缩包

services.exe就在里面

奇安信的这个平台sandbox.ti.qianxin.com，好牛逼，C:\Program Files\Common Files\Services\WmiApSvr.exe

exe分析_2

文件HackTool.FlyStudio.acz_unpack.exe是否调用了advapi32.dll动态函式链接库？

是

exe分析_3

文件aspnet_wp.v.exe执行后的启动的进程是什么:（答案参考格式：qax.exe）

svchost.exe

exe分析_4

文件[4085034a23cccebefd374e4a77aea4f1]是什么类型的木马:（答案参考格式：勒索）

挖矿

exe分析_5

文件[4085034a23cccebefd374e4a77aea4f1]网络连接的IP地址的归属地是哪个国家:（答案参考格式：美国）

韩国

sandbox.ti.qianxin.com太牛逼了，呜呜呜当时比赛的时候怎么就不会用呢

APK分析_01

受害人手机中exec的序列号是:（答案参考格式：0xadc）

0x936eacbe07f201df

APK分析_02

受害人手机中exec关联服务器地址是:（答案参考格式：asd.as.d）

ansjk.ecxeio.xyz

mainactivity是安卓程序入口，来自Android之MainActivity类 - Tsingke - 博客园

APK分析_03

受害人手机中exec加载服务器的函数是:（答案参考格式：asda）

loadUrl

APK分析_04

受害人手机中exec的打包ID是:（答案参考格式：adb.adb.cn）

__W2A__nansjy.com.cn

APK分析_05

受害人手机中exec的是否有安全检测行为？

是

搜索安全，着实没想到能这么操作

APK分析_06

受害人手机中exec的检测方法的完整路径和方法名是:（答案参考格式：a.a.a()）

d.a.a.c.a.a()

APK分析_07

受害人手机中exec有几个界面:（答案参考格式：2）

APK分析_08

受害人手机中红星IPA的包名是:（答案参考格式：a.s.d）

com.dd666.hongxin

红星.ipa改后缀为zip，然后解压，里面就有info.pslist，.ipa的后缀涨见识了属于是

CFBundleIdentifier——com.dd666.hongxin

APK分析_09

受害人手机中红星IPA的APIKEY是:（答案参考格式：asd）

d395159c291c627c9d4ff9139bf8f0a700b98732

APK分析_10

受害人手机中红星IPA的权限有哪些？

相册、定位、摄像头、麦克风全选

APK分析_11

嫌疑人手机中红星APK的服务器地址是:（答案参考格式：ass.a.d:11）

www.nansjy.com.cn:8161

APK分析_12

嫌疑人手机中红星APK的程序入口是:（答案参考格式：a.v.b.n）

com.example.weisitas526sad.activity.SplashActivity

APK分析_13

嫌疑人手机中分析聊天工具，服务器的登录端口是:（答案参考格式：12）

6661

打开BigAnt5，随便输入一个账号密码，跳转到这个界面，或者网络设置直接就在右下角

APK分析_14

嫌疑人手机中分析聊天工具，用户归属的机构是:（答案参考格式：太阳）

红星

APK分析_15

结合手机流量分析聊天工具的登录账号和密码是:（答案参考格式：1212311/12312asd）

服务器取证_01

服务器在启动时设置了运行时间同步脚本，请写出脚本内第二行内容。（答案参考格式：/abcd/tmp www.windows.com）

/usr/sbin/ntpdate time.nist/gov

查看开机自启动文件etc/rc.local

查看time.sh，上图的路径打不开，后来直接用find找的

gztmpdir显示此文件是被加密的，gzexe -d time.sh解密

服务器取证_02

服务器在计划任务添加了备份数据库脚本，请写出该脚本的第二行内容。（答案参考格式：2022年第六届蓝帽杯）

#台北下着雪你说那是保丽龙

crontab -l查看计划任务

.sh.x是shc加密

在下载unshc脚本时，很奇怪的下载不了，下载完解密后查看文件即可

服务器取证_03

使用宝塔linux面板的密码加密方式对字符串lanmaobei进行加密，写出加密结果。（答案参考格式：e10adc3949ba59abbe56e057f20f883e）

25b9447a147ad15aafaef5d6d3bc4138

宝塔面板的秘密吗加密方式存放在/www/server/panel/class/users.py里面

第34行显示了加密方式，那个salt是随机产生12位随机字符串，但是官方wp上没有考虑salt，不大清楚

服务器取证_04

写出服务器中第一次登录宝塔面板的时间。（答案参考格式：2022-02-02 02:02:02）

2021-05-17 16:10:40

面板日志是被清除的

cd /www/server/panel/logs/request，该目录里保存了所有访问宝塔面板的get或者post请求，ls查看发现里面是以日期命名的压缩包，gunzip -d命令解压一个最早的压缩包

成功登录宝塔面板的post和get请求是连续的，且后接内容分别为login和？，符合条件的时间如图

服务器取证_05

写出宝塔面板的软件商店中已安装软件的个数（答案参考格式：2）

这个很奇怪的是宝塔外网地址和内网地址都登不上去

服务器取证_06

写出涉案网站（维斯塔斯）的运行目录路径。（答案参考格式：/root/etc/sssh/html）

/www/wwwroot/v9.licai.com/public

根据宝塔面板的外网地址对应一下就行，但是宝塔我登不上去

服务器取证_07

写出最早访问涉案网站后台的IP地址。（答案参考格式：111.111.111.111）

183.160.76.194

查找日志文件

第一个日志是空的，在第二个日志文件的目录中发现了涉案网站的日志

找到了，比较靠后，还有涉案网站的后台地址http://www.nansjy.com.cn:8161/AdminV9YY/Login

服务器取证_08

写出涉案网站（维斯塔斯）的“系统版本”号。（答案参考格式：6.6.6666）

1.0.190311

服务器取证_09

分析涉案网站的会员层级深度，写出最底层会员是多少层。（答案参考格式：66）

服务器取证_10

请写出存放网站会员等级变化制度的网站代码文件的SHA256值。（答案参考格式： 8d969eef6ecad3c29a3a629280e686cf0c3f5d5a86aff3ca12020c923adc6c92）

在/www/wwwroot/v9.licai.com目录下查找会员等级，find -name *.php | xargs grep '会员等级'

来自关于 find grep xargs 命令总结_Bing0lin的博客-CSDN博客_grep xargs

服务器取证_11

计算向网站中累计充值最多的五名会员，获得的下线收益总和(不包含平台赠送)。（答案参考格式：666.66）

25178.59

用弘连自带的数据库分析工具导出membercharge表，用excel做数据透视表，后排序，得到充值最多的五名会员

导出memberlog表，得到的答案和官方wp的不一样，很奇怪

服务器取证_12

统计涉案网站中余额大于0且银行卡开户行归属于四川省的潜在受害人数量。（答案参考格式：6）

导出member表，bankaddress筛选四川

服务器取证_13

统计平台从成立之初至“2021-07-01 23:59:59”共收益多少金额(不包含平台赠送)。（答案参考格式：6666.66）

9805957.00

membercharge表1979503

memberwithdrawal表489954

两个值相减1489549，差的有点多

服务器取证_14

统计涉案网站哪一天登录的会员人数最多。（答案参考格式：1999-09-09）

2021-07-14

限制memo为登录成功，然后筛选

服务器取证_15

写出涉案网站中给客服发送“你好，怎么充值”的用户的fusername值。（答案参考格式：lanmaobei666）

hm688