19长安杯电子取证

最新推荐文章于 2024-05-07 13:20:57 发布
最新推荐文章于 2024-05-07 13:20:57 发布
阅读量964 收藏 11
点赞数 2
分类专栏： 电子取证 文章标签： 其他
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mr_Liu_Stark/article/details/120867873
版权

案情简介
在一起电诈案件中，受害者称自己的银行卡被他人冒用，曾收到假冒公安的短信，因为自己在一个 P2P 网站中理财，假冒公安称该网站已被列外非法网站，要自己到公安备案网站填写自己的信息，并帮助自己追回本金，因此信以为真，在网站上填写了自己的信息和绑定的银行卡信息；办案机关推测嫌疑人可能是获取了 P2P 网站中的注册用户信息，从而进行定向诈骗，因此调取了 P2P 理财网站的服务器，现委派你对该服务器进行电子数据取证。

你获得该 P2P 理财网站服务器硬盘镜像文件“检材 1.E01”，根据这个镜像文件，回答下列问题：

在这里插入图片描述
选C，直接算
在这里插入图片描述在这里插入图片描述
选D，仿真软件识别出了系统版本
在这里插入图片描述
在这里插入图片描述
选A，仿真一打开就看见了
在这里插入图片描述在这里插入图片描述
选B
在这里插入图片描述

或者
在这里插入图片描述

在这里插入图片描述
选C，这里的意思是该磁盘分了两个区，而且第二个区又分成了两个逻辑卷（LVM），即下图中的分区3和分区4，它们属于分区2,。这题问的就是分区二的起始地址。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
选D
在这里插入图片描述
在这里插入图片描述
选C
在这里插入图片描述
在这里插入图片描述
D
在这里插入图片描述
选B
在这里插入图片描述
在这里插入图片描述
选C
在这里插入图片描述在这里插入图片描述
选C
在这里插入图片描述
在这里插入图片描述
选D
在这里插入图片描述在这里插入图片描述
选B，这类题需要查看端口映射
在这里插入图片描述

在这里插入图片描述
选B，同样由上图知开了22号端口，所以是ssh

在这里插入图片描述
选C，由上图知
在这里插入图片描述
选C
在这里插入图片描述
在这里插入图片描述
选D，根据容器ID来判断
在这里插入图片描述
在这里插入图片描述
选Ｂ，由上面端口映射知
在这里插入图片描述
选B，不能以nginx容器id就选，还是得进去看一下

在这里插入图片描述

在这里插入图片描述
选A，搜索vue2-element-touzi-admin

在这里插入图片描述
在这里插入图片描述
选C，还是一个一个进入容器去看，当然16f…是Nginx容器，肯定在这里面了

在这里插入图片描述
选D，由日志可知

在这里插入图片描述

在这里插入图片描述
选A
在这里插入图片描述

在这里插入图片描述
选B，由日志可知
在这里插入图片描述
选C，由日志得知

在这里插入图片描述
选C，去容器里看

在这里插入图片描述
选C，发现存在mongo的docker镜像，并且确实开了容器
在这里插入图片描述

在这里插入图片描述
选D，将mongo的容器启起来就能看见端口映射了，或者某大师可以直接看。

在这里插入图片描述
在这里插入图片描述

选D，网站目录容器里server路径有配置文件
在这里插入图片描述

在这里插入图片描述
选A，同上

在这里插入图片描述
选D，同上

在这里插入图片描述
选B，根据配置文件显示，查看mongo连接语句得知
https://www.runoob.com/mongodb/mongodb-connections.html

在这里插入图片描述
选A，由终端记录可知
在这里插入图片描述
在这里插入图片描述
选D，直接搜选项，这题是三个数据库都有按照，但是只有D选项的路径是正确的，而且从后面的题目也能看出仅有mongo在使用

在这里插入图片描述
选C，按照路径去找
在这里插入图片描述

在这里插入图片描述
选C，直接搜索mango，在配置文件里也有日志路径
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
选B，从日志中可见创建了user表，之后也从该表插入和查询数据

在这里插入图片描述
Ａ
看配置文件，最好是导出来看，仿真进去可能乱码，或者视图不好看等，导出来会比较好

在这里插入图片描述
B

选D，审日志，搜索test.user可见对这个表的操作，注意command记录。需要花几分钟才能找到。
在这里插入图片描述
后面也有删除test数据库的操作

在这里插入图片描述
插入一个小结：
这类服务器的题要注意一个黑客入侵时间，从bash历史入手，看对那个文件进行了操作，再去看那个文件的创建时间或者访问时间，大致得到入侵时间
在这里插入图片描述
在这里插入图片描述
选C,搜选项，搜常用行为特征
在这里插入图片描述

在这里插入图片描述
选D
在这里插入图片描述
此题不会
D

在这里插入图片描述
选A，由42题截图知

检材三

在这里插入图片描述
选B，bash历史就得知该服务器曾安装pptpd

在这里插入图片描述
在这里插入图片描述

选D，仿真查看时区信息，得知是东六区，处于东六区的是dhaka，孟加拉地区
在这里插入图片描述
也可以从bash历史里见到
在这里插入图片描述

在这里插入图片描述
选A，直接搜索选项
在这里插入图片描述
在这里插入图片描述
选A，直接搜索选项

在这里插入图片描述
选B，从bash历史里得知配置文件路径，查看配置文件
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
D 导出option文件，文本打开搜索

在这里插入图片描述

在这里插入图片描述
选C，C、D选项都存在该文件，得导出去看，会发现D选项是空的，而C选项是有记录的。

在这里插入图片描述
选A，导出日志，搜索时间
在这里插入图片描述
在这里插入图片描述
选D，如上图

在这里插入图片描述
选B，做法同上题

在这里插入图片描述

在这里插入图片描述
选D，北京时间为东八区，故＋２

在这里插入图片描述
选B，仿真后发现仅存在B选项网卡，且bash历史有相关记录

在这里插入图片描述

在这里插入图片描述
选D，这题就崴，B、D选项都创建，但是后来B选项被删了。

在这里插入图片描述
在这里插入图片描述
选C，搜索流量包，wireshark分析
A
在这里插入图片描述

在这里插入图片描述
选C

在这里插入图片描述
选A、C、C，系统信息，用户信息

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
选A
在这里插入图片描述

在这里插入图片描述
选A
在这里插入图片描述

在这里插入图片描述
选D，最近访问记录-＞压缩软件使用记录内四个选项都有，但是最近访问文档时间可以对应的是D选项

在这里插入图片描述
在这里插入图片描述
选D，应用程序运行痕迹
在这里插入图片描述
在这里插入图片描述
选D，直接搜文件

在这里插入图片描述
在这里插入图片描述
选B，搜索ip，发现存在ssh密钥文件
在这里插入图片描述
在这里插入图片描述选B，搜索选项，仅存在B选项文件，且B选项创建时间在连接服务器后不久。
在这里插入图片描述
在这里插入图片描述
选C，由上题图片知，当文件开始下载时创建，下载完毕时记录为修改时间，相差15秒。

在这里插入图片描述

手机取证部分

在这里插入图片描述
选C

在这里插入图片描述

在这里插入图片描述
B
在这里插入图片描述
在这里插入图片描述
选A
在这里插入图片描述
在这里插入图片描述
选A

在这里插入图片描述

在这里插入图片描述
选C，这题是题目有问题，由聊天记录得知
在这里插入图片描述

在这里插入图片描述
选B，一共恢复出三个链接

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
选C，某大师下载记录得知

在这里插入图片描述
选C，根据恢复的短信得知

在这里插入图片描述
B

在这里插入图片描述

B

在这里插入图片描述
选C，导出压缩包即可

在这里插入图片描述
在这里插入图片描述
选C，这个按下载结束时间

在这里插入图片描述
在这里插入图片描述
选Ｄ，直接搜
在这里插入图片描述
在这里插入图片描述
选Ｂ，直接搜

在这里插入图片描述
在这里插入图片描述
选Ｂ，直接搜

在这里插入图片描述
在这里插入图片描述
C

在这里插入图片描述

在这里插入图片描述
选A，能找到最近的就是下图
在这里插入图片描述
在这里插入图片描述
B

在这里插入图片描述
选D，百度搜索文件名

孤勇silly兔
关注
  • 2
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
2019年长安杯 第一届电子数据取证竞赛 wp
ShenZ的博客
11-14 2492
检材2 检材四
2022长安杯复盘——lucid凡
m0_64698244的博客
12-06 1173
2022长安杯案情背景：某地警方接到受害人报案称其在某虚拟币交易网站遭遇诈骗，该网站号称使用”USTD币“购买所谓的"HT币”，受害人充值后不但“HT币”无法提现、交易，而且手机还被恶意软件锁定勒索。警方根据受害人提供的虚拟币交易网站调取了对应的服务器镜像并对案件展开侦查。题号题目答案检材1:根据报案人提供的网站域名和IP，警方调取了对应的服务器镜像“检材1”
2019年第一届长安杯解析，深入科普，理清思路，流量部分不太会，其他部分基本有详细解。
ntrybw的博客
10-20 2191
下面就涉及到手机部分，弘连其实识别出来，但是是有密码的，说实话，我一开始也找了半天没找到，看到桌面上那个新建文档里面是密码字典，所以就直接去爆破，反正是没有做出来，后面看到标签试一下才知道，一开始我想一个一个试过去，但是我发现火眼是没有路径的，就是说容器里面没法分析其实容器类似于虚拟机，虚拟机是无法直接解密的，所以我只能选择去容器里面一个一个看，就是人工找。这题是能看到2个ip的，细细分析是出的来的，做了一个爆破操作但是由于我xshell没法链接，看到的非常丑陋，所以我就不放了。所以这里看到的就是2个。
2019长安杯
wwwwyyyrre的博客
05-07 720
检材2是检材一提及的数据库ip地址检材三压缩包密码为题26的ip地址经调查，你扣押获得了一台嫌疑人使用过的VPN服务器，并用服务器硬盘制作成“检材3.E01”镜像文件，根据该镜像文件，回答下列问题。172.16.80.188为检材4解压密码看到了他的账号密码，以及最后一次登录时间。
2019第一届长安杯
m_de_g的博客
11-10 5218
2019第一届长安杯 长安杯 第一届电子数据取证竞赛 题目 案情简介 在一起电诈案件中，受害者称自己的银行卡被他人冒用，曾收到假冒公安的短信，因为 自己在一个 P2P 网站中理财，假冒公安称该网站已被列外非法网站，要自己到公安备案网站 填写自己的信息，并帮助自己追回本金，因此信以为真，在网站上填写了自己的信息和绑定 的银行卡信息；办案机关推测嫌疑人可能是获取了 P2P 网站中的注册用户信息，从而进行定 向诈骗，因此调取了 P2P 理财网站的服务器，现委派你对该服务器进行电子数据取证。 你获得该 P2P 理财
弘连长安杯2019刷题
7ruth0hn的博客
10-23 1882
文章目录写在前面答案解题结语参考资料 写在前面 做完2020再来做2019。。。 **取证工具：**取证大师V6.1.80018RTM、弘连火眼证据分析软件V4.14.0.33748、弘连火眼仿真取证V4.1.1.2972、VMware Workstation 题目：2019长安杯电子数据取证 答案 1-5 CDABC 6-10 DCDBC 11-15 ACDDB 16-20 CCDBB 21-25 ACDAB 26-30 CCCDD 31-35 ADBAD 36-40 CCBAB 41-45 CD
2021第三届长安杯检材三复盘
qq_56037764的博客
10-16 1118
史上最详细wp
第一届“长安杯”电子数据取证竞赛答案解析
qq_43678263的博客
12-14 1119
2019年第一届“长安杯”电子数据取证竞赛答案解析
第三届长安杯解析（2次修订版）镜像＋具体解析＋个人详细解题过程，涉及多个模块，我会努力把所有写好，可以做一下题目，提升很明显。
ntrybw的博客
09-23 4049
先讲讲我的感悟：我目前没有参加过比赛，暑假做了第二届，解析写的我奔溃了，现在做第三届我和队友一起的，所以压力小一点，主要涉及服务器，网站重构，手机分析几个模块，我啥都不太擅长，所以写博客来督促自己努力学习，也与各位一起分享。通过对检材二和三进行分析，警方通过IP落地，警方掌成功抓获犯罪嫌疑人，现将嫌疑人的PC机和手机进行了取证，分别制作了镜像，请使用第13题的答案对检材四进行解密，并回答下列问题。接下来，包括这个就比较恶心，要快照，在快照里面才能看到，知道狗，不过下次也要注意，怎么解决这个。
第三届长安杯电子取证大赛总结---检材一
qq_51233573的博客
01-24 3498
第二次打长安杯的取证小白对比赛的一点看法
2021年长安杯数字取证视频复盘感想
恒Keep毅
11-01 4016
2021年长安杯观看视频复盘感想 作为2021年参赛选手 第一次参加获得了60+名次二等奖????的成绩 个人的复盘已经写了 跳转地址 今天来看看官方的复盘，看看今天有什么收获～ Let 's Go！ 仓库地址 检材一 在源码的Androidxxxx.xml中packageName是Apk包名 调证值为就像汽车出厂打入唯一的ID值 GPS定位信息是抓包抓不到的，从后面的重构可以发现 通讯录是要用模拟器自己随便加2个电话才会有 在源代码里面 资源文件\assest\apps路径下为js前端
2020年第二届“长安杯”电子数据取证竞赛--学习记录（参考官方复盘）
m0_60521199的博客
09-28 3584
因为不太找得到第二届长安杯的资源，尝试自己写wp
QT属性动画--设置样式属性(其他属性)
lizequan的博客
03-02 5284
这里写自定义目录标题故事背景遇到的问题解决过程最终方法感悟 故事背景   最近在制作一个按钮切换的动画特效中接触了属性动画这部分内容，并由此产生了一些思考。 遇到的问题 解决过程 最终方法 感悟 ...
Volatile的其他特性
我想月薪过万的博客
03-03 3838
2.1 volatile总体概览 在上一节中，我们已经研究完了volatile可以实现并发下共享变量的可见性，volatile除了保证可见性外，volatile还具备如下一些突出的特性： volatile的原子性问题：volatile不能保证原子性操作 禁止指令重排序：volatile可以防止指令重排序操作 2.2 volatile不保证原子性 2.3 代码测试 package Ls; /** * 目标：研究Volatile的原子性操作 * <p> * 基本观点：V.
【安卓基础】Android直接通过路径来操作其他应用的私有目录，可以吗？
m0_48179608的博客
03-02 7570
在上篇文章[【安卓基础】一文搞懂Android历代版本文件访问权限变化](https://blog.csdn.net/m0_48179608/article/details/122838494)我们对同一个应用的的文件访问权限做了比较。 那么不同应用之间文件访问又有什么限制呢？我们准备分二到三篇文件来阐述。 这篇文章，主要来看下不同系统版本下，我们直接通过路径来访问其它应用的**内部存储、外部存储私有目录**，看看能不能访问以及不同系统版本的区别。
Silane-PEG-NHS，SIL-PEG-NHS，可以用来修饰蛋白质、多肽以及其他活性基团，NHS-PEG-Silane
qq_39152602的博客
03-03 3488
英文名称：Silane-PEG-NHS 中文名称：硅烷-聚乙二醇-活性酯 分子量：1k，2k，3.4k，5k，10k，20k（可按需定制） 质量控制：95%+ 存储条件：-20°C，避光，避湿 用 途：仅供科研实验使用，不用于诊治 外观: 固体或粘性液体，取决于分子量 注意事项：取用一定要干燥，避免频繁的溶解和冻干 溶解性：溶于大部分有机溶剂，如：DCM、DMF、DMSO、THF等等。在水中有很好的溶解性 取用：现配现用，将包装从冰箱中取出，置于干燥器中缓慢升至室温，打开瓶盖，取用。取用.
[Golang]力扣Leetcode—中级算法—其他—两整数之和（位运算）
皮埃尔的博客
03-03 2834
[Golang]力扣Leetcode—中级算法—其他—两整数之和（位运算）
qt练习控件label控件-lineEdit控件样例代码
最新发布
07-30
qt练习控件label控件-lineEdit控件样例代码
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值