联合取证校赛ZJ

keNn9s

于 2023-08-15 09:44:49 发布

阅读量422

点赞数

文章标签：网络服务器运维

本文链接：https://blog.csdn.net/cppuhsir/article/details/132290857

版权

受害人计算机

选择

1（受害人计算机）根据镜像分区，确定原笔记本内有多少个文件系统分区?

2（受害人计算机）你能找到硬盘操作系统分区内的开始逻辑区块地址（LBA）? (答案格式: 扇区, Sector)

1048576

3（受害人计算机）操作系统所在分区的文件系统是哪种

NTFS

4（受害人计算机）操作系统分区，每个簇(Cluster)包含几个扇区(sectors)?

5 (受害人计算机）该请问操作系统的安装日期是?

6（受害人计算机）用户“dalei＂的唯一标识符(RID)是什么?

7（受害人计算机）Administrator总共登录系统多少次?

8(受害人计算机）以下哪个帐号曾经远端登录系统?

没有

没有发现异常远程登陆

9(受害人计算机）操作系统的版本?

10(受害人计算机）根据填空第7小题，上述地图原来的储存路径是?

E:\CC8A6AE1-5193-4fce-A986-1B9CD68E20E8.png

11（受害人计算机）受害人使用以下哪个电子邮件发送/接收的程序?

Mail Master

12（受害人计算机）接上题，受害人什么时候收到诈骗电邮?（作答后先跳转填空第8题）

2023-4-1 18:49 UTC+8

13（受害人计算机），接填空第8题，上述的病毒文件最后一次什么时间被系统执行? （答案格式－“本地时间＂：YYYY-MM-DDHH:MM +8）

2023-04-11 20:05:48

14（受害人计算机），接上题，这个病毒是否会在重新开机后自动运行?如会，它是通过下列哪个程序执行?

不会

没发现相关文件

15（受害人计算机），接上题，病毒文件被执行后有以下哪个文件被生成?

没有文件生成

16（受害人计算机），法证人员于之后对系统作以下哪项取证?

制作内存镜像档

根据下一题的工具，是一个制作内存镜像的工具

17（受害人计算机），法证人员到场后，以下哪个软件曾经在系统里运行过?

直接搜选项

Magnet RAM capture.exe

18（受害人计算机），接上题，所抓取的资料被储存为以下哪个文件?

根据选项搜，发现只有ram1.dmp

ram1.dmp

19（受害人计算机），接上题，上述档案储存到以下哪个分区?

感觉应该是G盘，但答案是E盘

填空

1（受害人计算机）笔记本电脑己成功取证并制作成镜像，其MD5哈希值是？

8D243E3FE45FB60C13206C9A32E1DC80

2（受害人计算机）该操作系统中，最后的关机时间? （答案格式东八区时间：YYYY-MM-DD HH:MM）

2023-04-11 19:37

3（受害人计算机）该操作系统中，计算机的主机名是?

WIN7-2023JJURTZ

4（受害人计算机）检材内有一bitlocker磁盘，该磁盘的密码为：

Zodiac4O4

找了半天没发现，在受害人计算机里面发现了一张图片

导出来用010查看发现了密钥

还可以用取证大师直接搜key，用原始数据搜索（搜BitLocker搜不到）

正常是搜BitLocker的，但是这道题的密码存在图片的十六进制里面，比较恶心

5（受害人计算机）接上题，开启上述磁盘内有一压缩包，压缩包内有一flag值，请问是？

flag{2ac5cf8bd87d0717c1cfb8b7c2906e2c}

里面有一个压缩包，导出来发现有密码，想到了在回收站李看到了一个图片，上面有密码

6（受害人计算机）administrator用户桌面文件中，flag的字体为

没有意义的一道题

Times New Roman;times new roman

没找到flag在哪

7（受害人计算机）回收站里面有一张图片，这张地图原来的文件名是什么?（答案格式：文件名.扩展名）

CC8A6AE1-5193-4fce-A986-1B9CD68E20E8.png

8（受害人计算机），接单选22题，邮件的附件诱导下载一个病毒文件，这个文件的MD5哈希值是?

这是那个病毒文件

964018A696E0DC9AAC49F3ACB49D504F

受害人手机

选择

在手机镜像文件中，请问该用户数据分区(userdatapartition)的文件系统类型是什么？

EXT4

（受害人手机）如果手机安装了应用程序，你会在哪个位置找寻该应用程序的“apk＂文件？

/root/app/

（受害人手机）在手机镜像文件中，哪一个文件包含日历记录？

calendar.db

直接搜

（受害人手机）在手机镜像文件中，哪个文件用于存储“微信”记录？

EnMicroMsg.db

这个问法，我们可以直接去微信然后跳转源文件

填空

（受害人手机）请通过分析给出连接过普联设备 WiFi的密码

TP就是惠普的工具

mhq594305

（受害人手机）Android 系统解锁密码是？

10086

没发现怎么搞出来的，没爆破出来

（受害人手机）接单选33题，检查“微信＂数据库，请问“BugMaker”和“写Bug小能手”共有多少条通讯记录？

（受害人手机）接上题，微信聊天记录中“BugMaker”的银行账号为

发现了这两串东西，应该是加密内容，第一个先base64，在escape解密

看到了%u就要考虑到escape加密

解密后是这里是要加密的内容，那说明下面那个应该就是账号

622901985

受害人APK

浏览了半天发现应该是这个，里面有可以单词forensics导出

一看就是危险软件

（受害人手机）手机中有一APK具有文件加解密功能，请找出该APK，其签名有效期终止年份为

2053-02-15 21:36:00

（受害人手机）接上题，该APK的包名是什么？

com.zjpc.forensics

（受害人手机）接上题，APK的SHA256值是什么？（32位小写）

534129449cf8e96e07e95da98585e53efdaa9fd91f6e77fbf962d300fa0587cd

（受害人手机）接上题，APK有几个用户界面?（格式：3）

（受害人手机）接上题，APK的入口函数是？

com.zjpc.forensics.MainActivity

（受害人手机）接上题，APK中对用户输入的密码执行了什么操作？

base64

（受害人手机）接上题，APK查看加密文件的密码是什么？

th1s_1s_p@5sw0rd

脚本解密，没破解出来

（受害人手机）接上题，APK内被加密文件的文件名是什么？

eee.dat

查看确实是乱码

下面这些是加密过程的代码

（受害人手机）接上题，APK加解密文件使用的是什么算法？

异或算法

（受害人手机）接上题，请提交解密后界面的flag。（格式:flag{32位小写md5值}）

flag{15b796b1769e5085ea8c0f13620e28ed}

嫌疑人计算机

选择

（嫌疑人计算机）该操作系统的内核版本是？（作答后可先跳转填空23题）

6.1.0

填空

（嫌疑人计算机）嫌疑人桌面上有个”huashu”文件，记载了其准备的邮件钓鱼话术。该文件曾用名是什么？

仿真虚拟机以后，查看用户文件，发现了这个

打开shegong，发现里面的内容和之前的一样，所以就是这个啦

shegong

（嫌疑人计算机）嫌疑人桌面上的木马文件sha256哈希值是？

6d33ea7b8b89844e9086b097fbfa90563c66868c4f3491e827b0ad5133162a63

（嫌疑人计算机）嫌疑人是用何种工具连接木马的？（例：CobaltStrike，首字母大写）

viper

仿真看里面有viper文件夹

然后通过火眼也可以看到dockers容器使用的viper

（嫌疑人计算机）嫌疑人曾尝试在本机搭建过该工具，其设置的登陆密码是？

12345678

（嫌疑人计算机）嫌疑人之后在服务器上搭建该工具并反弹shell。服务器IP地址是？

我们在现在的root用户里看历史命令发现没有东西，这显然是不行的

所以我们要重新仿真这个kali，kali里面缺少快照，把kali十周年vmsd给删了就行

根据前面的内容我们知道了里面有个用户叫mid2dog，我们现在修改这个用户的密码，进入这个用户的系统

参考这篇文章绕过密码

【破解kali 系统登录密码，有手就会】_kali系统怎么取消登录密码_偶然的一天的博客-CSDN博客

修改完之后我们就进入了这个人的桌面

可以发现我们直接就发现了huashu，而不是之前没改名之前的了

看到了搭建shell反弹

8.214.98.131

（嫌疑人计算机）上述平台的端口号是？

9013

（嫌疑人计算机）嫌疑人曾将开机密码藏在操作系统某文件中以防忘记，请找出嫌疑人所使用账户的密码。

翻了一下这个人的文件，发现了两个可以的东西，一个照片一个视频

这个视频的十六进制里面说明了这个用户的账号密码

mid2dog

（嫌疑人计算机）嫌疑人曾编写过全盘加密的勒索脚本，请写出加密方式。（如：RSA）

发现了这个lesuo.exe文件，看一下

要把这个东西给导出来

看了一下它使用了打包工具pyinstaller，要反编译

查看导出文件夹

上图里的这些部分都应该是pyc文件，但是导出来的时候没有pyc后缀

要自己加上，

然后一般这个import os就是反编译的文件，修改后缀以后用反编译网站反编译不出东西来

反编译网站：pyc反编译 - 爱资料工具 (toolnb.com)

联想到之前做长安杯的时候，这个文件的文件头可能不完整，我们看了一下发现是这个

果然不完整，缺少文件头

然后我们给他加上文件头

保存，然后用反编译网站反编译，果然出来了

复制出来

# uncompyle6 version 3.5.0
# Python bytecode 3.6 (3379)
# Decompiled from: Python 2.7.5 (default, Jun 20 2023, 11:36:40) 
# [GCC 4.8.5 20150623 (Red Hat 4.8.5-44)]
# Embedded file name: import os.py
# Compiled at: 1995-09-28 00:18:56
# Size of source mod 2**32: 272 bytes
import os, base64
from Crypto.Cipher import AES
key = 'mid2dog'

def encrypt--- This code section failed: ---

  11       0  LOAD_GLOBAL              open
           2  LOAD_FAST                'filename'
           4  LOAD_STR                 'rb'
           6  CALL_FUNCTION_2       2  ''
           8  SETUP_WITH           24  'to 24'
          10  STORE_FAST               'file'

  12      12  LOAD_FAST                'file'
          14  <160>                 1  ''
          16  <161>                 0  ''
          18  STORE_FAST               'file_data'
          20  POP_BLOCK        
          22  LOAD_CONST               None
        24_0  COME_FROM_WITH        8  '8'
          24  WITH_CLEANUP_START
          26  WITH_CLEANUP_FINISH
          28  END_FINALLY      

  14      30  LOAD_FAST                'file_data'
          32  LOAD_STR                 '\x00'
          34  LOAD_GLOBAL              AES
          36  LOAD_ATTR                block_size
          38  LOAD_GLOBAL              len
          40  LOAD_FAST                'file_data'
          42  CALL_FUNCTION_1       1  ''
          44  LOAD_GLOBAL              AES
          46  LOAD_ATTR                block_size
          48  BINARY_MODULO    
          50  BINARY_SUBTRACT  
          52  BINARY_MULTIPLY  
          54  BINARY_ADD       
          56  STORE_FAST               'padded_data'

  16      58  LOAD_GLOBAL              AES
          60  <160>                 5  ''
          62  LOAD_FAST                'key'
          64  LOAD_GLOBAL              AES
          66  LOAD_ATTR                MODE_ECB
          68  <161>                 2  ''
          70  STORE_FAST               'cipher'

  17      72  LOAD_FAST                'cipher'
          74  <160>                 7  ''
          76  LOAD_FAST                'padded_data'
          78  <161>                 1  ''
          80  STORE_FAST               'encrypted_data'

  19      82  LOAD_GLOBAL              open
          84  LOAD_FAST                'filename'
          86  LOAD_STR                 'wb'
          88  CALL_FUNCTION_2       2  ''
          90  SETUP_WITH          114  'to 114'
          92  STORE_FAST               'file'

  20      94  LOAD_FAST                'file'
          96  <160>                 8  ''
          98  LOAD_GLOBAL              base64
         100  <160>                10  ''
         102  LOAD_FAST                'encrypted_data'
         104  <161>                 1  ''
         106  <161>                 1  ''
         108  POP_TOP          
         110  POP_BLOCK        
         112  LOAD_CONST               None
       114_0  COME_FROM_WITH       90  '90'
         114  WITH_CLEANUP_START
         116  WITH_CLEANUP_FINISH
         118  END_FINALLY      

Parse error at or near `<160>' instruction at offset 14


def decrypt--- This code section failed: ---

  25       0  LOAD_GLOBAL              open
           2  LOAD_FAST                'filename'
           4  LOAD_STR                 'rb'
           6  CALL_FUNCTION_2       2  ''
           8  SETUP_WITH           30  'to 30'
          10  STORE_FAST               'file'

  26      12  LOAD_GLOBAL              base64
          14  <160>                 2  ''
          16  LOAD_FAST                'file'
          18  <160>                 3  ''
          20  <161>                 0  ''
          22  <161>                 1  ''
          24  STORE_FAST               'encrypted_data'
          26  POP_BLOCK        
          28  LOAD_CONST               None
        30_0  COME_FROM_WITH        8  '8'
          30  WITH_CLEANUP_START
          32  WITH_CLEANUP_FINISH
          34  END_FINALLY      

  28      36  LOAD_GLOBAL              AES
          38  <160>                 5  ''
          40  LOAD_FAST                'key'
          42  LOAD_GLOBAL              AES
          44  LOAD_ATTR                MODE_ECB
          46  <161>                 2  ''
          48  STORE_FAST               'cipher'

  29      50  LOAD_FAST                'cipher'
          52  <160>                 7  ''
          54  LOAD_FAST                'encrypted_data'
          56  <161>                 1  ''
          58  STORE_FAST               'decrypted_data'

  31      60  LOAD_FAST                'decrypted_data'
          62  <160>                 8  ''
          64  LOAD_STR                 '\x00'
          66  <161>                 1  ''
          68  STORE_FAST               'unpadded_data'

  33      70  LOAD_GLOBAL              open
          72  LOAD_FAST                'filename'
          74  LOAD_STR                 'wb'
          76  CALL_FUNCTION_2       2  ''
          78  SETUP_WITH           96  'to 96'
          80  STORE_FAST               'file'

  34      82  LOAD_FAST                'file'
          84  <160>                 9  ''
          86  LOAD_FAST                'unpadded_data'
          88  <161>                 1  ''
          90  POP_TOP          
          92  POP_BLOCK        
          94  LOAD_CONST               None
        96_0  COME_FROM_WITH       78  '78'
          96  WITH_CLEANUP_START
          98  WITH_CLEANUP_FINISH
         100  END_FINALLY      

Parse error at or near `<160>' instruction at offset 14


def encrypt_directory--- This code section failed: ---

  38       0  SETUP_LOOP          104  'to 104'
           2  LOAD_GLOBAL              os
           4  <160>                 1  ''
           6  LOAD_FAST                'directory_path'
           8  <161>                 1  ''
          10  GET_ITER         
          12  FOR_ITER            102  'to 102'
          14  UNPACK_SEQUENCE_3     3 
          16  STORE_FAST               'root'
          18  STORE_FAST               'dirs'
          20  STORE_FAST               'files'

  39      22  SETUP_LOOP          100  'to 100'
          24  LOAD_FAST                'files'
          26  GET_ITER         
          28  FOR_ITER             98  'to 98'
          30  STORE_FAST               'file'

  40      32  LOAD_FAST                'file'
          34  <160>                 2  ''
          36  LOAD_STR                 '.docx'
          38  <161>                 1  ''
          40  POP_JUMP_IF_TRUE     72  'to 72'
          42  LOAD_FAST                'file'
          44  <160>                 2  ''
          46  LOAD_STR                 '.pdf'
          48  <161>                 1  ''
          50  POP_JUMP_IF_TRUE     72  'to 72'
          52  LOAD_FAST                'file'
          54  <160>                 2  ''
          56  LOAD_STR                 '.xlsx'
          58  <161>                 1  ''
          60  POP_JUMP_IF_TRUE     72  'to 72'
          62  LOAD_FAST                'file'
          64  <160>                 2  ''
          66  LOAD_STR                 '.pptx'
          68  <161>                 1  ''
        70_0  COME_FROM            60  '60'
        70_1  COME_FROM            50  '50'
        70_2  COME_FROM            40  '40'
          70  POP_JUMP_IF_FALSE    28  'to 28'

  41      72  LOAD_GLOBAL              os
          74  LOAD_ATTR                path
          76  <160>                 4  ''
          78  LOAD_FAST                'root'
          80  LOAD_FAST                'file'
          82  <161>                 2  ''
          84  STORE_FAST               'file_path'

  42      86  LOAD_GLOBAL              encrypt
          88  LOAD_FAST                'file_path'
          90  LOAD_FAST                'key'
          92  CALL_FUNCTION_2       2  ''
          94  POP_TOP          
          96  JUMP_BACK            28  'to 28'
          98  POP_BLOCK        
       100_0  COME_FROM_LOOP       22  '22'
         100  JUMP_BACK            12  'to 12'
         102  POP_BLOCK        
       104_0  COME_FROM_LOOP        0  '0'

Parse error at or near `None' instruction at offset -1


def decrypt_directory--- This code section failed: ---

  46       0  SETUP_LOOP          104  'to 104'
           2  LOAD_GLOBAL              os
           4  <160>                 1  ''
           6  LOAD_FAST                'directory_path'
           8  <161>                 1  ''
          10  GET_ITER         
          12  FOR_ITER            102  'to 102'
          14  UNPACK_SEQUENCE_3     3 
          16  STORE_FAST               'root'
          18  STORE_FAST               'dirs'
          20  STORE_FAST               'files'

  47      22  SETUP_LOOP          100  'to 100'
          24  LOAD_FAST                'files'
          26  GET_ITER         
          28  FOR_ITER             98  'to 98'
          30  STORE_FAST               'file'

  48      32  LOAD_FAST                'file'
          34  <160>                 2  ''
          36  LOAD_STR                 '.docx'
          38  <161>                 1  ''
          40  POP_JUMP_IF_TRUE     72  'to 72'
          42  LOAD_FAST                'file'
          44  <160>                 2  ''
          46  LOAD_STR                 '.pdf'
          48  <161>                 1  ''
          50  POP_JUMP_IF_TRUE     72  'to 72'
          52  LOAD_FAST                'file'
          54  <160>                 2  ''
          56  LOAD_STR                 '.xlsx'
          58  <161>                 1  ''
          60  POP_JUMP_IF_TRUE     72  'to 72'
          62  LOAD_FAST                'file'
          64  <160>                 2  ''
          66  LOAD_STR                 '.pptx'
          68  <161>                 1  ''
        70_0  COME_FROM            60  '60'
        70_1  COME_FROM            50  '50'
        70_2  COME_FROM            40  '40'
          70  POP_JUMP_IF_FALSE    28  'to 28'

  49      72  LOAD_GLOBAL              os
          74  LOAD_ATTR                path
          76  <160>                 4  ''
          78  LOAD_FAST                'root'
          80  LOAD_FAST                'file'
          82  <161>                 2  ''
          84  STORE_FAST               'file_path'

  50      86  LOAD_GLOBAL              decrypt
          88  LOAD_FAST                'file_path'
          90  LOAD_FAST                'key'
          92  CALL_FUNCTION_2       2  ''
          94  POP_TOP          
          96  JUMP_BACK            28  'to 28'
          98  POP_BLOCK        
       100_0  COME_FROM_LOOP       22  '22'
         100  JUMP_BACK            12  'to 12'
         102  POP_BLOCK        
       104_0  COME_FROM_LOOP        0  '0'

Parse error at or near `None' instruction at offset -1


encrypt_directory('.', key)

发现是AES加密