2024盘古石晋级赛复盘

CYokeW

已于 2024-05-14 18:54:01 修改

阅读量1k

点赞数 31

分类专栏：电子取证文章标签：安全 linux web安全数据库 windows android ios

于 2024-05-14 18:15:20 首次发布

本文链接：https://blog.csdn.net/cuiwenhao_/article/details/138861681

版权

电子取证专栏收录该内容

1 篇文章 0 订阅

订阅专栏

2024盘古石晋级赛复盘

服务器

1.分析内部IM服务器检材，在搭建的内部即时通讯平台中，客户端与服务器的通讯端口是：[答案格式：8888][★☆☆☆☆]

docker ps 可以看到映射端口
在这里插入图片描述

2.分析内部IM服务器检材，该内部IM平台使用的数据库版本是： [答案格式：12.34][★★☆☆☆]

12.18

docker inspect 64查看详情可以看到数据库版本信息

在这里插入图片描述

3.内部IM服务器检材，该内部IM平台中数据库的名称是：[答案格式：小写][★★☆☆☆]

postgresql

docker exec -it 64 bash

more docker-entry.sh 可以看到psql

在这里插入图片描述
4.分析内部IM服务器检材，该内部IM平台中当前数据库一共有多少张表：[答案格式：1][★★☆☆☆]

psql -U mmuser -d postgres -h 127.0.0.1 -p 5432 登录psql数据库

\l 列出数据库

\c mattermost_test选择mattermost_test表

SELECT COUNT(*) FROM information_schema.tables WHERE table_schema = ‘public’ AND table_catalog = ‘mattermost_test’;查询表总数

在这里插入图片描述

5.分析内部IM服务器检材，员工注册的邀请链接中，邀请码是：[答案格式：小写数字字母][★★★☆☆]

54d916mu6p858bbyz8f88rmbmc

navcait ssh通道连接 ip:192.168.137.97 账户:root 端口:22 密码：123456

常规ip:172.17.0.2账户:mmuser 密码:mostest 端口:5432 常规ip在docker inspect 64 映射里面找

user表替换其中一个人的密码去登陆http://192.168.137.97:8065/ bcrypt加密的密码

在这里插入图片描述

6.分析内部IM服务器检材，用户yiyan一共给fujiya发送了几个视频文件：[答案格式：数字][★★★☆☆]

同样的方式替换数据库密码登录yiyan的账号

在这里插入图片描述

7.分析内部IM服务器检材，用户yiyan在团队群组中发送的视频文件的MD5值是：[答案格式：小写][★★★☆☆]

f8adb03a25be0be1ce39955afc3937f7

群聊里面下载下来计算哈希certutil -hashfile 20240424-04_1713942308.mp4 md5

在这里插入图片描述

8.分析内部IM服务器检材，一个团队中允许的最大用户数是：[答案格式：数字][★★★★☆]

系统控制台–》成员和团队

在这里插入图片描述

9.分析内部IM服务器检材，黑客是什么时候开始攻击：[答案格式：2024-01-01-04-05][★★★☆☆]

2024-04-25-07-27

docker logs -f 64 >>attack.txt把日志导出来，用notepad搜索有大量管理员登录失败的记录

在这里插入图片描述

10.分析网站服务器检材，网站搭建使用的服务器管理软件当前版本是否支持32位系统：[答案格式：是/否][★☆☆☆☆]

否

8.0.2版本不支持32位系统

在这里插入图片描述

11.分析网站服务器检材，数据库备份的频率是一周多少次：[答案格式：1][★★☆☆☆]

crontab -l列出cron定时任务，在反解析Cron表达式可以看到每个周日的0点整执行定时任务
在这里插入图片描述

12.分析网站服务器检材，数据库备份生成的文件的密码是：[答案格式：admin][★★☆☆☆]

IvPGP/8vfTLtzQfJTmQhYg==

备份文件为DES3加密，密码为$AES_PASS的值，是使用OpenSSL生成一个的AES-256加密的值

在这里插入图片描述

使用OpenSSL再生成一次密码即可

echo -n “2828” | openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt

在这里插入图片描述

13.分析网站服务器检材，网站前台首页的网站标题是：[答案格式：百度][★★★☆☆]

威尼斯

hosts文件添加服务器ip+touzilicai.com

在这里插入图片描述

14.分析网站服务器检材，受害人第一次成功登录网站的时间是：[答案格式：2024-01-01-04-05][★★★☆☆]

2024-04-25-09-49

解密DES3并解压缩，得到2828_20240427154000.sql

将2828_20240427154000.sql复制到宝塔面板数据库备份目录下

刷新或则重启下数据库

在这里插入图片描述
由案情可知受害人叫支婉静，也可由手机检材聊天记录可知

在这里插入图片描述

15.分析网站服务器检材，前台页面中，港澳数字竞猜游戏中，进入贵宾厅最低点数是：[答案格式：1234][★★★☆☆]

vscode搜索password看到密码是md5加密的，md5在线解析密码为88888888

在这里插入图片描述

F12切换设备仿真即可正常显示网站，用zhiwanjing 密码88888888登录显示冻结，把status状态修改为1

在这里插入图片描述

进入港澳数字竞猜-贵宾厅，会弹窗提示进入房间最低点数100000

在这里插入图片描述

16.分析网站服务器检材，受害人在平台一共盈利了多少钱：[答案格式：12][★★☆☆☆]

刷新一下，登录上去不会直接跳转http://touzilicai.com/Home/Run/index 点击我的，看到钱包:35000
在这里插入图片描述

17.分析网站服务器检材，网站根目录下，哪个路径存在漏洞：[答案格式：/Admin/User/register.php][★★★☆☆]

/Home/User/tkpwdpost.html

d盾扫描源码，根据后门时间检索网站日志可以看到

在这里插入图片描述

18.分析网站服务器检材，黑客通过哪个文件上传的木马文件：[答案格式：test.php][★☆☆☆☆]

tmpugklv.php

以POST方法访问了tmpugklv.php，应该是上传了con2.php木马文件，然后GET访问，测试文件存在，随后再通过POST提交数据进行RCE访问/tmpugklv.php，进入到了一个文件上传页面

在这里插入图片描述

前面的日志都是在访问/Home/User/tkpwdpost.html
在这里插入图片描述

19.分析网站服务器检材，网站使用的数据库前缀是：[答案格式：test_][★☆☆☆☆]

think_

在db.php里面记录了，或则直接navcait或则phpadmin可以查看前缀

在这里插入图片描述

20.分析网站服务器检材，木马文件的密码是：[答案格式：123] [★☆☆☆☆]

在这里插入图片描述

人工智能取证

1.分析义言的计算机检材，一共训练了多少个声音模型：[答案格式：123][★★☆☆☆]

D:\GPT-SoVITS-beta0217\logs下有四个文件

参考https://zhuanlan.zhihu.com/p/679368007

训练模型会生成缓存文件在logs目录下

在这里插入图片描述

2.分析义言的计算机检材，声音模型voice2，一共训练了多少条声音素材：[答案格式：123][★★☆☆☆]

D:\GPT-SoVITS-beta0217\logs\voice2\5-wav32k下面有17个声音素材

在这里插入图片描述

3.分析义言的计算机检材，声音模型voice3，一共训练了多少轮：[答案格式：123][★★★☆☆]

D:\GPT-SoVITS-beta0217\logs\voice3\train.log记录了训练记录

在这里插入图片描述

4.分析义言的计算机检材，声音克隆工具推理生成语音界面的监听端口是：[答案格式：1234][★★★★☆]

运行D:\GPT-SoVITS-beta0217\go-webui.bat脚本，可以看到端口为9874

在这里插入图片描述

5.分析义言的计算机检材，电脑中视频文件有几个被换过脸：[答案格式:10][★★★★★]

D:\Rope-Opal-03a\output\11.mp4记录了一个换过脸的视频

Rope-Opal-03a是AI换脸项目

在这里插入图片描述

6.分析义言的计算机检材，换脸AI程序默认换脸视频文件名是：[答案格式：test.mp4][★★☆☆☆]

target-1080p.mp4

运行Rope.exe会因为仿真出来的虚拟机没有NVIDIA驱动而失败

根据教程https://mp.weixin.qq.com/s/0dPcdtBlH-UtaXrcXUmmUQ

换脸视频文件在videos目录

D:\Rope-Opal-03a\videos\target-1080p.mp4

在这里插入图片描述

7.分析义言的计算机检材，换脸AI程序默认换脸图片的文件名称：[答案格式：abc.abc][★★☆☆☆]

换脸图片在D:\Rope-Opal-03a\faces\fc3d6cb14c0d4e52adcf8717f2740b5c.jpeg

在这里插入图片描述

8.分析义言的计算机检材，换脸AI程序模型文件数量是多少个：[答案格式：10][★★☆☆☆]

AI程序模型在D:\Rope-Opal-03a\models下面有15个

在这里插入图片描述

计算机取证

1.分析伏季雅的计算机检材，计算机最后一次错误登录时间是：[答案格式：2024-01-01-04-05-06][★☆☆☆☆]

2024-04-25-09-53-24

在这里插入图片描述

2.分析伏季雅的计算机检材，计算机中曾经浏览过的电影名字是：[答案格式：《奥本海默》] [★☆☆☆☆]

《坠落的审判》

在这里插入图片描述

3.分析伏季雅的计算机检材，计算机中团队内部即时通讯软件的最后一次打开的时间是：[答案格式：2024-01-01-04-05-06][★☆☆☆☆]

2024-04-26-17-13-02

在这里插入图片描述

4.分析伏季雅的计算机检材，计算机中有一款具备虚拟视频功能的软件，该软件合计播放了多少个视频：[答案格式：3][★☆☆☆☆]

火眼仿真打开MvBox软件，点击视频

在这里插入图片描述

5.接上题，该软件的官网地址是：[答案格式：https://www.baidu.com][★☆☆☆☆]

http://www.mvbox.cn/

根据上题确认软件为mvbox,Edge浏览器有搜索记录

在这里插入图片描述

6.接上题，该软件录制数据时，设置的帧率是：[答案格式：20][★☆☆☆☆]

在这里插入图片描述

7.分析伏季雅的计算机检材，在团队内部使用的即时通讯软件中，其一共接收了多少条虚拟语音：[答案格式：2][★☆☆☆☆]

yiyan和fujiya私聊可以看到

在这里插入图片描述

8.分析毛雪柳的计算机检材，计算机插入三星固态盘的时间是：[答案格式：2024-01-01-04-05-06][★☆☆☆☆]

2024-04-25-19-08-08

在这里插入图片描述

9.分析毛雪柳的计算机检材，计算机操作系统当前的Build版本是：[答案格式：17786][★☆☆☆☆]

在这里插入图片描述

10.分析毛雪柳的计算机检材，团队内部使用的即时通讯软件在计算机上存储日志的文件名是：[答案格式：log.log，区分大小写][★☆☆☆☆]

main.log

win+r %appdata%找到Mattermost/logs下面有日志

在这里插入图片描述

11.分析毛雪柳的计算机检材，伏季雅一月份实发工资的金额是：[答案格式：1234][★★★☆☆]

在回收站中有个账本.xlsx，还原之后打开需要密码，有个错误的密码，在相册里面可以看到正确的密码

一月份

在这里插入图片描述

12.分析毛雪柳的计算机检材，该团伙三月份的盈余多少：[答案格式：1234][★★★☆☆]

打开表格点击盈余

在这里插入图片描述

13.分析义言的计算机检材，计算机连接过的三星移动硬盘T7的序列号是：[答案格式：大写字母和数字][★☆☆☆☆]

X12720BR0SNWT6S

在这里插入图片描述

14.分析义言的计算机检材，计算机的最后一次正常关机时间是：[答案格式：2024-01-01-04-05-06][★☆☆☆☆]

2024-04-28-18-51-56

在这里插入图片描述

15.分析义言的计算机检材，曾经使用工具连接过数据库，该数据库的密码是：[答案格式：admin][★☆☆☆☆]

root

在这里插入图片描述

16.分析义言的计算机检材，计算机中安装的xshell软件的版本号是：[答案格式：Build-0000][★☆☆☆☆]

Build-0157

先拿到bitlocker秘钥才可以分析到，下面yiyan检材会详细写获取bitlocker的过程

得到恢复密钥为337469-693121-682748-288772-440682-300223-203698-553124

在这里插入图片描述

17.分析义言的计算机检材，曾使用shell工具连接过服务器，该服务器root用户的密码是：[答案格式：admin][★★★☆☆]

打开finshall密码为root

在这里插入图片描述

18.分析义言的计算机检材，计算机曾接收到一封钓鱼邮件，该邮件发件人是：[答案格式： abc@abc.abc][★★☆☆☆]

838299176@qq.com

在这里插入图片描述

19.接上题，钓鱼邮件中附件的大小是多少MB：[答案格式：12.3][★★☆☆☆]

2.4

在这里插入图片描述

20.接上题，上述附件解压运行后，文件的释放位置是：[答案格式：D:\Download\test][★★☆☆☆]

C:\Windows\Temp\evilrue.exe

木马样本丢到微步云沙箱行为检测可以看到释放的文件

在这里插入图片描述

21.接上题，恶意木马文件的MD5 值是：[答案格式：小写][★★☆☆☆]

1877379d9e611ea52befbbe2c2c77c55

在这里插入图片描述

22.接上题，恶意木马文件的回连IP地址是：[答案格式：127.0.0.1][★★☆☆☆]

192.168.137.77

https://www.virustotal.com/gui/file/ca5b8de264c4e2a3efec5fd3cc5bf934751d72db59159423483067dec05e590d/behavior

报告如上

C2Server: http://192.168.137.77:80/Jft9

这是CobaltStrike的C2服务器地址，其中IP地址为192.168.137.77，端口为80，路径为/Jft9。

CobaltStrike是一种渗透测试工具，常用于模拟攻击和安全评估

在这里插入图片描述

23.分析义言的计算机检材，计算机中保存的有隐写痕迹的文件名：[答案格式：abc.abc][★★★☆☆]

a78bd8b5bec5f60380782bd674c7443p.bmp

回收站可以看到LSB_hide.exe,LSB hid图片信息隐藏工具是一款功能非常强大的BMP图片信启隐藏软件,d盘照片下面刚好有个bmp的图片a78bd8b5bec5f60380782bd674c7443p.bmp，点击提取

在这里插入图片描述

24.分析义言的计算机检材，保存容器密码的文件大小是多少字节：[答案格式：123][★★★☆☆]

Extract里面记录着vc容器密码RR%#CBSf7uYLQ#28bywT，火眼耗时任务特征分析，Google.mp3是vc加密容器

在这里插入图片描述

25.分析义言的计算机内存检材，该内存镜像制作时间(UTC+8)是：[答案格式：2024-01-01-04-05][★★☆☆☆]

2024-04-25-22-18

火眼内存工具分析或则volatility解析UTC+8时间的话要把这个时间＋8

在这里插入图片描述

26.分析义言的计算机内存检材，navicat.exe的进程ID是：[答案格式：123][★★☆☆☆]

在这里插入图片描述

IPA取证

1.分析毛雪柳的手机检材，记账APP存储记账信息的数据库文件名称是：[答案格式：tmp.db，区分大小写][★★★★☆]

default.realm

.realm 文件是由 Realm 数据库使用的文件格式。Realm 是一种跨平台的轻量级数据库管理系统，常用于移动应用开发，包括 iOS 和 Android 平台。它提供了比传统 SQLite 更简单的数据处理方式，并且支持实时数据同步等功能。

火眼耗时任务，其他应用解析

全路径：iPhoneXR.tar/private/var/mobile/Containers/Data/Application/9B67631C-CDFD-48FF-979C-36A785B58D8B/Documents/default.realm

在这里插入图片描述

2.分析毛雪柳的手机检材，记账APP中，2月份总收入金额是多少：[答案格式：1234][★★★★★]

官网下载链接https://studio-releases.realm.io/latest/download/win-setup

下载realm-studio，打开default.realm文件

在ICRecordModel表中筛选出type=1的数据（代表收入），并将timestamp按升序排列

将时间戳进行转换可以知道，第4条和第5条为2月的记录

2357+9600=11957

在这里插入图片描述

3.分析毛雪柳的手机检材，手机中团队内部使用的即时通讯软件中，团队老板的邮箱账号是：[答案格式：abc@abc.com][★★★☆☆]

gxyt@163.com

结合服务器端可以发现gxyt是老板
在这里插入图片描述

4.接上题，该内部即时通讯软件中，毛雪柳和老板的私聊频道中，老板加入私聊频道的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]

2024-04-24-11-59-28

老板和毛雪柳在私聊频道发财里面加入的时间为2024-04-24-11-59-28
在这里插入图片描述

5.接上题，该私聊频道中，老板最后一次发送聊天内容的时间是：[答案格式：2024-01-01-04-05-06][★★★☆☆]

2024-04-25-10-24-50

在这里插入图片描述

APK取证

1.分析伏季雅的手机检材，手机中诈骗APP的包名是：[答案格式：abc.abc.abc，区分大小写][★☆☆☆☆]

w2a.W2Ah5.jsgjzfx.org.cn

诈骗APP是这个威尼斯，在服务器部分可以验证

在这里插入图片描述

2.分析伏季雅的手机检材，手机中诈骗APP连接的服务器地址是：[答案格式：127.0.0.1][★☆☆☆☆]

192.168.137.125

雷电APP智能分析敏感信息或则抓包都可以拿到ip

在这里插入图片描述

3.分析伏季雅的手机检材，手机中诈骗APP的打包ID是：[答案格式：_abc_abc.abc，区分大小写][★☆☆☆☆]

__W2A__h5.jsgjzfx.org.cn

在这里插入图片描述

4.分析伏季雅的手机检材，手机中诈骗APP的主启动项是：[答案格式：abc.abc.abc，区分大小写][★☆☆☆☆]

io.dcloud.PandoraEntry

在这里插入图片描述

5.分析义言的手机检材，分析团队内部使用的即时通讯软件，该软件连接服务器的地址是：[答案格式：127.0.0.1][★★☆☆☆]

192.168.137.97

内部即时通讯软件是Mattermost

找到数据库aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db

名称base64转换

可以通过介质（电脑）客户端上看到配置信息，或则服务器服务端也可以看到

在这里插入图片描述

6.接上题，该软件存储聊天信息的数据库文件名称是：[答案格式：abc.abc，区分大小写][★★☆☆☆]

aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db

如上

7.接上题，该即时通讯软件中，团队内部沟通群中，一共有多少个用户：[答案格式：1][★★☆☆☆]

打开aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db库在user表，或则在服务器聊天室里面添加了几个用户

在这里插入图片描述

8.接上题，该即时通讯应用的版本号是：[答案格式：1.1.1][★★☆☆☆]

2.15.0

在这里插入图片描述

9.接上题，该即时通讯应用中，团队内部沟通中曾发送了一个视频文件，该视频文件发送者的用户名是：[答案格式：abc][★★★★☆]

yiyan

查看Files表，可以看到有一个.mp4文件的记录

文件的post_id与Post表中的id是相对应的

筛选出相关的聊天记录信息

SELECT * FROM "Post" WHERE id IN (SELECT post_id FROM File WHERE name LIKE '%.mp4')

在这里插入图片描述

这里的channel_id代表的是聊天频道

查看Channel表可知Off-Topic和Town Square是群聊频道，还有与毛雪柳和伏季雅的私聊频道

MP4文件是在Town Square群聊中发送的，发送者的user_id为jrmi9kx8pfg9drc7b9dczh7neo

在这里插入图片描述

对应到User表可知对应的用户username为yiyan

在这里插入图片描述

或则直接在服务器聊天室里面看

在这里插入图片描述

10.接上题，分析该即时通讯的聊天记录，团队购买了一个高性能显卡，该显卡的显存大小是：[答案格式：20G][★★☆☆☆]

24G

团队的聊天群为Town Square，找毛雪柳沟通买显卡

SELECT user_id,message,create_at FROM "Post"WHERE channel_id ='dpqyctmqif8imjunikk3iqi8hy'ORDER BY create_at

在这里插入图片描述

筛选出与毛雪柳的聊天记录，可以看到一个京东商品链接

在这里插入图片描述

登录毛雪柳的账号可以看待与义言的聊天

在这里插入图片描述

11.分析义言的手机检材，手机中装有一个具备隐藏功能的APP，该APP启动设置了密码，设置的密码长度是多少位：[答案格式：5][★★★★☆]

在应用列表中可以找到一个计算器，包名为com.hld.anzenbokusufake

百度搜索包名有隐藏功能，将apk导出放到雷电APP智能分析

将检材中的计算器的数据目录导出

在这里插入图片描述

文件复制到雷电模拟器的共享目录下

C:\Users\Administrator\Documents\leidian\Pictures

在这里插入图片描述

将com.hld.anzenbokusufake

使用adb命令

adb shell cp -r /mnt/shared/Pictures/com.hld.anzenbokusufake /data/data

或则root权限拷贝模拟器的/data/data目录下再安装计算机apk

此时打开apk

在这里插入图片描述

打开第二空间

雷电APP智能分析打开Frida脚本，字符串相等判断，随便输入个密码就行

在这里插入图片描述

12.接上题，分析上述隐藏功能的APP，一共隐藏了多少个应用：[答案格式：1][★★★★☆]

Frida脚本执行SQLite/Realm数据库脚本看到数据库路径和密码

/storage/emulated/0/.privacy_safe/db/privacy_safe.db，密码：Rny48Ni8aPjYCnUI

在这里插入图片描述

根据privacy_safe.db在火眼里面搜索，导出使用DB Browser for SQLite,使用SQLCipher3输入密码Rny48Ni8aPjYCnUI

在这里插入图片描述

查看

查找HIDE_APP表一共隐藏了五个APP

在这里插入图片描述

13.接上题，分析上述隐藏功能的APP，该APP一共加密了多少个文件：[答案格式：][★★★★☆]

FILE_INFO表记录加密了5个文件

在这里插入图片描述

14.接上题，分析上述隐藏功能的APP，该APP加密了一份含有公民隐私信息的文件，该文件的原始名称是：[答案格式：abc.txt][★★★★☆]

公民信息.xlsx

在这里插入图片描述

15.分析义言的手机检材，马伟的手机号码是：[答案格式：13012341234][★★★★☆]

18921286666

Frida脚本跑AES脚本，找到

Key：Rny48Ni8aPjYCnUI

IV：Rny48Ni8aPjYCnUI

在这里插入图片描述

根据DB Browser for SQLite里面FILE_INFO表ENCRYPT NAME字段记录了e-283a934b-7821-4af3-9301-2cd6bba15782+c1在火眼里面搜索导出

在这里插入图片描述

在https://cc.forensix.cn/ 上AES Decryt解密

输入key iv 改成utf-8,右侧input位置把e-283a934b-7821-4af3-9301-2cd6bba15782+c1拖进去

把output输出的保存为公民信息.xls文件

在这里插入图片描述

打开公民信息.xls看到马伟的手机号为18921286666

在这里插入图片描述

16.分析义言的手机检材，手机中存有一个BitLocker恢复密钥文件，文件已被加密，原始文件的MD5值是：[答案格式：小写字母和数字][★★★★☆]

337469-693121-682748-288772-440682-300223-203698-553124

根据DB Browser for SQLite里面FILE_INFO表ENCRYPT NAME字段记录了e-52cdbbba-ceea-4155-bd7a-309ad3e6bbd4+u在火眼里面搜索导出

方法如上题一样

在这里插入图片描述

bitlocker恢复秘钥为337469-693121-682748-288772-440682-300223-203698-553124

在这里插入图片描述

手机取证

1.分析伏季雅的手机检材，手机的安卓ID是：[答案格式：小写字母和数字][★☆☆☆☆]

a728c9b9fd529158

deviceinfo.json文件通常是一个用于存储设备相关信息的JSON格式文件

在这里插入图片描述

盘古石手机分析安卓id为9e6c9838dafe7ba0

在这里插入图片描述

2.分析伏季雅的手机检材，手机型号是：[答案格式：HUAWEI-FL56T][★☆☆☆☆]

SM-G996N

如上题,找到phoneModel

3.分析伏季雅的手机检材，其和受害人视频通话的时间是：[答案格式：2024-01-01-04-05][★☆☆☆☆]

2024-04-24-20-46

在这里插入图片描述

4.分析伏季雅的手机检材，手机中安装了一款记账APP，该记账APP存储记账信息的数据库名称是：[答案格式：abcabc，区分大小写][★☆☆☆☆]

MoneyLoverS2

数据库在data/data/com.bookmark.money/databases/MoneyLoverS2

在这里插入图片描述

5.接上题，该记账APP登录的邮箱账号是：[答案格式：abc@abc.com][★★★☆☆]

carleenloydlyis40@gmail.com

把MoneyLoverS2导出后缀加个.db，navcait打开在user表里面看到邮箱账号

在这里插入图片描述

6.接上题，该记账APP中记录的所有收入金额合计是：[答案格式：1234][★★★☆☆]

记账的记录为transactions表，可以看到其中有一个cat_id字段，对应到categories表，根据cat_name可以判断cat_type值为1代表的是收入项目，值为2代表的是支出项目

所以在transactions表中，属于收入的记录的cat_id只能为36、37、38、39、40、41统计一下

SELECT SUM(amount) FROM transactions WHERE cat_id IN (SELECT cat_id FROM categories WHERE cat_type = 1)

在这里插入图片描述

7.接上题，分析该记账APP中的消费记录，统计从2022-3-1（含）到2023-12-1（含）期间，用于交通的支出费用合计是：[答案格式：1234][★★★☆☆]

交通支出的cat_id为19,统计一下create_date在2022-3-1到2023-12-1期间的交通支出费用总金额

SELECT SUM(amount) FROM transactions WHERE cat_id = 19 AND created_date >= '2022-03-01' AND created_date <= '2023-12-01'

在这里插入图片描述

8.分析毛雪柳的手机检材，手机中有一个记账APP，该APP的应用名称是：[答案格式：Telegram，区分大小写][★☆☆☆☆]

iCost

在这里插入图片描述

9.分析义言的手机检材，手机中登录的谷歌邮箱账号是：[答案格式：abc@gmail.com][★★☆☆☆]

a2238346317@gmail.com

在这里插入图片描述

10.分析义言的手机检材，手机的MTP序列号是：[答案格式：大写字母和数字][★★☆☆☆]

FA6A80312283

盘古石软件或则在Adlockdown.json中找到MtpNo

在这里插入图片描述

11.分析义言的手机检材，除系统自带的浏览器外，手机中安装了一款第三方浏览器，该浏览器的应用名称是：[答案格式：百度浏览器][★★☆☆☆]

悟空浏览器

Chrome(谷歌)浏览器自带的，所以是悟空浏览器

在这里插入图片描述

盘古石能解析到悟空浏览器

在这里插入图片描述

12.接上题，上述浏览器最后一次搜索的关键字是：[答案格式：百度][★★☆☆☆]

ai写文章生成器

悟空浏览器的数据库在

/data/data/com.cat.readall/databases/news_article.db，搜索关键字的记录在search_word表，一共七条数据，ai写文章生成器在第七条也就是最后一次

在这里插入图片描述

盘古石软件解析

在这里插入图片描述

13.接上题，该浏览器最后一次收藏的网址是：[答案格式：https://baidu.com/acc/123412341234123/][★★★☆☆]

https://toutiao.com/group/7361678286282490403/

书签在articles表,降序排列

SELECT * FROM "article"ORDER BY publish_time desc

在这里插入图片描述

14.分析义言的手机检材，其所购买的公民信息数据，该数据提供者的手机号码是：[答案格式：13012341234][★☆☆☆☆]

13265159824

火眼文件在图片里面最后一页

在这里插入图片描述

15.接上题，卖家的收款地址：[答案格式：小写字母和数字][★☆☆☆☆]

bc1pvunxx2eyt0ljpzs9wp9tcrrdvssra97nnwls5463hxpf3xm69zms3yak85

在这里插入图片描述

16.接上题，购买上述公民信息，义言一共支付了多少钱：[答案格式：0.000123BTC][★☆☆☆☆]

0.07364352BTC

根据钱包收款地址c1pvunxx2eyt0ljpzs9wp9tcrrdvssra97nnwls5463hxpf3xm69zms3yak85

聊天截图哈希为4630a72ad8e7339e553cdba67a1dc7d33716a1db0cf7b44ec281ae08ac6249f8

在https://www.oklink.com/欧科云链搜索
在这里插入图片描述

17.接上题，该笔交易产生的手续费是多少：[答案格式：0.000123BTC][★★☆☆☆]

0.00006105BTC

如上
0.07364352-0.07358247=0.00006105S

CYokeW

关注

31
点赞
踩
18

收藏

觉得还不错? 一键收藏
4
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录