2023蓝帽杯初赛复现

绝对路径和相对路径的区别为：绝对路径是无论从外部还是内部访问，都能够通过此路径找到文件夹；而相对路径是相对于自身的，其他位置的文件和路径，只能通过内部访问。

相对路径：相对于文件自身出发，只要在同盘中就可引用查找
绝对路径：真实路径，是从系统盘符开始写一直写到文件名称，包括文件后缀名

eg：绝对路径

相对路径

APK取证

1【APK取证】涉案apk的包名是？[答题格式:com.baid.ccs]

用雷电APP智能分析 打开就知道包名

答案是：

com.vestas.app

2【APK取证】涉案apk的签名序列号是？[答题格式:0x93829bd]

答案是：0x563b45ca

3【APK取证】涉案apk中DCLOUD_AD_ID的值是？[答题格式:2354642]

外面就有一个值，但是是错的

可以去查看一下反编译，反编译就相当于它的配置文件，里面有很多重要的信息

没办法，只能做题的时候谨慎一点，这种题多看看才能做得对

答案是：2147483647

4【APK取证】涉案apk的服务器域名是？[答题格式:http://sles.vips.com]

答案是：https://vip.licai.com

5【APK取证】涉案apk的主入口是？[答题格式:com.bai.cc.initactivity]

主入口就是主函数

答案是：io.dcloud.PandoraEntry

手机取证

6【手机取证】该镜像是用的什么模拟器？[答题格式:天天模拟器]

在Logs\VBox.log 中有

答案是：雷电模拟器

7【手机取证】该镜像中用的聊天软件名称是什么？[答题格式:微信]

答案是：与你

8【手机取证】聊天软件的包名是？[答题格式:com.baidu.ces]

包名在应用列表里面

答案是：com.uneed.yuni

9【手机取证】投资理财产品中，受害人最后投资的产品最低要求投资多少钱？[答题格式:1万]

答案是：5万

10【手机取证】受害人是经过谁介绍认识王哥？[答题格式:董慧]

答案是：华哥

计算机取证

11【计算机取证】请给出计算机镜像pc.e01的SHA-1值？[答案格式：字母小写]

用火眼证据分析软件添加pc.E01为检材计算哈希值(时间有点长)

答案是：23F861B2E9C5CE9135AFC520CBD849677522F54C

12【计算机取证】给出pc.e01在提取时候的检查员？[答案格式：admin]

不知

14【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码？[答案格式：root/admin]

答案是：yang88 /3w.qax.com

16【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1？[答案格式：字母小写]

在D盘下有个disk.img 将其添加为新检材

答案是：24CFCFDF1FA894244F904067838E7E01E28FF450

内存取证

21【内存取证】请给出计算机内存创建北京时间？[答案格式：2000-01-11 00:00:00]

用到了imageinfo：用于获取当前镜像的基本信息。

UTC+00是国际的标准时间  +08是北京时间 北京时间是在国际上加八个小时

答案是：2023-06-21 01:02:27

22【内存取证】请给出计算机内用户yang88的开机密码？[答案格式：abc.123]

命令格式：volatility -f <文件名> --profile=<配置文件> <插件> [插件参数]

在获取镜像基本信息是可以获取镜像的版本  一般就是第一个操作系统名 不对的话可以试一试其它系统

答案：3w.qax.com

实在解不出的时候可以试一下这个

23【内存取证】提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？[答案格式：2000-01-11 00:00:00]

在火眼取证分析里有这个时间，但我不明白为什么不是 2023-06-21 08:27:53

答案是：2023-06-21 01:01:25

列举注册表    volatility -f neicun.mem --profile=Win7SP1x64 hivelist

查看启动项    Volatility -f 文件 --proflie=版本号 hivelist

得到配置文件后，进行查询：查看开放端口以及连接情况 netscan、查看系统注册表（获取主机名、IP地址等)hivelist、都注册表信息printkey

首先查询注册表

找到注册表中的system的虚拟ip使用printkey查询

usp设备的注册表位置固定为SYSTEM/Controlset001/Enum/USBSTOR，使用printkey层层推进

 2023-06-20 17:01:25 UTC+0000为国际时间 转换为北京时间为 2023-06-21 01:01:25

26【内存取证】请给出“VeraCrypt”最后一次执行的北京时间？[答案格式：2000-01-11 00:00:00]

答案是：2023-06-21 00:47:41