[蓝帽杯2022] 复现

目录

domainhacker

domainhacker2

手机取证_1

手机取证_2 

计算机取证_1

计算机取证_2 

程序分析_1 

程序分析_2

程序分析_3

网站取证_1

网站取证_2

网站取证_3

---

domainhacker

公司安全部门，在流量设备中发现了疑似黑客入侵的痕迹，用户似乎获取了机器的hash，你能通过分析流量，找到机器的hash吗？flag格式：flag{hash_of_machine}

逐流查看，有rar，提取出来需要密码 

还有其他数据 

 将其url解码，格式化后 

从第三位开始取base64解码 

cd /d "c:\\Windows\\Temp"&rar.exe a -PSecretsPassw0rds 1.rar 1.txt&echo efa923ba504&cd&echo 1a4be8815ef8

  得到密码 SecretsPassw0rds

domainhacker2

公司安全部门今日发现，有一台域控主机疑似被攻陷，并且很有可能黑客已经掌握了所有域用户的hash，你能分析流量，给出域管理员administrator的上一次的密码hash吗？flag格式：flag{hash of the ntlm hash}

rar文件直接给了

和上一题套路一样找到密码： FakePassword123$

接下来对付ntds文件  

GitHub - SecureAuthCorp/impacket: Impacket is a collection of Python classes for working with network protocols.

 获取历史密码

python3 secretsdump.py -ntds ntds.dit -system SYSTEM -security SECURITY -history LOCAL

手机取证_1

现对一个苹果手机进行取证，请您对以下问题进行分析解答。

627604C2-C586-48C1-AA16-FF33C3022159.PNG图片的分辨率是？

直接模糊搜索 

手机取证_2 

姜总的快递单号是多少？（答案参考格式：abcABC123）

模糊搜索姜总 

计算机取证_1

现对一个windows计算机进行取证，请您对以下问题进行分析解答。

从内存镜像中获得taqi7的开机密码是多少？（答案参考格式：abcABC123）

先用imageinfo查出镜像版本信息为Win7SP1x64

 

python2 vol.py -f /home/kali/Desktop/1.dmp --profile=Win7SP1x64 hashdump

hashdump提取账号密码的Hash值，破解Hash值即可获得登录密码  

计算机取证_2 

制作该内存镜像的进程Pid号是多少？（答案参考格式：1024）

python2 vol.py -f /home/kali/Desktop/1.dmp --profile=Win7SP1x64 pslist 

使用pslist命令来找内存镜像中的进程信息，发现内存镜像制作工具MagnetRAMCaptu.

MagnetRAMCaptu中的pid是题目需要的，为2192.

程序分析_1 

现已获取某个APP程序，请您对以下问题进行分析解答。

本程序包名是？（答案参考格式：abc.xx.de）

 jadx直接打开apk文件，找到AndroidManifest.xml文件

程序分析_2

本程序的入口是？（答案参考格式：abc.xx.de）

 

程序分析_3

本程序的服务器地址的密文是？（答案参考格式：abcABC123）

在程序入口找 

 

网站取证_1

据了解，某网上商城系一团伙日常资金往来用，从2022年4月1日起使用虚拟币GG币进行交易，现已获得该网站的源代码以及部分数据库备份文件，请您对以下问题进行分析解答。

请从网站源码中找出木马文件，并提交木马连接的密码。（答案参考格式：abcABC123）

 D盾一扫

 

网站取证_2

请提交数据库连接的明文密码。（答案参考格式：abcABC123）

 

网站取证_3

请提交数据库金额加密混淆使用的盐值。（答案参考格式：abcABC123）