2018年美亚杯团队赛复盘WP

已于 2023-11-23 08:29:15 修改
阅读量699 收藏
点赞数
分类专栏： 取证 文章标签： 安全 服务器 linux 数据库
于 2023-11-23 08:28:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/tanbinn/article/details/134567876
版权

团队赛

c2server

1黑客控制的命令服务器（C&C服务器）是什么版本的系统？D
A.CentOS 7
B.CentOS 6
C.Ubuntu 18.04
D.Ubuntu 16.04
E.Ubuntu 14.04

image-20230309221136913

2该C&C服务器 /dev/sda1的通用唯一标识符（UUID）是什么？C
A.a69c799c-7f0e-4191-9748-66a7e6bc37ad
B.35a757cd-4440-438f-b3dd-0f82d37f8c0e
C.ec593f12-e418-492d-97af-b804b8208d99
D.4fce5b91-e899-4807-882f-78c9bcfa66e5
E.07febb97-674c-4cae-803c-19ce92024ce

这里要求找分区的UUID。取证系统里面并没有相关的分析，看来是需要找配置文件？

搜了一下发现了这两条命令：

1.sudo blkid

2.ls -l /dev/disk/by-uuid

可惜没能直接找到disk这个文件夹，所以干脆直接仿真好了

Ubuntu的密码重置和普通linux的有一点不同，所以还是折腾了一会儿的

image-20230310144241393

3系统的时区设定是什么?B
A.Asia/Macao
B.Asia/Hong_Kong
C.HongKong
D.GMT
E.Etc/GMT+8

image-20230412210637446

4黑客曾上传受害公司荣科数码（RKD）文件到C&C服务器，上传方式包括：（i）ftp （ii）ssh （iii）telnet A
A.（i）
B.（ii）
C.（iii）
D.（i）and（ii）
E.（ii）and（iii）

ftp还是很容易找到路径和截图的

​ ssh有点难弄。一般情况下ftp都架起来了，ssh那麻烦得要命的文件传输自然也就不会去考虑，所以不是很了解……

image-20230310195803911

image-20230310195902473

后来对着时间线又找了几圈，确定了有调用ssh过后，却并没有更多的发现了。。。

看来之后需要好好学学ssh的特征。这里就暂选A吧

5黑客曾使用哪一个文件传输协议（FTP）服务账户，用作登入C&C服务器上传档案？A
A.upload
B.C&C
C.ftpuser
D.root
E.rdkuser

image-20230310202405298

这边找到了pureftpd的日志文件，找到了受害者的IP和上传目录。

从上传目录中得到相关信息。

6接上题，C&C服务器中使用了哪个系统账户用作使用文件传输协议（FTP）服务?C
A.upload
B.C&C
C.ftpuser
D.root
E.rdkuser
7根据黑客上传的档案，你能找到荣科数码路由器的物理地址（Mac Address）是什么?C
A.A0:B4:A5:E6:86:23
B.EC:1A:59:50:F9:02
C.74:EA:3A:A3:0D:46
D.8C:0D:76:B0:69:5C
E.14:91:82:73:6D:FD

前面那张截图里面显示的网关地址应该就是路由器的物理地址。

8黑客在使用什么软件以暴力破解法取得Wifi的密码？D
A.Wireshark
B.FernWiFi Wireless Cracker
C.Kismet
D.Aircrack-ng
E.WepAttack

image-20230310203804773

9黑客在什么时候将网络摄录镜头的配置文件cam_config_backup.bin上载到C&C服务器？（答案格式—“本地时间”：YYYY-MM-DD HH:MM:SS +8）D
A.2018-11-01 15:13:17 +8
B.2018-11-01 17:14:26 +8
C.2018-11-01 17:18:07 +8
D.2018-11-01 17:18:24 +8
E.2018-11-01 17:18:28 +8

（答案格式—“本地时间”：YYYY-MM-DD HH:MM:SS +8）

image-20230310204018922

这里因为要的是上传时间，所以选择前者

10哪一个网络地址（IP Address）可追查黑客的位置？E
A.192.168.7.12
B.218.255.242.113
C.218.255.242.117
D.220.246.55.13
E.220.246.55.160

之前有得到过一篇日志

image-20230310204223893

这里一共出现了两个IP。218只负责使用工具并且将扫到的数据回传到该服务器上（扫到的数据还全都是内网的地址），所以可以推断其只是另一台攻击机罢了。于是负责上传工具的220就可能是黑客地址了。

11在C&C服务器中找出从数据库服务器盗取的数据档案，该档案包含多少个数据库?A
A.1
B.2
C.3
D.4
E.5

这里开始卡壳了……主要是不清楚盗取来的数据被放到什么位置了

image-20230310210547675

只能知道大概就是这个时间点，或许可以用时间轴看看？

后来才知道是图片隐写……有点意思

image-20230410173229959

image-20230410173247432

image-20230410173409993

12接上题，从该数据库寻找到受害人林胜“Victor”的顾客资料及交易数据是否存在，以及包含以下属于他的什么数据?（i）电邮地址 （iii）信用卡号码 （iii）身份证号码C
A.（i）
B.（ii）
C.（i）（ii）
D.（i）（ii）（iii）
E.没有该数据存在

image-20230410174725184

windows

13荣科数码（RKD）的笔记本计算机，其操作系统共有多少个可登录用户?B
A.1
B.2
C.3
D.4
E.5

image-20230410185519212 image-20230410175358740

14该笔记本计算机硬盘的第5分区为Bitlocker加密盘，寻找相关的恢复密钥。该密钥最后一组数字为?C
A.405579
B.236947
C.663058
D.193194
E.231904

image-20230410185334539

15该笔记本计算机硬盘的操作系统是什么？D
A.视窗XP专业版
B.视窗7 企业版
C.视窗8 家用版
D.视窗10 专业版
E.LinuxUbuntu 18.04LTS

image-20230410200506832

16黑客是通过什么方式入侵该笔记本计算机的操作系统?A
A.远程桌面暴力破解（RDPBruteForce）
B.病毒感染入侵
C.操作系统漏洞入侵
D.分布式拒绝服务入侵（DDoS）
E.SQL注入漏洞入侵

这里仍然只能靠推理。因为在这一小段时间内有大量的rdp访问记录，并且和victor的信息泄露非常接近，所以推测这个是黑客的入侵点。并且根据其登陆强度（一秒2次）和密码策略（不限次数），可以推定是爆破。

image-20230410201908125

image-20230410202227808

image-20230410204724091

17接上题，黑客是通过哪个网络地址（IP Address）入侵该荣科数码的操作系统？D
A.192.168.7.11
B.192.168.7.12
C.192.168.7.16
D.192.168.7.102
E.192.168.7.103
18接上题，黑客首次成功入侵该操作系统的日期时间?（答案格式—“本地时间”：YYYY-MM-DDHH:MM:SS +8）C
A.2018-10-25 16:18:44 +8
B.2018-11-01 15:23:07 +8
C.2018-11-01 15:31:42 +8
D.2018-11-01 15:36:51 +8
E.2018-11-01 17:42:08 +8
19接上题，黑客用于入侵该操作系统的工作站名称？B
A.RKD-OFFICE
B.BLACK-I
C.WIN-H60USLN5PIH
D.ANONYMOUS
E.RKD-GUEST

看一下rdp记录就可以了

20黑客在该笔记本计算机的Windows资源管理器（Windows Explorer）中曾搜寻过的文字 ?E
A.Iexplorer, password, login
B.user, password, security
C.s, documents, excel
D.login, password, ipcam
E.password, iexplorer, s

image-20230410203845969

不知道取证大师抽了什么风，明明其他人的取证都可以出来……
无所谓，我还有弘连

image-20230410211855775

21入侵该笔记本计算机后，黑客透过命令提示符（cmd）执行某些命令，紧接生成了什么文件?D
A.ip.txt
B.arp.txt
C.netscan.txt
D.ip.txt，arp.txt
E.ip.txt，arp.txt，netscan.txt

时间线配合搜索一起用（其实一个个直接搜过去也可以，看创建时间就可以了）

image-20230410212448603

后面也生成了netscan.txt，但时间上差距挺大，所以不入选。

image-20230410212512051

22从笔记本计算机中，寻找黑客的命令控制服务器（C&C服务器）的网络位置?A
A.220.246.55.208
B.acdn.adnxs.com
C.3a95a35cd6b35f714120f210c0ac0c10.c1o.footprintdns.com
D.code.jquery.com
E.220.246.55.212

image-20230410212808300

和C2的文件结构相近，但时间上感觉不是很对的上……不过也没有更好的选择就是了。

23黑客在该笔记本计算机系统通过什么形式链接命令控制服务器（C&C服务器）?A
A.FTP
B.SSH
C.TELNET
D.HTTP
E.SFTP
24黑客从命令控制服务器（C&C服务器）下载过什么档案到该笔记本计算机？B
A.putty-64bit-0.70-installer.msi
B.iepv.zip
C.WinSCP-5.13.4-Setup.exe
D.mimikatz_trunk.7z
E.以上皆是

image-20230410213507311

25黑客从笔记本计算机的网络浏览器Internet Explorer下载过什么档案？E
A.netscan_portable.zip
B.7z1805-x64.exe
C.mimikatz_trunk.zip
D.mimikatz_trunk.7z
E.以上皆是

image-20230412211302934

26黑客入侵该笔记本计算机系统后，曾安装过什么软件?A
A.7-Zip
B.WinSCP
C.PuTTY
D.Mimikatz
E.SoftPerfectNetwork Scanner

image-20230410214011479

27在该笔记本计算机中，黑客执行程序\User\Administrator\Desktop\netscan_portable\64_bit\netscan.exe的具体时间?（答案格式—“本地时间”：YYYY-MM-DD HH:MM:SS +8）C
A.2018-11-01 16:07:12 +8
B.2018-11-01 16:16:49 +8
C2018-11-01 16:04:34 +8
D.2018-11-01 17:25:12 +8
E.以上皆不是

image-20230410214154895

282018年11月1日16:06，在笔记本计算机中有多少个关于网络信息的档案被黑客建立?CB
A.1
B.2
C3
D.4
E.5

netscan.txt
iepassword.txt

image-20230410220909658

草，原来图片不算档案吗？

29在笔记本计算机中，黑客执行程序\User\Administrator\Desktop\iepv\iepv.exe的具体时间?（答案格式—“本地时间”：YYYY-MM-DD HH:MM:SS +8）A
A.2018-11-01 16:07:12 +8
B.2018-11-01 16:09:07 +8
C2018-11-01 16:17:51 +8
D.2018-11-01 16:18:18 +8
E.以上皆非

image-20230410215221123

30接上题，执行程序iepv.exe涉及什么dll文件?E
A.NTDLL.DLL
B.MSVCRT.DLL
CBCRYPTPRIMITIVES.DLL
D.WINDOWS.STORAGE.DLL
E.以上皆是

先脱壳

image-20230410215723204

image-20230410221006416

动调，查看程序导入的dll(静态的看得不全面)

31接上题，紧接程序iepv.exe执行后，有什么档案被建立，该档案的哈希值（MD5）为?C
A.EDCE37A107A0D661D6B2ABD3449A156E
B.FE26492B12917DFE1B5A65252B8B4798
CE23B7F04247A927E6EB98C26200135E1
D.B3C9312AC745F20F936577D426456AD8
E.E0836588DA17DA632B82CC2FDDE59E98

image-20230410222911975

32在笔记本计算机中，黑客曾执行程序\Users\Administrator\Downloads\mimikatz_trunk\x64\mimikatz.exe多少次？A
A.2
B.3
C4
D.5
E.6

image-20230410223054389

33接上题，执行上述mimikatz.exe后，黑客曾经输了什么命令符？C
A.debug, logonpasswords
B.logon, passwords
Cprivilege::debug, sekurlsA::logonpasswords
D.privilegE::logon, sekurlsA::passwords
E.以上皆不是

直接翻日志文件

image-20230410223313058

34接上题，mimikatz.exe执行上述命令符后，哪项信息可被黑客用作破解该系统其他用户的密码？B
A.NTLM: e19ccf75ee54e06b06a5907af13cef42
B.NTLM: 059b6a3134dd40d5543c59da1e10c664
CSHA1: 9131834cf4378828626b1beccaa5dea2c46f9b63
D.SHA1: 116f90c6089215de0d7f4f530c9276f75a6c5209
E.以上皆不是

image-20230410223608183

一般只有NTML（md4）才是用户真正的密码hash

35接上题，续上述mimikatz的结果，该密码长度为多少字符？B
A.6
B.7
C8
D.9
E.以上皆不是

image-20230410225311645

36在笔记本计算机中，黑客是否使用网络浏览器进入过荣科数码的网络摄像机(IP Camera)进行浏览？如进入过，具体日期及时间为？（答案格式 －“本地时间＂：YYYY-MM-DD HH:MM:SS +8）C
A.没有
B.2018-11-01 16:02:37 +8
C2018-11-01 16:09:30 +8
D.2018-11-01 17:17:14 +8
E.以上皆不是

image-20230410225452669

emmmm，有点时差……

37在笔记本计算机中，除网络浏览器外，黑客还通过什么软件入侵网络摄像机(IP Camera)？A
A.WinSCP
B.FileZilla
CPuTTY
D.命令提示符(CMD)
E.档案总管

image-20230410225707745

38在笔记本计算机中，黑客从网络摄像机提取了1个档案到该系统硬盘，该档案的哈希值(MD5)为？C
A.79985D36B7A860473AA19A0B82B4747E
B.CA47E27329203C266372D04475DB2C57
CB6C75B8D8C99C35973ECF55C4C345F51
D.C28983B21CA6558D00806CCBDCA5D502
E.BBB0C766E5F65DB23F5F317738FDBCB5

image-20230411223403720

笔记本里面很难直接找到这个文件。但是黑客会把重要的文件全部回传到c2服务器上，所以查看一下ftp的日志文件就立马能注意到“cam”。

解压出来之后可以看到是配置文件。

39接上题，分析上述从网络摄像机提取的档案，除账户admin外还有什么登陆账户发现？D
A.user
B.public
Cguest
D.user，guest
E.user，public

翻翻配置文件

image-20230411224830560

40接上题，网络摄像机可以透过什么方式链接多流媒体服务器？D
A.SFTP
B.TELNET
C.SSH
D.FTP
E.以上皆不是

image-20230411225333817

CCTV也有监控的意思，应该就是流服务器了

41在笔记本计算机中，黑客曾经使用系统的记事本(Notepad)最后开启的一个文件名称为?A
A.config_alarm.ini
B.config_3thddns.ini
C.readme.txt
D.desktop.ini
E.以上皆不是

没有直接的证据，所以只好根据程勋运行痕迹在时间上进行贴靠了。

image-20230411232839609

image-20230411233017612

42在笔记本计算机中，黑客最后把被入侵用户桌面的档案全部删除，具体删除的日期时间是？（答案格式 －“本地时间＂：YYYY-MM-DD HH:MM:SS +8）C
A.2018-11-01 15:32:46 +8
B.2018-11-01 15:34:29 +8
C.2018-11-01 17:32:29 +8
D.2018-11-01 17:43:09 +8
E.以上皆不是

回收站没有记录，签名恢复也失败了，看来又只能靠推理了。

首先来看rdp的断开时间，能确定是删除时间在17：34：44之前。

image-20230411234322130

再然后看卷影，能看到16：17的时候桌面上的文件还没有被删除。虽然时间上仍然很粗略，但足以确定答案了。

image-20230411234517819

Streaing Server

43荣科数码(RKD)的流媒体服务器的主机名称是什么?E
A.pi
B.Streaming Service
C.C&C Server
D.RKD
E.raspberrypi
44黑客首次进入流媒体服务器的时间是什么?（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC）C
A.2018-11-01 16:17
B.2018-11-01 08:34
C.2018-11-01 08:17
D.2018-11-01 01:17
E.2018-11-01 00:42

image-20230412000548071

45下面哪一个是流媒体服务器 “eth0” 的网络地址(IP Address)?A
A.10.0.4.10
B.10.0.4.15
C.192.168.7.11
D.192.168.7.12
E.192.168.7.103

image-20230412000802113

46下面哪一个是流媒体服务器 “wlan0” 的网络地址(IP Address)?E
A.10.0.4.10
B.10.0.4.15
C.192.168.7.11
D.192.168.7.12
E.192.168.7.103

image-20230412000933138

47下面哪一个是流媒体服务器曾经同步时间的网络时间协议(NTP)服务器的网络地址(IP Address)?D
A.192.168.7.1
B.10.0.4.1
C.110.115.125.123
D.203.95.213.129
E.220.246.55.208

image-20230412001027601

48在流媒体服务器中，根据账户"pi"的指令记录，黑客首次输入指令 “cat /etc/shadow” ，他从中获得了什么信息?E
A.流媒体服务器内的用户名称
B.流媒体服务器内的用户密码
C.流媒体服务器内的用户密码更换日期
D.流媒体服务器的网络位置
E.因没有权限，什么信息也得不到

image-20230412002432555

黑客在正常cat之后转用sudo，说明原先的权限不足，需要提权。

49在流媒体服务器中，账户"pi"曾在流媒体服务器安装了什么软件?(i) nmap(ii) arp-scan(iii) bind9 D
A.（i）
B.（ii）
C（iii）
D.（i）（ii）（iii）
E.（ii）（iii）

image-20230412002812802

50为什么黑客在流媒体服务器安装 “bind9”?D
A.为取得流媒体服务器 “root” 的权限
B.为记录键盘的记录
C.为截取网络上的数据包
D.为提供域名系统服务(DNS)
E.为扫描网络中其他计算机的网络位置
51黑客把C&C服务器下载的档案sys.c放置在数据库服务器哪一个位置?E
A./
B./home/
C./home/root/
D./home/rongke/
E./home/auxsup/

image-20230412003713239

52为什么黑客能够连接网路 10.0.4.0/24 ?C
A.因为此网路连接了互联网
B.因为路由器中的访问控制列表(Access Control List)没作出限制
C.因为流媒体服务器同时接驳了互联网及上述网路
D.因为网络摄影机同时接驳了互联网及上述网路
E.以上皆不是

BIND9也是为了将数据库服务器内网穿透。

53黑客在流媒体服务器加入了多少条防火墙规则?***D***B
A.0
B.1
C2
D.3
E.4

image-20230412004551434

可恶，这边没注意到第二条的iptables输错了

54在流媒体服务器中，黑客何时在删除档案 “HACK.jpg”?（答案格式 －“本地时间＂：YYYY-MM-DD HH:MM:SS +8）C
A.2018-11-01 09:09:15 +8
B.2018-11-01 17:12:40‌ +8
C2018-11-01 17:15:02 +8
D.2018-11-02 09:09:15 +8
E.2018-11-02 17:15:02 +8

image-20230412212115559

Database

55荣科数码(RKD)的数据库服务器有多少个磁盘冗余数组(RAID)的虚拟块设备Multiple Devices(md)?D
A.0
B.1
C2
D.3
E.4
56该数据库服务器设有多少个卷组（VG）、逻辑卷（LV）？C
A.一个卷组、两个逻辑卷
B.两个卷组、两个逻辑卷
C两个卷组、三个逻辑卷
D.三个卷组、三个逻辑卷
E.三个卷组、四个逻辑卷

image-20230412133657372

57该数据库内，挂载"/home"分割所在的卷组（VG）的UUID为？D
A.YaPmrx-aWuN-jB9F-bK6V-5mrf-qDD1-RKttcS
B.zd02XF-jjsB-Nelp-RhA3-Xesv-PbXZ-FbVYsv
C.6tPmv1-CHhY-3Th3-d1ZO-NkCE-JH3k-zp4dtA
D.CHFrqt-VMqH-eTcq-6khn-k8MC-UO4i-zZwuWN
E.MOHN39-Ly2p-5km1-d2mi-3SeN-fTVu-y0PF58

image-20230412133803676

image-20230412134123818

58该数据库内，"/boot"所在的虚拟块设备(Multiple Devices)总阵列大小(ARRAY SIZE)？A
A.3900416 (3.72 GiB 3.99 GB)
B.6831104 (6.51 GiB 7.00 GB)
C.10218496 (9.75 GiB 10.46 GB)
D.5109248 (4.87 GiB 5.23 GB)
E.3415552 (3.26 GiB 3.50 GB)

md0

image-20230412134239132

59根该数据库服务器的时区设定为？E
A.Asia/Macao
B.Asia/Hong_Kong
C.Hongkong
D.GMT
E.Etc/GMT+8

西八……

image-20230412134345686

东八……

image-20230412134642134

不能理解为什么会不一样。所以还是干脆直接看配置文件好了。

image-20230412135133245

60根据串流服务器的记录, 黑客入侵后曾横向登入数据库服务器，其登入方式包括:(i)ftp(ii)ssh2(iii)telnet B
A.（i）
B.（ii）
C.（iii）
D.（i）（ii）
E.（ii）（iii）

image-20230412140110410

只能找到ssh……事实上也够了。

61接上题,首次成功登入数据库服务器的时间及账户为?（答案格式 － 账户名称 日期时间 “依第59条时区设定作答＂：YYYY-MM-DD HH:MM)B
A.rkdadm 2018-11-01 16:33
B.auxsup 2018-11-01 16:33
C.auxsup 2018-11-02 08:33
D.root 2018-11-01 16:33
E.root 2018-11-01 16:31

image-20230412140644465

时刻注意log的时间比实际时间快16小时……但似乎没啥问题？

62接上题，该账户在数据库服务器属于以下哪些用户组?(i)root(ii)www-data(iii)sudoE
A.（i）
B.（ii）
C.（i）（ii）
D.（ii）（iii）
E.以上皆不是

image-20230412142136701

63在该成功远程登录数据库服务器前曾经被多次登入失败，登入的用户名称包括：(i)root(ii)admin(iii)pi C
A.（i）
B.（ii）
C.（i）（iii）
D.（ii）（iii）
E.以上皆是

image-20230412142200126

64接上题，该账户登入数据库服务器后，使用了哪一个CVE的漏洞进行提权？C
A.CVE - 2015 - 1328
B.CVE - 2015 - 8660
C.CVE - 2017 - 1000112
D.CVE - 2017 - 0358
E.CVE - 2017 - 16995

黑客在这里编译并执行了shellcode。正好我们手上就有sys.c，可以进行代码审计。 image-20230412142415921

好吧，看起来不用审了……

image-20230412142938340

65接上题，黑客在数据库服务器进行提权中曾使用哪些工具？E
A.exec
B.javaw
C.msfvenom
D.psexe
E.gcc

虽然很不想承认，但是黑客在终端记录确实只用了gcc……但是gcc本身只是个编译器罢了，不能算提权工具吧。

66黑客在数据库服务器成功提权后，紧接进行了什么动作？***C***D
A.使用另一账户登入
B.制作后门
C.截取数据包
D.建立新账户
E.安装软件

image-20230412143444236

emmmm，下次得翻得仔细点
image-20230412212357719

67除首次被黑客登入的帐户外，还有什么账号被不当地登入使用？A
A.rkduser
B.rkduser1
C.rkduser2
D.rkduser3
E.rkduser4

1234都是黑客后期自己加的，没有不当登入的说法

image-20230412144007765

68该数据服务器经哪个IP得到连接互联网功能？B
A.10.0.4.1
B.10.0.4.10
C.10.0.4.16
D.192.168.7.103
E.10.0.4.17

直接将10.0.4.10 变为路由了image-20230412145202770

69黑客在数据库服务器设定了一个反向shell(reverse shell)后门，请找出该连接使用什么端口(Port) ？E
A.5251
B.5140
C.40
D.51
E.5152

image-20230412145544600

70接上题，该数据库服务器的后门何时会执行?E
A.管理员登入
B.系统开机时
C.数据库被存取时
D.每一天
E.每一分钟
71黑客在该数据库服务器中进行了内网扫描，其扫描范围是：B
A.10.0.4.0 / 22
B.10.0.4.0 / 24
C.192.168.7.0 / 24
D.192.168.7.103 / 24
E.10.0.4.15 / 24

image-20230412145722651

72接上题，在该内网中有一台主机名名称为"RKDSERVER1"，黑客曾由数据库试图登入该主机，其登入方式为：(i)ftp(ii)ssh2(iii)telnet C
A.(i)
B.(ii)
C.(iii)
D.(i)(ii)
E.(ii)(iii)

image-20230412145902531

73黑客在登入期间，曾经尝试登入数据库服务器的MYSQL数据库，总共失败多少次？(MYSQL的记录文件时间设定较实际时间快4小时）C
A.6
B.8
C.10
D.12
E.14

image-20230412182435076

直接去翻mysql的error日志就可以了。

74在数据库服务器中，档案路径 ＂\home\rkduser\t＂ 是什么类型的档案？A
A.tcpdump capture file
B.ELF 64-bit LSB executable, x86-64
C.ASCII text
D.UTF-8 Unicode text
E.Bourne-Again shell script

之前可以看到黑客使用了tcpdump，所以很容易猜到文件类型。

image-20230412183355743

75在数据库服务器中，黑客使用什么指令工具对数据包进行截取？D
A.arp-scan
B.nmap
C.fgdump
D.tcpdump
E.wireshark
76接上题，黑客共截获多少个数据包项目？C
A.1041
B.2825
C.6070
D.4032
E.5484
77接上题，截取数据包过程中，有多少次上述反向shell(Reverse shell)后门的成功连接？A
A.0
B.14
C.1
D.15
E.7

反弹shell的端口是5152.这边可以看到所有5152端口上的通讯不知道为什么都失败了，相反pureftp还能正常运行。 image-20230412184008316

image-20230412184156876

78接上题，黑客从数据包中获得的MYSQL数据库密码长度是多少个字符?E
A.4
B.6
C.9
D12
E.15

image-20230412185134274

79黑客登入上述MYSQL数据库后，曾在CLI界面使用MYSQL命令进行了多少个数据库及数据表(Table)的浏览？***C***B
A.一个数据库内的两个数据表
B.两个数据库内的两个数据表
C.一个数据库内的三个数据表
D.两个数据库内的三个数据表
E.三个数据库内的三个数据表

数据库：business

表：payments/orders/customers image-20230412190034665

image-20230412190116931

image-20230412190138766

后记：这不是流量题吗？怎么又变成日志审计了？

在.mysql_history文件里面有详细的命令记录

image-20230412212931744

8080.数据库服务器中，黑客曾连接过哪一个FTP服务器?A
A.220.246.55.208
B.10.0.4.10
C.10.0.4.16
D.192.168.7.103
E.220.246.55.13

image-20230412190320257

81接上题，该FTP服务器的上载账号名称及密码是：B
A.upioad, 123456
B.upload, 123456
C.upload, 12345
D.admin, 123456
E.admin, abcdef

image-20230412190456009

82黑客在数据库服务器注销前，进行了什么动作？B
A.传送数据库数据
B.删除命令痕迹
C.汇出数据库
D.卸除软件
E.设置后门

root账户怎么可能就这么点命令记录……肯定是删了啊。nano本身就是编辑器，在其之前没有任何记录，可以判断黑客使用它来删除了命令痕迹。

image-20230412191820942

83在数据库服务器中，恢复inode值为258177的档案，计算其SHA1哈希值（无解？）
A.42323B19952CF79D626AD51FF14A5F201CFE969C
B.B151D2CCE44D80AB860879C0FE5BB7326C5A7F3D
C.EA4A616DF97B59F7672865DC1FB449DD8E4DF3E2
D.8C3A07CC7E594E696F3C7A79EDB9C762905839A1
E.B3CDCEABD7B672603F9D6F63D037053C63D5F5B6

这个有点麻烦了……

首先需要连上网，然后下载extundelete

然后找到节点所在目录及所属卷组
image-20230412200221943

然后无论全部恢复还是指定inode恢复都失败了，说空间已经被占用
image-20230412200442086

image-20230412200652754

反复恢复快照，尽可能减少无关的操作，但仍然覆盖了inode。取证大师的深度恢复也失败了……真是走投无路。

84在数据库服务器中，路径"/usr/sbin"内有多少个系统文件被不当替换?E
A.1
B.2
C.3
D.4
E.以上皆不是

这边我直接翻的修改时间

image-20230412201654209 内存

85从内存镜像档案的数据显示，该镜像档案的建立日期是?（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC）B
A.2018-11-02 08:31:12 UTC
B.2018-11-02 10:31:12 UTC
C.2018-11-02 14:31:12 UTC
D.2018-11-02 18:31:12 UTC
E.2018-11-02 20:31:12 UTC

image-20230410113944263

86在内存镜像中，就进程javaw.exe而言，它的进程id是?A
A.2364
B.2616
C.26
D.459
E.8003975b30

image-20230410114123636

87接上题，javaw.exe 是经以下哪个方法在系统上执行 ？C
A.利用命令提示符(cmd)执行
B.利用psexec软行
C于Windows资源管理器上双击档案执行
D.于运行中执行
E.于系统启时自动执行

这题我最开始想着直接memdump然后手撸数据，但实际情况是数据太混乱，很难直接分析。后来想到可以通过进程之间的关系来判断。
image-20230410114641532

首先就是在进程关系上，javax是资源管理器的子进程，再然后就是两者开启的时间非常接近，所以推测是在资源管理器里面打开的。

但这种方法说到底只能算推理，没啥直接的证据……得研究一下破解方法。

88接上题，根据javaw.exe 的进程，它首先执行了下列哪个指令D
A.C:\Program Files\Java\jdk1.8.0_191(2)\bin\javaw.exe" -jar C:\Users\victor\AppData\Roaming\asdasd\asda.jar
B.C:\Program Files\Java\jdk1.8.0_191\bin\javaw.exe" -jar C:\Users\victor\AppData\Roaming\asdasd\asda.jar
C.C:\Program Files\Java\jdk1.8.0_191\bin\javaw.exe" -jar C:\Users\victor\AppData\Roaming\asdasd\victor_personal_data.pdf.jar
D.C:\Program Files\Java\jdk1.8.0_191(1)\bin\javaw.exe" -jar C:\Users\victor\AppData\Roaming\asdasd\asda.jar
E.C:\Program Files\Java\jdk1.8.0_191(1)\bin\javaw.exe" -jar C:\Users\victor\AppData\Roaming\asdasd\victor_personal_data.pdf.jar

把进程内存导出来后直接手撕 image-20230410115344852

89接上题，javaw.exe的进程在执行时会呼叫了多少个动态链接函式库(Dynamic Linked Library)?B
A.79
B.80
C.81
D.82
E.83

image-20230410113845687

90接上题，javaw.exe的进程曾连接至哪一网络地址(IP Address)？C
A.119.188.13.180
B.192.168.72.128
C.220.246.55.13
D.120.241.102.156
E.23.41.99.52

用正则扫了一遍dump，感觉效果不是很好。不过全部试过一遍之后就能知道只出现过220.246.55.13（192.168.72.128是本机地址）

image-20230410121022505

image-20230410121233363

image-20230410124434600

91接上题，javaw.exe的进程曾连接至上述网络地址的哪个端口(port)？D
A.1505
B.1506
C.49290
D.1505&1506
E.1505&49290

image-20230410122242864

92从内存镜像中提取Victor计算机感染的"Adwind RAT"病毒的配置文件(XML格式)并作分析，该病毒档案与C&C服务器连接所使用的密码为?A
A.1234
B.5555
C.2468
D.0000
E.9999

image-20230410164123997

哈希爆出来1234

93接上题，上述"Adwind RAT "病毒具备了屏幕截图的功能。从内存镜像中分析，黑客是何时对系统进行屏幕截图呢?(以截图显示时间作答)C
A.2018年11月2日18时27分至18时28分
B.2018年11月2日18时28分至18时30分
C.2018年11月2日18时29分至18时30分
D.2018年11月2日18时29分至18时31分
E.2018年11月2日18时28分至18时29分

直接foremost javaw的memdump就可以了image-20230410164319439

image-20230410164327440

但是截图的时间全是29分……如果想要确定区间的话，难道还有其他截图吗？

94取证人员是使用"Magnet RAM Cap"获取该内存镜像，你能找到该档案属于哪个版本吗?B
A.0.90
B.1.00
C.1.01
D.0.91
E.1.50

proc导出之后就可以查看详细信息了

image-20230410164452652

95从内存镜像中，你能读取多少个操作系统的用户登入密码?
A.0
B.1
C.2
D.3
E.4

七个三种密码，结果答案说是1……
哦，有可能问的是几种操作系统？太逆天了。 image-20230410165023855

手机

(该文件是由CellebritePhysical Extraction采集而来的。)

96检测“三星SM-N9005 Galaxy Note 3＂的手机镜像文件并找出系统分区。请问系统分区(system partition)的大小是多少？B
A.1.2 GB
B.2.2 GB
C.4.6 GB
D.12.2 GB
E.15 GB

image-20230412202308245

97接上题，在手机镜像文件中，系统分区(system partition)的文件系统类型是什么？D
A.YAFFS
B.YAFFS2
C.Ext3
D.Ext4
E.以上皆不是
98检测手机镜像文件并找出用户数据的分区。请问用户数据分区(userdata partition)的大小是多少？E
A.3.1 GB
B.2.9 GB
C.4.6 GB
D.12.2 GB
E.11.9 GB
99接上题，在手机镜像文件中，请问该用户数据分区(userdata partition)的文件系统类型是什么？D
A.YAFFS
B.YAFFS2
C.Ext3
D.Ext4
E.FAT
100如果手机安装了应用程序，你会在哪个位置找寻该应用程序的“apk＂文件？***B***A
A./root/app/
B./system/apps/
C./system/media/apk/
D./system/application/
E.以上皆不是

看来root路径下面的信息的信息会更加全面啊

101该手机显示设备的时区是什么？C
A.Europe/London
B.Europe/Amsterdam
C.Asia/Hong_Kong
D.Asia/Bangkok
E.以上皆不是
102在手机镜像文件中，找出“com.android.email＂文件夹，数据库中设置的电子邮件地址是什么？C
A.digitalrongke@gmail.com
B.victorlam@gmail.com
C.rongkedigital@mail.com
D.kedigital@hotmail.com
E.以上皆不是

image-20230412202811490

103接上题，上述数据库共有多少条电子邮件记录？E
A.9
B.10
C.21
D.50
E.5
104接上题，谁是首个电子邮件的接收者？B
A.kedigital@hotmail.com
B.jc266575@gmail.com
C.rongkedigital@mail.com
D.digitalrongke@gmail.com
E.以上皆不是
105接上题，服务器的时间戳显示的第一个电子邮件的发送日期／时间是什么？（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC）E
A.2018-10-29 21:30:18 UTC
B.2018-10-26 06:21:02 UTC
C.2018-10-29 21:33:54 UTC
D.2018-10-31 07:26:51 UTC
E.2018-10-31 08:26:11 UTC
106在手机镜像文件中，哪一个文件包含日历记录？D
A.calendar.base.db
B.database_calendar.db
C.calendar_record.db
D.calendar.db
E.ddcalendar.db

image-20230412203133828

107在手机镜像文件的下载文件夹中，该手机用户下载了哪个“apk＂文件？D
A.Evernote.apk
B.kodi.apk
C.CloudAgent.apk
D.channel_71067978_1005035_1539597843180.apk
E.以上皆不是

image-20230412203326874

108在手机镜像文件中，哪个文件用于存储“微信”记录？E
A.chatmessages.db
B.msgstore.db
C.mm.sqlite
D.chatstorage.db
E.EnMicroMsg.db

image-20230412203409215

109接上题，检查“微信＂数据库，请问Leo和Jason在2018年10月31(UTC+8)日共有多少条通讯记录？A
A.7
B.20
C.30
D.5
E.9

原来不算上已被删除的记录吗……

110在手机镜像文件中，用户在2018-10-31(UTC+8)截取了多少个截图？D
A.5
B.20
C.7
D.2
E.8

image-20230412205210034

111接上题，该截图的文件名是什么，请选择最早的一个档案？A
A.Screenshot_2018-10-31-16-08-57.png
B.Screenshot_2018-10-31-12-08-12.png
C.Screenshot_2018-10-31-17-02-51.png
D.Screenshot_2018-10-28-15-00-10.png
E.Screenshot_2018-10-30-09-08-17.png
112在手机镜像文件中，安装了哪种黑客软件？B
A.Hack-it
B.Ethicalhacking
C.I Hack You
D.LUCKY HACK PATCHER
E.以上皆不是

image-20230412205327462

113接上题，该应用程序是什么时候安装的？（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC）A
A.2018-10-31 09:05:26 UTC
B.2018-11-01 22:21:08 UTC
C.2018-10-26 23:37:34 UTC
D.2018-10-31 17:05:26 UTC
E.2018-10-31 09:21:01 UTC
114在手机镜像文件的用户媒体文件夹中，有涉及枪支的照片／图片，档案的名称是什么？C
A.20181101_160634.jpg
B.20181031_153537.jpg
C.20181031_170633.jpg
D.20181031_091635.jpg
E.20181031_070813.jpg

image-20230412205558804

115在手机镜像文件中，哪个文件记录了联系人（电话簿）？D
A.contact1.db
B.database.contacts.db
C.contacts1.db
D.contacts2.db
E.contact.db

image-20230412205648236

116接上题，有多少个现有联系人记录？A
A.7
B.13
C.9
D.15
E.8

现有的……

117在手机镜像文件中的联系人数据库中，共有多少个电子邮件帐户？A
A.1
B.6
C.7
D.3
E.2
118接上题，在联系人数据库的已删除记录中，以+852 6__________开头的电话号码是什么？请填写空格.D
A.+852 66253737
B.+852 67486468
C.+852 63873984
D.+852 61810641
E.+852 67645745
119在手机镜像文件中，曾使用过的无线网络名称(SSID)是？C
A.WPA-PSK
B.RKD-WPA
C.RKD_guest
D.PSK-RKD
E.以上皆不是
120该手机存有苹果手机备份密码，这个密码是？C
A.Sgydgd
B.6152jHD
C.Os156871
D.$RFV5tgb
E.Trey123$%^

image-20230412205621054

总结

做得比较难受的一次——取证软件犯了不少毛病。不过倒也提醒了我不能太依赖取证软件，练习手搓对于那些难以自动取证的镜像还是帮助很大的。

题目本身质量不错，尤其是渗透路径上的设计，环环相扣，还是很有意思的，比往年好不少。

古明地核
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ICRA2021会议-----SLAM方向汇总
1900的博客
06-24 3775
ICRA2021-paper-list:https://github.com/PaoPaoRobot/ICRA2021-paper-list 关于SLAM的文章: SLAM SessionWeBT12 : SLAM I Hybrid Bird's-Eye Edge Based Semantic Visual SLAM for Automated Valet Parking 11546 Collaborative Visual Inertial SLAM for Mul..
重定向http://www.domain.com到http://domain.com
♨Joe的专栏
04-21 1万+
Make your site Class B Sep 3, 2003 Class B means that all of the traffic to http://www.yourdomain.com is politely and silently redirected to http://yourdomain.com.This is currently the pre
（1）ping www.baidu.com [ping: unknown host www.baidu.com]---（2）xshell 连接虚拟机问题---（3） 网卡重启失败
hzdxw的专栏
07-19 9795
---（1）ping www.baidu.com [ping: unknown host www.baidu.com]---（2）xshell 连接虚拟机问题---（3） 网卡重启失败
CMS指纹字典大全
热门推荐
BING
02-22 3万+
CMS识别是依靠特殊的文件，所以识别字典是非常重要的
100多个经典超酷网站收集
shaily读书学习
05-11 1万+
  1，看看自己具有哪个大明星的脸型　http://www.play-analogia.com/cgi-bin/index/2，超有意思的Flash网站，虚拟办公　http://agencynet.com3，亲自动手给美女画纹身　http://www.crustydemons.co.uk/UK/tattoo_parlour/index.html4，输入文字就发出声音！　http://www.put
美亚杯全国2018第四届电子数据取证竞赛-个人赛
05-02
美亚杯全国2018第四届电子数据取证竞赛-个人赛
2019美亚杯writeup
03-26
2019美亚杯writeup
17第三届美亚杯个人赛题WP 新手
07-27
17第三届美亚杯个人赛题WP 新手
【大赛手册】2018年“柏鹭杯”大学生网络空间安全精英赛大赛手册1
08-03
3. 承办单位 4. 协办单位 2. 报到需提交的材料 3.参赛队伍管理 1.美亚柏科培训中心楼层说明 2.工作人员信息表 3.路线安排 4.厦门美食推荐
美亚光电：2020年年度报告.PDF
04-13
美亚光电：2020年年度报告.PDF
http://jingyan.baidu.com/article/db55b609aac41e4ba30a2f86.html
weixin_33747129的博客
07-22 6298
http://jingyan.baidu.com/article/db55b609aac41e4ba30a2f86.html
signature=0727ee8cc38ba70036807ebbc0b018d6,Natural Selection on S-Linked Genes in Turnera (Passiflor...
weixin_33302571的博客
05-29 1042
AbstractInvestigations of the evolutionary dynamics exhibited by S-linked loci have the potential to provide evidence concerning the particular genes that determine the expression of distyly in flower...
网站更换域名后链接的更改(运维端)
weixin_33946020的博客
09-02 9671
公司由于备案的问题，需要将域名www.servera.com更换为www.serverb.com.但是原先网站所有链接均指向www.servera.com，这个时候可以通过2种方法：1.在负载均衡器增加301跳转，这样打开每个www.servera.com的链接都跳转到www.serverb.com.比如我们的域名有pics.servera.comm.servera.comi...
A、B、C、D过桥，分别需要1、2、5、10分钟，如何只用17分钟过桥
m0_56611833的博客
08-08 3045
题目描述 A、B、C、D 四个人，要在夜里过一座桥。他们通过这座桥分别需要耗时 1、2、5、10 分钟，只有一支手电，并且同时最多只能两个人一起过桥。请问，如何安排，能够在17分钟内这四个人都过桥？ 解题关键 让用时短的送手电回来 时间长的人一起过 答案 A和B先过：2 A回来：2+1=3 C和D过：3+10=13 B回来：13+2=15 A和B过：15+2=17 ...
signature=a195252fc5196d0fb82cccccc68b06b3,Mandiant APT1 Report Appendix F Update: SSL Certificate H...
weixin_39776344的博客
05-30 684
SIGNATURESMD5SHA1ALPHA6b4475ce9f9c5c4b9d2e7edc8bdbf849b054e26ef827fbbf5829f84a9bdbb697a5b042fcAOL9588bf142248bb8ddda05567f159b1a77bc0cc2cf7c3a996c32dbe7e938993f7087105b4AOL455f8979143415b9eed0e0d6fc15...
2018第四届美亚杯全国电子数据取证大赛团队赛wp
dazaogege的博客
09-25 4013
2018第四届美亚杯全国电子数据取证大赛团队赛wp
2018年美亚杯电子数据取证大赛-团体赛
weixin_44770698的博客
10-20 2万+
2018年美亚杯电子数据取证大赛-团队赛
signature=a195252fc5196d0fb82cccccc68b06b3,Gene signatures in wound tissue as evidenced by molecular...
weixin_34734156的博客
05-30 1158
Wound induction in the chicken CAMChick embryos were cultured for 10 days and CAMs were inflicted by parallel scalpel superficial cuts of 1 cm area, followed with a subsequent scarping off of the epit...
web做题记录(buuoj,jarvis,攻防世界,bugku，hackme)
CJB6988125的博客
11-19 1万+
web做题笔记 buuoj easy_tornado tornado是一个python写的web服务器 读取文件hint.txt:md5(cookie_secret+md5(filename)) 我们只要找到cookie_secret 就能读取任意文件 直接搜cve:找到一个\r\n分割请求的。。好像搞不到cookie_secret 找到error?msg=Error模板注入??? {{1.}}出...
2018年美亚杯wp
最新发布
12-23
2018年美亚杯wp（世界杯预选赛）是一场激动人心的比赛。在这次比赛中，来自美洲和亚洲的国家队齐聚一堂，争夺着参加世界杯的资格。比赛分为几个阶段，包括小组赛、淘汰赛和最终决赛。在小组赛阶段，各个国家队都...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值