2023年 首届盘古石杯全国电子数据取证大赛 技能赛决赛 服务器题解析

已于 2023-06-23 02:18:27 修改
阅读量3.2k 收藏 21
点赞数 6
文章标签： 服务器 运维 linux 安全 centos
于 2023-05-29 10:13:27 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u010676429/article/details/130922385
版权

2023年 首届盘古石杯全国电子数据取证大赛 技能赛决赛 服务器题解析

文章目录

仿真 disk0.E01 disk1.E01 disk2.E01 disk3.E01

在这里插入图片描述

77.请分析服务器，给出NAS服务器系统账号密码？[答案格式:xx@xx][★★★☆☆☆]

root@P@88w0rd

方法1
john的电脑使用账号john密码paofen登录,chrome浏览器中密码管理器内查看 \切记仿真时不要清空账号密码

在这里插入图片描述

方法2
使用计算机取证软件解析john的电脑的镜像浏览器记录密码

78.请分析服务器，给出NAS服务器的版本信息？[答案格式:xx-xx-xx][★★☆☆☆☆]

TrueNAS-13.0-U4

使用虚拟机内TrueNAS显示的IP地址用浏览器访问后使用账号root 密码P@88w0rd 登陆后在首页看到

在这里插入图片描述

79.请分析服务器，给出NAS服务器内用户SMB的邮箱？[答案格式:xx@xx][★★☆☆☆☆]

smb@paofen.com

//可在System–General–Localization–Language–选择Simplified Chinese (zh-hans)–点击save保存 后将TrueNAS本地化
在这里插入图片描述

账户–用户–smb–点击最后的箭头
在这里插入图片描述

80.请分析服务器，给出NAS服务器系统告警服务使用的邮箱？[答案格式:xx@xx][★★☆☆☆☆]

11729369@qq.com

系统–警报服务–E-Mail–编辑

在这里插入图片描述

81.请分析服务器，给出NAS服务器内存储池名？[答案格式:xxx][★★☆☆☆]

vol

仪表板或者存储–池

在这里插入图片描述

82.请分析服务器，给出NAS服务器内有几个数据集和几个Zvol?[答案格式:0,0][★★★☆☆]

2,3

存储–池

在这里插入图片描述

83.请分析服务器，给出该NAS服务器存储监听IP和端口？[答案格式:192.168.1.1:8080][★★★☆☆]

0.0.0.0:3260

共享–iSCSI–Portals

在这里插入图片描述

84.请分析服务器，给出NAS服务器内iSCSI目标为web的连接所使用的启动器组ID？[答案格式:xx][★★★☆☆]

2

共享–iSCSI–目标–web–编辑

在这里插入图片描述

85.请分析服务器，给出web服务器连接NAS服务器所使用的iqn？[答案格式:iqn.xxx][★★★☆☆]

iqn.2005-10.org.freenas.ctl:web

共享–iSCSI

在这里插入图片描述

86.请分析服务器，给出web服务器连接NAS服务器所使用的账号和密码？[答案格式:root/123][★★★★★]

user/202305140921

共享–iSCSI–Authorized Access–编辑

在这里插入图片描述

87.请分析服务器，给出redis所使用的配置文件？[答案格式:/home/1.conf][★★☆☆☆]

/etc/redis.conf

VMware虚拟机设置–CPU–勾选虚拟化 Intel-VT-x/EPT 或 AMD-V/RVI（V）

在这里插入图片描述

VMware–编辑–虚拟网络编辑器–根据仿真添加的网卡(NAT或仅主机模式)–设置网段192.168.91.0 DHCP起始IP 192.168.91.129 后再开启TrueNAS虚拟机

在这里插入图片描述

使用浏览器访问192.168.91.129后使用账号root 密码P@88w0rd 登陆后
服务–iSCSI–开启
虚拟机–WEB–开启–VNC–进入单用户模式–关闭SELinux–重启–进入单用户模式–修改root密码–vi /etc/passwd 修改root shell为/bin/bash–进入系统

在这里插入图片描述

ll /etc/redis.conf

在这里插入图片描述

88.请分析服务器，给出跑分网站后台根目录？[答案格式:/xx/xx][★★★☆☆]

/www/admin.paofen.com/public

mount /dev/sdb1 /www
vi /etc/nginx/conf.d/admin.paofen.com.conf

在这里插入图片描述

89.请分析服务器，嫌疑人所使用的跑分系统可能来自哪，请给出网站？[答案格式:www.baidu.com][★★★☆☆]

www.98sucai.com

vi /www/admin.paofen.com/app/config.php

在这里插入图片描述

90.请分析服务器，给出数据库root账号密码？[答案格式:password][★★★★★]

3W.pa0fen.com

虚拟机–DB–开启–VNC–进入单用户模式–关闭SELinux–重启–进入单用户模式–修改root密码–进入系统

vi backup.sh
gzexe -d backup.sh
vi backup.sh

在这里插入图片描述

91.请分析服务器，给出数据库备份文件存放路径？[答案格式:/xx/xxx][★★★★★]

/data/mysql_back

vi backup.sh

在这里插入图片描述

92.请分析服务器，给出数据库备份文件解压密码？[答案格式:password][★★★★★]

p@ssw0rd

vi backup.sh

在这里插入图片描述

93.请分析服务器，给出数据库备份文件间隔多少天会删除？[答案格式:1][★★★★★]

45

vi backup.sh

在这里插入图片描述

94.请分析服务器，给出数据库每天几点会执行备份操作？[答案格式:00:00][★★★☆☆]

02:00

crontab -l

在这里插入图片描述

95.请分析服务器，给出跑分网站后台用户余额总计？[答案格式:1000][★★☆☆☆]

7459848

//WEB虚拟机内运行

service nginx start
service php-fpm start
cd /www/
chgrp -R nginx admin.paofen.com/
chown -R nginx admin.paofen.com/
cd /var/log/redis
chgrp redis redis.log
chown redis redis.log
service redis start

vi /www/admin.paofen.com/app/database.php

修改

    // 服务器地址
    'hostname'        => '3w.paofen.db',
    // 数据库名
    'database'        => '3w.paofen.db',  //98源码论坛分享 www.98sucai.com
    // 用户名
    'username'        => '3w.paofen.db',
    // 密码
    'password'        => '3w.paofen.db',
    // 端口
    'hostport'        => '8306',

为

    // 服务器地址
    'hostname'        => '3w.paofen.db',
    // 数据库名
    'database'        => 'paofen',  //98源码论坛分享 www.98sucai.com
    // 用户名
    'username'        => 'root',
    // 密码
    'password'        => '3W.pa0fen.com',
    // 端口
    'hostport'        => '3306',

//DB虚拟机内运行

service firewalld stop
dumpe2fs /dev/sdb1 |grep mounted
mount /dev/sdb1 /data
cd /data/mysql_back
openssl des3 -d -k p@ssw0rd -salt -in /data/mysql_back/db_backup_20230515.tar.gz | tar xzf -
cd 20230515/
service mysqld start
mysql -uroot -p3W.pa0fen.com paofen < paofen.sql

//开启MySQL general_log


set global general_log = ON;
set global general_log_file='/tmp/general.log';
quit

tail -f /tmp/general.log

//本机修改hosts文件
192.168.91.141 admin.paofen.com

浏览器访问http://admin.paofen.com:8083/admin.php/login/login.html

使用账号admin 密码123456 登录

find /www/admin.paofen.com/ -type f -iname '*.php' |xargs grep '密码输入错误'

vi /www/admin.paofen.com/app/admin/logic/Login.php

将

if (!empty($member['password']) && data_md5_key($password) == $member['password']) {

改为

if (!empty($member['password']) && data_md5_key($password) != $member['password']) {

使用账号admin 密码123456 登录

后台–系统首页–用户余额总计

在这里插入图片描述

96.请分析服务器，给出跑分平台后台未处理的用户申请有多少个？[答案格式:1000][★★☆☆☆]

24

后台–系统首页–用户提现申请（未处理）和用户充值申请（未处理）

在这里插入图片描述

97.请分析服务器，给出会员聂鸿熙推荐人的姓名？[答案格式:张三][★★☆☆☆]

针长兴

后台–会员列表–搜索聂鸿熙

在这里插入图片描述

98.请分析服务器，给出跑分平台内用户银行卡所属银行共有几家？[答案格式:10][★★★★★]

12

SELECT COUNT(DISTINCT bank_name) FROM `ob_user_bank`;

在这里插入图片描述

99.接上题，请给出这些银行中用户数最多的银行名称？[答案格式:xx银行][★★★★★]

农业银行

SELECT bank_name,COUNT(bank_name) FROM `ob_user_bank` GROUP BY bank_name ORDER BY COUNT(bank_name) DESC;

在这里插入图片描述

100.请分析服务器，给出用户“祝虹雨”通过审核的充值总额？[答案格式:10][★★★★★]

366335

SELECT SUM(money) FROM `ob_charge_log` WHERE name='祝虹雨' and `status`=1;

在这里插入图片描述

101.请分析服务器，给出该跑分团队可能的办公大楼有几个？[答案格式:1][★★☆☆☆]

2

虚拟机–CSM–开启–VNC–进入单用户模式–修改root密码–进入系统

cp -r /www/backup/panel/ /root/ && cp -r /www/server/panel/data/ /root && rm -f /www/server/panel/data/close.pl && bt 23 && bt 11 && bt 12 && bt 13 && bt 24 && bt 5

bt 14

浏览器访问http://192.168.91.142:19088/d5aa5a5a

宝塔内启动hy.paofen.com网站

宝塔数据库–MySQL–数据库hy_paofen_com–导入备份文件

//开启MySQL general_log

mysql -uroot -pb1c65e02b257f432

set global general_log = ON;
set global general_log_file='/tmp/general.log';
quit

tail -f /tmp/general.log

//本机修改hosts文件
192.168.91.142 hy.paofen.com

浏览器访问http://hy.paofen.com:8085/dkewl.php/index/login

使用账号admin 密码123456 登录

find /www/wwwroot/hy.paofen.com/ -type f -iname '*.php' |xargs grep '密码不正确'

find /www/wwwroot/hy.paofen.com/ -type f -iname '*.php' |xargs grep 'Password is incorrect'

vi /www/wwwroot/hy.paofen.com/application/admin/library/Auth.php

将

if ($admin->password != md5(md5($password) . $admin->salt)) {

改为

if ($admin->password == md5(md5($password) . $admin->salt)) {

使用账号admin 密码123456 登录

后台–CSM会议室预约–大楼管理

在这里插入图片描述

102.请分析服务器，给出用户John共提了几次会议预约申请，通过了几个？[答案格式:1，1][★★☆☆☆]

9，3

后台–CSM会议室预约–预约审核管理

在这里插入图片描述

或者

SELECT COUNT(*) FROM `fa_csmmeet_apply` WHERE username='john'

SELECT COUNT(*) FROM `fa_csmmeet_apply` WHERE username='john' and auditstatus='1'

103.接上题，用户John哪个时间段的会议预约申请次数最多[答案格式:2000-01-01 00:00-00:00][★★☆☆☆]

2023-05-15 16:00-16:59

后台–CSM会议室预约–预约审核管理
或者

SELECT applydate,beginhour,beginmin,endhour,endmin,COUNT(beginhour),COUNT(beginmin),COUNT(endhour),COUNT(endmin) FROM `fa_csmmeet_apply` WHERE username='john' GROUP BY beginhour ORDER BY COUNT(beginhour) desc LIMIT 1;

在这里插入图片描述

104.请分析服务器，给出用户Harvey预约了什么时间的会议？[答案格式:2000-01-01 00:00-00:00][★★☆☆☆]

2023-05-17 17:00-17:59

后台–CSM会议室预约–预约审核管理
或者

SELECT * FROM `fa_csmmeet_apply` WHERE username='Harvey';

105.会议管理系统的后台登陆地址是[答案格式:www.baidu.com:8080/login.php][★★☆☆☆]

hy.paofen.com:8085/dkewl.php

vi /www/wwwlogs/hy.paofen.com.log

在这里插入图片描述

yagami_gagami
关注
  • 6
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 7
    评论
23年盘古石杯决赛的二进制文件分析
11-06
23年盘古石杯决赛的二进制文件分析
“盘古石杯”全国电子数据取证大赛----WP
m0_75178803的博客
06-05 2159
计算机取证题目来源：“盘古石杯”全国电子数据取证大赛——电子数据取证技能赛计算机取证。
（首届）第一届奇安信盘古石杯决赛WP(全题解析，少一道你打我）
最新发布
qq_43491969的博客
06-24 844
可以获取到包名，然后这台电脑装了雷电模拟器的，又在刚才流量包旁边发现了雷电模拟器的备份文件，尝试用雷电多开器进行导入后打开，发现里面有多个软件，直接上文件管理器中查看/data/app中的相关包名，打开可以看见apk包。然后看了一下，发现还有虚拟机，估计在虚拟机中，虚拟机有4个，大概率在web里面，毕竟前面一直都做的web。算了，重置吧，进单用户进行重置。在流量中，可以看到大量传入setup.exe的流量包，该软件应为木马程序，在木马传输完毕后，139主机主动连接黑客电脑8000端口，该端口应为回传端口。
盘古石杯电子取证决赛复盘WP
wild_smart_cuber的博客
06-02 3668
最速传说盘古石决赛WP
2023盘古石杯全方向全题目完整详细WP
toto的博客
05-14 1万+
2023盘古石杯全方向全题目完整详细wp
2023首届盘古石杯决赛复盘
wuwuliuliu0524的博客
07-04 4751
狂神无双下面的都是网址，只有这条是com.zhjhsy.ksws04.ucbiao在技术人员的雷电手机模拟器中找到了这个包名叫狂神无双。
服务器部分 2023盘古石杯全国电子数据取证大赛 技能赛晋级赛
Grignard_的博客
05-10 4456
服务器部分 2023盘古石杯全国电子数据取证大赛 技能赛晋级赛
2023首届“盘古石杯”全国电子数据取证大赛总决赛题目检材与部分write up
weixin_42744595的博客
06-12 3641
2023首届盘古石杯总决赛write up技术交流wechat N34939 高清图。流量分析部分精品write up可以参考。更多网络安全CTF题目，欢迎来。题目来源盘古石杯赛事公众号。
[完整]首届盘古石杯电子数据取证大赛晋级赛Writeup
热门推荐
啥都弄
05-11 1万+
通过Potato得到com.pim.imm，搜索得到数据库文件夹坚果pro3/data/data/com.qim.imm/databases/im_db_225_18969939616_8AF2C81F-58C2-8459-C492-9C4F65E6BC1E.db之后分析表得知，该表为聊天记录，使用gpt写脚本，进行base64解码原理如下：打开文件，对文件中的第三列除去第一行的其他内容进行base64解码，并生成新文件a.xls。
2023年首届盘古石杯全国电子数据取证大赛技能赛决赛(服务器部分)
weixin_72667582的博客
08-13 439
虚拟机–WEB–开启–VNC–进入单用户模式–关闭SELinux–重启–进入单用户模式–修改root密码–vi /etc/passwd 修改root shell为/bin/bash–进入系统。他这里有中英文对照，所以要用英文再找一遍，如果你熟悉Thinkphp架构的话也可以直接找登录逻辑。/www一看没有，应该是要挂载上去的，结合前面题目的共享服务。只有sdb1是有数据的，所以这里我挂sdb1到/www下。老套路，看日志，找后台，绕密，顺便把navicat也连上。尝试开启虚拟机，失败，没有虚拟化。
盘古石杯电子取证比赛WP
wild_smart_cuber的博客
05-14 5767
盘古石杯电子取证比赛WP
【全网首发最全】首届盘古石杯全国电子数据取证大赛晋级赛write up 2023年奇安信取证比赛 高清截图
weixin_42744595的博客
05-08 1万+
2023盘古石杯 技术交流wechat N34939 更多网络安全CTF题目，欢迎来**polarctf.com**来刷题 链接:https://pan.baidu.com/s/1bcEDEeh3A1RnHAhjmmZOZQ?pwd=vdy6 提取码:vdy6 加密容器为veracrypt容器，容器解密密码为
2023年首届盘古石杯全国电子数据取证大赛技能赛决赛(流量部分)
weixin_72667582的博客
08-18 418
黑客192.168.100.141通过ftp服务给192.168.100.139传了一个马，要判断主机名，我们可以对192.168.100.139进行一个爆搜。做到这里我其实不是很了解被入侵主机是哪一台，但是做到后面ftp的时候明了了。了解一点linux加固的知识就知道，响应头里会暴露中间件的信息。前面的大致浏览就发挥了作用，看见过传输了什么文件。这样筛一遍，有特征最好，没有特征也问题不大。一开始我以为是爆破，但是没找到，考虑隐写。请求体和请求头之间只空一行，所以是$$木马是setup.exe，追踪一下。
2023首届盘古石杯晋级赛复盘
wuwuliuliu0524的博客
06-17 4539
后面再给你们搞找potato的数据库，在data里面找到应用对应的数据库文件，盘古石直接导出的db居然是空的把坚果解压后在文件夹里面找，navicat查看，这个里面的数据存在把内容保存出来，全部base64解密a=open('C:\\Users\\五五六六\\Desktop\\1.txt', 'r', encoding='UTF-8')b=open('C:\\Users\\五五六六\\Desktop\\12.txt', 'w', encoding='UTF-8')a.close()
2023盘古石杯决赛解析之移动智能终端取证
weixin_48492927的博客
06-28 397
全详细的解题步骤，决赛题会陆续放出，历年真题练习。要镜像题目的私信哦。
首届盘古石杯全国电子数据取证大赛 技能赛晋级赛 2023年奇安信取证比赛题目
weixin_42744595的博客
05-07 4785
(答案格式:http://www.baidu.com:8080/login.html)(★★★★★)(答案格式:2000-01-01 01:00:09)(★★☆☆☆)6.根据容恨寒的安卓手机分析，收到的刷单.rar的解压密码是(答案格式：abcdg@1234@hd)(★★★☆☆)1.根据容恨寒的安卓手机分析，手机的蓝牙物理地址是(答案格式：B9:8B:35:8B:03:52)(★☆☆☆☆)7.根据容恨寒的安卓手机分析，发送刷单.rar的用户的手机号是(答案格式：15137321234)(★★★★☆)
2024年盘古石杯服务器取证wp
qq_51233573的博客
05-12 1796
由此可以判断黑客通过/Home/User/tkpwdpost.html 存在的sql注入将上传接口tmpugklv.php写到网站的根目录下 再通过上传接口将一句话木马上传。根据修改时间判断也是后续上传上去的文件 继续向前回溯 18时51分48秒的时候通过sql注入将tmpugklv.php 写道网站当中。再将sql文件导入数据分析工具当中 查看userlog表 结合受害人的聊天记录可以判断受害人第一次成功登录网站的时间为。根据导出的数据库备份文件可以看出 数据库表的前缀 think_
盘古石晋级赛复盘
cppuHsir的博客
07-08 1613
后面再给你们搞找到Potato的数据库，然后导出到navicat挨个看一下，发现在J里面是包含对话信息的，然后按时间降序排序找到容恨寒最后收到的消息，用base64解密好用的工具，嘿嘿因为是GMT所以还要减8。
盘古石杯vscode
07-28
很抱歉，我无法回答你的问题。因为在提供的引用内容中没有提到"盘古石杯vscode"这个信息。请提供更多相关的信息，我将尽力帮助你。 #### 引用[.reference_title] - *1* *2* *3* [盘古石杯电子取证决赛复盘WP](https://blog.csdn.net/wild_smart_cuber/article/details/130927352)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论 7
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值