2023首届盘古石杯决赛复盘

五五六六0524

已于 2023-07-18 21:44:17 修改

阅读量5.1k

点赞数 4

分类专栏：取证文章标签：网络

于 2023-07-04 10:47:11 首次发布

本文链接：https://blog.csdn.net/wow0524/article/details/130948085

版权

取证专栏收录该内容

36 篇文章 32 订阅

订阅专栏

写在前面

学生组第19名，断网打取证感觉像坐牢，回来之后复盘感觉成绩没达预期，很多应该出的当时没出

后面牵扯到服务器的没写完，有点麻烦，没空整了，大三好忙

参考大佬的博客2023盘古石决赛 - WXjzc - 博客园 (cnblogs.com)、首届“盘古石杯”全国电子数据取证大赛总决赛参考题解 (qq.com)

容器密码 2ej)!,[JN-U;wm19J=d9sZt_L6#bf+}[

案情简介

公安机关通过对“张娟虚拟币投资被诈骗案”的诈骗团伙电子数据检材进行深入分析后，还摸排到了该诈骗团伙上游的跑分团队，通过办案部门的不懈努力，最后在跑分窝点抓获了跑分平台技术人员John、卡农Bob，扣押窝点NAS服务器1台、John计算机1台，Bob安卓手机1部，扫地机器人1台，无人机1台，智能门锁1把。同时，公安机关摸排到了本案中勒索黑客Hacker，抓取了Hacker计算机网络流量包，扣押了其计算机。以上检材已分别制作了镜像，检材清单见附件。请结合案情，对上述检材进行勘验与分析，完成以下题目。

检材清单

对象

检材类型

检材名称

John

电脑

pc.E01

Bob

手机

三星 SM-N9700.zip

服务器

NAS服务器

disk0.E01

disk1.E01

disk2.E03

disk3.E04

物联网设备

扫地机器人

robot1.bin

robot2.bin

无人机

无人机.rar

智能门锁

智能门锁.rar

Hacker

电脑

disk0.E01

disk1.E01

流量包

Flower.rar

流量分析

黑客计算机流量包

1.计算流量包文件的SHA256值是？[答案：字母小写]

2d689add281b477c82b18af8ab857ef5be6badf253db1c1923528dd73b3d61a9

2.流量包长度在“640-1279”之间的的数据包总共有多少？[答案：100]

179

frame.len >= 640 and frame.len <= 1279

3.黑客使用的计算机操作系统是？[答案：windows7 x32]

windows10 x64

使用key.log对TLS流量解密

4.黑客上传文件到哪个网盘？[答案：xx网盘]

百度网盘

5.黑客上传网盘的中间件是？[答案：xxxx]

nginx

见下题

6.黑客首次登陆网盘时间是？[答案：2000-01-01 01:00:33]

2023-05-11 12:03:55

网盘的第一个分组是699，追踪流

“Thu, 11 May 2023 04:03:55 GMT”+8

7.黑客上传到网盘的txt文件的md5值是？[答案：字母小写]

6a5aff7bec78dd1e4fc23e571b664b50

http contains ".txt"，上传post

8.黑客上传到网盘的txt文件第8行的内容是？[答案：XXX]

两个部分中间是空一行的

9.被入侵主机的计算机名是？[答案：XXXXXXXXXXX]

WIN-BFA1TO8PTNP

第10题中黑客ip判断出来了，192.168.100.141，接下来判断被入侵主机的ip，好几个ip与他相互交互，只有192.168.100.139登录了ftp，入侵主机的ip应该是他

10.被入侵电脑的数据回传端口是？[答案：11]

8000

根据下题，判断出来木马是setup.exe，使用沙箱分析，扫出来4个ip，只有第三个在流量包中，黑客ip就是192.168.100.141:8000

11.流量包中ftp服务器的用户密码是？[答案：abcd]

ftp

官方答案给的pass，不懂

anoymous使用密码User@，密码错误

www使用密码ftp，成功登录

12.流量包中ftp服务器中的木马文件的md5值是？[答案：字母小写]

2a49a00a1f0b898074be95a5bbc436e3

继续往下滑，发现出现setup.exe，木马应该就是他

右键-追踪数据流，使用原始数据存储为setup.exe，刚保存出来，火绒就弹出来给隔离了，确认就是他

13.木马文件伪造的软件版本是？[答案：0.0.0.0]

7.5.0.1039

14.黑客上传到网盘的压缩包解压密码是？[答案：XXXXXXXXXXX]

今天天气不错

查看上传网盘的内容

dic.txt

flag.rar

pass.jpg

导出http对象，导出这3个文件，rar是加密的，jpg导出来不显示图像，用foremost分离一下

dic.txt是个字典

stegseek用dic.txt爆破pass.jpg得到一串摩斯密码，在这里感恩d3f4u1t师傅给的虚拟机

解压密码：-..---.--..-.-. -.--..-..-.-..- -.--..-..-.-..- --.--.....-.-.. -..---.....--.- -..-.-.-...--..-

转中文是“今天天气不错”中文摩尔斯密码 - 一个工具箱 - 好用的在线工具都在这里！ (atoolbox.net)

15.黑客上传到网盘的压缩包内文件的内容是？[答案：xxxxxxx]

flag{dfaefdgegr$$%463}

接上题直接解压即可

技术人员John手机流量包

仿真后看最近使用的文件，test.saz，就是他，用fiddler分析

16.分析技术人员电脑内的手机流量包，给出技术人员的虚拟身份账号是？[答案格式:13039456655]

13012341234

问虚拟身份账号，找登录页面

17.分析技术人员电脑内的手机流量包，给出技术人员的虚拟身份密码是？[答案格式:b3039456655]

a12345678

见上题图

18.分析技术人员电脑内的手机流量包，分析技术人员的看过几段短视频？[答案格式:3]

6个抖音

19.分析技术人员电脑内的手机流量包，分析技术人员最后打开的软件的程序名称是？[答案格式:微信]

狂神无双

下面的都是网址，只有这条是com.zhjhsy.ksws04.ucbiao

在技术人员的雷电手机模拟器中找到了这个包名

叫狂神无双

20.分析技术人员电脑内的手机流量包，分析安全防护的服务器地址是？[答案格式:127.0.0.1]

8.218.119.134

在摸瓜中查安全防护的apk，两次查出8.218.119.134

在jadx中

流量中也有

GetCmd.aspx的调用

移动智能终端取证

卡农就是bob，三星 SM-N9700.zip解压得到Image.zip，再次解压，最后用弘连或者盘古石跑image文件夹

1.分析卡农手机，给出手机的SDK版本？[答案格式:28]

2.分析卡农手机，给出手机最近开机的时间？[答案格式:2023-05-18-19:09:59]

2023-05-15-10:09:29

3.分析卡农手机，给出高德地图关联的手机号是？[答案格式:13011221234]

18317041122

4.分析卡农手机，给出卡农内部聊天工具的昵称是？[答案格式:李多余]

钱彩燕

在jpg图片中找到了pgs的WiFi

PGScup应用

应该就是他

找到apk，可以先过滤apk后缀，在过滤文件路径，比较快

找完apk后，找对应的应用数据，在/data/data中找

然后把cn.wildfirechat.chat的数据复制进雷电模拟器的/data/data里面，雷电模拟器自带的文件传输还是比较方便的，我用的是雷电9，打开PGS，即可看到对应的信息

5.分析卡农手机，给出卡农的真实名字可能是？[答案格式:李多余]

徐鹏坤

计算机取证

黑客计算机

1.黑客计算机系统安装时间是？[答案格式:2000/01/01 01:00:01][★☆☆☆☆☆]

2023-05-10 13:31:47

2.黑客计算机磁盘0的总磁道数？[答案格式:数字中无标点][★★☆☆☆☆]

3328770

查看系统信息

3.黑客计算机的产品密钥是？[答案格式:字母大写]

VK7JG-NPHTM-C97JM-9MPGT-3V66T

4.黑客计算机共有几次卷影拷贝服务关闭事件？[答案格式:1]

卷影复制服务 (VSS)

5.黑客计算机的vc容器解密密码是？[答案格式:字母小写]

byebyedisco

轩禹CTF RSA工具3.6

导入公钥文件pub.key

右键分解模数，把N的值复制进输入，本地DB查询分解p、q，把分解的值复制进第一个框中，逗号是英文

右键计算私钥

导入密文m

右键计算明文，明文转字符

6.黑客计算机加密容器中共有几个docx文件？[答案格式:x]

E盘是加密容器，veracrypt选择设备输入密码即可

7.黑客计算机加密容器中记录的bt币地址有几个？[答案格式:x]4

在文件中没有找到bt币地址，用取证大师解密后查看发现有tmp文件

导出用winhex查看发现是压缩包

直接改后缀zip

8.黑客计算机加密容器中记录的受害人共有多少人？[答案格式:xx]

9.黑客计算机中win7虚拟机中www用户的登陆密码是？[答案格式:xxxxxxx]

12345678

在disk1中找到了win7.7z，导出，解压需要密码

用passwarekit字典攻击爆破密码，字典还是之前在流量包中提取出的那个，密码是zymogenesis

不知道密码，试了下常见的几个，12345678登进去了

10.黑客计算机中win7虚拟机中chrome浏览“bjh.com”网站保存的密码是？[答案格式:xx]

admin123!@#

技术人员计算机

11.分析技术人员电脑，请给出电脑系统安装时间（UTC-0）?[答案格式:20000-01-01 00:00:00]

2023-04-19 06:10:50

UTC-0

12.分析技术人员电脑，请给出电脑内用户John的SID？[答案格式:x-x-x-x-x-x-x-x]

S-1-5-21-2950582214-2327523445-121360615-1001

13.据技术人员交代，其电脑连接过nas服务器，请给出该nas服务器的iqn名称？[答案格式:iqn.xxx]

iqn.2005-10.org.freenas.ctl:windows

14.分析技术人员电脑，请给出该技术人员使用的隐写工具名称？[答案格式:xx]

oursecret

最近访问的项目中找到了oursecret的痕迹

可以看到是在别的盘里，考虑NAS

15.接上题，请给出使用该隐写工具隐写文件所使用的密码？[答案格式:xx]

caiwu

猜的，就找到这一个密码

16.据技术人员交代，其电脑内存过一个名为“财务流水.rar”的文件，请给出该文件的SHA-1?[答案格式:字母小写][★★★★☆]

APK

在技术人员John的电脑仿真中可以看到一个雷电的备份，导出后还原备份

1.分析技术人员的模拟手机，给出安全防护的验证码是？[答案格式:11226655]

110110110

在模拟器中直接导出安全防护，用jadx分析，主函数是com.icbcbfife.hdadgefff.SecretWelcomeActivity

在里面找到判断函数

解释函数

getStartpass函数返回startpass，startpass应该就是用于传递的验证码的

hook没成功，直接暴搜startpass:110110110

2.分析技术人员的模拟手机，给出安全防护的推送服务的调证值是？[答案格式:11226655]

5cfdec7f570df35073000f03

3.分析技术人员的模拟手机，给出老板的联系方式是？[答案格式:11226655]

13812341234

应该是有一个聊天工具，在/data/data看到了熟悉的PGScup，同移动智能终端取证第4题，但是模拟器里未安装apk，安装一下，直接恢复原来的聊天内容，技术人员John就是和钱彩燕聊天的人

4.分析技术人员的模拟手机，给出办公场所是？[答案格式:北京市朝阳区中山路25555号]

上海市闵行区合川川路18888号

见上题图

5.分析技术人员的模拟手机，给出技术人员聊天工具的用户ID是？[答案格式:QN11AATT]

QN63ANIT

二进制文件分析

控制端程序在黑客D盘

1.分析黑客电脑，控制端程序传输协议是什么协议？[答案格式:http]

tcp

PyInstaller打包

使用pyinstxtractor.py脱壳

对server.pyc进行反编译

少部分文本提取不出来，connect类下使用了tcpServer函数，是TCP协议

# uncompyle6 version 3.8.0
# Python bytecode 3.8.0 (3413)
# Decompiled from: Python 3.7.4 (tags/v3.7.4:e09359112e, Jul  8 2019, 20:34:20) [MSC v.1916 64 bit (AMD64)]
# Embedded file name: server.py
import socket, json

def decrypt_config():
    data_str = ''
    with open('config.txt', 'rb') as (f):
        byte = f.read(1)
        byte_to_int = int.from_bytes(byte, byteorder='big')
        data = byte_to_int ^ 41
        dataB = data.to_bytes(1, byteorder='big')
        data_str += dataB.decode()
        while byte:
            byte = f.read(1)
            if byte:
                byte_to_int = int.from_bytes(byte, byteorder='big')
                data = byte_to_int ^ 41
                dataB = data.to_bytes(1, byteorder='big')
                data_str += dataB.decode()

    data_dict = json.loads(data_str)
    return (data_dict['address'], data_dict['port'])


def input_data() -> bytes:
    data = input('请输入指令')
    data = Crypt_data(data)
    return data.encode()


def Crypt_data(data) -> str:
    if isinstance(data, str):
        data = data.encode('utf-8')
    temp = b''
    for i in data:
        data_int = i ^ int.from_bytes(b'p', byteorder='big')
        data_bytes = data_int.to_bytes(1, byteorder='big')
        temp += data_bytes
    else:
        try:
            temp = temp.decode()
        except:
            temp = temp
        else:
            return temp


def deal(data: bytes):
    with open('��������.txt', 'wb+') as (f):
        f.write(data)


class connect:

    def __init__(self):
        self.address = decrypt_config()

    def tcpServer(self):
        with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as (s):
            s.bind(self.address)
            s.listen(10)
            while True:
                conn, addr = s.accept()
                conn.setblocking(0)
                while True:
                    try:
                        data = conn.recv(1000000)
                        data = Crypt_data(data)
                    except BlockingIOError as e:
                        try:
                            data = b''
                        finally:
                            e = None
                            del e

                    else:
                        print(data)
                        if not data == '2a':
                            if data == 'ok':
                                send_data = input_data()
                                conn.send(send_data)
                        else:
                            if data == 'er':
                                print('!!!!操作失败请重新操作!!!!')
                                send_data = input_data()
                                conn.send(send_data)
                        if data == 'end':
                            continue
                        elif data == b'':
                            continue
                        else:
                            deal(data)


if __name__ == '__main__':
    con = connect()
    con.tcpServer()
# okay decompiling server.pyc