第七届蓝帽杯初赛 取证部分复现

取证案情介绍：

2021年5月，公安机关侦破了一起投资理财诈骗类案件，受害人陈昊民向公安机关报案称其在微信上认识一名昵称为yang88的网友，在其诱导下通过一款名为维斯塔斯的APP，进行投资理财，被诈骗6万余万元。接警后，经过公安机关的分析，锁定了涉案APP后台服务器。后经过公安机关侦查和研判发现杨某有重大犯罪嫌疑，经过多次摸排后，公安机关在杨某住所将其抓获，并扣押了杨某手机1部、电脑1台，据杨某交代，其网站服务器为租用的云服务器。上述检材已分别制作了镜像和调证，假设本案电子数据由你负责勘验，请结合案情，完成取证题目。 

APK取证

1.【APK取证】涉案apk的包名是？

打开雷电智能app  新建案件 之后新建证据 选择涉案apk

在基本信息里找到包名

com.vestas.app 

2.【APK取证】涉案apk的签名序列号是？ 

 在详细信息中找到签名序列号

0x563b45ca

3.【APK取证】涉案apk中DCLOUD_AD_ID的值是？

 这道题雷电取证的给的值是错误的 要用其他的软件来看

4.【APK取证】涉案apk的服务器域名是？

 结合整个案件进行分析

  https://vip.licai.com:8083

 5.【APK取证】涉案apk的主入口是？

io.dcloud.PandoraEntry 

手机取证

6.【手机取证】该镜像是用的什么模拟器？

可以看到是雷电模拟器  在log/VBox.log里边也能看到

7.【手机取证】该镜像中用的聊天软件名称是什么？

与你

8.【手机取证】聊天软件的包名是？ 

 

 9.【手机取证】投资理财产品中，受害人最后投资的产品最低要求投资多少钱？

 5万

 10.【手机取证】受害人是经过谁介绍认识王哥？

 华哥

计算机取证

11. 【计算机取证】请给出计算机镜像pc.e01的SHA-1值？

23f861b2e9c5ce9135afc520cbd849677522f54c 

 12.【计算机取证】给出pc.e01在提取时候的检查员？

调查员：pgs

13.【计算机取证】请给出嫌疑人计算机内IE浏览器首页地址？ 

 正常的首页显示：

但是输入这个答案是错的,在复现的时候看到了这个

14.【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码？

 

yang88/3w.qax.com

 15.【计算机取证】请给出嫌疑人电脑内pdf文件默认打开程序的当前版本号？

 进仿真，在wps里边看 2023春季更新（14309）

16.【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1？

 将分区四里边的disk.img添加检材

找到了c盘清理.bat

 24CFCFDF1FA894244F904067838E7E01E28FF450

17.【计算机取证】请给出嫌疑人Vera Crypt加密容器的解密密码？

在文件分类里边找到了密码 

3w.qax.com!!@@

18.【计算机取证】请给出嫌疑人电脑内iSCSI服务器对外端口号？

在starwind中找到了是3261

19.【计算机取证】请给出嫌疑人电脑内iSCSI服务器CHAP认证的账号密码？

VSCode打开目录，搜索user，找到StarWind.cfg中的chapLocalSecret 

 user/panguite.com

20.【计算机取证】分析嫌疑人电脑内提现记录表，用户“mi51888”提现总额为多少？ 

打开VC容器中的提现记录.xlsx，筛选出用户mi51888的记录，然后对amount列求和 

 内存取证

21.【内存取证】请给出计算机内存创建北京时间？

vol.py -f 1.mem imageinfo

2023-06-21 01:02:27 

22.【内存取证】请给出计算机内用户yang88的开机密码？

这道题在计算机取证仿真一下就可以看到 3w.qax.com

vol.py -f 1.mem --profile=Win7SP1x64 mimikatz 

23.【内存取证】提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？

vol.py -f 1.mem --profile=Win7SP1x64 usbstor

2023-06-20 17:01:25 usbstor插件，时间+8  2023-06-20 01:01:25

 

24.【内存取证】请给出用户yang88的LMHASH值？

vol.py -f 1.mem --profile=Win7SP1x64 hashdump

aad3b435b51404eeaad3b435b51404ee 

25.【内存取证】请给出用户yang88访问过文件“提现记录.xlsx”的北京时间？

vol.py -f 1.mem --profile=Win7SP1x64 shellbags > ../shellbags.txt

先转换成url编码

 

26.【内存取证】请给出“VeraCrypt”最后一次执行的北京时间？ 

 

27.【内存取证】分析内存镜像，请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次？

2次

 

28.【内存取证】请给出用户最后一次访问chrome浏览器的进程PID？

vol.py -f 1.mem --profile=Win7SP1x64 pslist 

 

服务器取证

29.【服务器取证】分析涉案服务器，请给出涉案服务器的内核版本？ 

 

服务器取证涉及到的东西没有接触过 一时写不出来 等后面补上