2022蓝帽杯半决赛电子取证(服务器部分)

解压密码7(G?fu9A8sdgfMsfsdrfE4q6#cf7af0fc1c

服务器取证_01
服务器在启动时设置了运行时间同步脚本，请写出脚本内第二行内容。（答案参考格式：/abcd/tmp www.windows.com）

etc/rc.local 开机自启动文件

查看time.sh

find命令在root底下

gztmpdir说明文件被加密

gzexe -d time.sh解密

服务器取证_02
服务器在计划任务添加了备份数据库脚本，请写出该脚本的第二行内容。（答案参考格式：2022年第六届蓝帽杯）

crontab -l 查看计划任务

火眼导出，sh.x，一般为shc加密

Shell加密/解密工具_unshc-CSDN博客

./unshc-v0.8.sh backup.sh.x

服务器取证_03
使用宝塔linux面板的密码加密方式对字符串lanmaobei进行加密，写出加密结果。（答案参考格式：e10adc3949ba59abbe56e057f20f883e）

宝塔面板的秘密吗加密方式存放在/www/server/panel/class/users.py里面

lanmaobei加上_bt.cn然后md5三次

服务器取证_04
写出服务器中第一次登录宝塔面板的时间。（答案参考格式：2022-02-02 02:02:02）

服务器取证_05
写出宝塔面板的软件商店中已安装软件的个数（答案参考格式：2）

一开始连不上，重新配置一遍网卡，连上了，不会的去补补课

发现宝塔内外网都登不进去

bt 11/12/13/23绕过验证

执行23时报错

这个文件没有权限删除

lsattr /www/server/panel/config/basic_auth.json 

chattr -i /www/server/panel/config/basic_auth.json

rm -rf /www/server/panel/config/basic_auth.json

bt 23

内网登录

服务器取证_06
写出涉案网站（维斯塔斯）的运行目录路径。（答案参考格式：/root/etc/sssh/html）

服务器取证_07
写出最早访问涉案网站后台的IP地址。（答案参考格式：111.111.111.111）

服务器取证_08
写出涉案网站（维斯塔斯）的“系统版本”号。（答案参考格式：6.6.6666）

数据库不知道为啥连不上

用弘联软件

找到用户名密码

网站域名好像访问不到了，可能过期了？？不知道

服务器取证_09
分析涉案网站的会员层级深度，写出最底层会员是多少层。（答案参考格式：66）

6

服务器取证_10
请写出存放网站会员等级变化制度的网站代码文件的SHA256值。（答案参考格式： 8d969eef6ecad3c29a3a629280e686cf0c3f5d5a86aff3ca12020c923adc6c92）

计算sha256即可

服务器取证_11
计算向网站中累计充值最多的五名会员，获得的下线收益总和(不包含平台赠送)。（答案参考格式：666.66）

服务器取证_12
统计涉案网站中余额大于0且银行卡开户行归属于四川省的潜在受害人数量。（答案参考格式：6）

服务器取证_13
统计平台从成立之初至“2021-07-01 23:59:59”共收益多少金额(不包含平台赠送)。（答案参考格式：6666.66）

select b.a-d.c from (SELECT sum(amount) a FROM memberrecharge where type = '用户充值' and status = 1 and updated_at < '2021-07-01 23:59:59' ) b,(SELECT sum(amount) c FROM memberwithdrawal where status = 1 and updated_at < '2021-07-01 23:59:59') d

服务器取证_14
统计涉案网站哪一天登录的会员人数最多。（答案参考格式：1999-09-09）

、SELECT COUNT(DISTINCT(userid)),date_format(updated_at,'%Y-%m-%d') FROM memberlogs GROUP BY date_format(updated_at,'%Y-%m-%d') ORDER BY COUNT(DISTINCT(userid)) DESC
 

服务器取证_15
写出涉案网站中给客服发送“你好，怎么充值”的用户的fusername值。（答案参考格式：lanmaobei666）