2023第七届蓝帽杯电子取证初赛部分题解
2023-8-28 00:10:42 Author: Gh0xE9(查看原文) 阅读量:52 收藏

仅作记录,部分题目没做出来,期待官方wp
取证案情介绍

2021年5月,公安机关侦破了一起投资理财诈骗类案件,受害人陈昊民向公安机关报案称其在微信上认识一名昵称为yang88的网友,在其诱导下通过一款名为维斯塔斯的APP,进行投资理财,被诈骗6万余万元。接警后,经过公安机关的分析,锁定了涉案APP后台服务器。后经过公安机关侦查和研判发现杨某有重大犯罪嫌疑,经过多次摸排后,公安机关在杨某住所将其抓获,并扣押了杨某手机1部电脑1台,据杨某交代,其网站服务器为租用的云服务器。上述检材已分别制作了镜像和调证,假设本案电子数据由你负责勘验,请结合案情,完成取证题目。

题目附件
对象
建材类型
检材名称
陈昊民手机雷电模拟器镜像若干
杨某电脑内存镜像memdump.mem
杨某电脑电脑
pc.E01
杨某服务器
服务器
m-uf4ixbmgmy9mzs0yciuq_system.qcow2
杨某阿里云数据库数据库
hins261244292_data_20230807143325_qp.xb
维斯塔斯安卓应用程序
维斯塔斯.apk

    【APK取证】涉案apk的包名是?[答题格式:com.baid.ccs]

com.vestas.app

    【APK取证】涉案apk的签名序列号是?[答题格式:0x93829bd]

0x563b45ca

    【APK取证】涉案apk中DCLOUD_AD_ID的值是?[答题格式:2354642]

2147483647

【APK取证】涉案apk的服务器域名是?[答题格式:http://sles.vips.com]

https://vip.licai.com

【APK取证】涉案apk的主入口是?[答题格式:com.bai.cc.initactivity]

io.dcloud.PandoraEntry

或者

都是一样的

【手机取证】该镜像是用的什么模拟器?[答题格式:天天模拟器]

雷电模拟器

【手机取证】该镜像中用的聊天软件名称是什么?[答题格式:微信]

与你

【手机取证】聊天软件的包名是?[答题格式:com.baidu.ces]

com.uneed.yuni

【手机取证】投资理财产品中,受害人最后投资的产品最低要求投资多少钱?[答题格式:1万]

5万

【手机取证】受害人是经过谁介绍认识王哥?[答题格式:董慧]

华哥

【计算机取证】请给出计算机镜像pc.e01的SHA-1值?[答案格式:字母小写]

23f861b2e9c5ce9135afc520cbd849677522f54c

【计算机取证】给出pc.e01在提取时候的检查员?[答案格式:admin]

不知道

【计算机取证】请给出嫌疑人计算机内IE浏览器首页地址?[答案格式:http://www.baidu.com]

http://global.bing.com/?scope=web&mkt=en-US&FORM=QBRE

【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码?[答案格式:root/admin]

yang88/3w.qax.com

【计算机取证】请给出嫌疑人电脑内pdf文件默认打开程序的当前版本号?[答案格式:xxxx(xx)]

2023春季更新(14309)

【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1?[答案格式:字母小写]

24CFCFDF1FA894244F904067838E7E01E28FF450

【计算机取证】请给出嫌疑人Vera Crypt加密容器的解密密码?[答案格式:[email protected]#]

[email protected]@

通过自带的VeraCrypt解密工具进行解密,配置好镜像文件后傻瓜化解密即可

然后

得到

【计算机取证】请给出嫌疑人电脑内iSCSI服务器对外端口号?[答案格式:8080]

3261

taskmgr锁定iSCSI服务器进程PID,然后通过netstat -ano查看端口

【计算机取证】请给出嫌疑人电脑内iSCSI服务器CHAP认证的账号密码?[答案格式:root/admin]

user/panguite.com

打开软件,发现密码看不了

在配置文件里找到密码 C:\Program Files\StarWind Software\StarWind\StarWind.txt

root/##evVRsIJtRmAEEd2sCslZDg==

【计算机取证】分析嫌疑人电脑内提现记录表,用户“mi51888”提现总额为多少?[答案格式:10000]

1019

导出求个和

【内存取证】请给出计算机内存创建北京时间?[答案格式:2000-01-11 00:00:00]

2023-06-21 01:02:27

【内存取证】请给出计算机内用户yang88的开机密码?[答案格式:abc.123]

3w.qax.com

【内存取证】提取内存镜像中的USB设备信息,给出该USB设备的最后连接北京时间?[答案格式:2000-01-11 00:00:00]

2023-06-21 01:01:25

【内存取证】请给出用户yang88的LMHASH值?[答案格式:字母小写]

aad3b435b51404eeaad3b435b51404ee

【内存取证】请给出用户yang88访问过文件“提现记录.xlsx”的北京时间?[答案格式:2000-01-11 00:00:00]

2023-06-21 00:28:14

【内存取证】请给出“VeraCrypt”最后一次执行的北京时间?[答案格式:2000-01-11 00:00:00]

2023-06-21 00:47:41

【内存取证】分析内存镜像,请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次?[答案格式:10]

2

【内存取证】请给出用户最后一次访问chrome浏览器的进程PID?[答案格式:1234]

2456

服务器取证

服务器的信息如下

系统版本1.0.190311
服务器地址192.168.233.129
操作系统Linux 3.10.0-957.el7.x86_64
运行环境nginx/1.22.1
PHP版本7.2.33
MYSQL版本5.7.25
Laravel5.8.26
上传附件限制50M
执行时间限制300秒

涉案服务器存在一个宝塔面板,其用户名为alviosso,安全入口为c2b2f950将密码修改成123456成功登录该面板。

涉案网站绑定了以下几个域名

其网站目录为/www/wwwroot/v9.licai.com

对涉案网站进行数据库还原,分析网站源码,发现该网站使用的是阿里云的RDS服务,根据检材所提供的 hins261244292_data_20230807143325_qp.xb 对数据库进行数据恢复

mv hins261244292_data_20230807143325_qp.xb hins.qp.xb
cat hins.qp.xb | xbstream -x -v -C /home/icecliffs/mysql/data
innobackupex --decompress --remove-origin /home/icecliffs/mysql/data
innobackupex --defaults-file=/home/icecliffs/mysql/data/backup-my.cnf --apply-log /home/icecliffs/mysql/data
chown -R mysql:mysql /home/icecliffs/mysql/data

之后将恢复好的数据库上传到天仪进行数据库仿真,然后使用本地的数据库取证工具进行取证

接下来恢复网站访问,将网站源码中的.env里的值修改为天仪的连接地址

之后访问站点,没有报错则说明访问成功

接下来对网站用户进行提权,根据谷歌浏览器保存的密码,我们随便注册一个用户设置一个简单的密码,然后把密码替换到admin表,在把用户表权限改成admin

然后登陆网站管理后台,http://192.168.233.129:8083/AdminV9YY/Login

成功登录进该系统

进来后修改下管理员密码,方便后续取证

【服务器取证】分析涉案服务器,请给出涉案服务器的内核版本?[答案格式:xx.xxx-xxx.xx.xx]

3.10.0-957.el7.x86_64

【服务器取证】分析涉案服务器,请给出MySQL数据库的root账号密码?[答案格式:Admin123]

ff1d923939ca2dcf

【服务器取证】分析涉案服务器,请给出涉案网站RDS数据库地址?[答题格式: xx-xx.xx.xx.xx.xx]

pc-uf6mmj68r91f78hkj.rwlb.rds.aliyuncs.com

【服务器取证】请给出涉网网站数据库版本号? [答题格式: 5.6.00]

5.7.40

【服务器取证】请给出涉案网站后台启用的超级管理员?[答题格式:abc]

admin

【服务器取证】投资项目“贵州六盘水市风力发电基建工程”的日化收益为?[答题格式:1.00%]

4.00%

项目规模:20000000

投资进度:89%

起投金额:7000

交易收益:4

项目期限:7个自然日

首先,需要计算实际投资额,即投资进度乘以项目规模:

实际投资额 = 项目规模 * 投资进度 / 100

实际投资额 = 20000000 * 89 / 100 = 17800000

然后,计算总收益:

总收益 = 实际投资额 * 交易收益 / 100

总收益 = 17800000 * 4 / 100 = 712000

最后,计算日化收益率:

日化收益 = 总收益 / 起投金额 / 项目期限 * 100

日化收益 = 712000 / 7000 / 7 * 100 ≈ 14.42%

我隔这乱算啥呢😅

【服务器取证】最早访问涉案网站后台的IP地址为[答题格式:8.8.8.8]

183.160.76.194

【服务器取证】分析涉案网站数据库或者后台VIP2的会员有多少个[答案格式:100]

20


文章来源: http://mp.weixin.qq.com/s?__biz=MzAwNTc5MTMyNg==&mid=2247498709&idx=1&sn=4dcc79ddacf6c9939adfee1da425f89f&chksm=9b15f0e4ac6279f2964bce893bcbbdaeafe4f2d7b078709d4f3b27dfac5780858c30c602612e&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh