2023第一届龙信杯WriteUP（服务器2已重构）
2023年第一届龙信杯
写在前面：这套题很多问题感觉目标不是很明确，需要自己主观上去识别，就有时做题就会很蒙。龙信经验还是不够丰富，特别是镜像，容器里面塞压缩包这个操作，我真的吐了。所以我给一个解压好的容器链接：
https://pan.baidu.com/s/1QPNJc_fF2rZpptwGlB57vQ?pwd=vmcj
提取码：vmcj
容器密码：dzwz123456
ps：在群里看见有同学说server2重构不起来，我起初也是，不过还是被我攻破啦！！！（虽然不重构也能做,甚至进了后台还会被嘲讽。）如果想直接看重构要点的话请通过目录跳转服务器2第7题。
案情简介
2023年9月，某公安机关指挥中心接受害人报案：通过即时通讯工具添加认识一位叫“周微”的女人，两人谈论甚欢，确定网上恋爱关系，后邀约裸聊，受害人上钩后，“周微”和受害人进行裸聊，整个过程被涉诈团伙录音录像。同时周倩以自己做直播“涨粉”为由，引导受害人下载其事先制作好的木马APP，受害人安装该APP后，嫌疑人利用录制的视频和受害人的通讯录做要挟，从而实施诈骗。
公安机关接警后，通过技术手段抓取了一段流量包，且通过公安机关的侦查与分析，锁定了该诈骗团伙的业务窝点，具了解，该团伙成员通过Telegram 联系ETH币商收币，双方在线上确定好了交易时间和交易金额（交易额为300万人民币），并先由卖币方转0.5个ETH到买币方钱包。双方人员碰头后，商定分两笔交易交割，第一笔交易价值100万的虚拟货币、第二笔交易价值200万的虚拟货币。第一笔100万的币从卖币方的地址转到中转地址（由中间人控制），再由中转地址转到买币方提供的收币地址，买币方收到币后将带来的100万现金给卖币方清点，第一笔交易完成。 犯罪分子开始第二笔交易时，被警方当场截获。并将相关嫌疑人抓获，扣押安卓手机1部，笔记本电脑1台，调证服务器2台，以上检材以分别制作了镜像。检材清单见附件。请结合案情，对上述检材进行勘验与分析，完成以下题目。
移动终端取证
1. 请分析涉案手机的设备标识是_______。（标准格式：12345678）
花里胡哨，设备标识就是序列号是吧
2. 请确认嫌疑人首次安装目标APP的安装时间是______。（标准格式：2023-09-13.11:32:23）
什么玩意，第二道题就来个目标APP就有点突兀。看看案情，发现是一个裸聊敲诈的，所以目标APP是裸聊敲诈软件？再看看手机检材吧。
嫌疑人发送了一个裸聊的软件过去，这个应该是我们需要的目标APP吧。
然后弘联解析的只有最后使用时间，那没有意义。怎么弄呢，其实还有应用商店还有数据，这是个小米手机，查看小米应用商店的文件目录（在资源目录，不是软件目录）。
打开后，搜索包名，发现3个
可以看出在2022-11-16.18:03:25安装了第一次，在2022-11-16.18:47:23卸载了，然后在2022-11-16.19:11:26再次安装了。所以第一次安装时间为2022-11-16.18:03:25，但是龙信软件解析出来是第二次安装时间，不好评价。
3. 此检材共连接过______个WiFi。（标准格式：1）
一共6个
4. 嫌疑人手机短信记录中未读的短信共有______条。（标准格式：12）
17个
5. 嫌疑人检材手机在浏览器中下载海报背景图的网址是_______。（标准格式：http://www.baidu.com/admin/index.html）
关键词-海报，在浏览器查看下载记录，发现有点多，在查看访问记录
出现关键词。查看下载的文件的域名跟该网站的域名相同的。
所以网址为：http://www.ziyuanhu.com/d/file/upload/201810231323/20160724114420916.jpg
6. 请分析涉案海报的推广ID是________。（标准格式：123456）
本来以为有隐写，结果去图库一看
直接P图是吧。
7. 嫌疑人通过短信群发去推广APP，请问收件人中有__个号码是无效的。（标准格式：12）
在短信中，发现一个信息，称发送的彩信无法接收，所以答案应该是1。
8. 通过分析，嫌疑人推送的微信账号是______。（标准格式：Lx20230916）
9. 请校验嫌疑人使用的“变声器”APK的包名是________。（标准格式：com.baidu.com）
10. 号商的联系人注册APP的ID是_________。（标准格式：12345678）
这个题也不知道想问些什么，就不明所以，什么APP也不说。
11. 嫌疑人于2022年11月份在_______城市。（标准格式：成都）
嫌疑人发送了一张家附近的图片，可以查看该图片的GPS信息。 
在地图上定位。
江苏苏州
12. 嫌疑人共购买_______个QQ号。（标准格式：1）
这次5个，上次3个，总共8个。
APK取证
1. 分析手机镜像，导出涉案apk，此apk的md5值是________。（标准格式：abc123）
2. 分析该apk，apk的包名是________。（标准格式：com.qqj.123）
3. 分析该apk，app的内部版本号是__________。（标准格式：1.1）
4. 分析该apk，请问该apk最高支持运行的安卓版本是_______。（标准格式：11）
SDK最高版本为32，查看对应文档。
对应安卓版本号为12
5. 分析该apk，app的主函数入口是_________。（标准格式：com.qqj.123.MainActivity）
6. 分析该apk，请问窃取短信的权限名称是________。（标准格式：android.permission.NETWORK）
7. APP使用的OPPO的appkey值是________。（标准格式：AB-12345678）
8. 分析apk源码，该APK后台地址是________。（标准格式：com.qqj.123）
其实有点点抽象，后台不是应该是管理端吗？但是单从APP也不一定能够分析出来吧，应该是问的APK对应的服务器地址（我反正按照这个做的）
抓个包，所以答案为app.goyasha.com
9. 分析apk源码，APP 后台地址登录的盐值是_______。（标准格式：123abc=%$&）
10. 分析apk源码，该APK后台地址登录密码是______。（标准格式：longxin123）
11. 对 APP 安装包进行分析，该 APP打包平台调证值是______。（标准格式：HER45678）
12. 此apk抓包获取到的可访问网站域名IP地址是_______。（标准格式：192.168.1.1）
道理我都懂，抓包做DNS解析是吧，但是这域名也没绑IP啊。
只能说，反正APP里面也就这几个URL，按照答案格式提吧。
13. 分析apk源码，该apk的加密方式key值是________。（标准格式：12345678）
什么玩意，怎么又蹦出来给加密方式，我连这个APP哪儿需要加密都没有看见。。。
这儿倒是有一个，但是感觉都做到这儿来了，应该不是吧。找了一下，只定义不用是吧。不过既然都定义了，肯定需要用，在这一页看看吧。
这个函数会把获取到的信息进行加密，调用SecurityCore.encrypt函数，那过去看看吧。
行吧，走到AES，key为：ade4b1f8a9e6b666
14. 结合计算机镜像，综合分析，请问该apk开发者公司的座机号码是__。（标准格式：4001122334）
签名是龙信的。。。离线的话就去问监考他们公司电话吧，在线的话就。。。
介质取证
1. 对PC镜像分析，请确定涉案电脑的开机密码是_______。（标准格式：123456）
可以发现密码的提示
但是工号是多少，确实不知道，不过弘联能解析出来。
当然工号不会很负责，一般是数字，所以可以用passware进行爆破。
2. 涉案计算机最后一次正常关机时间_______。（标准格式：2023-1-11.11:11:11）
3. 分析涉案计算机，在2022年11月4日此电脑共开机时长为_______。（标准格式：1小时1分1秒）
自己算，结果为13小时41分16秒
4. 对PC镜像分析，请确认微信是否是开机自启动程序。（标准格式：是/否）
5. 检材硬盘中有一个加密分区，给出其中“我的秘密.jpg”文档的解密内容。（标准格式：Longxin0924）
winhex打开，发现是base64编码
6. 接上题，请问该嫌疑人10月份工资是_______元。（标准格式：123）
明显是内存，用来解密微信的，但是火眼内存跑不出来，只有用取证大师跑了
发俩是吧，都打开看看吧。
好嘛，还不一样。
看聊天记录，估计是自己该的，用来装逼的。（出题的用来迷惑人的）
所以应该是压缩包中的19821
7. 对PC镜像进行分析，浏览器中使用过QQ邮箱，请问该邮箱的密码是______。（标准格式：Longxin0924）
8. 结合手机镜像分析，得出一个推广ID，请在此检材找到此海报，请写出路径。（标准格式：D:XX1.txt）
找到俩，通过md5值进行对比
发现是2.png，所以地址为C:Program Files (x86)TencentWeChat.png
9. 请找出嫌疑人的2022年收入共_______。（标准格式：123）
这个容器密码，找了半天，居然是2.png这个文件。。。
解密后
有个模拟器和txt，但是当打开回收站时，发现。
2022年收入在这里面的，真会藏啊。
10. 分析此海报，请找到嫌疑人的银行卡号。（标准格式：62225123456321654）
海报尾存储着的。
虚拟币分析
1. 分析涉案计算机，正确填写中转地址当前的代币种类______。（标准格式：BNB）
刚才不是接出来一个111.npbk吗，直接使用7z解压，可以获得一个vmdk，放在软件中解析。
发现一个中转地址，是ETH
2. 分析涉案计算机，正确填写中转地址当前的代币余额数量_______。（标准格式：1.23）
这个要进系统看是最方便了，所以最好的下个夜神。
3. 根据中转地址转账记录找出买币方地址。买币方地址：____（标准格式：0x123ABC)
根据案情，发现会转0.5到买币方钱包。
所以地址是0x63AA203086938f82380A6A3521cCBf9c56d111eA
4. 根据中转地址转账记录统计买方地址转账金额。转账金额：____ ETH.（标准格式:12.3）
加起来50.5
5. 在创建钱包时，应用APP都会建议我们进行助记词备份，方便以后忘记密码后找回钱包，在办案过程中时常会拿到犯罪嫌疑人备份的助记词的情况。请从以下三组助记词中判断出格式正确的一组（ ）
A.raw sausage art hub inspire dizzy funny exile local middle shed primary
B.raw sausage art hub inspire dizzy funny middle shed primary
C.raw sausage art funny exile local middle shed primary
钱包地址长度为12、15等，只有A符合
6. 假设上题中正确的助记词为通过侦察找到的嫌疑人钱包助记词备份（已知地址属于以太坊链），请在模拟器中通过imToken APP恢复嫌疑人钱包，并选出正确钱包地址（ ）
A.0xf0fF021880c4b1F79876E335c74d26DFa75DC9f9
B.0x63AA203086938f82380A6A3521cCBf9c56d111eA
C.0x0fd5F09C6Ba5Fd0aE6EbAFAF034913ACF7a0373A
填入bip39解析。
所以选B
流量分析
1. 分析“数据包1.cap”，请问客户端为什么访问不了服务器。（ ）
A.DDoS攻击
B.DoS攻击
C.SQL注入
D.文档攻击
看一下IP统计
第一个，看了一下基本上UDP，没意义。
第二个，有大量的TCP与第三个IP进行交互，看来主角就是他们俩。
10.5.0.19在短时间发送了大量长度相同（内容相同）的数据给116.211.168.203
导致后期116.211.168.203出现拒绝服务的情况。所以这是Dos攻击。
2. 分析“数据包1.cap”，出问题的服务器IP地址是_______。（格式：127.0.0.1）
见上题，116.211.168.203
3. 分析“数据包1.cap”，文件下发服务器的IP地址是_______。（标准格式：127.0.0.1）
这流量题目问起来是蒙的。看了整体流量才发现，实际上，10.5.0.19是被攻击后作为肉鸡对116.211.168.203进行Dos攻击，查看流量包可以发现，222.186.21.154对10.5.0.19进行了一个控制，
让10.5.0.19在120.210.129.29服务其中下载了一个java.log文件。所以文件下发服务器是120.210.129.29
4. 分析“数据包1.cap”，攻击者利用_______漏洞进行远程代码执行。（标准格式：XXX）
知道攻击机发送的流量方式，就是不知道是什么漏洞
那就直接搜索一下payload
然后答案格式也给不清楚，也不知到该写什么。反正出题就抽象。
5. 分析“数据包1.cap”，请提取恶意文件，并校验该文件的MD5值为_______。(标准格式:abcd)
恶意文件就是java.log，直接提取。
6. 分析“数据包2.cap”，其获取文件的路径是________。（标准格式：D:/X/X/1.txt）
每次都是其。。。
还好只有两个IP。
筛选http协议，很容易发现这儿有个文件获取。解码就是答案。
C:/Users/Administrator/Downloads/新建文件夹/新建文件夹/mail.png
7. 分析“数据包2.cap”，文件下载服务器的认证账号密码是_______。（标准格式：123）
这是认证值
8. 分析“数据包2.cap”，其下载的文件名大小有________字节。（标准格式：123）
大小211625，当然也可以转储出来。
服务器取证1
1. 服务器系统的版本号是_______。(格式:1.1.1111)
2. 网站数据库的版本号是_______。(格式:1.1.1111)
3. 宝塔面板的“超时”时间是_______分钟。(格式:50)
4. 网站源码备份压缩文件SHA256值是_______。(格式:64位小写)
0bdeeacf755126dae9efd38f6a6d70323aa95217b629fd389e0e81f9b406be39
5. 分发网站sb.wiiudot.cn管理员密码默认MD5加密盐值是_______。(格式:abcd)
在代码中找密码验证地方
发现加密函数名为password，然后跳转到定义，查看代码
发现盐值：lshi4AsSUrUOwWV
6. 分发网站sb.wiiudot.cn一共存放了_______条通讯录数据。（标准格式:1234）
直接进后台进行查看
7. 全部网站一共有_______名受害人。(格式:xxx。不去重,不进行数据恢复)
6，全部网站加是吧。
267+57+182=506
8. 分发网站tf.chongwuxiaoyouxi.com里面一共有_______位“组员级别”的管理员。(格式:数字)
这个网站的伪静态被改了，要改回来。
用自带筛选，获取到26个
9. 分发网站sb.wiiudot.cn管理员名为“0820”的邀请码是_______。(格式:xxx)
10. 分发网站sb.wiiudot.cn本地数据库用户sb_wiiudot_cn的密码是_______。(格式:xxx)
累了，找密码是吧，直接给错误密码，害我登录不上。
其实要找也很好找，刚才都说了有源码备份，那就去备份文件里面找找。
有两个备份文件，测试登录。
服务器取证2
1. 请分析宝塔面板中默认建站目录是_______。（标准格式：/etc/www）
好久都没有看见带UI的了，还有点不习惯。
2. 在宝塔数据库目录有一个只含有一个表结构的数据库，请找到该“表结构文件”并分析出第六个字段的字段类型是_______。（标准格式：int(11)）
火眼直接秒了
3. 请分析“乐享金融”网站绑定的域名是_______。（标准格式：www.baidu.com）
4. 请访问“乐享金融”数据库并找到用户表，假设密码为123456，还原uid为2909，用户名为goyasha加密后密码的值是_______。（标准格式：abcdefghijklmnopqrstuvwsyz）
在代码中找到加密逻辑，所以按照逻辑进行加密，密码为
5. 请重建“乐享金融”，访问平台前台登陆界面，会员登陆界面顶部LOGO上的几个字是_______。（标准格式：爱金融）
网站的运行目录就在根目录。
6. 请分析“乐享金融”一共添加了_______个非外汇产品。（标准格式：5）
外汇ID为5，然后去产品表中看看
产品表为cid
可以看到，不为5的有3个，其中2个被删除了。所以答案为1。
7. 请分析“乐享金融”设置充值泰达币的地址是_______。（标准格式：EDFGF97B46234FDADSDF0270CB3E）
我进去啦！！！
这个网站重构需要修改的地方有点多。
1.需要修改网站运行目录。
需要把网站修改到根目录才能运行。此时你就可以访问到页面了
但是也就只能在这个页面
2.修改PHP版本
打开会发现是纯静态，需要更改到php，版本不是很影响。但是还是发现点不了。
3.修改伪静态
需要修改到thinkphp的伪静态。（问就是根目录那么大的thinkphp，别说看不见）
然后就可以正常使用啦！
前台登录：
后台登录：
然后就可以快乐绕过做题啦！（不过真没必要进后台，因为官方就不想让进，进了你就会发现，后台没有搜索功能，甚至配置功能都没有）
所以还是老老实实看数据库吧。
8. 请分析“乐享金融”充值金额大于582402元的受害人充值总金额是_______。（标准格式：12345678）
就俩。1000087.00+100000000.00=101000087
9. 请分析“乐享金融”银行卡号“6239039472846284913”绑定用户的用户名是_______。（标准格式：张三）
张教瘦
10. 请分析“乐享金融”建仓时间为“2022/03/01 18:44:01”，平仓时间为“2022/03/01 18:52:01”，以太坊/泰达币的这一笔交易的平仓价格是_______。（标准格式：1888.668）
找了一下关键字段
2896.924
11. 请分析“乐享金融”订单编号为“202112090946233262”平仓时间是_______。（标准格式：2022-1-11.1:22:43）
2021-12-09 09:52:23
12. 宝塔面板某用户曾尝试进行一次POST请求，参数为“/BTCloud?action=UploadFilesData”，请问该用户疑似使用的（ ）电脑系统进行访问请求的。
A.Windows 8.1
B.Windows 10
C.Windows 11
D.Windows Server 2000
翻日志。。。最后在2022-07-23.json.gz中找到了
所以选A
13. 请分析该服务器镜像最高权限“root”账户的密码是_______。（标准格式：a123456）
提取shadow文件，获取到密码密文。
配置hashcat，这个密文结构为md5crypt，所以对应使用500进行爆破。
然后掩码采用标准格式给的1位字母+6位数字。
爆破出来密码为：g123123
