https://nan0in27.cn/categories/2024%E7%9B%98%E5%8F%A4%E7%9F%B3%E6%9D%AF/Recent content in 2024盘古石杯 on Nan0inPsyLogHugo -- gohugo.iozh-cn楠牧音 | glow Nan0inhttps://nan0in27.cn/p/2024%E7%9B%98%E5%8F%A4%E7%9F%B3%E6%9D%AF/Mon, 14 Apr 2025 15:36:00 +0000https://nan0in27.cn/p/2024%E7%9B%98%E5%8F%A4%E7%9F%B3%E6%9D%AF/<img src="https://nan0in27.cn/p/2024%E7%9B%98%E5%8F%A4%E7%9F%B3%E6%9D%AF/banner.png" alt="Featured image of post 2024盘古石杯" /><blockquote> <p>veracrypt挂载 密码2b26ba7ed35d622d8ec19ad0322abc52160ddbfa</p> </blockquote> <h1 id="使用工具">使用工具 </h1><h2 id="综合分析">综合分析 </h2><ul> <li>取证大师</li> <li>美亚手机大师</li> </ul> <h2 id="镜像仿真">镜像仿真 </h2><ul> <li>平航仿真软件</li> </ul> <h2 id="文本分析">文本分析 </h2><ul> <li>010editor</li> <li>vscode</li> </ul> <h2 id="apk分析">apk分析 </h2><ul> <li>jadx</li> <li>云沙箱网站</li> </ul> <h2 id="数据库工具">数据库工具 </h2><ul> <li>DB Browser for SQLite</li> <li>DB Browser for SQLite cipher</li> <li>navicat16</li> <li>forensicstool</li> </ul> <h2 id="内存取证工具">内存取证工具 </h2><ul> <li>Volatility3</li> </ul> <h2 id="杂项">杂项 </h2><ul> <li>cyberchef 进行解密</li> </ul> <h1 id="apk取证">APK取证 </h1><h2 id="分析伏季雅的手机检材手机中诈骗app的包名是">分析伏季雅的手机检材，手机中诈骗APP的包名是 </h2><p>答案格式：abc.abc.abc，区分大小写<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_1.png"> <img src="com_1.png" alt="" /> </a> </div> <code>2024-04-25-09-53-24</code></p> <h2 id="分析义言的手机检材分析团队内部使用的即时通讯软件该软件连接服务器的地址是">分析义言的手机检材，分析团队内部使用的即时通讯软件，该软件连接服务器的地址是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_2.png"> <img src="apk_2.png" alt="" /> </a> </div> mattermost是内部通讯软件</p> <h4 id="app_webview文件夹">** <code>app_webview/</code> 文件夹** </h4><ul> <li> <p><strong>路径</strong>：<code>./app_webview/</code></p> </li> <li> <p><strong>内容</strong>：WebView 缓存，可能包含 HTTP 请求记录。</p> </li> <li> <p><strong>操作</strong>：<br> 检查 <code>Cookies</code>、<code>Local Storage</code> 或 <code>IndexedDB</code> 中的网络请求痕迹。 <div class="post-img-view"> <a data-fancybox="gallery" href="apk_2-1.png"> <img src="apk_2-1.png" alt="" /> </a> </div> DB-browser打开，<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_2-2.png"> <img src="apk_2-2.png" alt="" /> </a> </div> <code>192.168.137.97</code></p> </li> </ul> <h2 id="接上题该软件存储聊天信息的数据库文件名称是">接上题，该软件存储聊天信息的数据库文件名称是 </h2><p>答案格式：abc.abc，区分大小写<br> 刚开始直接进databases找没有， <div class="post-img-view"> <a data-fancybox="gallery" href="apk_3.png"> <img src="apk_3.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_3-1.png"> <img src="apk_3-1.png" alt="" /> </a> </div> 这里有聊天记录，就是这个<br> <code>aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db</code></p> <p>顺带一提这个base64解密后就是IP <br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_3-2.png"> <img src="apk_3-2.png" alt="" /> </a> </div> </p> <h2 id="接上题该即时通讯软件中团队内部沟通群中一共有多少个用户"><strong>接上题，该即时通讯软件中，团队内部沟通群中，一共有多少个用户</strong> </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_4.png"> <img src="apk_4.png" alt="" /> </a> </div> </p> <p><code>6</code></p> <h2 id="接上题该即时通讯应用的版本号是">接上题，该即时通讯应用的版本号是 </h2><p>直接看控制面板是5.7.0不对<br> <code>app.db</code> <div class="post-img-view"> <a data-fancybox="gallery" href="app_8.png"> <img src="app_8.png" alt="" /> </a> </div> <code>2.15.0</code></p> <h2 id="接上题该即时通讯应用中团队内部沟通中曾发送了一个视频文件该视频文件发送者的用户名是">接上题，该即时通讯应用中，团队内部沟通中曾发送了一个视频文件，该视频文件发送者的用户名是 </h2><p>files表找post_id post表找user_id user表找名称 <div class="post-img-view"> <a data-fancybox="gallery" href="apk_9.png"> <img src="apk_9.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_4-1.png"> <img src="apk_4-1.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_4-2.png"> <img src="apk_4-2.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_4-3.png"> <img src="apk_4-3.png" alt="" /> </a> </div> <code>yiyan</code></p> <h2 id="接上题分析该即时通讯的聊天记录团队购买了一个高性能显卡该显卡的显存大小是">接上题，分析该即时通讯的聊天记录，团队购买了一个高性能显卡，该显卡的显存大小是 </h2><p>复现的时候网站换源了<br> <code>24G</code></p> <h2 id="分析义言的手机检材手机中装有一个具备隐藏功能的app该app启动设置了密码设置的密码长度是多少位">分析义言的手机检材，手机中装有一个具备隐藏功能的APP，该APP启动设置了密码，设置的密码长度是多少位 </h2><p>这个很难 <div class="post-img-view"> <a data-fancybox="gallery" href="apk_11.png"> <img src="apk_11.png" alt="" /> </a> </div> 复现的时候才知道要看可疑软件<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_11-1.png"> <img src="apk_11-1.png" alt="" /> </a> </div> 这够可疑了吧<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk-11.png"> <img src="apk-11.png" alt="" /> </a> </div> 有点太难找了<br> 解密方法在<a class="link" href="https://theincidentalchewtoy.wordpress.com/2021/12/07/decrypting-the-calculator-apps/" target="_blank" rel="noopener" >这个</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_11-2.png"> <img src="apk_11-2.png" alt="" /> </a> </div> 加密密钥都是相同的<code>Rny48Ni8aPjYCnUI</code> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_11-3.png"> <img src="apk_11-3.png" alt="" /> </a> </div> 根据文章提示，我们可以找到<code>/F:/data/data/com.hld.anzenbokusufake/shared_prefs/share_privacy_safe.xml</code>并进行解密<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_11-4.png"> <img src="apk_11-4.png" alt="" /> </a> </div> 可以看出9位密码</p> <h2 id="接上题分析上述隐藏功能的app一共隐藏了多少个应用">接上题，分析上述隐藏功能的APP，一共隐藏了多少个应用 </h2><p>用带cipher的sqlitebrowser打开，还要注意sqicipher3才能打开(这东西比赛谁做得出来)<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_12.png"> <img src="apk_12.png" alt="" /> </a> </div> <code>5</code></p> <h2 id="接上题分析上述隐藏功能的app该app一共加密了多少个文件">接上题，分析上述隐藏功能的APP，该APP一共加密了多少个文件 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_13.png"> <img src="apk_13.png" alt="" /> </a> </div> <code>5</code> 注意这里解出BitLocker恢复密钥会在下面计算机取证非常顺畅</p> <h2 id="接上题分析上述隐藏功能的app该app加密了一份含有公民隐私信息的文件该文件的原始名称是">接上题，分析上述隐藏功能的APP，该APP加密了一份含有公民隐私信息的文件，该文件的原始名称是 </h2><p><code>公民信息.xlsx</code></p> <h2 id="分析义言的手机检材马伟的手机号码是">分析义言的手机检材，马伟的手机号码是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_14.png"> <img src="apk_14.png" alt="" /> </a> </div> 退回去看加密文件，我们如法炮制用同样的密钥进行解密<br> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_15.png"> <img src="apk_15.png" alt="" /> </a> </div> <code>18921286666</code></p> <h2 id="分析义言的手机检材手机中存有一个bitlocker恢复密钥文件文件已被加密原始文件的md5值是">分析义言的手机检材，手机中存有一个BitLocker恢复密钥文件，文件已被加密，原始文件的MD5值是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_16.png"> <img src="apk_16.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="apk_15-1.png"> <img src="apk_15-1.png" alt="" /> </a> </div> <code>497f308f66173dcd946e9b6a732cd194</code></p> <h1 id="计算机取证">计算机取证 </h1><h2 id="分析伏季雅的计算机检材计算机最后一次错误登录时间">分析伏季雅的计算机检材，计算机最后一次错误登录时间 </h2><p>答案格式：2024−01−01−04−05−06</p> <h2 id="分析伏季雅的计算机检材计算机中曾经浏览过的电影名字是">分析伏季雅的计算机检材，计算机中曾经浏览过的电影名字是 </h2><p>答案格式：《奥本海默》<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_2.png"> <img src="com_2.png" alt="" /> </a> </div> <code>《坠落的审判》</code></p> <h2 id="分析伏季雅的计算机检材计算机中团队内部即时通讯软件的最后一次打开的时间是">分析伏季雅的计算机检材，计算机中团队内部即时通讯软件的最后一次打开的时间是 </h2><p>答案格式：2024−01−01−04−05−06 <div class="post-img-view"> <a data-fancybox="gallery" href="com_3-1.png"> <img src="com_3-1.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="com_3.png"> <img src="com_3.png" alt="" /> </a> </div> 翻找近期使用软件后发现这个即时通讯软件<br> <code>2024-04-26-17-13-02</code></p> <h2 id="分析伏季雅的计算机检材计算机中有一款具备虚拟视频功能的软件该软件合计播放了多少个视频">分析伏季雅的计算机检材，计算机中有一款具备虚拟视频功能的软件，该软件合计播放了多少个视频 </h2><p>仿真（用的平航，不知道为什么我自己的跑不起来）<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_4.png"> <img src="com_4.png" alt="" /> </a> </div> 虚拟视频功能软件是mvbox<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_4-1.png"> <img src="com_4-1.png" alt="" /> </a> </div> 就一个视频<br> <code>1</code></p> <h2 id="接上题该软件的官网地址是">接上题，该软件的官网地址是 </h2><blockquote> <p><a class="link" href="https://www.mvbox.cn" target="_blank" rel="noopener" >https://www.mvbox.cn</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> </p> </blockquote> <h2 id="接上题该软件录制数据时设置的帧率是">接上题，该软件录制数据时，设置的帧率是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_6.png"> <img src="com_6.png" alt="" /> </a> </div> <br> <code>15</code></p> <h2 id="分析伏季雅的计算机检材在团队内部使用的即时通讯软件中其一共接收了多少条虚拟语音">分析伏季雅的计算机检材，在团队内部使用的即时通讯软件中，其一共接收了多少条虚拟语音 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_7.png"> <img src="com_7.png" alt="" /> </a> </div> </p> <blockquote> <p>4</p> </blockquote> <h2 id="分析毛雪柳的计算机检材计算机插入三星固态盘的时间是">分析毛雪柳的计算机检材，计算机插入三星固态盘的时间是 </h2><p>这题时间在不同软件中是存在差别的，题目有小问题</p> <p><code>2024-04-25-19-08-08</code></p> <h2 id="分析毛雪柳的计算机检材计算机操作系统当前的build版本是">分析毛雪柳的计算机检材，计算机操作系统当前的Build版本是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_9.png"> <img src="com_9.png" alt="" /> </a> </div> 取证大师一把梭 <code>19045</code></p> <h2 id="分析毛雪柳的计算机检材团队内部使用的即时通讯软件在计算机上存储日志的文件名是">分析毛雪柳的计算机检材，团队内部使用的即时通讯软件在计算机上存储日志的文件名是 </h2><p>最近访问文档 <div class="post-img-view"> <a data-fancybox="gallery" href="com_10.png"> <img src="com_10.png" alt="" /> </a> </div> <code>main.log</code></p> <h2 id="分析毛雪柳的计算机检材伏季雅一月份实发工资的金额是">分析毛雪柳的计算机检材，伏季雅一月份实发工资的金额是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_11.png"> <img src="com_11.png" alt="" /> </a> </div> 仿真，回收站里有密码，但是是错误的😂 <div class="post-img-view"> <a data-fancybox="gallery" href="com_11-1.png"> <img src="com_11-1.png" alt="" /> </a> </div> 手机里有密码，好<br> <code>maoxl2024!%*!</code> <div class="post-img-view"> <a data-fancybox="gallery" href="com_11-3.png"> <img src="com_11-3.png" alt="" /> </a> </div> <code>11200</code></p> <h2 id="分析毛雪柳的计算机检材该团伙三月份的盈余多少">分析毛雪柳的计算机检材，该团伙三月份的盈余多少 </h2><p><code>158268</code></p> <h2 id="分析义言的计算机检材计算机连接过的三星移动硬盘t7的序列号是">分析义言的计算机检材，计算机连接过的三星移动硬盘T7的序列号是 </h2><p>SN(Serial Number) <div class="post-img-view"> <a data-fancybox="gallery" href="com_13.png"> <img src="com_13.png" alt="" /> </a> </div> <code>S6TWNS0RB02721X</code></p> <h2 id="分析义言的计算机检材计算机的最后一次正常关机时间是">分析义言的计算机检材，计算机的最后一次正常关机时间是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_14.png"> <img src="com_14.png" alt="" /> </a> </div> <code>2024-04-28-18-51-56</code></p> <h2 id="分析义言的计算机检材曾经使用工具连接过数据库该数据库的密码是">分析义言的计算机检材，曾经使用工具连接过数据库，该数据库的密码是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_15.png"> <img src="com_15.png" alt="" /> </a> </div> forensicstool梭一下<br> <code>root</code></p> <h2 id="分析义言的计算机检材计算机中安装的xshell软件的版本号是">分析义言的计算机检材，计算机中安装的xshell软件的版本号是 </h2><p>跑一下仿真，在控制面版看<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_16.png"> <img src="com_16.png" alt="" /> </a> </div> <code>Build-0157</code> DID的答案是错的，不管</p> <h2 id="分析义言的计算机检材曾使用shell工具连接过服务器该服务器root用户的密码">分析义言的计算机检材，曾使用shell工具连接过服务器，该服务器root用户的密码 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_17.png"> <img src="com_17.png" alt="" /> </a> </div> 仿真出来是这个软件，D盘下有配置文件但是Bitlocker<br> 如果APK那里解密出了我们就可以进行解密了<br> <code>337469-693121-682748-288772-440682-300223-203698-553124</code></p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_16-1.png"> <img src="com_16-1.png" alt="" /> </a> </div> conn文件夹下有喽 <a class="link" href="https://github.com/antonTwelve/finalshellPasswordDecrypter" target="_blank" rel="noopener" >解密</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> <div class="post-img-view"> <a data-fancybox="gallery" href="com_16-2.png"> <img src="com_16-2.png" alt="" /> </a> </div> <code>root</code></p> <h2 id="分析义言的计算机检材计算机曾接收到一封钓鱼邮件该邮件发件人是">分析义言的计算机检材，计算机曾接收到一封钓鱼邮件，该邮件发件人是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_17-1.png"> <img src="com_17-1.png" alt="" /> </a> </div> 就那个<code>838299176@qq.com</code></p> <h2 id="接上题钓鱼邮件中附件的大小是多少mb">接上题，钓鱼邮件中附件的大小是多少MB </h2><p><code>2.4</code></p> <h2 id="接上题上述附件解压运行后文件的释放位置是">接上题，上述附件解压运行后，文件的释放位置是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_20.png"> <img src="com_20.png" alt="" /> </a> </div> 云沙箱解析<br> <div class="post-img-view"> <a data-fancybox="gallery" href="inde.png"> <img src="inde.png" alt="" /> </a> </div> <code>C:\Windows\Temp</code></p> <h2 id="接上题恶意木马文件的md5值是">接上题，恶意木马文件的MD5值是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_21.png"> <img src="com_21.png" alt="" /> </a> </div> <code>f539aab0af03836e73ec1727db8a6d50</code></p> <h2 id="接上题恶意木马文件的回连ip地址是">接上题，恶意木马文件的回连IP地址是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_22.png"> <img src="com_22.png" alt="" /> </a> </div> <code> 192.168.137.77:80</code></p> <h2 id="分析义言的计算机检材计算机中保存的有隐写痕迹的文件名">分析义言的计算机检材，计算机中保存的有隐写痕迹的文件名 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_23.png"> <img src="com_23.png" alt="" /> </a> </div> 会用来生成bmp文件进行隐写吗，搜索一下<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index.png"> <img src="index.png" alt="" /> </a> </div> 找名字奇怪的图片，而且非常，模糊，提取一下<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com-22.png"> <img src="com-22.png" alt="" /> </a> </div> 所以就是这个文件<br> <code>a78bd8b5bec5f60380782bd674c7443p.bmp</code></p> <h2 id="分析义言的计算机检材保存容器密码的文件大小是多少字节">分析义言的计算机检材，保存容器密码的文件大小是多少字节 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_24.png"> <img src="com_24.png" alt="" /> </a> </div> 分析出来有这些加密文件，测试一下解密, 这个大小刚好2个G，非常可疑，发现用LSB隐写解出来的密码刚好能用，所以就是保存容器密码的文件<br> <div class="post-img-view"> <a data-fancybox="gallery" href="com_24-1.png"> <img src="com_24-1.png" alt="" /> </a> </div> <code>20</code></p> <h2 id="分析义言的计算机内存检材该内存镜像制作时间utc8是">分析义言的计算机内存检材，该内存镜像制作时间(UTC+8)是 </h2><p>跑内存分析啊，用volatility3跑<br> <code>python vol.py -f &quot;A:\嫌疑人\义言\计算机\memdump.mem&quot; windows.info</code> <div class="post-img-view"> <a data-fancybox="gallery" href="com_25.png"> <img src="com_25.png" alt="" /> </a> </div> system time，要UTC+8<br> <code>2024-04-25-22-18</code></p> <h2 id="分析义言的计算机内存检材navicatexe的进程id是">分析义言的计算机内存检材，navicat.exe的进程ID是 </h2><p><code>python vol.py -f &quot;A:\嫌疑人\义言\计算机\memdump.mem&quot; windows.pslist</code></p> <p>跑出来<code>9336</code></p> <h2 id="人工智能部分">人工智能部分 </h2><blockquote> <p>大胆！如果D盘bitlocker没解出来那么多题都别做了！人工智能的东西都在D盘里呢</p> </blockquote> <h2 id="分析义言的计算机检材一共训练了多少个声音模型">分析义言的计算机检材，一共训练了多少个声音模型 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="ai_1.png"> <img src="ai_1.png" alt="" /> </a> </div> 这个得看log才行,sovits-weight只是保存模型的，可能有的不是训练的 <code>4</code></p> <h2 id="分析义言的计算机检材声音模型voice2一共训练了多少条声音素材">分析义言的计算机检材，声音模型voice2，一共训练了多少条声音素材 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-1.png"> <img src="index-1.png" alt="" /> </a> </div> </p> <p><code>17</code></p> <h2 id="分析义言的计算机检材声音模型voice3一共训练了多少轮">分析义言的计算机检材，声音模型voice3，一共训练了多少轮 </h2><p>熟悉的话看模型中e的轮数就可以了 <div class="post-img-view"> <a data-fancybox="gallery" href="index-2.png"> <img src="index-2.png" alt="" /> </a> </div> <code>8</code></p> <h2 id="分析义言的计算机检材声音克隆工具推理生成语音界面的监听端口是">分析义言的计算机检材，声音克隆工具推理生成语音界面的监听端口是 </h2><p>根据之前使用过的记忆来说，我们只需要跑起来webUI推理即可 <div class="post-img-view"> <a data-fancybox="gallery" href="index-3.png"> <img src="index-3.png" alt="" /> </a> </div> <code>9872</code></p> <p>下一道题有些难，水平不够我写不出脚本(</p> <p>后面换脸AI部分就是简单的翻找就行，这里直接过了</p> <h1 id="im服务器部分">IM服务器部分 </h1><p>这里可以参考一下[西电wp]((<a class="link" href="https://forensics.xidian.edu.cn/wiki/PGS2024Preliminary/#_14" target="_blank" rel="noopener" >https://forensics.xidian.edu.cn/wiki/PGS2024Preliminary/#_14</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> )<br> 我们直接起一个NAT或桥接网络的虚拟机，开启了DHCP，用shell工具连接即可， <div class="post-img-view"> <a data-fancybox="gallery" href="index-5.png"> <img src="index-5.png" alt="" /> </a> </div> </p> <h2 id="分析内部im服务器检材在搭建的内部即时通讯平台中客户端与服务器的通讯端口是">分析内部IM服务器检材，在搭建的内部即时通讯平台中，客户端与服务器的通讯端口是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-4.png"> <img src="index-4.png" alt="" /> </a> </div> docker ps <code>8065</code></p> <h2 id="分析内部im服务器检材该内部im平台使用的数据库版本是">分析内部IM服务器检材，该内部IM平台使用的数据库版本是 </h2><p>服务器中跑着一个docker容器，交互模式进入到容器中 <div class="post-img-view"> <a data-fancybox="gallery" href="index-6.png"> <img src="index-6.png" alt="" /> </a> </div> 有一个<code>docker-entry.sh</code> <br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-7.png"> <img src="index-7.png" alt="" /> </a> </div> 其中将<code>PostfgreSQL</code>和<code>MatterMost</code>的配置文件信息传递<br> 已知<code>PostgreSQL</code>官方Docker镜像通过环境变量传递配置，我们查看env<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-8.png"> <img src="index-8.png" alt="" /> </a> </div> 也可以<code>psql --version</code></p> <p><code>12.18</code></p> <h2 id="分析内部im服务器检材该内部im平台中数据库的名称是">分析内部IM服务器检材，该内部IM平台中数据库的名称是 </h2><p>上题就出来了<br> <code>mattermost_test</code></p> <h2 id="分析内部im服务器检材该内部im平台中当前数据库一共有多少张表">分析内部IM服务器检材，该内部IM平台中当前数据库一共有多少张表 </h2><p>docker inspect看进程具体信息<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-10.png"> <img src="index-10.png" alt="" /> </a> </div> 找到IPAddress后<br> 先通过navicat写好ssh的配置文件再写postgreSQL的配置文件连接上数据库<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-13.png"> <img src="index-13.png" alt="" /> </a> </div> </p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-11.png"> <img src="index-11.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="index-12.png"> <img src="index-12.png" alt="" /> </a> </div> <code>82</code></p> <h2 id="分析内部im服务器检材员工注册的邀请链接中邀请码是">分析内部IM服务器检材，员工注册的邀请链接中，邀请码是 </h2><p><code>USERS</code>表中我们找到管理员账户<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-14.png"> <img src="index-14.png" alt="" /> </a> </div> 这是bcrypt加密方式，我们用相同方式加密一个123456密码，然后填进去登录 <div class="post-img-view"> <a data-fancybox="gallery" href="index-15.png"> <img src="index-15.png" alt="" /> </a> </div> <code>54d916mu6p858bbyz8f88rmbmc</code></p> <h2 id="分析内部im服务器检材用户yiyan一共给fujiya发送了几个视频文件">分析内部IM服务器检材，用户yiyan一共给fujiya发送了几个视频文件 </h2><p>登录一下yiyan的账号<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-16.png"> <img src="index-16.png" alt="" /> </a> </div> 2个视频4个音频<br> <code>2</code></p> <h2 id="分析内部im服务器检材用户yiyan在团队群组中发送的视频文件的md5值是">分析内部IM服务器检材，用户yiyan在团队群组中发送的视频文件的MD5值是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-17.png"> <img src="index-17.png" alt="" /> </a> </div> 这个，用7z跑<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-18.png"> <img src="index-18.png" alt="" /> </a> </div> <code>f8adb03a25be0be1ce39955afc3937f7</code></p> <h2 id="分析内部im服务器检材一个团队中允许的最大用户数是">分析内部IM服务器检材，一个团队中允许的最大用户数是 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-19.png"> <img src="index-19.png" alt="" /> </a> </div> 成员和团队中<br> <code>50</code></p> <h2 id="分析内部im服务器检材黑客是什么时候开始攻击">分析内部IM服务器检材，黑客是什么时候开始攻击 </h2><p>控制台可看服务器日志，密码爆破 <div class="post-img-view"> <a data-fancybox="gallery" href="index-20.png"> <img src="index-20.png" alt="" /> </a> </div> <code>2024-04-25-07-33</code></p> <h1 id="web服务器部分">Web服务器部分 </h1><p>仿真后进入</p> <h2 id="分析网站服务器检材网站搭建使用的服务器管理软件当前版本是否支持32位系统">分析网站服务器检材，网站搭建使用的服务器管理软件当前版本是否支持32位系统 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-21.png"> <img src="index-21.png" alt="" /> </a> </div> root下有用于备份数据库的<code>backup.sh</code>和存放备份文件的<code>backup</code>目录<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-22.png"> <img src="index-22.png" alt="" /> </a> </div> 由于存在<code>install.sh</code>，查看发现是宝塔面板安装脚本，重新设置密码后登录查看信息 <div class="post-img-view"> <a data-fancybox="gallery" href="index-23.png"> <img src="index-23.png" alt="" /> </a> </div> 6.0以上不再支持32位版本<br> <code>否</code></p> <h2 id="分析网站服务器检材数据库备份的频率是一周多少次">分析网站服务器检材，数据库备份的频率是一周多少次 </h2><p>计划任务中 <div class="post-img-view"> <a data-fancybox="gallery" href="index-24.png"> <img src="index-24.png" alt="" /> </a> </div> 所以我们可以直接crontab 查看用户的定时任务</p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-25.png"> <img src="index-25.png" alt="" /> </a> </div> 让AI帮我分析一下🤗 <div class="post-img-view"> <a data-fancybox="gallery" href="index-26.png"> <img src="index-26.png" alt="" /> </a> </div> 每周日的0点备份一次<br> <code>1</code></p> <blockquote> <p>老登那搞来的图 <div class="post-img-view"> <a data-fancybox="gallery" href="index-27.png"> <img src="index-27.png" alt="" /> </a> </div> </p> </blockquote> <h2 id="分析网站服务器检材数据库备份生成的文件的密码是">分析网站服务器检材，数据库备份生成的文件的密码是 </h2><p>根据<code>backup.sh</code>中反向生成</p> <div class="highlight"><div class="chroma"> <table class="lntable"><tr><td class="lntd"> <pre tabindex="0" class="chroma"><code><span class="lnt">1 </span><span class="lnt">2 </span></code></pre></td> <td class="lntd"> <pre tabindex="0" class="chroma"><code class="language-bash" data-lang="bash"><span class="line"><span class="cl"><span class="o">[</span>root@wns ~<span class="o">]</span><span class="c1"># echo -n &#34;2828&#34; |openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt</span> </span></span><span class="line"><span class="cl">IvPGP/8vfTLtzQfJTmQhYg<span class="o">==</span> </span></span></code></pre></td></tr></table> </div> </div><p><code>IvPGP/8vfTLtzQfJTmQhYg==</code></p> <hr> <p><font color="#00b050">复现ing</font></p>