https://nan0in27.cn/tags/%E9%9A%90%E6%B0%B4%E5%8D%B0/Recent content in 隐水印 on Nan0inPsyLogHugo -- gohugo.ioen-us楠牧音 | glow Nan0inWed, 30 Apr 2025 01:58:55 +0800https://nan0in27.cn/p/2025%E5%B9%B3%E8%88%AA%E6%9D%AFwp-%E5%A4%8D%E7%8E%B0/Sat, 19 Apr 2025 14:26:00 +0000https://nan0in27.cn/p/2025%E5%B9%B3%E8%88%AA%E6%9D%AFwp-%E5%A4%8D%E7%8E%B0/<img src="https://nan0in27.cn/p/2025%E5%B9%B3%E8%88%AA%E6%9D%AFwp-%E5%A4%8D%E7%8E%B0/banner.jpg" alt="Featured image of post 2025平航杯wp（+复现）" /><blockquote> <p><em>2toD和0RAYS拿下10和12名！感谢snow skipshot <a class="link" href="https://www.seekinthevortex.cn/" target="_blank" rel="noopener" >zhugeshi</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> <a class="link" href="https://jbnrz.com.cn/" target="_blank" rel="noopener" >JBNRZ</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> 等师傅</em></p> </blockquote> <h1 id="题目背景">题目背景 </h1><p><em>爱⽽不得，进⽽由爱⽣恨。作为有⿊客背景的他，激发出了强烈的占有欲，虽然不能在真实物理世界成</em> <em>为她的伴侣，但在虚拟世界⾥，他执着的要成为她的主宰，于是，我们的故事开始了……。⼿机，电</em> <em>脑，服务器，⽊⻢，AI，Iot设备……⽆⼀幸免的都成为他的作案⼯具或⽬标，但最终在诸位明察秋毫的</em> <em>取证达⼈⾯前，都⽆处遁形，作恶者终将被绳之以法。追悔莫及的他最后终于明⽩，其实真正的爱，不</em> <em>是占有，⽽是放⼿！！！</em></p> <p><em>2025年4⽉，杭州滨江警⽅接到辖区内市⺠刘晓倩(简称：倩倩)报案称：其个⼈电⼦设备疑似遭</em> <em>⼈监控。经初步调查，警⽅发现倩倩的⼿机存在可疑后台活动，⼿机可能存在被⽊⻢控制情况；</em> <em>对倩倩计算机进⾏流量监控，捕获可疑流量包。遂启动电⼦数据取证程序。</em></p> <p><em>警⽅通过对倩倩⼿机和恶意流量包的分析，锁定⼀名化名“起早王”的本地男⼦。经搜查其住所，</em> <em>警⽅查扣⼀台个⼈电脑和服务器。技术分析显示，该服务器中存有与倩倩设备内同源的特制远控</em> <em>⽊⻢，可实时窃取⼿机摄像头、⼿机通信记录等相关敏感⽂件。进⼀步对服务器溯源，发现“起</em> <em>早王”曾渗透其任职的科技公司购物⽹站，获得公司服务器权限，⾮法窃取商业数据并使⽤公司</em> <em>的服务器搭建Trojan服务并作为跳板机实施远控。</em></p> <p><em>请你结合以上案例并根据相关检材，完成下⾯的勘验⼯作。</em></p> <h1 id="计算机取证">计算机取证 </h1><h2 id="1分析起早王的计算机检材起早王的计算机插入过usb序列号是什么格式1">1分析起早王的计算机检材，起早王的计算机插入过usb序列号是什么(格式：1) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_1.png"> <img src="com_1.png" alt="" /> </a> </div> 就这一个<br> <code>F25550031111202</code></p> <h2 id="2分析起早王的计算机检材起早王的便签里有几条待干格式1">2分析起早王的计算机检材，起早王的便签里有几条待干(格式：1) </h2><p>仿真打开 <div class="post-img-view"> <a data-fancybox="gallery" href="com_2.png"> <img src="com_2.png" alt="" /> </a> </div> <code>5</code></p> <h2 id="3分析起早王的计算机检材起早王的计算机默认浏览器是什么">3分析起早王的计算机检材，起早王的计算机默认浏览器是什么 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_3.png"> <img src="com_3.png" alt="" /> </a> </div> <code>Microsoft Edge</code></p> <h2 id="4分析起早王的计算机检材起早王在浏览器里看">4分析起早王的计算机检材，起早王在浏览器里看 </h2><p>过什么小说</p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_4.png"> <img src="com_4.png" alt="" /> </a> </div> <code>道诡异仙</code></p> <h2 id="5分析起早王的计算机检材起早王计算机最后一次正常关机时间格式202011-010101">5分析起早王的计算机检材，起早王计算机最后一次正常关机时间【格式：2020/1/1 01:01:01】 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_5.png"> <img src="com_5.png" alt="" /> </a> </div> 最后一次关机<br> <code>2025/4/10 11:15:29</code></p> <h2 id="6分析起早王的计算机检材起早王开始写日记的时间格式202011">6分析起早王的计算机检材，起早王开始写日记的时间【格式：2020/1/1】 </h2><p>有个sandbox，进去以后看到有diary，再进去打开就可以看到日记本了 <div class="post-img-view"> <a data-fancybox="gallery" href="index-1.png"> <img src="index-1.png" alt="" /> </a> </div> <code>2025/3/3</code></p> <h2 id="7--分析起早王的计算机检材sillytavern中账户起早王的创建时间是什么时候">7- 分析起早王的计算机检材，SillyTavern中账户起早王的创建时间是什么时候 </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="com_7.png"> <img src="com_7.png" alt="" /> </a> </div> <code>2025/3/10 18:44:56</code></p> <h2 id="8分析起早王的计算机检材sillytavern中起早王用户下的聊天ai里有几个角色格式1">8分析起早王的计算机检材，SillyTavern中起早王用户下的聊天ai里有几个角色(格式：1) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-2.png"> <img src="index-2.png" alt="" /> </a> </div> <code>4</code></p> <h2 id="9分析起早王的计算机检材sillytavern中起早王与ai女友聊天所调用的语言模型带文件后缀格式xxxxx-xxxxxxxxxxx">9分析起早王的计算机检材，SillyTavern中起早王与ai女友聊天所调用的语言模型(带文件后缀)(格式：xxxxx-xxxxxxx.xxxx) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-3.png"> <img src="index-3.png" alt="" /> </a> </div> <code>Tifa-DeepsexV2-7b-Cot-0222-Q8.gguf</code> <div class="notice notice-warning" > <div class="notice-title"><svg xmlns="http://www.w3.org/2000/svg" class="icon notice-icon" viewBox="0 0 576 512" fill="#704343"><path d="M570 440c18 32-5 72-42 72H48c-37 0-60-40-42-72L246 24c19-32 65-32 84 0l240 416zm-282-86a46 46 0 100 92 46 46 0 000-92zm-44-165l8 136c0 6 5 11 12 11h48c7 0 12-5 12-11l8-136c0-7-5-13-12-13h-64c-7 0-12 6-12 13z"/></svg></div><p>刚开始写到Kobold去了。。发现模型是不对的</p></div> </p> <h2 id="10分析起早王的计算机检材电脑中ai换脸界面的监听端口格式80">10分析起早王的计算机检材，电脑中ai换脸界面的监听端口(格式：80) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-4.png"> <img src="index-4.png" alt="" /> </a> </div> <code>7860</code></p> <h2 id="11分析起早王的计算机检材电脑中图片文件有几个被换过脸格式1">11分析起早王的计算机检材，电脑中图片文件有几个被换过脸(格式：1) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-5.png"> <img src="index-5.png" alt="" /> </a> </div> <code>3</code></p> <h2 id="12分析起早王的计算机检材最早被换脸的图片所使用的换脸模型是什么带文件后缀格式xxxxxxxxxxxxxxx">12分析起早王的计算机检材，最早被换脸的图片所使用的换脸模型是什么(带文件后缀)(格式：xxxxxxxxxxx.xxxx) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-16.png"> <img src="index-16.png" alt="" /> </a> </div> 排序一下，最早被换的是上面那个,在 E:\facefusion_3.1.10\facefusion_3.1.1.jobs\completed下可以找到</p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-17.png"> <img src="index-17.png" alt="" /> </a> </div> </p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-18.png"> <img src="index-18.png" alt="" /> </a> </div> <code>inswapper_128_fp16.onnx</code></p> <h2 id="13分析起早王的计算机检材neo4j中数据存放的数据库的名称是什么格式abdef">13分析起早王的计算机检材，neo4j中数据存放的数据库的名称是什么(格式：abd.ef) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-6.png"> <img src="index-6.png" alt="" /> </a> </div> 启动有密码， <div class="post-img-view"> <a data-fancybox="gallery" href="index-7.png"> <img src="index-7.png" alt="" /> </a> </div> 学习笔记里找到账号密码 <div class="post-img-view"> <a data-fancybox="gallery" href="index-8.png"> <img src="index-8.png" alt="" /> </a> </div> 登录即可找到 <code>graph.db</code></p> <h2 id="14分析起早王的计算机检材neo4j数据库中总共存放了多少个节点格式1">14分析起早王的计算机检材，neo4j数据库中总共存放了多少个节点(格式：1) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-9.png"> <img src="index-9.png" alt="" /> </a> </div> <code>17088</code></p> <h2 id="15分析起早王的计算机检材neo4j数据库内白杰的手机号码是什么格式12345678901">15分析起早王的计算机检材，neo4j数据库内白杰的手机号码是什么(格式：12345678901) </h2><p><code>MATCH (n {name: '白杰'}) RETURN n</code> <div class="post-img-view"> <a data-fancybox="gallery" href="index-10.png"> <img src="index-10.png" alt="" /> </a> </div> <code>13215346813</code></p> <h2 id="x16分析起早王的计算机检材分析neo4j数据库内数据统计在2025年4月7日至13日期间使用非授权设备登录且登录地点超出其注册时登记的两个以上城市的用户数量格式1">（X）16分析起早王的计算机检材，分析neo4j数据库内数据，统计在2025年4月7日至13日期间使用非授权设备登录且登录地点超出其注册时登记的两个以上城市的用户数量(格式：1) </h2><p><font color="#00b050">不会，赛后复现</font><br> 要使用联合查询多个数据库，查询代码：</p> <div class="highlight"><div class="chroma"> <table class="lntable"><tr><td class="lntd"> <pre tabindex="0" class="chroma"><code><span class="lnt"> 1 </span><span class="lnt"> 2 </span><span class="lnt"> 3 </span><span class="lnt"> 4 </span><span class="lnt"> 5 </span><span class="lnt"> 6 </span><span class="lnt"> 7 </span><span class="lnt"> 8 </span><span class="lnt"> 9 </span><span class="lnt">10 </span><span class="lnt">11 </span><span class="lnt">12 </span><span class="lnt">13 </span><span class="lnt">14 </span><span class="lnt">15 </span><span class="lnt">16 </span><span class="lnt">17 </span><span class="lnt">18 </span><span class="lnt">19 </span></code></pre></td> <td class="lntd"> <pre tabindex="0" class="chroma"><code class="language-sql" data-lang="sql"><span class="line"><span class="cl"><span class="k">MATCH</span><span class="w"> </span><span class="p">(</span><span class="n">u</span><span class="p">:</span><span class="k">User</span><span class="p">)</span><span class="o">-</span><span class="p">[:</span><span class="n">HAS_LOGIN</span><span class="p">]</span><span class="o">-&gt;</span><span class="p">(</span><span class="n">l</span><span class="p">:</span><span class="n">Login</span><span class="p">)</span><span class="o">-</span><span class="p">[:</span><span class="n">FROM_IP</span><span class="p">]</span><span class="o">-&gt;</span><span class="p">(</span><span class="n">ip</span><span class="p">:</span><span class="n">IP</span><span class="p">)</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">MATCH</span><span class="w"> </span><span class="p">(</span><span class="n">l</span><span class="p">)</span><span class="o">-</span><span class="p">[:</span><span class="n">USING_DEVICE</span><span class="p">]</span><span class="o">-&gt;</span><span class="p">(</span><span class="n">d</span><span class="p">:</span><span class="n">Device</span><span class="p">)</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">WHERE</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">l</span><span class="p">.</span><span class="n">time</span><span class="w"> </span><span class="o">&lt;</span><span class="w"> </span><span class="n">datetime</span><span class="p">(</span><span class="s1">&#39;2025-04-14&#39;</span><span class="p">)</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="k">AND</span><span class="w"> </span><span class="n">ip</span><span class="p">.</span><span class="n">city</span><span class="w"> </span><span class="o">&lt;&gt;</span><span class="w"> </span><span class="n">u</span><span class="p">.</span><span class="n">reg_city</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="k">AND</span><span class="w"> </span><span class="k">NOT</span><span class="w"> </span><span class="p">(</span><span class="n">u</span><span class="p">)</span><span class="o">-</span><span class="p">[:</span><span class="n">TRUSTS</span><span class="p">]</span><span class="o">-&gt;</span><span class="p">(</span><span class="n">d</span><span class="p">)</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">WITH</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">u</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">collect</span><span class="p">(</span><span class="k">DISTINCT</span><span class="w"> </span><span class="n">ip</span><span class="p">.</span><span class="n">city</span><span class="p">)</span><span class="w"> </span><span class="k">AS</span><span class="w"> </span><span class="err">异常登录城市列表</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">collect</span><span class="p">(</span><span class="k">DISTINCT</span><span class="w"> </span><span class="n">d</span><span class="p">.</span><span class="n">device_id</span><span class="p">)</span><span class="w"> </span><span class="k">AS</span><span class="w"> </span><span class="err">未授权设备列表</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="k">count</span><span class="p">(</span><span class="n">l</span><span class="p">)</span><span class="w"> </span><span class="k">AS</span><span class="w"> </span><span class="err">异常登录次数</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">WHERE</span><span class="w"> </span><span class="k">size</span><span class="p">(</span><span class="err">异常登录城市列表</span><span class="p">)</span><span class="w"> </span><span class="o">&gt;</span><span class="w"> </span><span class="mi">2</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">RETURN</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">u</span><span class="p">.</span><span class="n">user_id</span><span class="w"> </span><span class="k">AS</span><span class="w"> </span><span class="err">用户</span><span class="n">ID</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="n">u</span><span class="p">.</span><span class="n">real_name</span><span class="w"> </span><span class="k">AS</span><span class="w"> </span><span class="err">姓名</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="err">异常登录城市列表</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="err">未授权设备列表</span><span class="p">,</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="w"> </span><span class="err">异常登录次数</span><span class="w"> </span></span></span><span class="line"><span class="cl"><span class="k">ORDER</span><span class="w"> </span><span class="k">BY</span><span class="w"> </span><span class="err">异常登录次数</span><span class="w"> </span><span class="k">DESC</span><span class="p">;</span><span class="w"> </span></span></span></code></pre></td></tr></table> </div> </div><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-11.png"> <img src="index-11.png" alt="" /> </a> </div> <code>44</code></p> <h2 id="17分析起早王的计算机检材起早王的虚拟货币钱包的助记词的第8个是什么格式abandon">17分析起早王的计算机检材，起早王的虚拟货币钱包的助记词的第8个是什么(格式：abandon) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-12.png"> <img src="index-12.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="index-13.png"> <img src="index-13.png" alt="" /> </a> </div> <code>draft</code></p> <h2 id="18分析起早王的计算机检材起早王的虚拟货币钱包是什么格式0x11111111">18分析起早王的计算机检材，起早王的虚拟货币钱包是什么(格式：0x11111111) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-14.png"> <img src="index-14.png" alt="" /> </a> </div> 拿助记词恢复密码，然后就可以看到了<br> <code>0xd8786a1345cA969C792d9328f8594981066482e</code></p> <h2 id="19分析起早王的计算机检材起早王请高手为倩倩发行了虚拟货币请问倩倩币的最大供应量是多少格式100qianqian">19分析起早王的计算机检材，起早王请高手为倩倩发行了虚拟货币，请问倩倩币的最大供应量是多少(格式：100qianqian) </h2><p>浏览器中有<code>sepolia.etherscan.io</code>区块链交易网站记录，复原后搜索到<code>qianqianbi</code> <div class="post-img-view"> <a data-fancybox="gallery" href="index-15.png"> <img src="index-15.png" alt="" /> </a> </div> <code>1000000qianqian</code></p> <h2 id="20分析起早王的计算机检材起早王总共购买过多少倩倩币格式100qianqian">20分析起早王的计算机检材，起早王总共购买过多少倩倩币(格式：100qianqian) </h2><p>看记录就知道了<br> <code>521qianqian</code></p> <h2 id="21分析起早王的计算机检材起早王购买倩倩币的交易时间是单位utc格式202011-010101">21分析起早王的计算机检材，起早王购买倩倩币的交易时间是(单位：UTC)(格式：2020/1/1 01:01:01) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="4cca2ebf26da07b87fc08b88eef94389.png"> <img src="4cca2ebf26da07b87fc08b88eef94389.png" alt="" /> </a> </div> <code>2025/3/24 2:08:36</code></p> <h1 id="ai部分">AI部分 </h1><ul> <li>分析crack文件，获得flag1(格式：flag1{123456})</li> <li>分析crack文件，获得flag2(格式：flag2{123456})</li> <li>分析crack文件，获得flag3(格式：flag3{123456})</li> <li>分析crack文件，获得flag4(格式：flag4{123456}) 下载里有crack.zip，打开以后就是一个AI对话界面，按道理是通过对话获得flag的，但是学长直接用一个解混淆的github项目破解出来了<br> <a class="link" href="https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot" target="_blank" rel="noopener" >https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> <div class="post-img-view"> <a data-fancybox="gallery" href="index-19.png"> <img src="index-19.png" alt="" /> </a> </div> 破解Pyarmor混淆，之后就可以看到原来的源码了<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-20.png"> <img src="index-20.png" alt="" /> </a> </div> <code>flag1{you_are_so_smart}</code><br> <code>flag2{prompt_is_easy}</code><br> <code>flag3{no_question_can_kill_you}</code><br> <code>flag4{You_have_mastered_the_AI}</code></li> </ul> <div class="notice notice-tip" > <div class="notice-title"><svg xmlns="http://www.w3.org/2000/svg" class="icon notice-icon" viewBox="0 0 512 512" fill="#437052"><path d="M504 256a248 248 0 11-496 0 248 248 0 01496 0zM227 387l184-184c7-6 7-16 0-22l-22-23c-7-6-17-6-23 0L216 308l-70-70c-6-6-16-6-23 0l-22 23c-7 6-7 16 0 22l104 104c6 7 16 7 22 0z"/></svg></div><p>实际上看到源码我们也大致可以知道正解的方式应该是什么样的了，可以自行尝试</p></div> <h1 id="手机部分">手机部分 </h1><h2 id="该检材的备份提取时间utc格式202011-010101">该检材的备份提取时间（UTC）(格式：2020/1/1 01:01:01) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-21.png"> <img src="index-21.png" alt="" /> </a> </div> <code>2024/4/15 18:11:18</code></p> <h2 id="分析倩倩的手机检材手机内puzzle_game拼图程序拼图apk中的flag1是什么格式xxxxxxxxx">分析倩倩的手机检材,手机内Puzzle_Game拼图程序拼图APK中的Flag1是什么(格式:xxxxxxxxx) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-22.png"> <img src="index-22.png" alt="" /> </a> </div> <code>Key_1n_the_P1c</code></p> <h2 id="分析手机内puzzle_game拼图程序请问最终拼成功的图片是哪所大学格式浙江大学">分析手机内Puzzle_Game拼图程序，请问最终拼成功的图片是哪所大学(格式：浙江大学) </h2><p>直接社工过去</p> <p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-23.png"> <img src="index-23.png" alt="" /> </a> </div> </p> <h2 id="分析倩倩的手机检材木马app是怎么被安装的网址格式http1270011234">分析倩倩的手机检材,木马app是怎么被安装的（网址）(格式：http://127.0.0.1:1234/) </h2><p><code>fix2_sign</code>这个apk，弘联里看就一个网址，浏览器内网下载 <div class="post-img-view"> <a data-fancybox="gallery" href="index-24.png"> <img src="index-24.png" alt="" /> </a> </div> <code>http://192.168.180.107:6262/</code></p> <h2 id="分析倩倩的手机检材检材内的木马app的hash是什么格式大写md5">分析倩倩的手机检材,检材内的木马app的hash是什么(格式：大写md5) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-26.png"> <img src="index-26.png" alt="" /> </a> </div> <code>23A1527A704210A07A50161CFE79D2E8</code></p> <h2 id="分析倩倩的手机检材检材内的木马app的应用名称是什么格式baidu">分析倩倩的手机检材,检材内的木马app的应用名称是什么(格式：Baidu) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-25.png"> <img src="index-25.png" alt="" /> </a> </div> <code>Google Service Framework</code></p> <h2 id="分析倩倩的手机检材检材内的木马app的使用什么加固格式腾讯乐固">分析倩倩的手机检材,检材内的木马app的使用什么加固(格式：腾讯乐固) </h2><p>雷电里也有，<br> <code>梆梆加固</code></p> <h2 id="分析倩倩的手机检材检材内的木马软件所关联到的ip和端口是什么格式1270011111">分析倩倩的手机检材,检材内的木马软件所关联到的ip和端口是什么(格式：127.0.0.1:1111) </h2><p><a class="link" href="https://56.al" target="_blank" rel="noopener" >56al</a> <span style="white-space: nowrap;"><svg width=".7em" height=".7em" viewBox="0 0 21 21" xmlns="http://www.w3.org/2000/svg"> <path d="m13 3l3.293 3.293l-7 7l1.414 1.414l7-7L21 11V3z" fill="currentColor" /> <path d="M19 19H5V5h7l-2-2H5c-1.103 0-2 .897-2 2v14c0 1.103.897 2 2 2h14c1.103 0 2-.897 2-2v-5l-2-2v7z" fill="currentColor"> </svg></span> 脱壳后jadx反编译 <div class="post-img-view"> <a data-fancybox="gallery" href="index-27.png"> <img src="index-27.png" alt="" /> </a> </div> <code>92.67.33.56:8000</code></p> <h2 id="该木马app控制手机摄像头拍了几张照片格式1">该木马app控制手机摄像头拍了几张照片(格式：1) </h2><p>在服务器里面，见<a class="link" href="#%e6%9c%8d%e5%8a%a1%e5%99%a8%e9%83%a8%e5%88%86" >服务器部分</a> <div class="post-img-view"> <a data-fancybox="gallery" href="index-28.png"> <img src="index-28.png" alt="" /> </a> </div> <code>4</code></p> <h2 id="x木马app被使用的摄像头为格式camera">（X）木马APP被使用的摄像头为(格式：Camera) </h2><p><font color="#00b050">未能解出，复现见服务器部分</font></p> <h2 id="分析倩倩的手机检材木马apk通过调用什么api实现自身持久化格式jobstore">分析倩倩的手机检材,木马APK通过调用什么api实现自身持久化(格式：JobStore) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-29.png"> <img src="index-29.png" alt="" /> </a> </div> <code>jobScheduler</code> 但是这是什么呢 <div class="post-img-view"> <a data-fancybox="gallery" href="index-30.png"> <img src="index-30.png" alt="" /> </a> </div> 而且这东西很厉害，相比流氓式“进程杀活”，这个任务方案更不会被厂商杀进程策略针对</p> <h2 id="分析倩倩的手机检材根据倩倩的身份证号请问倩倩来自哪里格式北京市西城区">分析倩倩的手机检材,根据倩倩的身份证号请问倩倩来自哪里（格式：北京市西城区） </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-31.png"> <img src="index-31.png" alt="" /> </a> </div> <div class="notice notice-note" > <div class="notice-title"><svg xmlns="http://www.w3.org/2000/svg" class="icon notice-icon" viewBox="0 0 512 512" fill="#436170"><path d="M504 256a248 248 0 11-496 0 248 248 0 01496 0zm-248 50a46 46 0 100 92 46 46 0 000-92zm-44-165l8 136c0 6 5 11 12 11h48c7 0 12-5 12-11l8-136c0-7-5-13-12-13h-64c-7 0-12 6-12 13z"/></svg></div><p>比赛的时候直接填杭州市滨江区了后来发现欸不对这个身份证肯定对不上啊，汗流浃背了</p></div> 根据身份证查询<br> <code>上海市徐汇区</code></p> <h2 id="x此手机检材的imei号是多少格式1234567890">（X）此手机检材的IMEI号是多少(格式：1234567890) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-32.png"> <img src="index-32.png" alt="" /> </a> </div> 竟然是爆搜。。。<br> <code>865372026366143</code></p> <h1 id="exe部分">exe部分 </h1><h2 id="分析giftexe该程序的md5是什么格式大写md5">分析GIFT.exe，该程序的md5是什么(格式：大写md5) </h2><p>可以丢hashcal（取证大师）<br> 或丢云沙箱<br> <code>5a20b10792126ffa324b91e506f67223</code></p> <h2 id="giftexe的使用的编程语言是什么格式c解开得到的love2exe的编译时间格式202511-010101">GIFT.exe的使用的编程语言是什么(格式：C)解开得到的LOVE2.exe的编译时间(格式：2025/1/1 01:01:01) </h2><p>直接梭<br> <code>python</code></p> <h2 id="解开giftexe得到病毒程序的编译时间格式202511-010101">解开GIFT.exe得到病毒程序的编译时间(格式：2025/1/1 01:01:01) </h2><p>要先把第一层解出来（病毒，别把自己搞了）<br> 密码就是qianqian生日<code>20010811</code> <div class="post-img-view"> <a data-fancybox="gallery" href="index-34.png"> <img src="index-34.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="index-33.png"> <img src="index-33.png" alt="" /> </a> </div> <code>2025/4/8 09:59:40</code></p> <h2 id="分析giftexe该病毒所关联到的ip和端口格式1270011111">分析GIFT.exe，该病毒所关联到的ip和端口(格式：127.0.0.1:1111) </h2><p><code>46.95.185.222:6234</code></p> <h2 id="分析giftexe该病毒修改的壁纸md5格式大写md5">分析GIFT.exe，该病毒修改的壁纸md5(格式：大写md5) </h2><p>resource hacker跑，然后导出分析<br> <div class="post-img-view"> <a data-fancybox="gallery" href="index-36.png"> <img src="index-36.png" alt="" /> </a> </div> <div class="post-img-view"> <a data-fancybox="gallery" href="../../../public/p/2025%e5%b9%b3%e8%88%aa%e6%9d%afwp-%e5%a4%8d%e7%8e%b0/index-36.png"> <img src="../../../public/p/2025%e5%b9%b3%e8%88%aa%e6%9d%afwp-%e5%a4%8d%e7%8e%b0/index-36.png" alt="" /> </a> </div> E5246DF5EC0`</p> <p>&ldquo;分析GIFT.exe，为对哪些后缀的文件进行加密： A.doc B.xlsx C.jpg D.png E.ppt</p> <p>模拟，或者IDA逆一下<code>ABE</code></p> <h2 id="分析giftexe病毒加密后的文件类型是什么格式docx文档">分析GIFT.exe，病毒加密后的文件类型是什么(格式：DOCX文档) </h2><p><code>.love</code></p> <h2 id="分析giftexe壁纸似乎被隐形水印加密过了请找到其中的flag3格式flag3xxxxxxxx">分析GIFT.exe，壁纸似乎被隐形水印加密过了？请找到其中的Flag3(格式：flag3{xxxxxxxx}) </h2><p> <div class="post-img-view"> <a data-fancybox="gallery" href="index-37.png"> <img src="index-37.png" alt="" /> </a> </div> <code>flag3{20241224_Our_First_Meet}</code></p> <h2 id="分析giftexe病毒加密文件所使用的方法是什么格式base64">分析GIFT.exe，病毒加密文件所使用的方法是什么(格式：Base64) </h2><p>同一文件夹下有一个qianqian png图片，010发现末尾有RSA私钥 <div class="post-img-view"> <a data-fancybox="gallery" href="index-38.png"> <img src="index-38.png" alt="" /> </a> </div> <code>RSA</code></p> <h2 id="分析giftexe请解密testlove得到flag4格式flag4xxxxxxxx">分析GIFT.exe，请解密test.love得到flag4(格式：flag4{xxxxxxxx}) </h2><p>跑RSA脚本，<code>RSAES-RKCS1-V1_5</code>算法，导出文件为ppt <div class="post-img-view"> <a data-fancybox="gallery" href="index-39.png"> <img src="index-39.png" alt="" /> </a> </div> <code>flag4{104864DF-C420-04BB5F51F267}</code></p> <h1 id="服务器部分">服务器部分 </h1><p>弱项，赛后复现中</p>