跳转至

第二届 长安杯电子数据取证竞赛 题解

Part 1

1 操作系统版本

imgca2020/image-20201126170049066

2 内核版本

Text Only
uname -r
uname -a
cat /proc/version

imgca2020/image-20201126171051094

3 LVM 的LBA

Text Only
fdisk -l

imgca2020/image-20201126171203236

4 网站 www.kkzjc.com 对应的 Web 服务对外开放的端口

查看/etc/nginx/conf.d/www.kkzjc.com可知

imgca2020/image-20201126171321499

5 服务器共绑定对外开放的域名的个数

在/etc/nginx/conf.d目录下,有三个域名

imgca2020/image-20201126171531037

6 检材 1 所在服务器的原始 IP 地址

见第九题

7 嫌疑人登录使用的 IP 地址

imgca2020/image-20201126171716261

8 www.kkzjc.com转发的后台网站所使用的 IP 地址

Text Only
// 启动docker服务
systemctl start docker
// 进入容器
docker exec -it 容器id /bin/bash
// 查看历史记录
history

imgca2020/image-20201126172609774

Text Only
// 看下配置文件
/etc/nginx/conf.d/h1.conf

imgca2020/image-20201126172455486

9 题7的IP出现次数

从docker中的nginx主配置文件中可以知道nginx日志的位置

进入康康,可以发现,这个文件无法直接打开,因为是个链接

imgca2020/image-20201126174959307

所以需要退出容器

Text Only
docker logs 容器id

imgca2020/image-20201126175217666

统计ip出现次数

Text Only
docker logs 容器id | grep 192.168.99.222 | wc -l

imgca2020/image-20201126175502144

Part 2

10 检材 2 的原始磁盘 SHA256 值

imgca2020/image-20201126180612075

11 OS 内部版本号

仿真看一下就行

12 最后一次正常关机时间

imgca2020/image-20201126180924559

13 VMware 程序的安装时间

imgca2020/image-20201126181024785

imgca2020/image-20201126180959955

14 VMware.exe 程序启动次数

有点疑惑为什么运行时间有6个,但是运行次数显示3

imgca2020/image-20201126181206398

15 嫌疑人通过 Web 方式，访问检材 1 所在的服务器上的网站时，连接的目标端口

imgca2020/image-20201126181536042

16 该端口上运行的进程的程序名称（Program name）为

检材一,打开docker服务后

Text Only
ps aux

可以看到docker-proxy 对应端口为8091

17 访问该网站时，所使用的域名

imgca2020/image-20201126181612316

Text Only
C:\Windows\System32\drivers\etc\hosts

imgca2020/image-20201126181817153

18 微信 ID

案件概览处,一看,嚯,是个手机备份,导出来分析一下

imgca2020/image-20201126182142195

imgca2020/image-20201126182842019

19 通联工具的名称

imgca2020/image-20201126183030147

20 虚拟货币的名称

dogecoin,见21图

21 对方的收款地址

imgca2020/image-20201126183048364

22 嫌疑人和供应商的交易时间

imgca2020/image-20201126183446699

23 支付货币的数量

imgca2020/image-20201126183423889

24 虚拟机的密码

pyvmx-cracker

进入上述链接下载代码

复制虚拟机的.vmx文件进入,改名为1.vmx---(方便打字,可不做)

Text Only
python .\pyvmx-cracker.py -v 1.vmx -d wordlist.txt
  • wordlist.txt: 代码中自带的字典

imgca2020/image-20201126184811557

然而打开后win7还有一个密码

imgca2020/image-20201126185233532

使用火眼打开vmdk文件,仿真绕过开机密码,可是复现的时候没成功

imgca2020/image-20201126185808929

emmm,先在vm中移除加密,再在火眼仿真中打开就行了

imgca2020/image-20201126205026211

25 附件中广告图片的 SHA256 值

imgca2020/image-20201126205556655

imgca2020/image-20201126205738658

26 广告图片邮件的发送时间

imgca2020/image-20201126205847082

27 嫌疑人的邮箱密码

imgca2020/image-20201126210225595

28 远程管理工具

imgca2020/image-20201126210040048

29 使用上述工具连接服务器时，使用的登录密码为

imgca2020/image-20201126210203610

Part 3

30 检材 3 的原始磁盘 SHA256 值

imgca2020/image-20201126192733980

31 计算机的操作系统版本

imgca2020/image-20201126191940448

32 部署的网站名称

见34

33 部署的网站对应的网站根目录

见34

34 部署的网站绑定的端口

imgca2020/image-20201126192121725

35 具备登录功能的代码页对应的文件名

imgca2020/image-20201126193049218

36 网站登录过程中，代码中对密码追加了什么字符串

imgca2020/image-20201126193200603

37 网站登录过程中，代码中调用的动态扩展库文件的完整名称为

imgca2020/image-20201126193458341

38 后台接收到明文密码后进行加密处理时，首先使用的是 Encryption 中的什么函数

imgca2020/image-20201127095100008

39 该网站连接的数据库地址

40 网站连接数据库使用的密码

41 网站连接数据库服务器的端口

imgca2020/image-20201127100347007

Part 4

说明

这一部分原始记录较为经验化，以下按原思路整理。

设置检材 4 的数据库

Text Only
// 启动docker服务
systemctl start docker
// 列出所有在运行的容器信息
docker ps // 没东西,说明没启动,需要自己启动一下
// 显示所有的容器，包括未运行的
docker ps -a
// 启动docker里面的容器
docker start 3f
docker ps

imgca2020/image-20201127125042696

从 Part 3 的连接数据库部分可以得知，我们的数据库 IP 是 192.168.1.174

所以关闭该虚拟机的DHCP服务

imgca2020/image-20201127125519549

编辑下述文件修改静态ip

Text Only
/etc/sysconfig/network-scripts/ifcfg-eth数字

修改/添加内容

Text Only
BOOTPROTO="static" #dhcp改为static 
ONBOOT="yes" #开机启用本配置
IPADDR=192.168.1.174 #静态IP
GATEWAY=192.168.1.1 #默认网关
NETMASK=255.255.255.0 #子网掩码

imgca2020/image-20201127125931153

重启网络服务

Text Only
service network restart

这步失败了,改了好久都不能重启服务成功,干脆直接重启虚拟机了

结果意外好了><

查看ip

Text Only
ip addr

像下图这样就说明静态ip设置成功了

imgca2020/image-20201127133110453

设置检材 3 的服务器

网络配置使其与检材4位于同一网段,开启DHCP服务,使其可以ping通

imgca2020/image-20201127133622279

网页进入ip/dl,即可看到重构的网页

imgca2020/image-20201127140235443

主机

  1. 连接数据库

imgca2020/image-20201127143808886

从检材PC可知,嫌疑人使用的用户是 liwente1314520

  1. 在**TD_User表**中将其密码改为123456

  2. 逆向dll时,可知存在数据库里的密码经过如下处理

    Text Only
    字符串拼接: "密码"+"OvO"
加密: 使用DBManager.dll中的加密方法加密
md5: 加密后计算md5值,并存入数据库

  3. 下图进行拼接和加密

    imgca2020/image-20201127144737619

  4. 下图md5计算

    imgca2020/image-20201127144814666

  5. 下图修改表中的值

    imgca2020/image-20201127145245384

  6. 将服务器现在的ip添加到**TD_Webs**中

同样是从dll逆向出来得知,执行登录操作时会检测域名

imgca2020/image-20201127145103070

重启服务

  • 检材3

cmd--services.msc (本地服务设置)

imgca2020/image-20201127145625474

  • 检材4
Text Only
docker restart 容器id

然后就可以用 liwente1314520 123456 登录网站了

42 检材 4 的原始磁盘 SHA256 值

imgca2020/image-20201126195142183

43 嫌疑用户的推广链接中参数里包含的 ID 是

imgca2020/image-20201127151654651

44 该网站后台的代理用户数量

统计一下个数即可

imgca2020/image-20201127151811242

45 该网站注册用户中共有过几个代理

上题中的用户数是未删除的个数,注册过的也就包括了之前注册,但是删掉了的用户数

imgca2020/image-20201127151905956

46 2019 年 10 月 1 日后补发成功的金额总值

数量略多,需要导出,使用excel或其他软件处理计算

imgca2020/image-20201127152103903

47 对“TX_IpLog”表进行分析，所有在“武汉市”登录的次数为

imgca2020/image-20201127152253898

48 该嫌疑人下属代理“liyun10”账户下的余额有多少元

imgca2020/image-20201127152510630

imgca2020/image-20201127152550329

imgca2020/image-20201127152634952

49 接上题，该用户的推广 ID 是

imgca2020/image-20201127152724022

50 接上题，该代理商户的最后一次登陆时间是

imgca2020/image-20201127152827440