2023第七届蓝帽杯电子取证初赛部分题解

2021年5月，公安机关侦破了一起投资理财诈骗类案件，受害人陈昊民向公安机关报案称其在微信上认识一名昵称为yang88的网友，在其诱导下通过一款名为维斯塔斯的APP，进行投资理财，被诈骗6万余万元。接警后，经过公安机关的分析，锁定了涉案APP后台服务器。后经过公安机关侦查和研判发现杨某有重大犯罪嫌疑，经过多次摸排后，公安机关在杨某住所将其抓获，并扣押了杨某手机1部、电脑1台，据杨某交代，其网站服务器为租用的云服务器。上述检材已分别制作了镜像和调证，假设本案电子数据由你负责勘验，请结合案情，完成取证题目。

    【APK取证】涉案apk的包名是？[答题格式:com.baid.ccs]

com.vestas.app

    【APK取证】涉案apk的签名序列号是？[答题格式:0x93829bd]

0x563b45ca

    【APK取证】涉案apk中DCLOUD_AD_ID的值是？[答题格式:2354642]

2147483647

【APK取证】涉案apk的服务器域名是？[答题格式:http://sles.vips.com]

https://vip.licai.com

【APK取证】涉案apk的主入口是？[答题格式:com.bai.cc.initactivity]

io.dcloud.PandoraEntry

或者

都是一样的

【手机取证】该镜像是用的什么模拟器？[答题格式:天天模拟器]

雷电模拟器

【手机取证】该镜像中用的聊天软件名称是什么？[答题格式:微信]

与你

【手机取证】聊天软件的包名是？[答题格式:com.baidu.ces]

com.uneed.yuni

【手机取证】投资理财产品中，受害人最后投资的产品最低要求投资多少钱？[答题格式:1万]

5万

【手机取证】受害人是经过谁介绍认识王哥？[答题格式:董慧]

华哥

【计算机取证】请给出计算机镜像pc.e01的SHA-1值？[答案格式：字母小写]

23f861b2e9c5ce9135afc520cbd849677522f54c

【计算机取证】给出pc.e01在提取时候的检查员？[答案格式：admin]

不知道

【计算机取证】请给出嫌疑人计算机内IE浏览器首页地址？[答案格式：http://www.baidu.com]

http://global.bing.com/?scope=web&mkt=en-US&FORM=QBRE

【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码？[答案格式：root/admin]

yang88/3w.qax.com

【计算机取证】请给出嫌疑人电脑内pdf文件默认打开程序的当前版本号？[答案格式：xxxx(xx)]

2023春季更新(14309)

【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1？[答案格式：字母小写]

24CFCFDF1FA894244F904067838E7E01E28FF450

【计算机取证】请给出嫌疑人Vera Crypt加密容器的解密密码？[答案格式：admin!@#]

3w.qax.com!!@@

通过自带的VeraCrypt解密工具进行解密，配置好镜像文件后傻瓜化解密即可

然后

得到

【计算机取证】请给出嫌疑人电脑内iSCSI服务器对外端口号？[答案格式：8080]

3261

taskmgr锁定iSCSI服务器进程PID，然后通过netstat -ano查看端口

【计算机取证】请给出嫌疑人电脑内iSCSI服务器CHAP认证的账号密码？[答案格式：root/admin]

user/panguite.com

打开软件，发现密码看不了

在配置文件里找到密码 C:Program FilesStarWind SoftwareStarWindStarWind.txt

root/##evVRsIJtRmAEEd2sCslZDg==

【计算机取证】分析嫌疑人电脑内提现记录表，用户“mi51888”提现总额为多少？[答案格式：10000]

1019

导出求个和

【内存取证】请给出计算机内存创建北京时间？[答案格式：2000-01-11 00:00:00]

2023-06-21 01:02:27

【内存取证】请给出计算机内用户yang88的开机密码？[答案格式：abc.123]

3w.qax.com

【内存取证】提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？[答案格式：2000-01-11 00:00:00]

2023-06-21 01:01:25

【内存取证】请给出用户yang88的LMHASH值？[答案格式：字母小写]

aad3b435b51404eeaad3b435b51404ee

【内存取证】请给出用户yang88访问过文件“提现记录.xlsx”的北京时间？[答案格式：2000-01-11 00:00:00]

2023-06-21 00:28:14

【内存取证】请给出“VeraCrypt”最后一次执行的北京时间？[答案格式：2000-01-11 00:00:00]

2023-06-21 00:47:41

【内存取证】分析内存镜像，请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次？[答案格式:10]

2

【内存取证】请给出用户最后一次访问chrome浏览器的进程PID？[答案格式：1234]

2456

服务器取证

服务器的信息如下

涉案服务器存在一个宝塔面板，其用户名为alviosso，安全入口为c2b2f950，将密码修改成123456成功登录该面板。

涉案网站绑定了以下几个域名

其网站目录为/www/wwwroot/v9.licai.com

对涉案网站进行数据库还原，分析网站源码，发现该网站使用的是阿里云的RDS服务，根据检材所提供的 hins261244292_data_20230807143325_qp.xb 对数据库进行数据恢复

mv hins261244292_data_20230807143325_qp.xb hins.qp.xb
cat hins.qp.xb | xbstream -x -v -C /home/icecliffs/mysql/data
innobackupex --decompress --remove-origin /home/icecliffs/mysql/data
innobackupex --defaults-file=/home/icecliffs/mysql/data/backup-my.cnf --apply-log /home/icecliffs/mysql/data
chown -R mysql:mysql /home/icecliffs/mysql/data

之后将恢复好的数据库上传到天仪进行数据库仿真，然后使用本地的数据库取证工具进行取证

接下来恢复网站访问，将网站源码中的.env里的值修改为天仪的连接地址

之后访问站点，没有报错则说明访问成功

接下来对网站用户进行提权，根据谷歌浏览器保存的密码，我们随便注册一个用户设置一个简单的密码，然后把密码替换到admin表，在把用户表权限改成admin

然后登陆网站管理后台，http://192.168.233.129:8083/AdminV9YY/Login

成功登录进该系统

进来后修改下管理员密码，方便后续取证

【服务器取证】分析涉案服务器，请给出涉案服务器的内核版本？[答案格式：xx.xxx-xxx.xx.xx]

3.10.0-957.el7.x86_64

【服务器取证】分析涉案服务器，请给出MySQL数据库的root账号密码？[答案格式：Admin123]

ff1d923939ca2dcf

【服务器取证】分析涉案服务器，请给出涉案网站RDS数据库地址？[答题格式: xx-xx.xx.xx.xx.xx]

pc-uf6mmj68r91f78hkj.rwlb.rds.aliyuncs.com

【服务器取证】请给出涉网网站数据库版本号? [答题格式: 5.6.00]

5.7.40

【服务器取证】请给出涉案网站后台启用的超级管理员?[答题格式:abc]

admin

【服务器取证】投资项目“贵州六盘水市风力发电基建工程”的日化收益为？[答题格式:1.00%]

4.00%

项目规模：20000000

投资进度：89%

起投金额：7000

交易收益：4

项目期限：7个自然日

首先，需要计算实际投资额，即投资进度乘以项目规模：

实际投资额 = 项目规模 * 投资进度 / 100

实际投资额 = 20000000 * 89 / 100 = 17800000

然后，计算总收益：

总收益 = 实际投资额 * 交易收益 / 100

总收益 = 17800000 * 4 / 100 = 712000

最后，计算日化收益率：

日化收益 = 总收益 / 起投金额 / 项目期限 * 100

日化收益 = 712000 / 7000 / 7 * 100 ≈ 14.42%

我隔这乱算啥呢😅

【服务器取证】最早访问涉案网站后台的IP地址为[答题格式:8.8.8.8]

183.160.76.194

【服务器取证】分析涉案网站数据库或者后台VIP2的会员有多少个[答案格式:100]

20

原文始发于微信公众号（Gh0xE9）：2023第七届蓝帽杯电子取证初赛部分题解