首届数证杯电子数据取证分析大赛 决赛-个人赛Writeup

APK分析做不了一点，请参考川佬博客

https://www.cnblogs.com/WXjzc/p/18586809

检材下载请访问：

forensics.didctf.com/download

计算机取证

700755

192.168.50.227

两个vhd，有一个bitlocker加密的，挂载另一个

M

0A7152C5AA002A3D65DC5C5C5FAAB868

E:DocumentDYPGbackup20241111110139.npbk

导入备份，看微信聊天记录

1P2P3$$pian5p6p78pian

6CF25FFF7D2882DBF5722B3B9E382B5F

http://suprbaydvdcaynfo4dgdzgxb4zuso7rftlil5yg5kqjefnw4wq4ulcad.onion/attachment.php?aid=4130

2024-11-09 21:59:48

112.7000E,40.0112N

6

手机取证

FK3XDN2UKPJ5

1234qwer

A: 南宁市青秀区

B: 南宁市江南区 没去

C: 济南市历城区

D: 上海市松江区 没去 E: 上海市宝山区

ACE

com.maicai.freejizhang

select uuid from TBL_OUTGOCATEGORYINFO where name = '礼金红包';

得到10001 1701 1701

SELECT sum(money) FROM TBL_TRADE WHERE typeuuid IN ('1701', '10001');

得到19000000

最后一个不是支付宝支付减去得到17000000这个单位是分，换算就是170000

170000

搜路由器就出了

201808188

浦东新区张杨北路2899弄

png的结尾是AE 42 60 82但是这个后面还有东西，分离出来

打开有密码，查看聊天记录得到mm20241105

344

服务器取证

16379

F*DZ-kZMs5qt

mysql里的数据少的离谱，看配置文件，他还有另一个数据库，尝试连接，但是配置文件中的密码是加密过的，所以要写一个脚本解密

真看不懂解密，用川佬的

package org.example;
import org.jasypt.encryption.StringEncryptor;
import org.jasypt.encryption.pbe.StandardPBEByteEncryptor;
import org.jasypt.encryption.pbe.StandardPBEStringEncryptor;

public class Main {
    public static StringEncryptor stringEncryptor() {
        StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();
        encryptor.setAlgorithm(StandardPBEByteEncryptor.DEFAULT_ALGORITHM);
        encryptor.setPassword("F*DZ-kZMs5qt");
        return encryptor;
    }
    public static void main(String[] args) {
        StringEncryptor encryptor = stringEncryptor();
        String a = "ij+NuXpx6CZwYB1oGHA2M2E2na0G8Tux";
        System.out.println(a+"--->"+encryptor.decrypt(a));
        String b = "064l9Wwf9KjXlSz0phcwvg+R5xwzCNl7";
        System.out.println(b+"--->"+encryptor.decrypt(b));
        String c = "8fiHevvtSApJ/7UoFXZcMMhzXWIdvyjv";
        System.out.println(c+"--->"+encryptor.decrypt(c));
    }
}

得到密码是kidsk&klf^rv，连接得到表名

a_member_st

/zwz/role/getAllByPage

禁用

扔给GPT

WITH ProvinceIncome AS (
    SELECT
        SUBSTRING(address, 1, 2) AS province,
        AVG(income) AS avg_income
    FROM
        a_member_st
    GROUP BY
        SUBSTRING(address, 1, 2)
),
RankedProvinces AS (
    SELECT
        province,
        avg_income,
        DENSE_RANK() OVER (ORDER BY avg_income DESC) AS rank
    FROM
        ProvinceIncome
)
SELECT
    province,
    avg_income
FROM
    RankedProvinces
WHERE
    rank = 2;

内蒙古自治区

流量分析

2024/10/24 17:26:12

A: 网络钓鱼 B: SQL注入 C: 拒绝服务攻击 D: 恶意软件传播 E: 中间人攻击

B

secret

Th!s_1s_5ecret!

key=72e03c7d2a44eadf

冰蝎

type login.php

数据分析

SELECT COUNT(*) FROM member WHERE userName LIKE '%强%';

2945

11

SELECT userId, SUM(newBlance - oldBlance) AS totalCommission FROM salary GROUP BY userId ORDER BY totalCommission DESC;

87314

SELECT COUNT(DISTINCT userId) AS user_count
FROM withdraw
WHERE 
    creationTime BETWEEN UNIX_TIMESTAMP('2023-05-01') * 1000 AND UNIX_TIMESTAMP('2024-05-30') * 1000
GROUP BY userId
HAVING SUM(withdrawAmount) > 1000;

11756

原文始发于微信公众号（电子取证wiki）：首届数证杯电子数据取证分析大赛 决赛-个人赛Writeup