鱼影安全

第一部分：电子数据提取与固定（30%）

总体要求：根据提供的检材，完成指定电子数据提取

任务 1：检材 1.rar 上的任务

1. 提取检材的文件类型，并以此作为 flag 提交。(全小写)（3 分）

ext文件系统 E01是文件类型 注意审题！！

正确答案：e01

2. 提取检材操作系统版本，并以此作为 flag 提交。(去除“_”，全小写)（3 分）

这里不是安卓的版本是软件包的操作版本，这个答案不确定

3. 提取该检材时区，并以此作为 flag 提交。（全小写，如 utc+12:00）（7 分）

火眼-基本信息-设备信息

正确答案：utc+8:00

4. 提取该手机的IMEI号，并以此作为 flag 提交。（7 分）

可以找配置文件phone.e01/分区1/data/com.tencent.mm/shared_prefs

正确答案：863062037742752

5. 提取该手机连接hlnet的wifi密码，并以此作为 flag 提交。

不用工具路径：misc/wifi/wpa_supplicant.conf

正确答案：HL1sbetter

任务 2:检材 2.e01 上的任务

1. 计算检材的SHA-1值，以此作为flag 提交。（4 分）

正确答案：b656abc5e5ca5651b521d741ea3062f5db73d66a

2.提取该检材中index.rar文件，并计算其SHA-1值，以此作为 flag 提交。（6 分）

R-stud在 My Documents 找到 index.rar 导出 计算即可。

正确答案：d6e8bcdaceaf4d6819e85f73e9209ef428cdeb60

第二部分：电子数据恢复（30%）

第三部分：电子数据分析（40%）

任务 3:检材 3.rar 上的任务

1. 分析检材，找出最近一次远程登录的 IP 地址，并以此作为 flag 提交。（3 分）

直接给的 vmdk 虚拟机直接打开 root/123456 猜的 如果不是这个密码可以使用免密绕过，

单用户修改密码 CSDN 之前做渗透 打靶场教过哈 这里直接 开始做题！！

第五题讲过了 pts 代表远程和 ssh 所以是 192.168.160.1

正确答案:192.168.160.1

2. 分析检材，找出最近以此服务器关机的时间，并以此作为 flag 提交。YYYY/MM/DDHH:MM:SS，如 2023/11/2114:37:25，去除空格）

如果服务器从未关机过，last -x | grep shutdown 可能没有输出关机记录保存在 /var/log/wtmp 中，如果该文件被清除或轮转，早期记录可能丢失某些非正常关机（如断电）可能不会记录为 shutdown，而是显示为 crash
思路：这题如果能读出来还是比较好做的直接找 wtmp 我这里直接 last 读 shutdown 不确定答案
尝试 X-way 读取目录也可 可以试试 火眼筛选下 字段顺序

PS：这题也挺坑的 添加镜像要选 1KB 的 vmdk 不然打不开

正确答案:2018/06/26 18:15:07

3. 分析检材中的网站路径，并以此作为 flag 提交(全小写)。（5 分）

这两题 我按我的理解写的 仅供参考 如果是网站路径按理来说是放/var/www

下面这里是 /var/opt/gl 有数据库信息我理解的是 网站路径 数据库就是系统本身的路径

正确答案:2018/06/26 18:15:07

4. 找出检材中的数据库配置文件路径，并以此作为 flag 提交（7 分）

这里如果读取的出来可以去 找下 如果读不出来镜像 就 cat/etc 下面 tab 键补齐 刚好有 mysql 相关的

正确答案:/etc/my.cnf

任务 4:检材 4.e01 上的任务

1. 恢复该监控镜像，找出监控厂商名，并以此作为 flag 提交。（全英文，大写）（13 分）

正确答案：HIKVISION

2. 通过分析，该监控硬盘已被格式化，找出格式化时间，并以此作为 flag 提交。（格式为YYYY/MM/DDHH:MM:SS，如 2023/11/2114:37:25，去除空格）（11 分）

https://eudl.eu/pdf/10.1007/978-3-319-25512-5_13 根据参考手册知道硬盘的数据格式

每个字段中的数据由小字节序系统存储。主部门定义以下内容：硬盘的容量（0x25433D6000）、系统的偏移量和大小日志（0x3D13200和0xF42C00），偏移到视频数据区域（0x4C5E000），大小为数据块（0x400000），数据块总数（0x94），HIKBTREE的偏移量（0x25433BDC00），HIKBTREE的大小（0x6000），系统初始化时间（0x37227754）等。括号中的十六进制值是

3. 该监控硬盘的起始扇区，并以此作为 flag 提交。（全阿拉伯数字）（6 分）

FTK 挂载镜像，时候 DG 搜索分区，发现被格式化的逻辑分区 4

正确答案：3782555

4. 该监控硬盘的数据块大小，并以此作为 flag 提交。（全阿拉伯数字）

正确答案：10618368

任务 5：检材 5 上的任务

分析虚拟磁盘，通过技术手段找到信息。

1. 分析检材，找出服务器系统版本号，并以此作为 flag 提交。（3 分）

仿真，使用命令 lsb_release -a 查看基本信息

火眼-基本信息

正确答案：2.1903LTS

2.分析检材，查询服务器命令历史，找出第 11 条命令，并以此作为 flag 提交。

仿真，histtory 查看历史命令 11 条是 bt

正确答案：bt

3. 分析检材，找出第一次登录服务器的ip地址，并以此作为 flag 提交。（3 分）

知识点：last 其实就是读取默认文件 /var/log/wtmp 默认倒序显示（最新在最上面）

最早登录的记录在输出最底部 所以我们需要精确查询 把多余的过滤了 使用命令：

last -i | grep -v "reboot" | grep -v "wtmp begins" | grep "pts/" | tail -1

##强制显示IP：用 last -i

##排除非登录记录：去掉 reboot 和 wtmp begins

##优先看远程登录：筛选 pts/（表示伪终端，通常是SSH或远程）

##按时间取最早：tail -1（因为 last 是倒序）

##提取IP字段：输出行的第3列

正确答案：36.22.230.45

4. 分析检材，找出宝塔面板的默认账号的密码，并以此作为 flag 提交。

仿真 bt 14 查看宝塔信息 看到默认密码

火眼-宝塔面板-用户配置

正确答案：ea9b4983

5. 分析检材，找出宝塔面板上涉及虚拟货币诈骗的网站源码存放位置，并以此作为 flag 提交。

桥接 然后访问上面宝塔的网站，输入账号密码 登入成功！！

正确答案：/www/wwwroot/zhy12.xyz

6.分析检材，查询宝塔面板绑定的联系人手机号，并以此作为 flag 提交。

路径：www/server/panel/data/userlnfo.json

正确答案：15779338749