流量分析
本次阶段共1 个段落, 15 个小题, 总共180分
流量分析 (15个小题, 共180分)
1. [填空题] 对流量检材（流量包）进行分析，抓取该流量包时所使用的 wireshark 版本是？【参考格式：1.1.1】 (16分)
4.2.6
2. [填空题] 对流量检材（流量包）进行分析，受害者的IP地址是？【参考格式：192.168.1.1】 (16分)
192.168.75.131
3. [填空题] 对流量检材（流量包）进行分析，受害者所使用的操作系统是？【小写字母，参考格式：tianjin】 (14分)
4. [填空题] 对流量检材（流量包）进行分析，攻击者使用的端口扫描工具是？【小写字母，参考格式：abc】 (14分)
Nmap
[填空题] 对流量检材（流量包）进行分析，攻击者使用的漏洞检测工具的版本号是？【参考格式：1.1.1】 (14分)
[填空题] 对流量检材（流量包）进行分析，攻击者通过目录扫描得到的 phpliteadmin 登录点是？【参考格式：/abc/abc.php】 (11分)
[填空题] 对流量检材（流量包）进行分析，攻击者成功登录到 phpliteadmin 时使用的密码是？【按实际值填写】 (12分)
[填空题] 对流量检材（流量包）进行分析，攻击者创建的 phpinfo 页面文件名是？【参考格式：abc.txt】 (11分)
[填空题] 对流量检材（流量包）进行分析，攻击者利用服务器漏洞从攻击机上下载的 payload 文件名是？【参考格式：abc.txt】 (10分)
[填空题] 对流量检材（流量包）进行分析，攻击者反弹shell的地址及端口是？【参考格式：192.168.1.1:1234】 (9分)
[填空题] 对流量检材（流量包）进行分析， 攻击者电脑所使用的Python版本号是？【参考格式：1.1.1】 (13分)
[填空题] 对流量检材（流量包）进行分析， 受害者服务器中网站所使用的框架结构是？【参考格式：thinkphp】 (12分)
[填空题] 对流量检材（流量包）进行分析， 攻击者获取到的数据库密码是？【按实际值填写】 (9分)
sWfCsfJSPV9H3AmQzw8
[填空题] 对流量检材（流量包）进行分析，攻击者上传了一个weevely木马进行权限维持，上传时所使用的端口号为？【数字格式，参考如：3306】 (10分)
2000
[填空题] 对流量检材（流量包）进行分析，攻击者上传了一个weevely木马进行权限维持，该木马第一次执行时获取到的缓冲区内容是？【按实际值填写】 (9分)
最后一题我对 Weevely 首次响应进行了协议解码：去除木马响应标记后进行 Base64 解码、与木马密钥异或并 zlib 解压，首次返回内容为 57638。
手机取证
本次阶段共1 个段落, 30 个小题, 总共305分
手机取证 (30个小题, 共305分)
1. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP的名称是？【汉字格式，参考如：微信】 (11分)
2. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP的MD5值后六位是？【大写字母与数字组合，参考格式：1A2B3D】 (9分)
861E4E8E7EE3DC6F539933F24054885F
3. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP的加固方式是？【参考格式：腾讯乐固】 (11分)
4. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP上传运动数据的服务器的IP地址及端口号是？【参考格式：192.168.1.1:1234】 (12分)
需要脱壳后再分析
5. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP上传运动数据的加密算法是？【参考格式：AES/EBC/NOPADDING】 (8分)
6. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP后台监听并录音时触发的音量阈值是？【填写数字，参考格式：1】 (11分)
7. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP触发自启动所调用的类名为？【参考格式：MainActivity.class】 (10分)
开机链路为 BootReceiver → BootWorker → MainActivity.class → startActivity()
8. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装了某个计步器APP软件，该APP使用“清除数据”时所清除的时间为触发前几天？【参考格式：9】 (10分)
9. [填空题] 对安卓手机检材（Android手机)进行分析，该手机检材中安装的聊天APP软件共有几个？【填写数字，参考格式：1】 (10分)
就这两个
10. [填空题] 对安卓手机检材（Android手机)进行分析，包名为“plus.H5CB8BB37”的封装平台是？【参考格式：小猪】 (10分)
数字天堂（北京）网络技术有限公司
11. [填空题] 对安卓手机检材（Android手机)进行分析，取证人员在现场曾对该手机抓过包（手机流量包.pcap）请问该流量包在传输层中占比最多的协议是？【参考格式：RDP】 (9分)
Pv4 传输中 TCP 1249 包、UDP 33 包，占比最多的是 TCP
12. [填空题] 对安卓手机检材（Android手机)进行分析，取证人员在现场曾对该手机抓过包（手机流量包.pcap）使用TLS密钥导入后过滤出POST请求共有几条？【参考格式：1】 (10分)
TLS 解密后发现 2 条 POST：POST /advert/splash/v2 和 POST /collect/plusapp/startup/v2
13. [填空题] 对安卓手机检材（Android手机)进行分析，取证人员在现场曾对该手机抓过包（手机流量包.pcap）请问该流量包痕迹是哪个APP产生的？【参考格式：小猪】 (9分)
14. [填空题] 对安卓手机检材（Android手机)进行分析，取证人员在现场曾对该手机抓过包（手机流量包.pcap）请问该流量包对应APP的主域名地址可能是？【参考格式：192.168.1.1】 (8分)
203.107.60.151 edge-api.meiqia.com、new-api.meiqia.com、camorope-client-a.meiqia.com 在该抓包中均指向此 IP
15. [填空题] 对安卓手机检材（Android手机)进行分析，取证人员在现场曾对该手机抓过包（手机流量包.pcap）请问该流量包对应APP收到服务器返回值中服务器的响应时间是？【填写时间，参考格式：2024-08-01】 (8分)
2024-07-24 解密并解压服务器 JSON 后明确得到 “time”:1721789541，
对应 2024-07-24 02:52:21 UTC / 北京时间 10:52:21
16. [填空题] 对手机检材（iOS手机）进行分析，该检材的IMEI码后六位是？【参考格式：123456】 (12分)
356412108233724
17. [填空题] 对手机检材（iOS手机）进行分析，该检材中机主的微信ID是？【参考格式：Abcd1234】 (11分)
meiya30018855
18. [填空题] 对手机检材（iOS手机）进行分析，该检材中机主微信未到通讯录的群聊有几个？【填写数字，参考格式：1】 (12分)
19. [填空题] 对手机检材（iOS手机）进行分析，机主微信零钱余额是，精确到小数点后两位？【参考格式：1.11】 (11分)
20. [填空题] 对手机检材（iOS手机）进行分析，机主微信在2024年6月18日登录某部iPhone设备的iOS系统版本号是？【参考格式：1.1】 (10分)
15.5
21. [填空题] 对手机检材（iOS手机）进行分析，机主微信星标好友省份为黑龙江的好友微信号是？【参考格式：abcd】 (11分)
这俩是黑龙江的
dfhwhm
22. [填空题] 对手机检材（iOS手机）进行分析，地址为山西省大同市新荣区的联系人手机号码是？【填写数字，参考格式：13001880188】 (10分)
23. [填空题] 对手机检材（iOS手机）进行分析，检材中是否存在与复兴号相关的内容，没有的话请写无，有的话请写出它的URL地址？【参考格式：http://www.baidu.com/index.php】 (9分)
24. [填空题] 对手机检材（iOS手机）进行分析，机主使用过视频播放器，登录用户ID是？【参考格式：1234】 (10分)
应该是这个暴风影音
336951997
25. [填空题] 对手机检材（iOS手机）进行分析，机主在2024年8月1日19点20分20秒播放过某视频，请问最后播放进度是？【参考格式：00:00:00】 (10分)
先转化时间戳
1722511220000
时间线追踪到这个数据库
26. [填空题] 对手机检材（iOS手机）进行分析，机主是否有搜索过黄飞鸿相关的视频，没有的话请写无，有的话请写出完整关键词。【参考格式：测试】 (11分)
黄飞鸿之英雄有梦
[填空题] 对手机检材（iOS手机）进行分析，机主使用过翻译软件中收藏的第二个搜索关键词是？【参考格式：测试】 (10分)
从有道入手来看
很奇怪
搞了半天是百度翻译，绷不住了
直接有这个数据库
微信
28. [填空题] 对手机检材（iOS手机）进行分析，机主收藏过2020年4月18日的文章，请问该文章作者是？【参考格式：测试】 (11分)
还是时间戳，算了一下这个区间内都可能
2020年4月18日 00:00:00 1587139200000
2020年4月19日 00:00:00 1587225600000
Libra
29. [填空题] 对手机检材（iOS手机）进行分析，检材中用于身份证的加密文档的密码是？【参考格式：1234abcd】 (12分)
明显是这个
6666!1111zzz
30. [填空题] 对手机检材（iOS手机）进行分析，李四的身份证号码后八位是？【参考格式：12345678】 (9分)
综合取证
本次阶段共1 个段落, 31 个小题, 总共350分
综合取证 (31个小题, 共350分)
1. [填空题] 对移动存储检材（U盘）进行分析，请计算隐藏分区的总扇区数？【填写数字，参考格式：123】 (13分)
更正后，用diskgenius进行数据恢复
2. [填空题] 对移动存储检材（U盘）进行分析，找出名为“账目”的文档并统计文档内所有人的总金额是？【填写数字，参考格式：123】 (12分)
现在只有
看看怎么解开文档2.zip
发现了这么一个提示
3. [填空题] 对移动存储检材（U盘）进行分析，恢复并识别出检材中存储的枪支图片，并分析该图片是从哪个网站下载的？【参考格式：www.baidu.com】 (13分)
4. [填空题] 对移动存储检材（U盘）进行分析，恢复并找到文档“xxxxxx.txt”，请问该文档被改名前的名字是？【参考格式：123】 (12分)
5. [填空题] 对移动存储检材（U盘）进行分析，恢复并找到名为“龙”的文件夹，请找出文件名为“d1.png”图片隐写的密码是？【参考格式：123】 (13分)
asdf@123
8. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用远程连接软件名称是？【答案格式：TeamViewer】 (12分)
9. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用远程连接软件的版本号是？【答案格式：1.1.1.1】 (11分)
RemoteDesktopManager_v2.1.1.2
10. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用远程连接软件对远程计算机IP地址192.168.71.25所使用的密码是？【答案格式：123456】 (12分)
asdf@123456
11. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用远程控制软件名称是？【答案格式：Xshell】 (10分)
Finalshell
12. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用远程连接IP地址192.168.43.141所使用的密码是？【按实际值填写】 (10分)
14789632
13. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用聊天软件可能是？【小写字母，答案格式：webchat】 (12分)
Discord
14. [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用聊天软件一共缓存了多少个webp结尾的图片？【填写数字，答案格式：1】 (11分)
算出文件头跑一下，一共94张
- [填空题] 对计算机检材（计算机.E01)进行分析，检材中使用聊天软件中用户名为“0xwichita”的id后八位是？【填写数字，答案格式：12345678】 (11分)
16. [填空题] 对计算机检材（计算机.E01)进行分析，请计算程序4.exe的SHA256值后六位是？【大写字母与数字组合，参考格式：1A2B3D】 (8分)
就是桌面样本文件夹
3AEB87BF17487F9AADBAEB187E7BB7E251D9EAD5099BB6A55BA2A9E8AEA730E5
17. [填空题] 对计算机检材（计算机.E01)进行分析，执行程序4.exe时请求连接的网站域名是？【参考格式：www.baidu.com】 (8分)
58667321ase.gddlgroup.com
18. [填空题] 对计算机检材（计算机.E01)进行分析，执行程序4.exe时对某字符串进行加密，请问该字符串的加密方式是？【大写字母与数字组合，参考格式：MY300】 (10分)
[填空题] 对计算机检材（计算机.E01)进行分析，执行程序4.exe时通过请求资源链接时下载的rar文件名称是？【参考格式：Abc123】 (11分)
这个我是拉到新的虚拟机里面运行了一下
根据路径猜一猜
20. [填空题] 对计算机检材（计算机.E01)进行分析，请计算程序heima.exe的SM3值后六位是？【大写字母与数字组合，参考格式：1A2B3D】 (10分)
8E5790188CDF8838C40F22667A80E0B0AF554E10635012F428F8CE586DE57D86
21. [填空题] 对计算机检材（计算机.E01)进行分析，执行程序heima.exe时请求连接的网站端口号是？【填写数字，参考格式：3306】 (9分)
从主程序中提取到了 47.76.206.33:3233
22. [填空题] 对计算机检材（计算机.E01)进行分析，对程序heima.exe逆向后得到的正则表达式规则是？【参考格式：regx=\d\r\n】 (9分)
data-id="(\d+)"\s*data-name="([^"]+)".*?
23. [填空题] 对计算机检材（计算机.E01)进行分析，操作系统用户曾经执行过该程序的时间是？【填写日期和时间格式，日期和时间之间间隔一个空格，参考格式：2024-07-30 00:00:00】 (13分)
2024-08-01 15:22:57
24. [填空题] 对计算机检材（计算机.E01)进行分析，若程序heima.exe输入正确的Cookie和UA，该程序生成的文件格式为？【参考格式：doc】 (13分)
Txt
25. [填空题] 对计算机检材（计算机.E01)进行分析，在检材中存在一个网站，请问该网站的原始域名是？【参考格式：www.baidu.com】 (9分)
发现全部被删掉了，终于有地方有东西了
26. [填空题] 对计算机检材（计算机.E01)进行分析，在检材中存在一个网站，请问该网站的曾经进行过手动备份的时间是？【填写日期和时间格式，日期和时间之间间隔一个空格，参考格式：2024-08-29 01:02:20】 (10分)
直接看打包的压缩包
显示文件损坏，应该要修复一下压缩包
27. [填空题] 对计算机检材（计算机.E01）进行分析，在检材中存在一个网站，请问该网站所的日志共几条？【参考格式：1】 (11分)
2条
28. [填空题] 对计算机检材（计算机.E01)进行分析，在检材中存在一个网站，请问该网站被上传的木马文件的MD5值后六位是？【大写字母与数字组合，参考格式：A1B2C3】 (13分)
29. [填空题] 对计算机检材（计算机.E01)进行分析，电脑中所使用的Ai插件工具的版本号是？【参考格式：1.0.0】 (9分)
插件版本
数据分析
本次阶段共1 个段落, 12 个小题, 总共165分
数据分析 (12个小题, 共165分)
1. [填空题] 对数据分析检材中的第01-数据分析，办案人员从多个赌博网站中导出了100多份的报表，请统计出所有平台会员使用本币充值的总金额是多少？（填写数字格式，结果不保留小数） (15分)
2. [填空题] 对数据分析检材中的第02-数据分析，办案人员在电脑中找到多个赌博网站的交易流水报表，每个报表都是以网站编号和年份命名，每个月独立生成一个sheet页。请统计出所有的交易流水总金额是多少？（填写数字格式，如：123456） (16分)
3. [填空题] 对数据分析检材中的第03-数据分析，请从赌博平台的用户登录日志表中，统计出2020年1月1号至2020年6月30号，总共有多少位会员登录了该平台？（填写数字格式，如：123456） (15分)
此面174条+10000+323
一共10497条
但是还要筛选一下，筛选出会员的数据
4. [填空题] 对数据分析检材中的第03-数据分析，通过还原赌博平台数据库备份文件，请统计用户投注总次数前5的彩种开奖总次数？（涉及的数据库表：ssc2022_bets，ssc2022_data）（填写数字格式，如：123456） (15分)
看到这个文件
投注次数前 5 的彩种为 type=1、80、20、61、5，对应投注次数分别为 139、50、48、36、30；在 ssc2022_data 中对应开奖次数为 817、0、1188、1843、8876，合计 12724。bets.type 对应投注彩种，data.type 对应开奖彩种。(bz008.sql) (bz008.sql)
12724
5. [填空题] 对数据分析检材中的第03-数据分析，为了能够快速查询和统计赌博平台的投注情况，请使用ALTER TABLE语句为ssc2022_bets表的uid和playedID字段建立名称为multildx的组合索引？（备注写sql语句时字母全部小写，包括字段名。单词中间间隔一个空格,特殊符号全部英文状态下，字段名uid在前，playedid在后，sql语句结束不输入;） (14分)
alter table ssc2022_bets add index multildx(uid,playedid)
6. [填空题] 对数据分析检材中的第03-数据分析，请统计出在不止一种彩种上进行过投注的用户数量，并计算他们在2018年一共涉及了平台多少流水？（保留三位有效数字，如：123.123） (13分)
7. [填空题] 对数据分析检材中的第03-数据分析，赌博平台为了提高用户活跃度，制定了会员升级制度，规定连续登录不满7天的为青铜会员，满7天为白银会员，满14天为黄金会员，满21天为铂金会员，满28天为钻石会员，满35天为星耀会员，满42天为王者会员，之后不会降级。请根据平台会员的登录日志，统计出会员数量最多的总人数有多少人？（填写数字格式，如：1234） (13分)
8. [填空题] 对数据分析检材中的第04-数据分析，嫌疑人“田静”和“刘一山”在微信聊天中多次提及到的“李总”全名叫什么？(填写汉字，答题格式如：蓝某某) (12分)
找到手机号
9. [填空题] 对数据分析检材中的第04-数据分析，嫌疑人“田静”、“刘一山”和“郑子乾”在经常会在微信群讨论赌博运营活动和宣传等相关违法行为，请找出该群的群号是多少？(答题格式如：xxxxxxx@chatroom) (13分)
田静–不关灯tt 刘一山–老刘–楠木神王
筛选到这些，确认是这个
10. [填空题] 对数据分析检材中的第04-数据分析，“田静”负责犯罪团队内部的财务，“刘一山”负责平台运营，他们会给幕后老板汇报财务和平台运营情况，先找出这个幕后老板使用的微信号是多少？(答题格式如：wxid_xxxx) (12分)
11. [填空题] 对数据分析检材中的第04-数据分析，分析嫌疑人和疑似“保护伞”人员的聊天记录时，发现他们聊到敏感内容时，都是直接约去“老地方”见面交流，请分析出老地方的详细地址？(按实际地址填写) (13分)
12. [填空题] 对数据分析检材中的第04-数据分析，赌博团伙利用“机器人软件”在QQ群中以答题的形式开设赌场，通过挖掘赌博群的特征规则，请统计出涉赌的QQ群数量是多少？（填写数字格式，如：1234） (14分)
发现都有答题成功
9个
58个
一共67个
说些什么吧！