第七届蓝帽杯初赛 取证部分复现

取证案情介绍:

2021年5月,公安机关侦破了一起投资理财诈骗类案件,受害人陈昊民向公安机关报案称其在微信上认识一名昵称为yang88的网友,在其诱导下通过一款名为维斯塔斯的APP,进行投资理财,被诈骗6万余万元。接警后,经过公安机关的分析,锁定了涉案APP后台服务器。后经过公安机关侦查和研判发现杨某有重大犯罪嫌疑,经过多次摸排后,公安机关在杨某住所将其抓获,并扣押了杨某手机1部、电脑1台,据杨某交代,其网站服务器为租用的云服务器。上述检材已分别制作了镜像和调证,假设本案电子数据由你负责勘验,请结合案情,完成取证题目。 

APK取证

1.【APK取证】涉案apk的包名是?

打开雷电智能app  新建案件 之后新建证据 选择涉案apk

第七届蓝帽杯初赛 取证部分复现_第1张图片

在基本信息里找到包名

第七届蓝帽杯初赛 取证部分复现_第2张图片

com.vestas.app 

2.【APK取证】涉案apk的签名序列号是? 

 在详细信息中找到签名序列号

第七届蓝帽杯初赛 取证部分复现_第3张图片

0x563b45ca

3.【APK取证】涉案apk中DCLOUD_AD_ID的值是?

 这道题雷电取证的给的值是错误的 要用其他的软件来看

4.【APK取证】涉案apk的服务器域名是?

 结合整个案件进行分析第七届蓝帽杯初赛 取证部分复现_第4张图片

  https://vip.licai.com:8083

 5.【APK取证】涉案apk的主入口是?

第七届蓝帽杯初赛 取证部分复现_第5张图片

io.dcloud.PandoraEntry 

手机取证

6.【手机取证】该镜像是用的什么模拟器?

第七届蓝帽杯初赛 取证部分复现_第6张图片 可以看到是雷电模拟器  在log/VBox.log里边也能看到

第七届蓝帽杯初赛 取证部分复现_第7张图片

7.【手机取证】该镜像中用的聊天软件名称是什么?

与你

第七届蓝帽杯初赛 取证部分复现_第8张图片

8.【手机取证】聊天软件的包名是? 

 第七届蓝帽杯初赛 取证部分复现_第9张图片

 9.【手机取证】投资理财产品中,受害人最后投资的产品最低要求投资多少钱?

 5万第七届蓝帽杯初赛 取证部分复现_第10张图片

 10.【手机取证】受害人是经过谁介绍认识王哥?

 华哥第七届蓝帽杯初赛 取证部分复现_第11张图片

计算机取证

11. 【计算机取证】请给出计算机镜像pc.e01的SHA-1值?

23f861b2e9c5ce9135afc520cbd849677522f54c 

第七届蓝帽杯初赛 取证部分复现_第12张图片

 12.【计算机取证】给出pc.e01在提取时候的检查员?

调查员:pgs

第七届蓝帽杯初赛 取证部分复现_第13张图片

13.【计算机取证】请给出嫌疑人计算机内IE浏览器首页地址? 

 正常的首页显示:

但是输入这个答案是错的,在复现的时候看到了这个

第七届蓝帽杯初赛 取证部分复现_第14张图片

14.【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码?

 第七届蓝帽杯初赛 取证部分复现_第15张图片

yang88/3w.qax.com

第七届蓝帽杯初赛 取证部分复现_第16张图片

 15.【计算机取证】请给出嫌疑人电脑内pdf文件默认打开程序的当前版本号?

 进仿真,在wps里边看 2023春季更新(14309)

第七届蓝帽杯初赛 取证部分复现_第17张图片

16.【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1?

 将分区四里边的disk.img添加检材

第七届蓝帽杯初赛 取证部分复现_第18张图片 找到了c盘清理.bat第七届蓝帽杯初赛 取证部分复现_第19张图片

 24CFCFDF1FA894244F904067838E7E01E28FF450第七届蓝帽杯初赛 取证部分复现_第20张图片

17.【计算机取证】请给出嫌疑人Vera Crypt加密容器的解密密码?

在文件分类里边找到了密码 

3w.qax.com!!@@

第七届蓝帽杯初赛 取证部分复现_第21张图片 18.【计算机取证】请给出嫌疑人电脑内iSCSI服务器对外端口号?

在starwind中找到了是3261

第七届蓝帽杯初赛 取证部分复现_第22张图片 19.【计算机取证】请给出嫌疑人电脑内iSCSI服务器CHAP认证的账号密码?

VSCode打开目录,搜索user,找到StarWind.cfg中的chapLocalSecret 

第七届蓝帽杯初赛 取证部分复现_第23张图片 user/panguite.com

20.【计算机取证】分析嫌疑人电脑内提现记录表,用户“mi51888”提现总额为多少? 

打开VC容器中的提现记录.xlsx,筛选出用户mi51888的记录,然后对amount列求和 

第七届蓝帽杯初赛 取证部分复现_第24张图片

 内存取证

21.【内存取证】请给出计算机内存创建北京时间?

vol.py -f 1.mem imageinfo

2023-06-21 01:02:27 

第七届蓝帽杯初赛 取证部分复现_第25张图片

22.【内存取证】请给出计算机内用户yang88的开机密码?

这道题在计算机取证仿真一下就可以看到 3w.qax.com

vol.py -f 1.mem --profile=Win7SP1x64 mimikatz 

第七届蓝帽杯初赛 取证部分复现_第26张图片

23.【内存取证】提取内存镜像中的USB设备信息,给出该USB设备的最后连接北京时间?

vol.py -f 1.mem --profile=Win7SP1x64 usbstor

2023-06-20 17:01:25 usbstor插件,时间+8  2023-06-20 01:01:25

第七届蓝帽杯初赛 取证部分复现_第27张图片 

24.【内存取证】请给出用户yang88的LMHASH值?

vol.py -f 1.mem --profile=Win7SP1x64 hashdump

aad3b435b51404eeaad3b435b51404ee 

第七届蓝帽杯初赛 取证部分复现_第28张图片

25.【内存取证】请给出用户yang88访问过文件“提现记录.xlsx”的北京时间?

vol.py -f 1.mem --profile=Win7SP1x64 shellbags > ../shellbags.txt

先转换成url编码

第七届蓝帽杯初赛 取证部分复现_第29张图片 第七届蓝帽杯初赛 取证部分复现_第30张图片

26.【内存取证】请给出“VeraCrypt”最后一次执行的北京时间? 

第七届蓝帽杯初赛 取证部分复现_第31张图片 

27.【内存取证】分析内存镜像,请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次?

2次

第七届蓝帽杯初赛 取证部分复现_第32张图片 

28.【内存取证】请给出用户最后一次访问chrome浏览器的进程PID?

vol.py -f 1.mem --profile=Win7SP1x64 pslist 

第七届蓝帽杯初赛 取证部分复现_第33张图片 

服务器取证

29.【服务器取证】分析涉案服务器,请给出涉案服务器的内核版本? 

 

服务器取证涉及到的东西没有接触过 一时写不出来 等后面补上

你可能感兴趣的:(github)