2023 年全国网络安全行业职业技能大赛-电子数据取证分析师总决赛解析WP
2023 年全国网络安全行业职业技能大赛-电子数据取证分析师决赛解析
-
- 项目介绍：
- 任务目标：
-
- 第一部分：电子数据提取与固定（30%）
-
- 任务 1:检材 1.rar 上的任务 (14 分)
- 任务 2:检材 2.rar 上的任务（16 分）
- 第二部分：电子数据恢复（30%）
-
- 任务 3:检材 3.rar 上的任务（14 分）
- 任务 4:检材 4.rar 上的任务（16 分）
- 第三部分：电子数据分析（40%）
-
- 任务 5:检材 5.rar 上的任务(17分)
- 任务 6:检材 6.rar 上的任务 (23 分)
项目介绍：
简介
电子数据取证分析师项目需要选手对各类电子数据的现场及在线提取固定，如不同的存储介
质、智能终端、服务器及数据库、物联网和工程控制系统等，恢复基于物理修复或数据特征等的电子数据，并进行分析。项目旨在测评参赛选手在电子数据的提取、固定、恢复、分析等一系列理论知识和技术技能。
任务描述
本项目需要运用不同的电子数据取证技术，任务有以下部分：
电子数据提取与固定电子数据恢复
电子数据分析
1.在开始配置前详细阅读所有的任务。每一项任务都可能和前后任务的完成有所依赖。依
赖于上一项或下一项的完成。
2. 本次比赛为在线远程访问形式，在比赛前请确认设备是否能够正常访问，在比赛中请时 刻注意配置操作是否会影响系统的正常访问，如在比赛时因配置原因造成系统无法正常 访问，需要选手自行解决。
3. 本次比赛素材以加密压缩包形式提前上传至网盘，选手须提前下载，在比赛时由系统公 布解压密码。
4. 比赛以在答题平台上提交 Flag 形式进行，Flag 必须与答题平台内对应序号答题框的预
设完全匹配才能得分。
5. 比赛可采用任何自带设备和工具，但禁止使用影响他人比赛或妨碍平台运行的工具、方 法和手段，如有发现将立即取消成绩。
所需设备，安装和材料选手自行准备工具完成本项目所有要求实施的内容。
任务目标：
第一部分：电子数据提取与固定（30%）
任务 1:检材 1.rar 上的任务 (14 分)
检材是一个手机备份，请通过技术手段提取以下信息。
1.提取名称为“陈伦国”的联系人的手机号码，以此作为flag 提交。(答案格式如：13012345678) (2 分)
010打开检材1\apps\com.android.contacts\miui_bak 下面的tmp_bak ctrl+F 搜人名即可。
FLAG：13800620796
2.提取最早卸载的软件的包名称，以此作为 flag 提交。（答案格式如：com.abc.dd）（3分）
找到apps\com.xiaomi.app.market\db(小米应用商店)下面的market_2.db查看 history表即可。
FLAG：com.jndsapp.info
3.提取以“HUAWEI_”开头的 WIFI 连接的密码，以此作为 flag 提交。（答案格式如:abcd1234）（2 分）
找到apps\com.android.config.settings 这是安卓文件的设置路径
发现miui_bak下的cfg_bak文件记录了WIFI信息
FLAG：39F!F=qH
4.提取嫌疑人预约的看牙医的时间，以此作为 flag 提交。（答案格式如：2020-01-01 （到日即可））（4 分）
找到com.miui.notes 这个是小米的安装包发现tmp_bak utf-8格式即可查看 预约下周五2点
PS：这里需要推算时间 我是根据修改日期进行判断的（答案仅供参考，提供思路）
FLAG：2023-12-8
5.提取爱聊应用中用户 id 以 4503 结尾的用户的昵称，以此作为 flag 提交。（答案格式如：nihao 上海 1234）（3 分）
找到com.mosheng 这个是爱聊软件的包 下面的db中的16990363723037_user.db
查看数据库中tab_user_detlal表搜索4503发现了 ”后来的我们“
FLAG：后来的我们
任务 2:检材 2.rar 上的任务（16 分）
检材是一个电脑制作的镜像，请根据该镜像文件回答以下内容（以下答案都采用英文半角）：
1.提取本地网口 ens33 的 IP 地址，并以此作为 flag 提交。（答案格式：XX.XX.XX.XX)(1 分)
考点:这里说了是ens33网卡那么网卡的默认路径为：\etc\sysconfig\network-scripts\ifcfg-ens33
FLAG：172.16.120.113
2.提取操作系统 root 用户的登录密码，并以此作为 flag 提交。（答案格式：abcd1234）（2 分）
在 centos-root\Root\home\trimps\文档\备忘.txt 找到密码
FLAG：2023rootfinal
3.数据库中存放了大量用户的信息，请找到该表，提取手机号码为“13604329317”的用户 的名称，并以此作为 flag 提交。（答案格式：写出名称）（2 分）
在centos-root\Root\var\lib\mysql\store 导出文件夹 连接即可。
FLAG：vma
4.已知电脑中有一个抓包文件，请对该文件进行分析，给出流量包中可以获取的最大的图片的大小（单位字节），并以此作为 flag 提交。（答案格式： 12345）（3 分）
在centos-root\Root\opt\下面发现my.pcapng 导出HTTP数据流排序第一个就是导出即可。
FLAG：217406
5.请从抓包文件中找到“组织架构.zip”文件，计算其 MD5（128 位）值，以此作为 flag 提交。（答案格式：C4CA4238A0B923820DCC509A6F75849B，字母大写）（3 分）
Ctrl+F搜索 .zip找到数据导出原始数据即可（注意MD5大小写）。
Hash在线计算网站：https://www.fileformat.info/tool/hash.htm
FLAG：5AE00DA858568A790CBDE139C4AAA6E3
6.请给出“高柳”的上线的上线的名称，并以此作为 flag 提交。（例如：赵二的上线是张三，张三的上线是李四，则赵二的上线的上线就是李四）（5 分）
通过查看psswd字段整理密码进行爆破得到密码：^73AwOro6K
FLAG：王勇
第二部分：电子数据恢复（30%）
任务 3:检材 3.rar 上的任务（14 分）
1.对磁盘进行修复并加载成功后，计算磁盘的 MD5 值，并以此作为 flag 提交。
（答案格式：69271864341AA3B2C1E6F2DCA5E90666）（2 分）
发现磁盘L、X 没文件头需要修复，可以把M得复制到L、X中进行磁盘修复
PS：加载完毕，直接右键磁盘计算MD5值即可。因为修复得问题所以MD5值肯定不一样，这里就是个思路，答案仅供参考。
FLAG：7CBB6AB9D1435A32F9DBA9FA52B29E68
2.对磁盘进行修复并加载成功后，磁盘共计有多少个扇区。（答案格式：1）(2 分)
FLAG：6082559
3.给出磁盘中的数据库 root 用户最后一次修改密码的时间，并以此作为 flag 提交。（答
案格式：2022-12-12 12:01:11）（3 分）
导出mysql 替换本地数据库文件找到user表，root账号pass_last_changed即可。
FLAG：2021-03-17 15:49:52
4.磁盘中的数据库里有一张表记录了发布的通知，给出最后一次通知创建的时间，并以此
作为 flag 提交。（答案格式：2022-12-12 12:01:11）(3 分)
继续分析找到game下面的announcement_detail表里面update_time字段 使用查询语句：
select MAX(update_time) from announcement_detail
FLAG：2017-12-14 17:22:35
5.磁盘中的数据库里有一张表记录了管理员账号，给出这张表里记录的密码的密文，并以
此作为 flag 提交。（4 分）
admin_account是空的 找不到（看别人火眼分析好像可以，没工具）
任务 4:检材 4.rar 上的任务（16 分）
1.对虚拟机进行分析，并找出其中“李真宝”的身份证号，并以此作为 flag 提交。（2分）
打开检材1，找到加密的密钥RE.txt 发现覆蛙.txt 打开即可。
密钥：245344-058476-611941-554180-502766-315854-137104-196614
FLAG：51111119410922966X
2.对虚拟机进行分析，并找出其中“黄季恬”的身份证号，并以此作为 flag 提交。（2分）
导入镜像发现两个加密文件，找到了123.txt 密码为：gabczx1999 可以打开123.rar得到123.mem
是一个容器vc加密 使用volatility2 clipboard拿到容器密码得到密码：zhb25801234
volatility -f 123.mem imageinfo
volatility -f 123.mem --profile=Win7SP1x64 clipboard
这个文件是通过镜像文件提取工具VeraCrypt 解密得到 打开子昂.txt 得到身份证信息。
FLAG：131121195402215888
3.对虚拟机进行分析，并找出其中“王达离”的手机号，并以此作为 flag 提交。（3 分）
这里可以恢复数据 可以找到“致家长的一封信.doc” 或者原始搜索“王达离”查看文本即可。
FLAG：15001888577
4.对虚拟机进行分析，并找出其中“陈右绮”的手机号，并以此作为 flag 提交。（4 分）
FTK挂载本地磁盘，DG磁盘恢复要破解版不然恢复不了 O。o
修改图片高度，工具一把梭，比赛肯定没工具啦 复现偷个懒=W=。
FLAG：15806897653
5.对虚拟机进行分析，并找出其中“杜春玟”的手机号，并以此作为 flag 提交。（5 分）
过滤jpg找到一张bluebirds.jpg文件发现上面写了这题的相关信息导出图片。
这里是Set 隐写使用工具导出后发现多了一个压缩包和几个文件
使用工具进行密码破解Elcomsoft Distributed Password Recovery 3.1 Build
得到密码：1qaz2wsx 解压得到手机号
FLAG：15382469711
第三部分：电子数据分析（40%）
任务 5:检材 5.rar 上的任务(17分)
1.提取系统中容器名称为 namenode 节点的容器 ID，并以此作为 flag 提交。（答案格式如： 取前 12 位即可，12345678abcd）
使用命令 docker ps -a 发现容器ID号
FLAG：99131b4891b0
2.获取集群中的名称为“tom-xiao”的用户的 card-id，并以此作为 flag 提交。（答案格式如：110123456789023456）
vi /etc/selinux/config将SELINUX=disabled 改成 SELINUX=permissive
通过list查看表scan获取数据
FLAG：130109198001019201
3.数据库的备份数据以扩展名为zip 的文件存储在系统中，找到该zip 文件计算其MD5（128 位）校验值，并以此作为flag 提交。（答案格式如：C4CA4238A0B923820DCC509A6F75849B，字母大写）（3 分）
find / -name '*.zip' ##查找所有相关zip
md5sum /var/www/pay.zip ##计算md5值
FLAG:164BDFC3E35173FF312270FA2BD5A7F6
4.找到网站连接数据库的密码，并以此作为 flag 提交。（答案格式如：123456abcdef）
知识点：备份文件路径 /var/www/html 进入Conf发现db.php进行查看Base64解密
FLAG：@d*E5x^N
5.给出数据库中存储网站的后台管理员的数据表的名称，并以此作为 flag 提交。（答案格 式如：abctable）
搜索 .mysql_history 找到 pay_sjtadminsjt
修复压缩包添加头：50 4B 03 04
通过查看hbase另外一张表‘passinfo’，获得pass为STmk6GZN
FLAG：pay_sjtadminsjt
6.给出编号为 10100 的商户的资金交易变动后，最终的金额，并以此作为 flag 提交。（答案格式如：100.100）
FLAG：34.200
任务 6:检材 6.rar 上的任务 (23 分)
1.请分析手机模拟器中的即时通讯 APP，计算该 APK 的 MD5，并以此作为 flag 提交。
(答 案格式：69271864341AA3B2C1E6F2DCA5E90666) (2 分)
导入data.vmdk恢复数据找到了base.apk导出，可以使用在线网站：https://mogua.co/
FLAG：891abe5a8d00b23765d0caf56d2ecca6
2.给出该 APP 后台服务器的域名，并以此作为 flag 提交。（答案格式：仅包含域名）（2 分）
使用R-STUDIO在 下面代码块路径中发现了0.bodedex文件导出 分析即可。
Partition2\Root\data\cn.xingchenchat.chat\app_cn.xingchen.chat.app.MyApp\obfapp\dexesfolder\0.obfedex
FLAG：xingchenim.cn
3.给出该 APP 当前账号加密聊天记录数据库时使用的密钥，并以此作为 flag 提交。(4 分)
这里使用R-STUDIO在磁盘2中找到conflg.xml里面有串Base64的token值解码（有两个多尝试）
后面发现是AES解密 常量为：key是常量0x00,0x11,0x22,0x33,0x44,0x55,0x66,0x77,0x78,0x79,0x7A,0x7B,0x7C,0x7D,0x7E,0x7F
FLAG：e6ecb900-aa41-439c-9de8-2503e00e308e
4.给出该 APP 中与“谭永”聊天最后一条消息的时间，并以此作为flag 提交。 (答案格式：2022-02-02 11 :11 :11) (3 分)
导入DB browser for sqlite数据库 查看即可 但是这里是加密的 需要输入密钥 密钥就是上一题的
导入在看不了只能导出sql使用Navicat 去看即可，最后一次聊天为“明天见”
1659383665265 转为时间即可。
在线时间戳转换工具：http://shijianchuo.wiicha.com/
FLAG：2022-08-02 03:54:25
5.给出该 APP 中用户发给“谭永”的压缩包文件的 MD5，并以此作为 flag 提交。 (3 分)
加载sdcard.vmdk得到info.rar找到路径然后 点计算哈希值即可。
FLAG：8BA084496CD8A7BB360D0B585472BE94
6.对上述 APP 进行分析，找出“吴延凡”的身份证号，并以此作为 flag 提交。 (4 分)
解压上一题info.rar得到样本.img但是这里只能看到身份证号无法判断人（不可能一个一个试吧）
打开010编辑器把 编码格式转换一下很明显是 ASCII转Utf-8 然后ctrl+F搜人名即可。
FLAG：54012219070114068X
7.已知上述压缩包中的文件中包含了银行卡余额信息，请分析该压缩包，并按照省份进行 统计，余额最多的省份共计余额有多少，并以此作为flag 提交。 (5 分)