第二届数证杯决赛-个人赛Writeup技术解析<\/h1>

计算机取证部分<\/h2>

1. 远程连接密码分析<\/h3>
技术要点：<\/strong> 通过分析远程连接配置或缓存获取密码
答案：<\/strong> `uika<\/code> 方法：<\/strong> 检查系统远程桌面连接管理器、mstsc保存的凭据或注册表中的连接信息<\/p>`

2. 密码构造习惯分析<\/h3> 技术要点：<\/strong> 密码模式识别与掩码爆破答案：<\/strong> Doloris@0721<\/code> 解析流程：<\/strong><\/p> 先爆破NTLM哈希获取浏览器保存的密码<\/li> 分析密码构造模式：Doloris@+四位数字<\/code><\/li> 对Excel文件使用掩码爆破<\/li> <\/ul> 3. 模拟器笔记App密码<\/h3> 技术要点：<\/strong> 模拟器备份文件分析答案：<\/strong> 20180818<\/code> 方法：<\/strong> 分析模拟器备份数据，查找笔记应用的数据文件<\/p> 4. 保险箱密码获取<\/h3> 技术要点：<\/strong> 二维码修复与解析答案：<\/strong> 202500228<\/code> 步骤：<\/strong><\/p> 在笔记中找到残缺二维码<\/li> 进行二维码补全修复<\/li> 扫码获得信息（含解压密码和保险箱密码提示）<\/li> <\/ul> 5. 内部转账银行卡号<\/h3> 技术要点：<\/strong> 文件系统路径修复答案：<\/strong> 6214861219932969<\/code> 方法：<\/strong> 发现被移动的银行应用数据文件，恢复到正确路径后解析<\/p> 6-8. 换脸软件分析<\/h3> 技术要点：<\/strong> 软件输出目录和配置文件分析答案：<\/strong><\/p> 生成图片数量：5<\/code>（output目录统计）<\/li> 最常用源图片：862281175ea6405abda7f2c9c6934ea7.png<\/code>（使用次数统计）<\/li> 尝试模型种类：3<\/code>（face_swapper_model字段分析）<\/li> <\/ul> 9. 密码管理软件分析<\/h3> 技术要点：<\/strong> 文本密码文件查找答案：<\/strong> 22E4828017<\/code> 方法：<\/strong> 发现kp.txt<\/code>密码文件<\/p> 10. 特定MD5文件查找<\/h3> 技术要点：<\/strong> 全盘文件哈希计算比对答案：<\/strong> index.4682354987edf.js<\/code> 方法：<\/strong> 使用工具计算所有文件MD5进行比对<\/p> 11. VC容器隐藏分析<\/h3> 技术要点：<\/strong> 虚拟硬盘隐写与VC容器解密答案：<\/strong> 4<\/code> 步骤：<\/strong><\/p> 在虚拟硬盘中发现隐藏的VC容器<\/li> 使用伪造身份证对应的地址作为密码解密<\/li> 统计容器内文件数量<\/li> <\/ul> 12. NAS数据恢复<\/h3> 技术要点：<\/strong> RAID重组与数据提取答案：<\/strong> 15743275550<\/code> 方法：<\/strong> 对NAS磁盘进行RAID重组，在恢复的文件中查找个人信息<\/p> 移动终端取证部分<\/h2> 13. MEID号提取<\/h3> 技术要点：<\/strong> 手机基础信息获取答案：<\/strong> 99001844373347<\/code> 方法：<\/strong> 从手机检材的系统信息中提取MEID<\/p> 14-15. 小众聊天软件分析<\/h3> 技术要点：<\/strong> 应用数据包解析答案：<\/strong><\/p> 压缩包密码：xinglo-chat<\/code><\/li> 软件包名：com.xinglo.chat<\/code><\/li> <\/ul> 16-17. 加密邮箱解密<\/h3> 技术要点：<\/strong> AES解密算法实现答案：<\/strong><\/p> 解密密钥：XingLuoChat2024!<\/code><\/li> 邮箱地址：support@xingluochat.com<\/code> 技术实现：<\/strong><\/li> <\/ul> \/\/ 使用提供的AES解密函数 function DecryptAES(const Ciphertext, Key, IV: string): string; <\/code><\/pre> 18-19. 聊天记录分析<\/h3> 技术要点：<\/strong> 数据库时间戳分析与金额统计答案：<\/strong><\/p> 已支付总金额：780000<\/code>元<\/li> 非工作时间加密文件占比：50%<\/code><\/li> <\/ul> 20-24. 记账应用分析<\/h3> 技术要点：<\/strong> 应用安装溯源与数据解析答案：<\/strong><\/p> 应用市场包名：com.wandoujia.phoenix2<\/code><\/li> 安装包MD5：003E9C929ADF12A56770DC5D9C5109A6<\/code><\/li> 支出分类数量：4<\/code><\/li> 最终收款金额：15万<\/code><\/li> 隐私密码：0410<\/code><\/li> <\/ul> 服务器取证部分<\/h2> 25-27. AI服务配置分析<\/h3> 技术要点：<\/strong> 环境配置与密码爆破答案：<\/strong><\/p> 对外端口：7860<\/code>（.env文件分析）<\/li> 普通用户数：8<\/code>（数据库统计）<\/li> 管理员密码：sszb@2025<\/code>（哈希掩码爆破）<\/li> <\/ul> 28-29. 文件上传与漏洞利用<\/h3> 技术要点：<\/strong> 文件哈希计算与攻击路径分析答案：<\/strong><\/p> 文件SHA256后8位：B2D10252<\/code><\/li> 攻击接口：\/api\/v1\/validate\/code<\/code><\/li> <\/ul> 30-32. 入侵痕迹分析<\/h3> 技术要点：<\/strong> 日志分析与隐藏文件检测答案：<\/strong><\/p> 反弹shell端口：7788<\/code>（nohup.out日志）<\/li> SSH登录IP：172.23.194.110<\/code>（公钥过滤登录日志）<\/li> 隐藏文件路径：\/usr\/lib\/modules\/5.15.0-161-generic\/extra\/file_hider.ko<\/code><\/li> <\/ul> 程序功能分析部分<\/h2> 33-38. 恶意程序分析<\/h3> 技术要点：<\/strong> .NET程序反编译与动态调试答案：<\/strong><\/p> 加密DLL：encrypt.dll<\/code><\/li> API函数：GetDelegateForFunctionPointer<\/code><\/li> 加密算法：AES-256<\/code><\/li> 初始密钥：3C2389B9D7E04885B5F85D6A30BFCCB8B0D2AD65B31330C02F65F8A9F654AB9A<\/code><\/li> 初始向量：30373031303830313039303931303031<\/code><\/li> 解密内容：恭喜<\/code><\/li> <\/ul> 技术方法：<\/strong><\/p> 使用ILSpy反编译.NET程序<\/li> 补全缺失的调试DLL进行动态分析<\/li> 在关键API调用处下断点获取加密参数<\/li> <\/ul> 网络流量分析部分<\/h2> 39-44. 攻击流量分析<\/h3> 技术要点：<\/strong> Wireshark过滤与攻击特征识别答案：<\/strong><\/p> 开放端口数：7<\/code>（SYN-ACK包统计）<\/li> 内容管理系统：seacms<\/code><\/li> 爆破密码：cslab<\/code><\/li> 恶意文件MD5：4A5D7DB9CDFBBE9EF6BE58ADD2DD7D43<\/code><\/li> 最后命令：cd \/d "C:\/WWW\/data\/admin"&zhengxiang.exe&echo aae855ae69&cd&echo c39d656dc7b<\/code><\/li> 载荷类型：windows\/x64\/shell\/bind_tcp<\/code><\/li> <\/ul> 数据分析部分<\/h2> 45-50. 数据库业务分析<\/h3> 技术要点：<\/strong> SQL查询与业务逻辑分析答案：<\/strong><\/p> 最多下线推荐：17<\/code><\/li> 合伙人总投资：1135581.44<\/code><\/li> 季度平均新增：623<\/code><\/li> 最深用户层级：7<\/code><\/li> 异常交易用户：8<\/code><\/li> 潜在失效用户：662<\/code><\/li> <\/ul> 关键技术点：<\/strong><\/p> 多表关联查询<\/li> 时间窗口分析<\/li> 层级关系递归查询<\/li> 交易行为模式识别<\/li> <\/ul> 总结<\/h2> 本writeup涵盖了数字取证竞赛的完整技术栈，包括系统取证、移动取证、服务器安全、恶意代码分析、网络流量分析和数据库取证等多个维度，体现了现代数字取证技术的全面性和深度。<\/p>

第二届数证杯决赛-个人赛Writeup技术解析<\/h1>

计算机取证部分<\/h2>

1. 远程连接密码分析<\/h3>
技术要点：<\/strong> 通过分析远程连接配置或缓存获取密码
答案：<\/strong> `uika<\/code> 方法：<\/strong> 检查系统远程桌面连接管理器、mstsc保存的凭据或注册表中的连接信息<\/p>`

3. 模拟器笔记App密码<\/h3>
技术要点：<\/strong> 模拟器备份文件分析
答案：<\/strong> `20180818<\/code> 方法：<\/strong> 分析模拟器备份数据，查找笔记应用的数据文件<\/p>`

5. 内部转账银行卡号<\/h3>
技术要点：<\/strong> 文件系统路径修复
答案：<\/strong> `6214861219932969<\/code> 方法：<\/strong> 发现被移动的银行应用数据文件，恢复到正确路径后解析<\/p>`

9. 密码管理软件分析<\/h3>
技术要点：<\/strong> 文本密码文件查找
答案：<\/strong> `22E4828017<\/code> 方法：<\/strong> 发现kp.txt<\/code>密码文件<\/p>`

12. NAS数据恢复<\/h3>
技术要点：<\/strong> RAID重组与数据提取
答案：<\/strong> `15743275550<\/code> 方法：<\/strong> 对NAS磁盘进行RAID重组，在恢复的文件中查找个人信息<\/p>`

13. MEID号提取<\/h3>
技术要点：<\/strong> 手机基础信息获取
答案：<\/strong> `99001844373347<\/code> 方法：<\/strong> 从手机检材的系统信息中提取MEID<\/p>`

服务器取证部分<\/h2>

程序功能分析部分<\/h2>

网络流量分析部分<\/h2>

数据分析部分<\/h2>

总结<\/h2>
本writeup涵盖了数字取证竞赛的完整技术栈，包括系统取证、移动取证、服务器安全、恶意代码分析、网络流量分析和数据库取证等多个维度，体现了现代数字取证技术的全面性和深度。<\/p>

第二届数证杯决赛-个人赛Writeup技术解析<\/h1>

计算机取证部分<\/h2>

1. 远程连接密码分析<\/h3> 技术要点：<\/strong> 通过分析远程连接配置或缓存获取密码 答案：<\/strong> uika<\/code> 方法：<\/strong> 检查系统远程桌面连接管理器、mstsc保存的凭据或注册表中的连接信息<\/p>

3. 模拟器笔记App密码<\/h3> 技术要点：<\/strong> 模拟器备份文件分析 答案：<\/strong> 20180818<\/code> 方法：<\/strong> 分析模拟器备份数据，查找笔记应用的数据文件<\/p>

5. 内部转账银行卡号<\/h3> 技术要点：<\/strong> 文件系统路径修复 答案：<\/strong> 6214861219932969<\/code> 方法：<\/strong> 发现被移动的银行应用数据文件，恢复到正确路径后解析<\/p>

9. 密码管理软件分析<\/h3> 技术要点：<\/strong> 文本密码文件查找 答案：<\/strong> 22E4828017<\/code> 方法：<\/strong> 发现kp.txt<\/code>密码文件<\/p>

12. NAS数据恢复<\/h3> 技术要点：<\/strong> RAID重组与数据提取 答案：<\/strong> 15743275550<\/code> 方法：<\/strong> 对NAS磁盘进行RAID重组，在恢复的文件中查找个人信息<\/p>

13. MEID号提取<\/h3> 技术要点：<\/strong> 手机基础信息获取 答案：<\/strong> 99001844373347<\/code> 方法：<\/strong> 从手机检材的系统信息中提取MEID<\/p>

服务器取证部分<\/h2>

程序功能分析部分<\/h2>

网络流量分析部分<\/h2>

数据分析部分<\/h2>

总结<\/h2> 本writeup涵盖了数字取证竞赛的完整技术栈，包括系统取证、移动取证、服务器安全、恶意代码分析、网络流量分析和数据库取证等多个维度，体现了现代数字取证技术的全面性和深度。<\/p>

1. 远程连接密码分析<\/h3>
技术要点：<\/strong> 通过分析远程连接配置或缓存获取密码
答案：<\/strong> `uika<\/code> 方法：<\/strong> 检查系统远程桌面连接管理器、mstsc保存的凭据或注册表中的连接信息<\/p>`

3. 模拟器笔记App密码<\/h3>
技术要点：<\/strong> 模拟器备份文件分析
答案：<\/strong> `20180818<\/code> 方法：<\/strong> 分析模拟器备份数据，查找笔记应用的数据文件<\/p>`

5. 内部转账银行卡号<\/h3>
技术要点：<\/strong> 文件系统路径修复
答案：<\/strong> `6214861219932969<\/code> 方法：<\/strong> 发现被移动的银行应用数据文件，恢复到正确路径后解析<\/p>`

9. 密码管理软件分析<\/h3>
技术要点：<\/strong> 文本密码文件查找
答案：<\/strong> `22E4828017<\/code> 方法：<\/strong> 发现kp.txt<\/code>密码文件<\/p>`

12. NAS数据恢复<\/h3>
技术要点：<\/strong> RAID重组与数据提取
答案：<\/strong> `15743275550<\/code> 方法：<\/strong> 对NAS磁盘进行RAID重组，在恢复的文件中查找个人信息<\/p>`

13. MEID号提取<\/h3>
技术要点：<\/strong> 手机基础信息获取
答案：<\/strong> `99001844373347<\/code> 方法：<\/strong> 从手机检材的系统信息中提取MEID<\/p>`

总结<\/h2>
本writeup涵盖了数字取证竞赛的完整技术栈，包括系统取证、移动取证、服务器安全、恶意代码分析、网络流量分析和数据库取证等多个维度，体现了现代数字取证技术的全面性和深度。<\/p>