服务器取证

参考：

2025数证杯初赛参考解题思路（详细版）

https://mp.weixin.qq.com/s/WLjan3_m6nBqb2uJ1v1d6w

1、node1节点的磁盘设备SHA256值前六位是？(字母全大写，答案格式：AAAAAA)（ ）

2、集群配置了多少个node节点？（答案格式：1）（ ）

3、嫌疑人于什么时间修改master节点的root密码？（使用双位数格式，答案格式：00:00:00）（ ）

4、Docker的安装日期是？（使用双位数格式，答案格式：01月01日）（ ）

5、Docker通过配置守护进程以使用全局代理，该代理地址的端口是？（答案格式：1）（ ）

6、发卡网站使用的Mysql数据库对外访问端口是？（答案格式：1）（ ）

7、发卡网站部署使用的镜像名称是？（答案格式：root/root）（ ）

8、当前Telegram群管机器人使用的容器ID的前六位是？（答案格式：123abc）（ ）

9、发卡网站使用的缓存数据库是？（答案格式：mysql）（ ）

10、集群中配置的发卡网站代码运行所在的物理目录是？（答案格式：/root/root）（ ）

11、Telegram群管机器人配置的API代理域名是？（答案格式：www.xxx.com）（ ）

12、嫌疑人在Telegram上创建的群名称是？（答案格式：比武群）（ ）

13、统计嫌疑人在Telegram上创建的群中2025年6月之后成功入群的人数为？（答案格式：1）（ ）

14、据嫌疑人交代曾在发卡网上删除过一条订单数据，请找出该删除订单的订单号是？（答案格式：请按实际值填写）（ ）

15、发卡网站上2025年6月之后订单交易成功的总金额是？忽略被删除的数据（答案格式：1）（ ）

16、发卡网站的后台访问路径是？（答案格式：/root）（ ）

17、计算出用户密码算法中Salt的值，并进行Base64编码，结果是？（答案格式：请按实际值填写）（ ）

18、发卡网站配置的邮件发送人地址是？（答案格式：abc@abc.com）（ ）

19、当前发卡网站首页仪表盘中显示的发卡网站版本为？（答案格式：1.1.1）（ ）

20、当前发卡网站中绑定的订单推送Telegram用户id为（答案格式：请按实际值填写）（ ）

流量包分析

21、黑客攻击的目标路由器SSID为 （答案格式：请按实际值填写）（ ）

don't panic

?

## 22、黑客成功捕获了WIFI中WPA协议握手包，其中有效握手包组数为(完整握手为一组)（答案格式：1）（ ） ![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762307712603-322c3dc9-fcf0-4710-8e4e-34c58b2ccc8c.png)

过滤字段：eapol（这会列出所有EAPOL握手数据包）

23、黑客爆破得出的WiFi密码为（提示：密码由小写英文字母和数字组成）（答案格式：abcd1234）（ ）

这里是wifi的流量

过滤字段：http（非加密协议），搜索wifi-iface

wifi-iface配置段，完整定义了一个wif接入点（也就是手机能搜索到的那个wif信号）的所有核心参数

选中后追踪http流

找到key：password1110

24、黑客成功连接Wifi后，发现路由器操作系统为？（答案格式：请按实际值填写）（ ）

把部分内容扔给ai，跟我说是openwrt，于是就搜一下（上题一样的搜索的地方）

能搜到这个东西

这里的ImmortalWrt 24.10.0这个就是对应的操作系统

直接扔给ai分析也行

25、黑客对路由器后台进行爆破攻击，该路由器后台密码为（答案格式：请按实际值填写）（ ）

接上题，同样的http流能看到：

26、黑客通过修改路由器设置，将被劫持的域名为（答案格式：www.xxx.com）（ ）

过滤DNS流

过滤 dns 之后发现黑客查询了很多的域名，如果说他劫持了一个域名，那么查询的时候应该是，响应域名存在，并且响应的域名 IP 为内网 IP，我们直接过滤 dns 协议并且响应成功的内容

细看一下是192.168.1.1这个一直在查域名，所以筛选字段ip.src == 192.168.1.1 and dns

and dns.flags.rcode != 5 and dns.flags.rcode != 3

查完之后发现很多数据是这样的：No such name(dns.flags.rcode=5)或者Refused(dns.flags.rcode=3)

所以用这样的查询语句过滤掉上述数据

ip.src == 192.168.1.1 and dns and dns.flags.rcode != 5 and dns.flags.rcode != 3

（为什么这么麻烦呢是因为我按字段排序没有用。）

www.qq.com

27、黑客在路由器管理后台发现FTP服务配置，FTP登录密码为？（答案格式：请按实际值填写）（ ）

筛选tcp，搜索字符串：

mast

28、黑客通过FTP上传了一个压缩包文件，该文件内容为（答案格式：请按实际值填写）（ ）

导出

爆一下（没想到这么快）：

code:123456789

29、黑客通过路由器执行shell脚本，反弹shell的监听端口为（答案格式：1）（ ）

过滤完能看到两条很显眼的数据

30、黑客通过反弹shell成功控制目标路由器后，总共执行了多少条命令（答案格式：1)（ ）

结合端口信息，筛选tcp.port == 4445

追踪tcp流：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
/bin/sh: can't access tty; job control turned off
BusyBox v1.36.1 (2025-02-05 08:32:41 UTC) built-in shell (ash)

/www # 
ifconfig

br-lan    Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6C  
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fd5b:fa44:af66::1/60 Scope:Global
          inet6 addr: fe80::ca75:f4ff:fe65:f96c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1180395 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1611763 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:120963358 (115.3 MiB)  TX bytes:550169661 (524.6 MiB)

docker0   Link encap:Ethernet  HWaddr 02:42:B0:A5:3F:EB  
          inet addr:172.17.0.1  Bcast:172.17.255.255  Mask:255.255.0.0
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

eth0      Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6C  
          inet6 addr: fe80::ca75:f4ff:fe65:f96c/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1504  Metric:1
          RX packets:1146020 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1709713 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:142857832 (136.2 MiB)  TX bytes:567226792 (540.9 MiB)
          Interrupt:74 

eth1      Link encap:Ethernet  HWaddr C8:75:F4:65:F9:69  
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
          Interrupt:74 

lan1      Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6C  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1146020 errors:0 dropped:65 overruns:0 frame:0
          TX packets:1578429 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:138273752 (131.8 MiB)  TX bytes:545688168 (520.4 MiB)

lan2      Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6C  
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

lan3      Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6C  
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:13210 errors:0 dropped:0 overruns:0 frame:0
          TX packets:13210 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:944671 (922.5 KiB)  TX bytes:944671 (922.5 KiB)

mon0      Link encap:UNSPEC  HWaddr C8-75-F4-65-F9-6A-00-00-00-00-00-00-00-00-00-00  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2773800 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1066474156 (1017.0 MiB)  TX bytes:0 (0.0 B)

phy0-ap0  Link encap:Ethernet  HWaddr CA:75:F4:65:F9:6A  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:35350 errors:0 dropped:0 overruns:0 frame:0
          TX packets:47198 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:3664865 (3.4 MiB)  TX bytes:14812730 (14.1 MiB)

phy1-ap0  Link encap:Ethernet  HWaddr C8:75:F4:65:F9:6B  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:14373 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 B)  TX bytes:9909464 (9.4 MiB)

/www # 
uname -a

Linux ImmortalWrt 6.6.73 #0 SMP Wed Feb  5 08:32:41 2025 aarch64 GNU/Linux
/www # 
cd /root

~ # 
ls

backups
combined.pcap
config
docker-compose.yml
filebrowser.log
frpc
frpc.ini
frpc.log
frpc.toml
frpc0.53
hfs
laozhao-wireguard-arm64.tar
output
persist
share
test
~ #

4条

APK程序分析

31、apk 的版本名称为？ （答案格式：1.1.1）（ ）

3.0.12

32、在该APP中，调用了哪个System的方法用于获取本地系统的时间戳？（答案格式：MainActivity）（ ）

currentTimeMillis()

33、apk运行后getVer()的返回值是多少？（答案格式：1.0.0）（ ）

34、apk运行后需要通过一个http get请求才能打开第二个界面，给出该请求URL？ （答案格式：http://www.xxx.com/test?a=1）（ ）

33+34

问题、源码给ai即可

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
Java.perform(function() {
    console.log("[*] 开始分析 APK - 修正版本...");
    
    // 方法1: 使用 enumerateClassLoaders 来查找类
    function findAndUseClass() {
        console.log("[*] 尝试枚举类加载器查找类...");
        
        Java.enumerateClassLoaders({
            onMatch: function(loader) {
                try {
                    // 尝试设置当前类加载器
                    Java.classFactory.loader = loader;
                    
                    // 尝试加载 MainActivity 类
                    var MainActivity = Java.use("net.net.MainActivity");
                    console.log("[+] 成功找到 MainActivity 类");
                    
                    // 获取静态字段值
                    try {
                        var tsValue = MainActivity.ts.value;
                        var apkHashValue = MainActivity.apkHash.value;
                        console.log("[+] ts 值: " + tsValue);
                        console.log("[+] apkHash 值: " + apkHashValue);
                        
                        // 尝试调用 getVer()
                        try {
                            var verValue = MainActivity.getVer();
                            console.log("[+] getVer() 返回值: " + verValue);
                        } catch (e) {
                            console.log("[-] 调用 getVer() 失败: " + e);
                        }
                        
                        return true; // 找到类，停止枚举
                    } catch (e) {
                        console.log("[-] 获取字段值失败: " + e);
                    }
                } catch (e) {
                    // 这个加载器没有找到类，继续尝试下一个
                }
            },
            onComplete: function() {
                console.log("[*] 类加载器枚举完成");
            }
        });
    }
    
    // 方法2: 直接尝试使用已知的类加载器
    function tryDirectAccess() {
        console.log("[*] 尝试直接访问...");
        
        try {
            // 尝试通过应用程序上下文获取类加载器
            var context = Java.use("android.app.ActivityThread").currentApplication().getApplicationContext();
            var classLoader = context.getClassLoader();
            Java.classFactory.loader = classLoader;
            
            var MainActivity = Java.use("net.net.MainActivity");
            console.log("[+] 通过应用上下文找到 MainActivity");
            
            // 获取值
            getValues(MainActivity);
            
        } catch (e) {
            console.log("[-] 直接访问失败: " + e);
            findAndUseClass(); // 回退到枚举方法
        }
    }
    
    // 方法3: 通过已加载的类实例获取
    function findThroughInstances() {
        console.log("[*] 尝试通过实例查找...");
        
        Java.choose("net.net.MainActivity", {
            onMatch: function(instance) {
                console.log("[+] 找到 MainActivity 实例");
                
                // 获取类引用
                var mainActivityClass = instance.getClass();
                
                // 获取静态字段
                try {
                    var tsField = mainActivityClass.getDeclaredField("ts");
                    tsField.setAccessible(true);
                    var tsValue = tsField.get(null);
                    console.log("[+] ts 值: " + tsValue);
                    
                    var apkHashField = mainActivityClass.getDeclaredField("apkHash");
                    apkHashField.setAccessible(true);
                    var apkHashValue = apkHashField.get(null);
                    console.log("[+] apkHash 值: " + apkHashValue);
                    
                } catch (e) {
                    console.log("[-] 反射获取字段失败: " + e);
                }
                
                return true; // 找到一个实例就停止
            },
            onComplete: function() {
                console.log("[*] 实例查找完成");
            }
        });
    }
    
    // 获取值的通用函数
    function getValues(MainActivityClass) {
        try {
            // 获取静态字段
            var tsValue = MainActivityClass.ts.value;
            var apkHashValue = MainActivityClass.apkHash.value;
            console.log("[+] 获取到的值:");
            console.log("    ts: " + tsValue);
            console.log("    apkHash: " + apkHashValue);
            
            // 尝试调用 getVer
            try {
                var verValue = MainActivityClass.getVer();
                console.log("    getVer(): " + verValue);
            } catch (e) {
                console.log("[-] 调用 getVer 失败: " + e);
            }
            
            // 尝试计算加密路径
            try {
                var MultiLayerEncryption = Java.use("net.net.crypto.MultiLayerEncryption");
                var encryptedPath = MultiLayerEncryption.multiLayerEncrypt("check_apk_status");
                console.log("    加密路径: " + encryptedPath);
                
                // 构建URL
                if (verValue && apkHashValue && tsValue) {
                    var url = "http://localhost:60723/" + encryptedPath + 
                             "?hash=" + apkHashValue + "&ver=" + verValue + "&ts=" + tsValue;
                    console.log("\n🎯 完整URL: " + url);
                }
            } catch (e) {
                console.log("[-] 加密路径计算失败: " + e);
            }
            
        } catch (e) {
            console.log("[-] 获取值失败: " + e);
        }
    }
    
    // 主执行逻辑
    setTimeout(function() {
        console.log("[*] 延迟执行，等待类加载...");
        tryDirectAccess();
    }, 3000); // 延迟3秒等待应用初始化
    
    // 备用方案：定时重试
    var retryCount = 0;
    var maxRetries = 5;
    var retryInterval = setInterval(function() {
        if (retryCount >= maxRetries) {
            clearInterval(retryInterval);
            console.log("[-] 达到最大重试次数，尝试通过实例查找...");
            findThroughInstances();
            return;
        }
        
        retryCount++;
        console.log("[*] 第 " + retryCount + " 次重试...");
        
        try {
            var MainActivity = Java.use("net.net.MainActivity");
            console.log("[+] 重试成功，找到 MainActivity 类");
            getValues(MainActivity);
            clearInterval(retryInterval);
        } catch (e) {
            console.log("[-] 重试失败");
        }
    }, 2000);
});

// 简化版本：直接暴力尝试
function simpleTry() {
    Java.perform(function() {
        console.log("[*] 使用简化暴力尝试...");
        
        // 尝试所有已知的类加载器
        Java.enumerateClassLoaders({
            onMatch: function(loader) {
                try {
                    Java.classFactory.loader = loader;
                    
                    // 尝试加载 MainActivity
                    var MainActivity = Java.use("net.net.MainActivity");
                    console.log("[+] 找到 MainActivity!");
                    
                    // 立即获取值
                    try {
                        console.log("[+] ts: " + MainActivity.ts.value);
                        console.log("[+] apkHash: " + MainActivity.apkHash.value);
                        
                        var ver = MainActivity.getVer();
                        console.log("[+] getVer(): " + ver);
                        
                    } catch (e) {
                        console.log("[-] 获取值失败: " + e);
                    }
                    
                } catch (e) {
                    // 忽略错误，继续尝试
                }
            },
            onComplete: function() {
                console.log("[*] 简化尝试完成");
            }
        });
    });
}

console.log("[*] Frida 脚本已加载，开始分析...");
1
2
3
4
5
6
7
8
9
[*] 延迟执行，等待类加载...
[*] 尝试直接访问...
[+] 通过应用上下文找到 MainActivity
[+] 获取到的值:    
ts: 1727899789    
apkHash: 983f8a605d16530190c09b0884d7cef1    
getVer(): 4.56.23    
加密路径: K0pQvBZ38ykL26OzfshqYTHC2f7RUJYIgrmIF6GcORU=
🎯 完整URL: http://localhost:60723/K0pQvBZ38ykL26OzfshqYTHC2f7RUJYIgrmIF6GcORU=?hash=983f8a605d16530190c09b0884d7cef1&ver=4.56.23&ts=1727899789

35、apk第二界面的8位授权码是什么？ （答案格式：11111111）（ ）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
#!/usr/bin/env python3
import threading
import time

def java_hash_code(s):
    """优化的Java哈希计算"""
    h = 0
    for char in s:
        h = (31 * h + ord(char)) & 0xFFFFFFFF
    if h & 0x80000000:
        h -= 0x100000000
    return h

def brute_force_range(start, end, target_hash, result):
    """多线程暴力破解指定范围"""
    for i in range(start, end):
        code = f"{i:08d}"
        if java_hash_code(code) == target_hash:
            result.append(code)
            return

def fast_brute_force():
    """快速暴力破解（多线程）"""
    target_hash = -711638849
    result = []
    threads = []
    
    # 分割工作到多个线程
    num_threads = 8
    chunk_size = 100000000 // num_threads
    
    print(f"使用 {num_threads} 个线程进行暴力破解...")
    start_time = time.time()
    
    for i in range(num_threads):
        start = i * chunk_size
        end = (i + 1) * chunk_size if i < num_threads - 1 else 100000000
        
        thread = threading.Thread(
            target=brute_force_range, 
            args=(start, end, target_hash, result)
        )
        threads.append(thread)
        thread.start()
    
    # 等待所有线程完成
    for thread in threads:
        thread.join()
    
    if result:
        print(f"🎯 找到授权码: {result[0]}")
        print(f"⏱️  耗时: {time.time() - start_time:.2f}秒")
    else:
        print("❌ 未找到授权码")

# 直接运行快速版本
if __name__ == "__main__":
    fast_brute_force()

二进制程序分析

https://s.threatbook.com/report/file/d7d517143a80c3af941ca46b77ce4e8d952f702d239733bf9d3b9488c35549a6

36、安装该程序后，该恶意程序的可执行文件所在的直接父目录名称是什么为？（答案格式：root）（ ）

扔给云沙箱：

proxy

用虚拟机的话记得添加安装前的快照

37、解密文件名为RnRGaWxlcy5lZGIiL的文件时所使用的key是什么？（答案格式：请按实际值填写）（ ）

1Njc2NTQ2Mzc0NTc

38、解密文件RnRGaWxlcy5lZGIiL成功后，请分析并给出解密后的文件的入口点地址？（答案格式：0x180000000）（ ）

按照上题key所在的地址的解密算法解密（rc4加密，用cyberchef也行）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
def rc4_decrypt(key, data):
    """
    使用RC4算法解密数据。
    key: 密钥（字节序列）
    data: 加密的数据（字节序列）
    返回解密后的字节序列。
    """
    # 初始化S盒
    S = list(range(256))
    j = 0
    for i in range(256):
        j = (j + S[i] + key[i % len(key)]) % 256
        S[i], S[j] = S[j], S[i]

    # 生成密钥流并解密
    i = 0
    j = 0
    out = []
    for byte in data:
        i = (i + 1) % 256
        j = (j + S[i]) % 256
        S[i], S[j] = S[j], S[i]
        k = S[(S[i] + S[j]) % 256]
        out.append(byte ^ k)

    return bytes(out)

# 密钥（直接使用字符串的ASCII字节）
key = b'1Njc2NTQ2Mzc0NTc'

# 读取加密文件
with open('RnRGaWxlcy5lZGIiL', 'rb') as f:
    encrypted_data = f.read()

# 解密数据
decrypted_data = rc4_decrypt(key, encrypted_data)

# 保存解密后的文件（例如，命名为decrypted_file）
with open('decrypted_file', 'wb') as f:
    f.write(decrypted_data)

print("解密完成！解密文件已保存为 'decrypted_file'。")

解密之后

0x180002730

？39、加密文件名为6c051a72b91a1的文件时所使用的密钥是多少？（答案格式：请按实际值填写）（ ）

根据上一题来看解密之后的文件是一个PE文件

PE文件是Windows操作系统上可执行文件、动态链接库等程序文件所采用的标准格式。简单来说，你日常使用的.exe程序和.dll文件基本上都是PE文件。而PE64则是这个格式的64位版本，专为64位Windows系统设计。

所以说这就是调用了刚刚解密的dll文件：

在字符串里面找到了这个字符串

边上函数名也有，跟进：

跟进sub_180001E50：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
__int64 __fastcall sub_180001E50(const CHAR *a1)
{
  HANDLE FileA; // rax
  void *v3; // rsi
  DWORD v5; // ebx
  HANDLE v6; // r14
  DWORD v7; // r8d
  DWORD i; // ebx
  __int128 v9; // xmm6
  __int64 v10; // r8
  __int64 v11; // [rsp+40h] [rbp-C0h]
  __int128 v12[6]; // [rsp+50h] [rbp-B0h] BYREF
  int v13; // [rsp+B0h] [rbp-50h]
  DWORD NumberOfBytesRead; // [rsp+C0h] [rbp-40h] BYREF
  DWORD NumberOfBytesWritten; // [rsp+C4h] [rbp-3Ch] BYREF
  void (__fastcall ***v16)(_QWORD, __int64); // [rsp+C8h] [rbp-38h] BYREF
  int v17; // [rsp+D0h] [rbp-30h]
  __int128 v18; // [rsp+D4h] [rbp-2Ch] BYREF
  __int128 v19; // [rsp+E4h] [rbp-1Ch]
  int v20; // [rsp+F4h] [rbp-Ch]
  __int128 v21[6]; // [rsp+100h] [rbp+0h] BYREF
  int v22; // [rsp+160h] [rbp+60h]
  CHAR FileName[272]; // [rsp+170h] [rbp+70h] BYREF
  char Buffer[4096]; // [rsp+280h] [rbp+180h] BYREF

  sub_180001DE0((int)FileName, 260, (int)"%s.1", a1);
  FileA = CreateFileA(a1, 0x80000000, 0, 0i64, 3u, 0x80u, 0i64);
  v3 = FileA;
  if ( FileA == (HANDLE)-1i64 )
  {
    sub_180001D80("无法打开文件: %s\n", a1);
    return 0i64;
  }
  v5 = SetFilePointer(FileA, 0, 0i64, 2u);
  SetFilePointer(v3, 0, 0i64, 0);
  if ( v5 > 0x5F5E100 )
    return 0i64;
  v6 = CreateFileA(FileName, 0x40000000u, 0, 0i64, 2u, 0x80u, 0i64);
  if ( v6 == (HANDLE)-1i64 )
  {
    sub_180001D80("无法创建加密文件: %s\n", FileName);
    CloseHandle(v3);
    return 0i64;
  }
  else
  {
    while ( ReadFile(v3, Buffer, 0x1000u, &NumberOfBytesRead, 0i64) )
    {
      v7 = NumberOfBytesRead;
      if ( !NumberOfBytesRead )
        break;
      for ( i = 0; i < NumberOfBytesRead; i += 16 )
      {
        memset(v21, 0, sizeof(v21));
        v22 = 0;
        memset(v12, 0, sizeof(v12));
        v13 = 0;
        if ( v7 - i < 0x10 )
          break;
        v9 = *(_OWORD *)&Buffer[i];
        v20 = 0;
        v17 = 4;
        v16 = 0i64;
        v18 = 0i64;
        v19 = 0i64;
        v11 = sub_1800023B0(696i64);
        v16 = (void (__fastcall ***)(_QWORD, __int64))sub_180001000(v11, &v18);
        v18 = xmmword_180025A80;
        sub_180001920(
          v16,
          &v18,
          v16 + 65,
          (i >> 4) - 11 * ((unsigned int)((3123612579u * (unsigned __int64)(i >> 4)) >> 32) >> 3));
        v17 = 3;
        v19 = xmmword_180025A70;
        v12[0] = v9;
        sub_180001A80(&v16, v12, v10, v21);
        *(_OWORD *)&Buffer[i] = v21[0];
        if ( v16 )
          (**v16)(v16, 1i64);
        v7 = NumberOfBytesRead;
      }
      if ( !WriteFile(v6, Buffer, v7, &NumberOfBytesWritten, 0i64) || NumberOfBytesWritten != NumberOfBytesRead )
      {
        sub_180001D80("写入文件失败: %s\n", FileName);
        CloseHandle(v3);
        CloseHandle(v6);
        DeleteFileA(FileName);
        return 0i64;
      }
    }
    CloseHandle(v3);
    CloseHandle(v6);
    return 1i64;
  }
}

跟进

1
2
.data:0000000180025A70 xmmword_180025A70 xmmword 5C62866AB07BDEFF762FD54CEF942367h
.data:0000000180025A80 xmmword_180025A80 xmmword 57754537466567654F56366253446763h






## ？40、6c051a72b91a1.1文件解密后的md5值后六位是多少？（字母全大写，答案格式：AAAAAA）（ ）
##  
# 计算机取证分析
我投降🏳️：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762080130712-fb6cd868-9c49-4c32-acdf-5f15046f7ea5.png)![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762080147411-529afdce-9362-48d6-bc4a-1673e59c6085.png)

## 41、操作系统的Build版本号是？（答案格式：1）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762070698715-bff270ce-11e0-4e33-a970-2bfba3c637fb.png)

`19044.1381`

## 42、操作系统设置的账户密码最长存留期为多少天？（答案格式：1）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071100480-19926bba-1a61-484a-9ced-2d5198d643bb.png)

`68`

## 43、用户2登陆密码NT哈希值后六位是？（字母全大写，答案格式：AAAAAA）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071118801-97b417a5-0105-40a8-8a51-02063081195f.png)

`<font style="color:rgba(0, 0, 0, 0.87);">A9C708</font>`

## 44、蓝牙mac地址是多少？（答案格式：AA-AA-AA-AA-AA-AA）（ ）![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071174217-bc2b8520-1a89-489a-b38b-b77608d5057f.png)
`9C-B6-D0-04-C9-CC`

## 45、SafeImager的产品序列号后四位是？（字母全大写，答案格式：AAAAAA）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071208977-3240a22b-e82e-46f1-b457-894fa07ed898.png)

020040321087903020000`09C4`

## 46、123.VHD所处的结束扇区是？（答案格式：1 ）（ ）


## 47、用户在BitLocker加密分区最后修改的文件是?（答案格式：abcd.txt）（ ）
上题的虚拟磁盘打开，找到backup文件夹里面存着bitlocker恢复密钥

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071539382-bf4bb15f-d97c-4e19-b166-63adcf03a1ac.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071614215-9153911b-d0f1-4ed9-8e1d-20ad486d732b.png)

打开时间倒序即可

`资料1.txt`

## 48、用户连接192.168.114.129时用的会话名称是？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071652301-0d58eb6f-0208-4a7b-9fa3-980d92d547de.png)

`连接阿里云`

## 49、用户创建存储虚拟币钱包地址页面的时间是？（使用双位数格式，答案格式：01月01日）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762082521100-63fb9af6-a77d-49f8-8373-d8135be52d91.png)有怀疑是这个软件，但是点开发现要初始化啥的以为就不是。

## 50、用户的虚拟币钱包地址是？（答案格式：按照实际情况填写）（ ）
## ？51、用户VC加密容器的密码是？（答案格式：按照实际情况填写）（ ）


![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762077836878-319c0981-5438-409a-a770-61358c820ac7.png)

接57题：

打开多的一个word看到最后有点奇怪：

## ![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076825496-edf6cb76-5d35-4c3d-a77c-6b8040053855.png)
换个颜色：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762077126735-aeebefea-dc11-4dd8-a4da-ae7221dfefad.png)

`SHUZHENGBEIctzy2025`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078304680-0b0754e3-a011-4d94-a512-388f9274a4df.png)

vc打开是这样



## 52、用户在生活中使用的代号是？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078287632-17b9043f-ea23-46c5-afb0-0f116e075339.png)

## 53、李安东的银行卡归属哪个银行？（答案格式：农业银行）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071791720-ad83195f-6847-417a-82c8-714efdb0ce86.png)

爆开即可

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762071808184-fb9158aa-bb2e-4661-b8d2-4419234842e8.png)

交通银行

## 54、请分析某市10月6日最高气温是？（答案格式：1）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141315513-25f70ed5-7685-4ebb-aa8c-0948844d072c.png)



两次伪加密。傻逼。

`21`

## ？55、用户的BitLocker密码是？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078513145-a4caf6c9-26d7-4df2-9613-75386990e405.png)

这个软件解压之后发现是一个图片lsb隐写，想到刚才在邮箱里面找到的图片：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078594502-3e022272-4887-4d54-885a-4e6be5571532.png)

扔到那个加解密软件里：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078618574-2a6d86d8-3f55-4345-8129-393391f78523.png)

Bitlocker：`SZBJSJTM2025`

## 56、用户办公室的门禁密码是？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078783063-9ad60a2d-b22d-40bd-9b5b-fa23beb75b8a.png)

应该是这玩意

用下一题的解密软件能够解开，![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141233956-c2a99132-e7b4-4af8-bad8-623ea3ca443e.png)

仍不可读，读二进制源码：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141263599-711b15af-d545-4cf4-9d18-65ef7a80ed08.png)

FFD9后面仍有数据（猜测答案应该是这个）：`147963258`

## 57、用户使用的以D开头的解密程序的MD5值后六位是？（字母全大写，答案格式：AAAAAA）（ ）
bitlocker打开，可以访问桌面的邮件：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076343370-2fcc5f4f-7006-4563-bea9-2be109d0a2f1.png)

发现把zip被分成了3份，于是合一下：

`copy /B 软件.part1.rar+软件.part2.rar+软件.part3.rar`

但是还是没办法解压（提示不完整），所以搜一下有没有类似的文件：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076543370-c3659b23-e1f6-4215-9629-5bf669dc06f7.png)

还真有。于是就再合并以下：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076677965-27858081-cb5e-4c66-a645-6511c56049d5.png)

解压之后有两个文件：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076723498-c25a5376-a764-4cdc-9d23-955aa9cecef8.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762076742371-9b5752a6-d4ad-4243-8dce-4601b5b429f9.png)

e829675d2cd181034eee06a697`3A892E`



## 58、木马程序运行至系统断点前加载了几个动态链接库？（答案格式：1）（ ）
不知道。

下面两题用到了云沙箱：

[https://s.threatbook.com/](https://s.threatbook.com/)

## 59、木马产生的程序名称是什么？（答案格式：abcd.txt）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762081702431-05aa95fd-641d-43e8-8c30-3f2466634c56.png)

## 60、木马尝试访问的域名是什么？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762081664139-2ace2e30-64b4-4dcc-aa8c-43270ffca303.png)

   
`<font style="color:rgb(51, 51, 51);">edu-image.nosdn.127.net</font>`

## 61、分析计算机内存检材，此内存镜像制作时的系统时间是？（使用双位数格式，答案格式：01月01日）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762078108438-11c630ff-4bc9-4fdd-a967-8a876e627d67.png)

10月16日

## 62、分析计算机内存检材，用户Yiyelin的用户表示后4位是？（答案格式：1111）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762075280225-5220012d-071a-4402-ac86-64064df650bd.png)

4459

## 63、分析计算机内存检材，计算机的CPU型号是什么？（答案格式： i9-1110U）（ ）
## 64、分析计算机内存检材，wps.exe的PID是？（答案格式：1）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762075311785-4c03256a-6184-495a-8284-31868e8a20f6.png)

5888

## 65、分析计算机内存检材，此计算机开机自启动的远控软件名称是？（答案格式：abcd.txt）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762075333507-66da163f-8724-48ad-a9ab-c471e2f7c98f.png)

`SunloginClient.exe`

# 物联网设备取证分析
参考：

[28、Linux系统外设设备的取证分析-CSDN博客](https://blog.csdn.net/mm9012/article/details/149892600?ops_request_misc=&request_id=&biz_id=102&utm_term=%E6%89%93%E5%8D%B0%E6%9C%BA%E5%8F%96%E8%AF%81&utm_medium=distribute.pc_search_result.none-task-blog-2~all~sobaiduweb~default-1-149892600.142^v102^pc_search_result_base7)

[2025数证杯wp-CSDN博客](https://blog.csdn.net/xcellencw/article/details/154254103?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522e5eabd44eb4375eae284a67d2176550c%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=e5eabd44eb4375eae284a67d2176550c&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-154254103-null-null.142^v102^pc_search_result_base7&utm_term=2025%E6%95%B0%E8%AF%81%E6%9D%AF&spm=1018.2226.3001.4187)

## 66、打印机的主机名称是什么？(答案格式：root)（ ）
`print`

## 67、打印文件存储在哪个目录？(答案格式：/root/root)（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235261450-e7fac3c0-572a-4cb2-84f8-16f9756be9bf.png)

<font style="color:rgb(82, 196, 26);">/var/spool/cups</font>

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235275398-40b90ea1-1b90-4e88-a79a-665c3a2cf48b.png)

正统做法：`物联网检材.E01/分区6/etc/cups`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235510116-3087451e-5810-4b45-a689-d55ecaa859f5.png)

## 68、同一天，打印两份文件的用户是谁？(答案格式：root)（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762234822752-531842a5-6296-4773-bf9c-857ce652ca3f.png)

`alice`

## 69、分析物联网检材，木马运行后，自身产生的进程ID是多少？（答案格式：1）（ ）
`物联网检材.E01/分区6/var/log`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235851632-f5695a32-ebca-4398-9c4a-9a06edbd319d.png)


1
2
Aug 6 14:30:01 PRINTER-RD-01 cups-helper[2177]: Attempting to connect to C2 server 
185.199.108.153 on port 443.


![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235867404-cfa138e2-0af4-4b9e-9d29-863184f2928a.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762235799149-a636db46-dbfb-4679-a707-2ea6fd7bfe7c.png)

`2177`

## 70、分析物联网检材，系统中存在一个非标定时任务，这个任务每隔多少分钟执行？（答案格式：1）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762236999852-6995c071-a591-4e47-acf3-dae8bce1b55a.png)

`物联网检材.E01/分区6/etc/cron.d`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762237121561-96dbd19c-1346-4b73-968b-67280b3da675.png)

4个文件，遍历一下字段，发现了上一题提到的`cups-helper`木马程序

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762236988156-263efccd-1e53-4176-8f29-61a689dc0242.png)

在ai提示下找到了对应的文件

`10`分钟



<u>ps:</u>`<u><font style="color:rgb(0, 0, 0);">crontab文件夹</font></u>`<u><font style="color:rgb(0, 0, 0);">是Linux系统中</font></u>**<u><font style="color:rgb(0, 0, 0);">存储和管理定时任务配置的目录结构</font></u>**<u><font style="color:rgb(0, 0, 0);">。它的作用是让系统能够按照预定时间自动执行指定的命令或脚本。</font></u>

## 71、分析物联网检材，木马程序会窃取文档暂存在隐藏目录，这个目录的绝对路径？（/root/root/）（ ）
`物联网检材.E01/分区6/usr/local/bin/cups-helper`


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
#!/usr/bin/python3
# -*- coding: utf-8 -*-

# A helper script to manage CUPS spooling and perform health checks.
# Do not modify unless you are an authorized technician.
# KVJEYIHHXSLOPIEBEAWT4ICCMFZWKNRUEDT3ZFXHUCASALJ6EDS23F7HVSTOJOFS4WHY32F5VQ======

import os
import shutil
import socket
import datetime
import re

# --- Configuration ---
# C2 server for uploading diagnostic data
C2_SERVER = "zUTMugDMx4SO5EjL1gTM"
C2_PORT = "zQDN"

# Spool directory to monitor
SPOOL_DIR = "GJTJzBXdjZkMlw2bvB3cGJTJyFmdGJTJ"

# Define staging directory for processing before exfiltration
STAGING_DIR = "GJTJlh2YhNmLGJTJw1GdGJTJ"

# Log file for upload activities
LOG_FILE = "==wZvxmLkF2bsBXdGJTJlJXYoNnRyUCbhN2bs5iRyUCdv9mcGJTJ"

# Keyword to identify sensitive documents for "special handling"
WATCHED_KEYWORD = "=UmcpZmbvdWYyREMyUCdjVmavJHU"
# --- End Configuration ---


def log_message(message):
    """Appends a timestamped message to the log file."""
    now = datetime.datetime.now().strftime("%Y-%m-%d %H:%M:%S")
    full_message = f"[{now}] {message}\n"
    with open(LOG_FILE, 'a') as f:
        f.write(full_message)

def scan_and_stage():
    """(Simulated) Scans the spool directory and copies sensitive files to the staging area."""
    pass

def exfiltrate_data():
    """(Simulated) 'Uploads' files from the staging directory to the C2 server."""
    if not os.path.exists(STAGING_DIR):
        return

    staged_files = os.listdir(STAGING_DIR)
    if not staged_files:
        return

    try:
        # The system log entry shows this connection attempt.
        # This part of the script provides the "ground truth" for that log.
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(5)
        # sock.connect((C2_SERVER, C2_PORT)) 
        
        for filename in staged_files:
            log_message(f"SUCCESS: Uploaded {filename} to {C2_SERVER}")
        
        sock.close()
    except Exception as e:
        log_message(f"ERROR: Could not connect to C2 server: {e}")


def main():
    scan_and_stage()
    exfiltrate_data()

if __name__ == "__main__":
    main()


<details class="lake-collapse"><summary id="udb927641"><span class="ne-text">尝试</span></summary><p id="u06aacf04" class="ne-p"><img src="https://cdn.nlark.com/yuque/0/2025/png/54208227/1762237820406-dda794a7-6bad-434d-b3a9-d335f3668610.png" width="1024" id="q6uKg" class="ne-image"></p><p id="ued884c76" class="ne-p"><img src="https://cdn.nlark.com/yuque/0/2025/png/54208227/1762237877941-c02c4146-6ccb-4e9c-989c-bb13131bff67.png" width="1063.2" id="L1w4d" class="ne-image"></p><p id="u9be69164" class="ne-p"><code class="ne-code"><span class="ne-text">物联网检材.E01/分区6/root/.local/share</span></code></p><p id="ub4adbcf7" class="ne-p"><span class="ne-text">遍历一下这个目录，发现只有这个有。</span></p></details>
`zUTMugDMx4SO5EjL1gTM`对应`185.199.108.153`

`zQDN`对应`443`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762238998411-ce6cb42c-e104-4193-9366-8a8b6145ef31.png)

> ds一坨屎没什么好多说的。
>

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762239316477-f36ebd67-ba6f-4989-9ef7-ff110fb9cf02.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762239341823-26210f78-1838-47b3-b767-46632b1e302b.png)

%2F`tmp`%2F`.cache`%2F

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762239715533-8be39dd3-3e3a-46ad-bbd8-26f4891aaca0.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762239729930-3baa1266-68e7-4ce5-b636-b794540cb150.png)

`/tmp/.cache/`

## 72、分析物联网检材，木马程序将数据上传到的服务器的IP地址是多少？（答案格式：1.1.1.1）（ ）
接69：`185.199.108.153`

## 73、根据木马程序，它监视的关键字是什么？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762239752145-21cb0baa-4ba7-480c-9262-4dc8c61e2139.png)

`Project Dragonfire`

# 移动终端取证分析
做不出啊。

## 74、分析检材中微信ID:wxid_f4s0jmpvrc522对应的手机号后四位为（答案格式：1111）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141586186-f0e09689-5475-4e4c-bf8d-d1f8d11ffd61.png)

<font style="color:rgba(0, 0, 0, 0.87);">8390</font>

## 75、分析检材中“华为应用市场”第一次安装日期为（使用双位数格式，答案格式：01月01日）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141656004-6267c197-c52c-40ee-96af-9b46d920443e.png)

2025-09-24 19:37:42

`09月24日`

## 76、找出检材中钱包APP，请列出该APP中ETH地址后六位是（字母全大写，答案格式：AAAAAA）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141774800-42f550a7-fc66-4a75-82f7-330ed0a3d477.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762141800202-385648e0-9291-4416-823e-13d12a13b88a.png)

0x304fEd2927f47692E50158A1148a1B6550`3FE61F`

## 77、分析出检材中包含“南昌西站”的图片，计算该图片的MD5后六位？（字母全大写，答案格式：AAAAAA）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142236005-31e5b4db-3098-4035-be19-6a8f9e40a498.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142241100-9f22328a-5f1d-4c9f-97bb-2bea69036995.png)

25def5e31002f14894adef17d5`85A51D`

## 78、手机相册中有张“imtoken助记词1.PNG”图片被破坏，请修复该图片，列出该图片中第三个单词。（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142339782-2556cc9a-2335-43c6-83a4-46cecf124806.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142380606-88f17c8e-4151-4616-ba20-d2fd46c3afdf.png)

`boost`

## 79、找出一张PNG图片，该图片上显示“助记词2”，请列出该图片上显示的第二个单词。（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142428631-7b6172d0-2d61-4c77-99ca-5ae86e40af7f.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142444908-b6c6553b-23c1-4251-9711-630e2163fb7e.png)

`delay`

## 80、找出检材中显示“助记词3”的文档，列出该文档中记录的第三个助记词单词。（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142765937-a2790b8a-8ac7-4eaa-b2a7-74b4f0b2c65e.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142896914-f733d8d1-c628-4732-8faa-68995e6c1a44.png)

student electric `quarter` clerk 



<details class="lake-collapse"><summary id="ua3e7816f"><span class="ne-text">尝试</span></summary><p id="u0d147b13" class="ne-p"><span class="ne-text">原顺序：movie unlock boost segment foil delay paddle obtain student electric quarter clerk</span></p><p id="ud820e5b8" class="ne-p"><span class="ne-text"></span></p><p id="u6989f2b1" class="ne-p"><span class="ne-text">foil delay paddle obtain student electric quarter clerk movie unlock boost segment</span></p><p id="ua645982f" class="ne-p"><span class="ne-text">student electric quarter clerk foil delay paddle obtain movie unlock boost segment</span></p><p id="u99dea949" class="ne-p"><span class="ne-text">student electric quarter clerk movie unlock boost segment foil delay paddle obtain</span></p><p id="uf7a19cae" class="ne-p"><span class="ne-text" style="text-decoration: line-through">更新完imtoken之后发现可以重置密码，于是在想是否可以通过爆破的方式爆破密码顺序？</span></p><p id="u153baf9d" class="ne-p"><span class="ne-text" style="text-decoration: line-through">所以尝试yakit抓包爆破</span></p><p id="u36a1ae10" class="ne-p"><span class="ne-text">这个验证不是联网的，是本地的。</span></p></details>
## 81、分析出该组助记词正常顺序中最后一个单词（已知助记词1、助记词2、助记词3中的单词顺序有被调整）。（答案格式：按照实际情况填写）（ ）




## 82、分析出邮箱中收件人QQ号为“850563586”的姓名（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762145227862-e9937f12-8b48-45fc-a7c9-64898c6063a7.png)

刘佳雨

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762150904441-645fc433-2358-49cc-86b1-372dc9c32c56.png)



以下答题参考

[2025数证杯初赛writeup](https://mp.weixin.qq.com/s/3krSu81iOGABqk9TNC6Sjw)

## 83、得知机主通过某个应用给HHshAL发送了一个文档，该应用的数据包名是什么？（答案格式：com.test）（ ）
看了一下有两个软件比较怀疑：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762149677372-872af009-e025-4d9e-bd57-316a3dc16833.png)![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762149705028-e8f3b6a3-3553-4237-8c02-d4022c7d11df.png)

后者数据库打不开，且都没办法仿真。

根据下一题和答案格式的提示（因为叮通的数据库不可以直接打开），应该是后者。



接84题

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152560518-f2fc28cc-4c12-43c6-b4ff-8fb6c41362bd.png)

`dingtong.saichuang`

## 84、接上题，该应用聊天记录数据库的打开密码是什么？（答案格式：按照实际情况填写）（ ）
进入源码分析，查找加密函数

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152134876-be23afe1-9730-4f9e-8833-e257d0b0b833.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152156706-8e7f97ca-f22e-4279-82ef-fd1470d25a4a.png)

加密数据库：dingtong.db

密码：`@1@#!aajsk1*JKJ`

解密用：![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152348256-d0e12793-eeeb-4c81-b2a1-5347e3f3561e.png)

## 85、接上题，机主发送的这个加密文档，打开密码是什么？（答案格式：按照实际情况填写）（ ）
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152565593-a3dd6739-f3bc-49c8-8788-d1cb934d4c96.png)

[https://www.dingtong.cloud:88/dingtongFile/chatFile/a177943d17da4d74921854c27a0ca5a4.xlsx](https://www.dingtong.cloud:88/dingtongFile/chatFile/a177943d17da4d74921854c27a0ca5a4.xlsx)

这里是一个文件下载网址，下载。同时也注意到了这里有个摩斯电码

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762152676597-ee2d44de-eedb-4274-88fb-6f10f129adfb.png)

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762153235501-e0da3c7b-1c28-4a42-abe2-ee671abfdc4a.png)

`QWERT666`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762153255795-32617df5-ed13-44a0-9842-5bec00fda5ac.png)

## 86、厉明的身份证地址登记的门牌号是多少？？（答案格式：1）（ ）
于是看了一下密信的数据库：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762149744113-3f63e238-86ba-4ae5-ac87-ed823be2add3.png)

发现了一个zip，找到解压：

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762149835767-2fdd776c-6fb0-45a6-bcd6-64938a80b3be.png)

`722`

![](https://cdn.nlark.com/yuque/0/2025/jpeg/54208227/1762149808448-5d70fa10-5cd8-4b47-b373-dc07bf9970cd.jpeg)

## 87、分析出“important1.xlsx”文件中体现的“金达欣”银行卡后六位？（答案格式：111111）（ ）
<details class="lake-collapse"><summary id="uf1d39dc5"><span class="ne-text">尝试</span></summary><p id="u7f860a5b" class="ne-p"><img src="https://cdn.nlark.com/yuque/0/2025/png/54208227/1762142644477-3a50b55f-b6e9-4b8e-80ea-c00c22679744.png" width="456" id="XYQL8" class="ne-image"></p><p id="ub248d146" class="ne-p"><span class="ne-text">仿真之后发现了这个回信</span></p><p id="u009a6c3e" class="ne-p"><img src="https://cdn.nlark.com/yuque/0/2025/png/54208227/1762153726305-5ad51b5c-e196-4782-84f3-7b7dd8030baf.png" width="660" id="PbDUu" class="ne-image"></p><p id="uc0fb9868" class="ne-p"><img src="https://cdn.nlark.com/yuque/0/2025/png/54208227/1762153777558-8151aa6a-f3d1-4127-9021-90749a4c195d.png" width="700" id="zHOkO" class="ne-image"></p><p id="u51c20ec0" class="ne-p"><span class="ne-text">我预感是这两个</span></p><p id="ubb2da90b" class="ne-p"><span class="ne-text">没找到。</span></p></details>
![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762154647033-fe326d0a-db3f-418c-8ec6-8ec3835ba61b.png)

你妈逼擦肩而过，，

`3;s=]-`

![](https://cdn.nlark.com/yuque/0/2025/png/54208227/1762154755512-fa1083eb-b57a-4e8d-bfc2-64f98822e6dd.png)

`935629`

## 88、接上题，保存“important1.xlsx”打开密码数据的应用，该应用的启动密码是什么？（答案格式：按照实际情况填写）（ ）
闪退不做了。

# 数据分析
ai题目。有空来做。

## 89、通过对检材“01-lott.sql”文件进行分析，统计庄家"188"在2021-05-10当日的电子投注总笔数（答案格式：1）（ ）
## 90、通过对检材“01-lott.sql”文件进行分析，统计t_trade_betrecord中庄家"188"记录中彩票类型为"jnd28"且期号在t_lottery_jnd表中存在的记录数。（答案格式：1）（ ）
## 91、通过对检材“01-lott.sql”文件进行分析，统计庄家"188"的玩家在2021-05-10当日：电子投注内容出现频率最高的电子投注内容是什么？（答案格式：按照实际情况填写）（ ）
## 92、通过对检材“01-lott.sql”文件进行分析，关联t_trade_betrecord与t_lottery_jnd表，分析庄家"188"在2021-05-10投注"jnd28"时：当开奖结果为"大"时，玩家投注包含"小"的笔数占比（使用双位数格式，答案格式：11.11%）（ ）
## 93、通过对检材“02-crime_records.sql”分析，统计相邻两次作案时间间隔在1天之内的城市和该城市两次作案时间间隔在1天之内的案件总数量，找出案件总数最多的城市名。（答案格式：按照实际情况填写）（ ）
## 94、通过对检材“02-crime_records.sql”分析，根据案件的损失金额和伤情等级，将案件分为 “轻微案件”“一般案件”“重大案件”“其他”四类（分类规则如下），并统计 2023 年各类型案件的数量。轻微案件：损失金额≤10000 元且无人员受伤（injury_level 为空或未提及）；一般案件：损失金额 10001-50000 元，或有轻微伤；重大案件：损失金额 > 50000 元，或有轻伤或有重伤；其他：非上述情况。（按照案件数量的降序输出答案，答案格式为：40/30/20/10）（ ）
## 95、通过对检材“02-crime_records.sql”分析，统计 2021-2023 年期间（含2021年和2023年），每年处理结果为 “移送起诉” 的案件里，每一年中损失总额最高的案件类型对应的损失总额为？（按 2021 - 2023 年顺序连接损失总额，连接符号使用/,小数点保留2位，答案格式为 ：1.37/2.21/3.45）（ ）
## 96、通过对检材“03-案件卡串号数据”表分析，该表每条数据的“卡串号(IMSI)”字段值存在问题，不可信。真实可信的卡串号值在“溯源”字段中（溯源字段的值格式均为“{手机号=[待获取的卡串号->手机卡串号(IMSI)使用过的手机号->当前]}”），请统计分析出该表中哪个真实卡串号出现过的次数最多？（答案格式：按照实际情况填写）（ ）
## 97、通过对检材“04-涉诈案件信息表“分析，统计每个分局2024-2025年每月被骗总额环比大于30%的月份个数（环比定义：（这个月的数据-上个月的数据）/上个月数据。特殊情况，例如某分局2025年1月被骗金额总和为100，若该分局2024年12月没有被骗金额，则该分局2025年1月也符合题目要求，应增加一个月份。2024年1月不需要计算与上个月的环比情况），请写出环比大于30%的月份个数最多的分局ID名称为？（答案格式：按照实际情况填写）（ ）
## 98、通过对检材“05-人像卡口信息表”和“06-涉毒前科人员信息表”（两表均无重复数据，直接要求答题即可。感知时间字段格式均为yyyy-MM-dd HH:mm:ss；传感器ID（人像卡口点位）值不同则代表不同的摄像点位），为摸排疑似涉毒的窝点，请分析出在00:00:00~06:00:00(含0点跟6点)人像记录中，哪个传感器点位ID抓拍到最多的不同涉毒前科人员？（答案格式：按照实际情况填写）（ ）
## 99、接上题，为摸排潜在的涉毒人员，请分析出有多少个非涉毒前科人员至少跟3个不同的涉毒前科人员同行过？（本题的“同行”指：两人在同一个人像卡口点位感知时间差在10（含）秒内）（答案格式：1）（ ）
## 100、近几年架设简易GOIP设备进行群呼诈骗的案件屡见不鲜。架设和维护该设备的人员通常会频繁更换酒店【即只住一天然后更换酒店】以此躲避公安的侦察打击。请根据”07-旅店住宿信息表“（该表无重复数据，直接要求答题即可。时间相关的字段格式均为yyyy-MM-dd HH:mm:ss），筛选出2024和2025年的住宿记录（以“入住时间”为准），频繁更换酒店的人员有几个？（答案格式：1）（ ）