2024平航个人赛

流量

1、成功入侵网站的ip是

192.168.5.214

观察协议分级，发现主要是tcp的http报文为主

使用统计功能，发现最多的分组是192.168.5.146，其次是192.168.5.214和192.168.5.157

进行排查

发现5.157的攻击者在1秒钟之内向5.146完成了所有的http请求，猜测5.157的攻击者只是实施了扫描或者爆破，而未能成功

再看5.214的攻击者，发现存在登录和上传恶意代码的行为，证明该攻击者已经成功破解网站

2、入侵者扫描端口的范围

1-1000

端点统计，发现5.146的1-1000端口被依次访问，并且每次的分组并不是很多，猜测是黑客扫描的结果，而8080端口存在多个分组，应该是网站的端口

黑客后续对网站进行了攻击，产生了很大的流量，因此有很多的分组经过

3、攻击者扫描的方式是什么

半连接

过滤扫描的流量

可以看到攻击者先发送syn包，之后服务端响应并发送syn、ack包，客户端收到后直接RST释放连接，属于半连接

4、该网站服务器后端接口的端口号

8080

5、攻击者登录后台的账号密码

admin/123456

过滤post请求,追踪黑客爆破网站登录密码的http流

根据返回的内容判断

code=0即为成功登录，code=10004即为登录失败

6、网站中插入xss指向的远程文件路径

http://192.168.5.214/hack/saJk.jsp

直接过滤xss标签<img、<script等等

7、该攻击者使用远程命令控制服务器共持续了多久时间

52s

8、存在一张图片，该图片的内容是

QZYZC

手机

1、嫌疑人通讯录中归属地为浙江的好友有几位

2、请确定嫌疑人2024-02-08去过哪个城市

3、请确定嫌疑人联系最频繁的手机号

4、嫌疑人浏览器下载的txt文件名称是

5、嫌疑人尾号3333的银行卡余额

6、尾号为3333的银行卡卡号

7、嫌疑人的车牌号

8、嫌疑人公司地址

9、嫌疑人绑定印象笔记手机号为

导出印象笔记app的数据使用filelocate定位手机号

10、嫌疑人MetaMask钱包密码

11、请确认嫌疑人成功卖出名单多少次

在笔记中相加共8次

12、登录网易邮箱的账号

13、嫌疑人所使用的服务器密码

在邮箱中

14、请确认嫌疑人登录的telegram应用的ID

15、telegram应用绑定的手机号

16、请确认在telegram上有意向购买的用户昵称

17、请确认嫌疑人记录成功攻击过的网站数量

18、请确认嫌疑人给买家的体验名单中汉族的有几人

依照他们两个的聊天记录即可得到最后的表格文件

19、嫌疑人所使用的虚拟币交易所的名称是

20、接上题，请确定最近一次购买名单的玩家，其虚拟币地址是

计算机

1、计算机名称

2、最后一次开机时间

3、用户名Eraser的登录密码

先登录DorUUU账号，发现在桌面上存在一个txt，里面有Eraser用户密码

4、网络适配器Ethernet0的MAC地址

00:0C:29:67:29:3F

5、软件Veracrypt安装时间

6、用户下载的veracrypt的exe文件占用多少簇

使用管理员权限登录cmd，chkdsk命令查看簇大小，发现4096字节是一簇

一定要使用占用大小，否则会出现差错

7、最近使用的西部数据移动硬盘，该设备序列号

8、电脑中有一张笔记本有关的图片，请问拍摄地点

9、VPN所使用的代理端口

10、检查嫌疑人的vpn节点，日本A01的所使用的密码

11、嫌疑人远程连接过的ip地址中，除了192.168.172.191，还有哪个ip成功连接过

发现回收站有xsh文件，先还原

成功连接过的远程服务一定会有密钥保留

我们对密钥进行查看

发现192.168.160.138也成功连接过

12、接上题，嫌疑人第一次连接该ip的时间是

第一次连接的时候会创建主机密钥，所以只需要查看该密钥创建的时间

13、嫌疑人曾收到过一封与售卖个人信息相关的广告邮件，其发送方的ip是什么

这题需要查看邮件源代码

14、嫌疑人曾创建过一个计划任务，主要实现一个什么功能

根据deleteall猜测是定时删除

找到启动程序是加密磁盘中的1.bat

BC密码在手机笔记中

15、触发时间是什么

16、kali虚拟机root用户的密码

爆破shadow文件

计算机使用的是virtualbox软件，需要宿主机开启虚拟化，类似于dockerdesktop

成功启动虚拟机

因为虚拟机需要密码，我们把vdi文件导出

使用qemu-img软件将硬盘格式转化为raw或者vmdk

之后使用ftk挂载分析或者xways等软件，导出shadow文件，再使用hashcat、john等软件爆破即可

得到密码是654321

17、嫌疑人在虚拟机中扫描过一些主机，请找出扫描过的ip

嫌疑人使用nmap工具扫描

18、嫌疑人在计算机的一些word文件中记录了攻击的payload，请分析有哪些攻击类型

发现word文件打开是乱码情况

在kali虚拟机中存在decryptdoc文件，猜测是解密方式

导出文件，发现jpg文件缺少文件头信息，并且权限是只读

修改权限，并且添加文件头FFD8FFE0

得到完整的jpg文件，得到解密的py脚本，发现是Python实现的异或加密

这里提供1一个免费的ocr软件，实现图片文字转化，像wps这种需要付费

https://github.com/hiroi-sora/Umi-OCR/releases/tag/v2.1.1

进行解密需要将其还原，还原doc文件

 1 def xor_file(input_file_path, output_file_path):
 2     try:
 3         with open(input_file_path, 'rb') as file:    #使用rb（二进制读）的模式对输入的文件进行读取
 4             data = file.read()
 5         xor_data = bytearray([b ^ 0xFF for b in data])
 6 
 7         with open(output_file_path, 'wb') as file:      #使用wb（二进制写）的模式对解密后的文件进行输出
 8             file.write(xor_data)
 9         print(f"文件处理完成，输出文件位于：{output_file_path}")
10     except Exception as e:
11         print(f"处理文件时发生错误：{e}")
12 
13 # 恢复加密文件
14 def recover_file(input_file_path, output_file_path):
15     xor_file(input_file_path, output_file_path)
16 
17 # 使用方法
18 encrypted_file_path = r"G:\MYvmware\vmware-windows-share\list13.docx"    #在Python中\具有转移字符的功能，所以需要在字符串前面加上r，代表不需要转义
19 recovered_file_path = r"C:\Users\YYL1024\Desktop\93.docx"
20 
21 recover_file(encrypted_file_path, recovered_file_path)
因为异或运算的逆运算也是异或运算，所以异或文件加密的加密方式和解密方式是相同的，在Python中使用^表示异或运算

解密后list11、list12、list13转化为91、92、93

在这三个文件中存放着payload

SQL注入

xss攻击

log4j攻击

19、嫌疑人在bscsan.com网站的密码是

这里注意，google的密码管理与Windows系统程序有关，若之前在仿真的时候清楚了用户的密码，那么谷歌中保存的密码会随之消失

20、嫌疑人曾使用的MetaMask插件id

chrome-extension://插件ID

21、嫌疑人曾使用过虚拟钱包MetaMask，其虚拟钱包地址是

使用clash代理，打开MetaMask，密码之前在手机的笔记本中

22、嫌疑人在哪个虚拟币网络存在资产

点击BNB资产中发现存在usdt币

23、嫌疑人vc容器的挂载密码是

之前在手机中提取到的keepass密码

计算机中的密码存放的地方有很多

图片隐写、社交聊天、邮箱、笔记本、备忘录、密码管理器等等

24、在该浏览器书签"CryptBB"添加的时间

挂载vc容器，发现有data目录和洋葱浏览器

打开浏览器

25、嫌疑人1曾使用网络测绘引擎对几个酒店域名进行了扫描，问包括哪些酒店

在历史记录中

26、开房记录内有一位名叫shaheenur的酒店顾客，其出生日期是

有个zip文件，打开发现是伪加密

成功打开后，发现是两个excel表格和一张图片

根据图片中的Miama解密第二个excel表格

内存

主要使用vol2、vol3

1、该计算机中eraser用户的登录密码是

python vol.py -f "A:\个人赛部分\内存\memory.raw" hashdump

2、检查内存镜像，该计算机名是

volatility_2.6_win64_standalone.exe -f "A:\个人赛部分\内存\memory.raw" --profile=Win10x64_10586 printkey -K "ControlSet001\Control\ComputerName\ComputerName"