首先是计算机部分,这里是题目
做完才发现其实很多东西在火眼里面已经有更快的捷径了,但是自己当时没发现,还去傻傻的开虚拟机去找,说到底,还是对取证软件的理解不够,也不怎么会用。不废话了,直接开始正题。
第一题的话,直接在取证软件里面找登录信息就可以了
答案:admin
第二题:
根据时间分析可知 S3JKNX0JA05097Y
3这题的思路的话我觉得还是去找,C盘里面个人文件夹下面的项目,通过这些去找
一级一级进入,发现有可能存在信息的压缩包
将文件导出
发现是zip文件,全部都改xlsx后缀看看,发现可以打开,直接搜索人名
当然,这里要定位到这个文件的话可以用,火眼耗时任务里面的特征分析功能,他也可以直接识别到这个顺丰1k.zip是xlsx文件
所以可知答案是 201
四 这个信息在第一个表里面找不到,第一个表里面就没有,第二个表没有出现在特征分析的错误项里面,说明就是zip文件,尝试解压(使用7-zip)
查找可知答案为 0683
五:
这里的话先找到所有关于这个信息的表
将四个表导入数据库中进行筛选
六
先找到之前的顺丰表格在同一目录下的storage文件为加密容器
通过微软便笺找到密码
这里外面的5thGoldenEyesCup是容器外部的密码,通过vc容器了可以找到第一层
用恢复软件比如Rstdio可以找到被删除的2
七
这个直接在12306裤子1.txt文件里面搜索名字就可以找到
727875584@pp.com
八
拼接数据以后用数据库进行筛选
九
这里可以直接在手机检材中找到
十
在微信的好友聊天消息记录里面有交易过公民住房信息
通过相册可以找到
流量分析部分:
这里是题目
1
入侵者IP的话
通过检材所给的流量包可知,是192.168.85.130一直在请求192.168.85.250,然后192.168.85.250一直在反馈信息,所以入侵者IP为前者
在统计回话里面,可以看的更清晰一些
所以答案为192.168.85.130
2.看到题目,先选择过滤http流
然后这里可以通过直接看就可以看出来,快一点的话也可以使用命令检索关键字“css?ver=”,也可以直接检索到
所以这里的cms软件版本是:5.2.1
3.这里选择全局检索分组字节流,搜索关键字version,找,然后追踪tcp流
就可以找到MySQL的版本号
答案为:5.5.53
4.这里考虑到是入侵爆破,所以肯定是130向250传参数,因为有参数要传,所以,考虑请求方式应该为POST
这里使用过滤语句
ip.src == 192.168.85.130 && ip.dst == 192.168.85.250 && http.request.method==POST
来进行过滤
通过查看的筛选对比可知
这里就一直在尝试换不同的密码来进行爆破
当密码为admin@12345时,很明显界面就发生了变化,所以这里就推测admin@12345是正确密码
通过追踪tcp流的方式,也可以发现正确的密码和错误的密码里出现SQL语句的不同
所以基本可以确认正确密码就是admin@12345
当然,简单的方法也可以是直接去找最后一个密码
5.查了一下,这里的数据库管理工具就是phpmyadmin
这里的思路是,因为是入侵者的操作,所以首先过滤就可以考虑分组的方向为130到250,其次查询可知phpmyadmin是通过浏览器来管理数据库的,那么分组的协议应该是http。那么这里就可以考虑过滤语句
ip.src==192.168.85.130&&ip.dst==192.168.85.250&&http.request.method==POST
这里就是过滤的结果
这里点开前面几个发现,基本都是爆破时的数据请求分组,所以没什么用,直接看后面几个
往下翻找的过程中,发现了可疑的SQL语句
通过分析可知,是与文件有关的操作,入侵者用SET GLOBAL命令设置了一般查询日志的日志问文件,通过查找资料可知,日志路径设置好后,并不会立刻新建相应的文件,而是在下次产生日志的时候自动创建。
所以答案是:06b8dcf11e2f7adf7ea2999d235b8d84.php
6.通过学习可知,查看禁用的函数一般可以通过phpinfo信息中的disable_functions,所以这里选择先使用过滤语句搜索phpinfo()
http contains "phpinfo"
这里可以发现执行了SELECT '<?php phpinfo();?>',接下来应该就是会去访问06b8dcf11e2f7adf7ea2999d235b8d84.php让服务器以PHP脚本解析<?php phpinfo();?>
直接筛选出包含有disable_functions的流量
追踪http流,搜索关键字disable_function
就可以找到答案
这里一个一个找了数就行,一共十个(当然,还有一种定位思路就是直接定位函数,因为php一般会禁用类似"exec"、“system”、"eval"这样的函数,所以通过这个这里也可以找到)
还有一种思路是把它导出来,修改后缀,以网页文件的形式打开查看
这样也可以找到
7.根据题目可知,在找被要求的命令的时候,入侵者已经拿到了权限,也就是说入侵者提权后,肯定是管理员权限,所以肯定在C:\Windows\System32>。
直接筛选相关流量
tcp contains "C:\\Windows\\system32>"
追踪tcp流,可以看到命令
这里也可以直接检索关键字 System
只是可能有点杂,这里检索出来以后,也可以在第三个里面找到
所以答案为:dir
8.这个在刚刚找到的包里面发现,第二个命令就是systeminfo,这个命令是Windows中用于显示关于计算机及其操作系统的详细配置信息,包括操作系统配置、安全信息、产品 ID 和硬件属性,如 RAM、磁盘空间和网卡和补丁信息等。
然后我们可以找到开机时间
(这里因为编码原因没有显示,改一下编码就会显示了)
根据命令的输出结果,可以看到系统启动时间是2019/6/13, 18:50:33
9.这里的话,还是选择继续查找我们刚刚筛选出来的tcp流
发现在流6048里面有一个md文件,而且查看了flag的内容
得到了答案:
3f76818f507fe7e66422bd0703c64c88
10.先筛选http流,发现最下面就是跟图片有关的流,这里直接追踪流,在最下面找到了flag值
所以答案为:
d31c1d06331a9534bf41ab93afca8d31