2024年龙信杯服务器取证

检材密码：MjAyNOm+meS/oeadrw==

题目：

1	分析服务器检材，服务器会做登录密码验证，该登录验证文件位置在？[标准格式：/xxx/xxx/xxx.xxx]
2	分析服务器检材，服务器ssh端口是多少？[标准格式：1234]
3	分析服务器检材，服务器docker内有多少个镜像。[标准格式：100]
4	分析服务器检材，服务器内sqlserver默认账号的密码是？[标准格式：xxx]
5	分析服务器检材，服务器内sqlserver存放了阿里云存储下载地址，该下载地址是？[标准格式：https://xxx]
6	分析服务器检材，服务器内sqlserver内“cmf_user_action_log”表，表内存在的用户操作日志，一共操作次数是多少？[标准格式：100]
7	分析服务器检材，该服务器正在使用的数据库的持久化目录是什么？[标准格式：/xxx/xxx]
8	分析服务器检材，该网站后台正在使用的数据库有多少个集合？[标准格式：100]
9	分析服务器检材，该网站的后台登录地址是？[标准格式：/xxx/xxx.xxx 全小写，不加域名]
10	分析服务器检材，该网站后台使用的管理员加密算法是？[标准格式：全大写]
11	分析服务器检材，该网站最早使用超级管理员进行删除管理员操作的IP地址是？[标准格式：x.x.x.x]
12	分析服务器检材，该网站后台上传过sha256值为“b204ad1f475c7716daab9afb5f8d61815c508f2a2b1539bc1f42fe2f212b30d1”的压缩包文件，该文件内的账单交易订单号是多少？[标准格式：123456]
13	分析服务器检材，该网站存在网站数据库备份功能，该功能的接口地址是？[标准格式：/xxx/xxx 全小写，不加域名]
14	分析服务器检材，该网站存放银行卡信息数据表中，其中信息数量前十的公司对应旗下visa银行卡一共有多少金额？[标准格式：100.00]
15	分析服务器检材，该网站在2023年二月一共获取了多少条通信记录？[标准标准格式：100]
16	分析服务器检材，该网站的一条管理员信息存在数据篡改，请分析是哪个管理员信息遭到篡改，该管理员用户名是？[标准格式：ABCDE]

解答：

直接仿真会删除系统内部分文件，导致无法做题，于是开始静态分析

分析代码，发现通过Linux系统的密码文件(/etc/shadow)与 /etc/.cadpc 文件内容进行比对，如果密码不一致，将会删除文件等操作

查找`/etc/.cadpc 文件内容如下

密码修改脚本

仿真服务器，不更改密码

然后在进入系统后按e进入内核编辑界面，进行修改

按`CTRL+x进入救援模式

输入 chroot /sysroot/进入root用户

执行刚刚找到的更改密码的脚本

密码修改完毕，使用修改后的密码登陆系统

1 分析服务器检材，服务器会做登录密码验证，该登录验证文件位置在？[标准格式：/xxx/xxx/xxx.xxx]

答案：/etc/profile.d/check-system.sh

2 分析服务器检材，服务器ssh端口是多少？[标准格式：1234]

答案：12320

3 分析服务器检材，服务器docker内有多少个镜像。[标准格式：100]

答案：7

4 分析服务器检材，服务器内sqlserver默认账号的密码是？[标准格式：xxx]

答案：<i7uFtnkTv8>

5 分析服务器检材，服务器内sqlserver存放了阿里云存储下载地址，该下载地址是？[标准格式：https://xxx]

答案：https://xinfenfa.oss-accelerate.aliyuncs.com

docker启动sqlserver，然后使用navicat进行连接

在表中使用全局搜索https

6 分析服务器检材，服务器内sqlserver内“cmf_user_action_log”表，表内存在的用户操作日志，一共操作次数是多少？[标准格式：100]

答案：99207

通过分析表结构可以得知：日志表user_id对应用户表的id

然后执行sql语句 select sum(cmf_user_action_log.[counts]) from cmf_user_action_log where user_id IN ( select id from cmf_user )

7 分析服务器检材，该服务器正在使用的数据库的持久化目录是什么？[标准格式：/xxx/xxx]

答案：/data/mongo

首先我们先定位网站目录

找到网站的配置文件

docker inspect mongo

8 分析服务器检材，该网站后台正在使用的数据库有多少个集合？[标准格式：100]

答案：13

docker start mongo启动mongo，利用上文配置文件内的密码连接

9 分析服务器检材，该网站的后台登录地址是？[标准格式：/xxx/xxx.xxx 全小写，不加域名]

答案：/appmanager/common/login.shtml

docker start mysql5.7启动mysql

docker inspect mysql5.7查看到密码

然后连接mysql

将mongodb的信息导出成csv文件

再将这些文件导入到mysql中

成功导入mysql

改写数据库配置文件

前端界面

10 分析服务器检材，该网站后台使用的管理员加密算法是？[标准格式：全大写]

答案：BCRYPT

根据错误提示查找源码

全局搜索password

跟进encryptpass

11 分析服务器检材，该网站最早使用超级管理员进行删除管理员操作的IP地址是？[标准格式：x.x.x.x]

答案：117.132.191.203

将密码123456加密然后替换掉原管理员密码

然后进行登录,超级管理员id是1，删除管理员操作id是26

12 分析服务器检材，该网站后台上传过sha256值为“b204ad1f475c7716daab9afb5f8d61815c508f2a2b1539bc1f42fe2f212b30d1”的压缩包文件，该文件内的账单交易订单号是多少？[标准格式：123456]

答案：20240321000000005443369778283185

拿出来爆破,密码为MTj02

13 分析服务器检材，该网站存在网站数据库备份功能，该功能的接口地址是？[标准格式：/xxx/xxx 全小写，不加域名]

答案：/appmanager/databackup

14 分析服务器检材，该网站存放银行卡信息数据表中，其中信息数量前十的公司对应旗下visa银行卡一共有多少金额？[标准格式：100.00]

答案：21701599.63

select sum(cast(money as decimal(10,2))) from app_card where company in ( select company from ( select company,count(company) as ct from app_card group by company order by ct desc limit 10 ) as comp ) and card_no like '4%'

15 分析服务器检材，该网站在2023年二月一共获取了多少条通信记录？[标准标准格式：100]

答案：2879

16 分析服务器检材，该网站的一条管理员信息存在数据篡改，请分析是哪个管理员信息遭到篡改，该管理员用户名是？[标准格式：ABCDE]

答案：xYpMLuROhNl

这个人创建时间在登陆时间之后

参考：https://mp.weixin.qq.com/s/OWVcu11_tE7ZUAjK0G9vFA