2021年5月,公安机关侦破了一起投资理财诈骗类案件,受害人陈昊民向公安机关报案称其在微信上认识一名昵称为yang88的网友,在其诱导下通过一款名为维斯塔斯的APP,进行投资理财,被诈骗6万余万元。接警后,经过公安机关的分析,锁定了涉案APP后台服务器。后经过公安机关侦查和研判发现杨某有重大犯罪嫌疑,经过多次摸排后,公安机关在杨某住所将其抓获,并扣押了杨某手机1部、电脑1台,据杨某交代,其网站服务器为租用的云服务器。上述检材已分别制作了镜像和调证,假设本案电子数据由你负责勘验,请结合案情,完成取证题目。
对象 | 检材名称 | |
陈昊民 | 手机 | 雷电模拟器镜像若干 |
杨某电脑 | 内存镜像 | memdump.mem |
杨某电脑 | 电脑 | pc.E01 |
杨某服务器 | 服务器 | m-uf4ixbmgmy9mzs0yciuq_system.qcow2 |
杨某阿里云数据库 | 数据库 | hins261244292_data_20230807143325_qp.xb |
维斯塔斯 | 安卓应用程序 | 维斯塔斯.apk |
【APK取证】涉案apk的包名是?[答题格式:com.baid.ccs]
com.vestas.app
【APK取证】涉案apk的签名序列号是?[答题格式:0x93829bd]
0x563b45ca
【APK取证】涉案apk中DCLOUD_AD_ID的值是?[答题格式:2354642]
2147483647
【APK取证】涉案apk的服务器域名是?[答题格式:http://sles.vips.com]
https://vip.licai.com
【APK取证】涉案apk的主入口是?[答题格式:com.bai.cc.initactivity]
io.dcloud.PandoraEntry
或者
都是一样的
【手机取证】该镜像是用的什么模拟器?[答题格式:天天模拟器]
雷电模拟器
【手机取证】该镜像中用的聊天软件名称是什么?[答题格式:微信]
与你
【手机取证】聊天软件的包名是?[答题格式:com.baidu.ces]
com.uneed.yuni
【手机取证】投资理财产品中,受害人最后投资的产品最低要求投资多少钱?[答题格式:1万]
5万
【手机取证】受害人是经过谁介绍认识王哥?[答题格式:董慧]
华哥
【计算机取证】请给出计算机镜像pc.e01的SHA-1值?[答案格式:字母小写]
23f861b2e9c5ce9135afc520cbd849677522f54c
【计算机取证】给出pc.e01在提取时候的检查员?[答案格式:admin]
不知道
【计算机取证】请给出嫌疑人计算机内IE浏览器首页地址?[答案格式:http://www.baidu.com]
http://global.bing.com/?scope=web&mkt=en-US&FORM=QBRE
【计算机取证】请给出嫌疑人杨某登录理财网站前台所用账号密码?[答案格式:root/admin]
yang88/3w.qax.com
【计算机取证】请给出嫌疑人电脑内pdf文件默认打开程序的当前版本号?[答案格式:xxxx(xx)]
2023春季更新(14309)
【计算机取证】请给出嫌疑人计算机内文件名为“C盘清理.bat”的SHA-1?[答案格式:字母小写]
24CFCFDF1FA894244F904067838E7E01E28FF450
【计算机取证】请给出嫌疑人Vera Crypt加密容器的解密密码?[答案格式:[email protected]#]
通过自带的VeraCrypt解密工具进行解密,配置好镜像文件后傻瓜化解密即可
然后
得到
【计算机取证】请给出嫌疑人电脑内iSCSI服务器对外端口号?[答案格式:8080]
3261
taskmgr锁定iSCSI服务器进程PID,然后通过netstat -ano查看端口
【计算机取证】请给出嫌疑人电脑内iSCSI服务器CHAP认证的账号密码?[答案格式:root/admin]
user/panguite.com
打开软件,发现密码看不了
在配置文件里找到密码 C:\Program Files\StarWind Software\StarWind\StarWind.txt
root/##evVRsIJtRmAEEd2sCslZDg==
【计算机取证】分析嫌疑人电脑内提现记录表,用户“mi51888”提现总额为多少?[答案格式:10000]
1019
导出求个和
【内存取证】请给出计算机内存创建北京时间?[答案格式:2000-01-11 00:00:00]
2023-06-21 01:02:27
【内存取证】请给出计算机内用户yang88的开机密码?[答案格式:abc.123]
3w.qax.com
【内存取证】提取内存镜像中的USB设备信息,给出该USB设备的最后连接北京时间?[答案格式:2000-01-11 00:00:00]
2023-06-21 01:01:25
【内存取证】请给出用户yang88的LMHASH值?[答案格式:字母小写]
aad3b435b51404eeaad3b435b51404ee
【内存取证】请给出用户yang88访问过文件“提现记录.xlsx”的北京时间?[答案格式:2000-01-11 00:00:00]
2023-06-21 00:28:14
【内存取证】请给出“VeraCrypt”最后一次执行的北京时间?[答案格式:2000-01-11 00:00:00]
2023-06-21 00:47:41
【内存取证】分析内存镜像,请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少次?[答案格式:10]
2
【内存取证】请给出用户最后一次访问chrome浏览器的进程PID?[答案格式:1234]
2456
服务器取证
服务器的信息如下
系统版本 | 1.0.190311 |
---|---|
服务器地址 | 192.168.233.129 |
操作系统 | Linux 3.10.0-957.el7.x86_64 |
运行环境 | nginx/1.22.1 |
PHP版本 | 7.2.33 |
MYSQL版本 | 5.7.25 |
Laravel | 5.8.26 |
上传附件限制 | 50M |
执行时间限制 | 300秒 |
涉案服务器存在一个宝塔面板,其用户名为alviosso,安全入口为c2b2f950,将密码修改成123456成功登录该面板。
涉案网站绑定了以下几个域名
其网站目录为/www/wwwroot/v9.licai.com
对涉案网站进行数据库还原,分析网站源码,发现该网站使用的是阿里云的RDS服务,根据检材所提供的 hins261244292_data_20230807143325_qp.xb 对数据库进行数据恢复
mv hins261244292_data_20230807143325_qp.xb hins.qp.xb
cat hins.qp.xb | xbstream -x -v -C /home/icecliffs/mysql/data
innobackupex --decompress --remove-origin /home/icecliffs/mysql/data
innobackupex --defaults-file=/home/icecliffs/mysql/data/backup-my.cnf --apply-log /home/icecliffs/mysql/data
chown -R mysql:mysql /home/icecliffs/mysql/data
之后将恢复好的数据库上传到天仪进行数据库仿真,然后使用本地的数据库取证工具进行取证
接下来恢复网站访问,将网站源码中的.env里的值修改为天仪的连接地址
之后访问站点,没有报错则说明访问成功
接下来对网站用户进行提权,根据谷歌浏览器保存的密码,我们随便注册一个用户设置一个简单的密码,然后把密码替换到admin表,在把用户表权限改成admin
然后登陆网站管理后台,http://192.168.233.129:8083/AdminV9YY/Login
成功登录进该系统
进来后修改下管理员密码,方便后续取证
【服务器取证】分析涉案服务器,请给出涉案服务器的内核版本?[答案格式:xx.xxx-xxx.xx.xx]
3.10.0-957.el7.x86_64
【服务器取证】分析涉案服务器,请给出MySQL数据库的root账号密码?[答案格式:Admin123]
ff1d923939ca2dcf
【服务器取证】分析涉案服务器,请给出涉案网站RDS数据库地址?[答题格式: xx-xx.xx.xx.xx.xx]
pc-uf6mmj68r91f78hkj.rwlb.rds.aliyuncs.com
【服务器取证】请给出涉网网站数据库版本号? [答题格式: 5.6.00]
5.7.40
【服务器取证】请给出涉案网站后台启用的超级管理员?[答题格式:abc]
admin
【服务器取证】投资项目“贵州六盘水市风力发电基建工程”的日化收益为?[答题格式:1.00%]
4.00%
项目规模:20000000
投资进度:89%
起投金额:7000
交易收益:4
项目期限:7个自然日
首先,需要计算实际投资额,即投资进度乘以项目规模:
实际投资额 = 项目规模 * 投资进度 / 100
实际投资额 = 20000000 * 89 / 100 = 17800000
然后,计算总收益:
总收益 = 实际投资额 * 交易收益 / 100
总收益 = 17800000 * 4 / 100 = 712000
最后,计算日化收益率:
日化收益 = 总收益 / 起投金额 / 项目期限 * 100
日化收益 = 712000 / 7000 / 7 * 100 ≈ 14.42%
我隔这乱算啥呢😅
【服务器取证】最早访问涉案网站后台的IP地址为[答题格式:8.8.8.8]
183.160.76.194
【服务器取证】分析涉案网站数据库或者后台VIP2的会员有多少个[答案格式:100]
20