开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> 网络协议 -> [ CTF ]天机战队WriteUp-第六届”蓝帽杯“全国大学生网络安全技能大赛（初赛） -> 正文阅读

[网络协议][ CTF ]天机战队WriteUp-第六届”蓝帽杯“全国大学生网络安全技能大赛（初赛）

一、【MISC】domainhacker

在这里插入图片描述

题目附件

1、导出http

在这里插入图片描述

发现一个压缩包，打开以后发现是有密码的，尝试在流量中分析寻找密码

2、观察流量发现有1.php，与1.rar相似，盲猜可能与该流量相关

在这里插入图片描述
分析流量的过程中发现有与base64加密相关内容，尝试直接解密。

尝试删除前两个字母得到

用相同方法继续寻找并不断解密

3、发现相关流量

在这里插入图片描述

4、解压压缩包，打开1.txt文件，尝试带入flag，确定flag值

在这里插入图片描述
flag{416f89c3a5deb1d398a1a1fce93862a7}

二、【MISC】domainhacker2

在这里插入图片描述
题目附件

1、与domainhacker一样的套路，同样先导出http，发现同样一个压缩包ntds.rar要密码

在这里插入图片描述

2、观察流量，盲猜又是1.php，慢慢找吧

在这里插入图片描述

3、个人觉得与上题套路一样，只不过找的比较麻烦

在这里插入图片描述

4、符合搜索条件的不多，就是比较费时间，最后找到密码

在这里插入图片描述

5、解压后得到三个文件

在这里插入图片描述

6、在kali 中运行impacket-secretsdump

在这里插入图片描述
带入题中解得：flag{07ab403ab740c1540c378b0f5aaa4087}

三、【电子取证】手机取证_1

题目附件1
题目附件2

关于附件的使用
1、根据比赛原始附件，大小约为1.4个GB，因为CSDN的附件不能超过1000MB，所以附件我进行了极限压缩以及分割处理
2、先将附件1和附件2下载下来，会得到两个文件：【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z.001和【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z.002
3、使用copy /B将两个文件合并为一个：

copy /B 【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z.001+【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z.002 【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z

4、合并以后得到【电子取证】手机取证（第六届”蓝帽杯“全国大学生网络安全技能大赛）.7z文件，然后解压即可

在这里插入图片描述

1、解压后打开exe

在这里插入图片描述

2、直接搜索627604C2-C586-48C1-AA16-FF33C3022159，会看到图片

在这里插入图片描述

3、下载图片即可查看到该图分辨率

在这里插入图片描述

四、【电子取证】手机取证_2

在这里插入图片描述

与手机取证_1同理，直接搜索姜总即可查看到快递单号

在这里插入图片描述

五、【电子取证】计算机取证_1

在这里插入图片描述

用PasswareKitForensic

在这里插入图片描述

六、【电子取证】计算机取证_2

在这里插入图片描述

用volatility

在这里插入图片描述

最后可知制作该内存镜像的进程Pid号是2192

七、【电子取证】程序分析_1

在这里插入图片描述
题目附件

八、【电子取证】程序分析_2

在这里插入图片描述
题目附件

首先解包，AndroidManifest.xml文件中找到Activity

在这里插入图片描述

九、【电子取证】程序分析_3

在这里插入图片描述
题目附件

Jadx反编译可直接查看：

在这里插入图片描述

十、【电子取证】程序分析_4

在这里插入图片描述
题目附件

1、这道题是我无意间在手机上安装打开了后发现提示：

在这里插入图片描述

2、然后在jadx上搜索

在这里插入图片描述
由此可见，前面是包名后面是类名，所以实现安全检测的类的名称是a

十一、【电子取证】网站取证_1

在这里插入图片描述
题目附件

D盾扫描得：lanmaobei666

十二、【电子取证】网站取证_2

在这里插入图片描述
题目附件
这个还是花了点时间去找的

直接把my_encrypt()函数运行结果打印出来就可以了：KBLT123

十三、【电子取证】网站取证_3

在这里插入图片描述
题目附件

找加密money的函数，然后定位到encrypt：jyzg123456
在这里插入图片描述

十四、【电子取证】网站取证_4

在这里插入图片描述
题目附件
从bak.sql提取数据：

汇率为

在这里插入图片描述

存储为1.txt

0.04,2022-04-02
0.06,2022-04-03
0.05,2022-04-04
0.07,2022-04-05
0.10,2022-04-06
0.15,2022-04-07
0.17,2022-04-08
0.23,2022-04-09
0.22,2022-04-10
0.25,2022-04-11
0.29,2022-04-12
0.20,2022-04-13
0.28,2022-04-14
0.33,2022-04-15
0.35,2022-04-16
0.35,2022-04-17
0.37,2022-04-18

转账记录为：

在这里插入图片描述

存储为2.txt

2.txt

写脚本

import base64

def calculation_money(a):
    md5_k="cd9d86dd286a0b0079146c1c57e51576"
    b=base64.b64decode(a)
    money=""
    for i in range(len(b)):
        t=b[i]-ord(md5_k[i])
        money+=chr(t % 256)
    return money

f1=open("1.txt")
dic={}
for i in f1:
    a,b=i[:-1].split(',')
    dic[b]=a
print(dic)

sum=0
f2=open("2.txt")
for i in f2:
    if "5,3" in i:
        t=i[:-1]
        for k in dic:
            if k in t:
                tmp=eval(calculation_money(t[-11:-3])+'*'+dic[k])
                sum+=tmp
                break
print(sum)