[系统运维] 2020第二届长安杯

案情简介：接群众举报，网站“www.kkzjc.com”可能涉嫌非法交易，警方调取了该网站的云服务器镜像（检材 1.DD），

请对检材 1 进行分析，获取证据，并根据线索解锁更多检材，深入挖掘出更多与案件有关的信息。

直接搜索www.kkzjc.com，能找到相关文件，直接打开就是，历史命令里面也有more /etc/nginx/conf.d/www.kkzjc.com的出现

嫌疑人代理登录的端口是8091，开启docker后才开的端口，所以访问日志应该在docker日志里面

检材二

原始磁盘和镜像的哈希值不同，国庆社团考的是镜像哈希，错了好多

镜像用fhash把E01整个拖进去计算，它更大，原始磁盘用取证软件

电脑里搜了一下没有微信，应该是有手机的镜像，在用户访问痕迹中找到了手机的镜像

pyvmx-crack-master工具解密，密码是zzzxxx，解密后发现在虚拟机里无法启动虚拟机，先移除加密，再把这个拖到真机上，进行分析

检材三

网站的目录是C:\inetpub\wwwroot\v7w，在Web.config配置文件中可以找到dl重定向为/dr/login/dllogin.aspx

using System; using System.Data; using System.Web; using System.Web.Profile; using System.Web.Security; using System.Web.SessionState; using System.Web.UI; using DBManager; using IPSearch; using OSSys; using WBus; // Token: 0x02000002 RID: 2 public class dr_login_dllogin : Page, IRequiresSessionState { // Token: 0x17000001 RID: 1 // (get) Token: 0x06000001 RID: 1 RVA: 0x00002050 File Offset: 0x00000250 protected DefaultProfile Profile { get { return (DefaultProfile)this.Context.Profile; } } // Token: 0x17000002 RID: 2 // (get) Token: 0x06000002 RID: 2 RVA: 0x00002062 File Offset: 0x00000262 protected HttpApplication ApplicationInstance { get { return this.Context.ApplicationInstance; } } // Token: 0x06000003 RID: 3 RVA: 0x0000206F File Offset: 0x0000026F protected void Page_Load(object sender, EventArgs e) { this.oCmd(); } // Token: 0x06000004 RID: 4 RVA: 0x00002080 File Offset: 0x00000280 private void oCmd() { try { string text = base.Request.Form["tuser"]; string text2 = base.Request.Form["tpwd"]; if (!string.IsNullOrEmpty(text) && !string.IsNullOrEmpty(text2)) { text2 = Encryption.AESEncrypt(text2, "forensix", "HL"); if (new DSys().IpIsBlock(this.Context.Request.UserHostAddress, 3)) { this.Context.Response.End(); } text2 = FormsAuthentication.HashPasswordForStoringInConfigFile(text2, "MD5"); string text3 = this.Context.Request.Url.ToString(); text3 = XSys.FormatWeb(text3); WDUser wduser = new WDUser(); text = text.Trim(); text2 = text2.Trim(); DataTable dataTable = wduser.DUserLogin(text3, text, text2); if (dataTable == null) { this.JSCODE = XSys.JS_Alert("用户名或密码错误"); } else if (dataTable.Rows[0]["DU_State"].ToString() == "1") { this.JSCODE = XSys.JS_Alert("用户名或密码错误."); } else { int num = int.Parse(dataTable.Rows[0]["DU_Id"].ToString()); this.Session["DSESSION"] = num; string userHostAddress = this.Context.Request.UserHostAddress; QQWry qqwry = new QQWry(this.Context.Server.MapPath("/res/file/qqwry.dat"), userHostAddress); new WXt().LoginIpInsert(1001, num, userHostAddress, qqwry.Address); base.Response.Redirect("/d", false); } } } catch { } } // Token: 0x04000001 RID: 1 protected string JSCODE; }

第一条命令将DBManager文件中定义的类型添加到当前会话中，使用path指定源文件

第二条命令调用DBManager库的Encryption类的AESDecrypt的静态方法，用双冒号指定类的静态成员

检材四

重构网站

1、配置检材四服务器的网络

2、连接数据库

3、登录网站

配置检材四服务器的网络：

检材四仿真后发现无ip，很多命令都没有

网站连接的数据库地址是192.168.1.174，把静态ip改成这个

?
cd /etc/sysconfig/network-scripts/
vim?ifcfg-ens33

?改前

修改BOOTPROTO=dhcp为static，并且将ONBOOT=no改为yes
添加
????????IPADDR=192.168.1.174? ?ip地址
????????GATEWAY=192.168.1.1? ? 网关
????????NETMASK=255.255.255.0? ? ?子网掩码

重启网卡 service network restart

配置完成

更改主机的VMnet8

更改虚拟网络编辑器

关闭DHCP服务?

双向能ping通，配置成功！太感人了呜呜呜

?检材三的虚拟机IP是192.168.1.176.能ping通检材二

win+r输入services.msc，启动服务，服务器有了

连接数据库：

历史命令中有很多docker相关的

开启docker：systemctl start docker，启动容器：docker start sql1，进入容器：docker exec -it sql1 /bin/bash，数据库有了

?navicat连接sqlserver时报错，未发现数据源名并且未指定默认驱动程序(0)，下载sqlncli_x64.msi并安装，下载链接https://www.microsoft.com/zh-cn/download/confirmation.aspx?id=50402，安装具体过程可参考这个Navicat Premium 15连接sqlserver报错：未发现数据源名并且未指定默认驱动程序(0)_wbddds的博客-CSDN博客_sqlncli_x64.msi

server=192.168.1.174,1433;uid=sa;pwd=c4f2737e88;database=v7sq3;

连接成功！

登录网站：

分析数据库中的PD_UserLogin函数

---用户登录
ALTER PROC PD_UserLogin
@Domain	VARCHAR(50),
@Ln		VARCHAR(50),
@Pwd	VARCHAR(50)
AS
DECLARE @OK	INT,@Did INT
SET @OK=8
SET @Did=0
SELECT @OK=DW_Type,@Did=DW_DU_ID FROM TD_Webs WHERE DW_Web=@Domain
IF(@OK=0)
BEGIN
	SELECT DU_Id,DU_State FROM TD_User 
	WHERE DU_Id=@Did AND DU_Ln=@Ln AND DU_Pwd=@Pwd AND DU_ISDel=0
END
IF(@OK=1)
BEGIN
	SELECT DU_Id,DU_State FROM TD_User 
	WHERE DU_Ln=@Ln AND DU_Pwd=@Pwd AND DU_ISDel=0
END

可以看出，账号和密码都在TD_User中并且DU_ISDel=0，访问的ip在DW_Web表中才能访问

把检材三的ip加入，防止限制ip

TD_User表中admin的DU_ISDel=1，登不上，liwente1314520能登录

且嫌疑人使用的账号是liwente1314520，账号就是他，可以看到加密后的密码是A210F6EA35F2EFD016D2DB1811434909

这个密文md5解不出，只能修改密码了?

修改密码为123456，根据前面分析的过程

先+OvO，123456OvO

再AES加密，CjNw3iJ57CEkR2dZP88uNA==

最后是MD5加密，E1294DBFE81F7A141DDDC2F355E66EA5

cd .\Desktop\v7w\bin
Add-Type -Path .\DBManager.dll
[DBManager.Encryption]::AESEncrypt("123456OvO", "forensix","HL")

得到密文后修改表中的值

???????

还有一种方法是随便输入登录名和密码，发现登录之后弹窗用户名或密码错误

反编译App_Web_dllogin.aspx.7d7c2f33.dll

编辑类，把“用户名或密码错误”改为text2，输入密码后就会弹窗加密后的密码，直接把密文放进数据库中，把修改后App_Web_dllogin.aspx.7d7c2f33.dll覆盖检材三原网站中的文件，重启服务和sql1容器，就行了（我的虚拟机不知道为什么VMware Tools就是安装不上，覆盖都没办法）

if (dataTable == null)
				{
					this.JSCODE = XSys.JS_Alert("text2");

192.168.1.176/dl进入网站，账号liwente1314520密码123456

请使用第 39 题的答案作为密码解压检材 4，分析并回答下列问题

[系统运维]2020第二届长安杯

检材一

检材二

检材三

检材四