2026polar取证赛

检材密码

ec02c59dee6faaca3189bace969c22d3

题目

PC

1.网卡的 Mac 地址是什么？答案格式：XX-XX-XX-XX-XX-XX

答案：00-0C-29-47-CB-EC

2.系统内部版本号是多少？答案格式：xxxxx.xxxx

看基本信息

答案：19045.6456

3.分析计算机检材，计算机中的编程软件的版本是？答案格式：xxxx.x.x

看安装软件就好，但是官方这里认为C++这个C++运行库判断的，可是整个安装软件里我都没有看到vs这个工具包，留有疑惑。Android Studio才是软件吧，也有可能我理解错了。

答案：14.36.32532

4.桌面上的图片文件的哈希值是多少？题目格式：全大写(MD5)

到桌面找到图片即可

答案：DE3EB98E2DBFEB01A22B576D759FDA89

5.曾经连接过的u盘的名称是什么？答案格式：USB xxx USB Device

答案：USB Sandisk 3.2Gen1 USB Device

6.曾经连接过的u盘的全局唯一标识符是什么？答案格式：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

见上题

答案：36fc9e60-c465-11cf-8056-444553540000

7.交易名单里，交易新型可乐的涉毒人员是谁？答案格式：xx

在文档里的wechatfile发现有压缩包记录，猜测可能和题目有关，导出发现压缩包有密码

再看分析，发现便签里有两条记录，试着解密，loctf{i_l0v3_L0Ch4d!}为压缩包密码，好奇怪，比赛的时候尝试了，但没有解压出来好奇怪

再找可乐即可

答案：圣赵

8.接头暗语是什么？答案格式：xxxxxx

在root用户目录下找到一个加密容器

尝试用便签里另一个解密

挂载容器有张图片估计有隐写，用binwalk扫一下，发现里面有个hint.txt，打开得到暗语

答案：栀子花的茉莉花

9.默认浏览器的UA（User-Agent）是什么？答案格式：Mozilla/5.0 (...) AppleWebKit/xxx.xx (...) Chrome/xxx.x.x.x Safari/xxx.xx xxx/xxx.x.x.xxx

确定默认浏览器是夸克

仿真F12查看即可

答案：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.0.0 Safari/537.36 QuarkPC/6.4.0.728

10.电脑里apk的包名？答案格式：com.example.xxxxx

apk在桌面上

答案：com.example.myapplication

11.伪造的身份证个数和人名？答案格式：x-xx

IDcard文件里有三个图片，查看无法显示，导出查看文件头

发现三个图片的文件头均被修改，改回来之后就可以看到图片,两个jpg一个png，闹麻了熊大熊二不是人，所以后面是关羽，emm，有点抽象了

答案：3-关羽

12.微信版本号

依旧看安装软件

答案：4.1.7.30

13.exe程序的SHA1后六位是多少？答案格式：XXXXXX

出题人想要的是桌面的那个exe的哈希，这也没说清楚啊，那么多exe

答案：CD31B3

14.apk中VIP KEY 和 Param两个值是什么？答案格式：VIPKEY_Param

当时ai一把梭出来的，官方的视频也没详细讲，deepseekV4有话说

  第一阶段：静态初探（信息收集）

  1. 字符串快速扫描
  用 strings 命令直接搜 APK 二进制，关注关键词：vip、key、param、flag、secret、AES 等。

  关键发现：
  - etVipKey、etParam、btnActivateVip — 控件 ID，说明有 VIP Key 输入框、Param 输入框、激活按钮
  - Param（VIP 后可用） — 提示 Param 在开通 VIP 后才能输入
  - 包名 com.example.myapplication

  2. 解压 APK 看结构
  APK 本质是 ZIP，直接 unzip 解出 classes.dex、classes2.dex、classes3.dex。三个 DEX 文件说明用了
  MultiDex，业务代码大概率在小的那个里（classes3.dex 只有 8KB / 173 个字符串）。

  第二阶段：定位关键类

  3. 从 DEX 字符串表提取类名
  classes3.dex 中出现了全部自定义类：
  CryptoUtil      — 加密工具
  FlagEngine      — Flag 引擎
  ParamVault      — Param 保险库
  VipManager      — VIP 管理器
  MainActivity    — 主界面
  BuildConfig     — 构建配置
  类名直接暴露了功能边界，不需要猜。

  4. 提取 class_data 中的字符串常量
  在 classes3.dex 的 173 个字符串中看到：
  - AES/GCM/NoPadding → 加密算法确定
  - SHA-256 → 密钥派生算法确定
  - 3lKRTV5d+3QCqKxivQvI04PCsYe5q21h、kYtbg999PZiwl2AjFn4SFIr0dwiAfMWq、IPPL/aP7YVry → Base64 盲串，可疑
  - decryptVipKey、decryptFlag、deriveKey → 方法名直接说明逻辑
  - FLAG_PARTS、K_VIP → 静态常量名

  第三阶段：还原代码逻辑

  5. Apktool 反编译到 Smali

  jadx-gui 有 CLI 模式但环境兼容性问题跑不起来，转而用 apktool_2.7.0.jar 反编译到 Smali。Smali 是 DEX
  的文本表示，每条指令一一对应，完全等价于看字节码。

  6. 逐个读 Smali 还原逻辑

  VipManager.smali — 核心方法 decryptVipKey()：
  getString(0x7f0e006a)    → 从资源读加密的 VIP blob
  Base64.decode(...)        → Base64 解码
  XOR 0x5a 逐字节           → 简单异或解密
  这告诉我 VIP Key 的真实值藏在 res/values/strings.xml 的某个 string 资源里（ID 0x7f0e006a）。

  ParamVault.smali — 同样模式，XOR key 是 0x12，资源 ID 0x7f0e0062。

  FlagEngine.smali — 最关键的 Flag 解密逻辑：
  FLAG_PARTS = [part1, part2, part3]
  拼接三个 Base64 片段 → Base64 解码 → 前12字节=Nonce, 剩余=密文+Tag
  deriveKey(vipKey, param) = SHA-256(vipKey + ":" + param)[:16]   → AES-128 密钥
  AES/GCM/NoPadding 解密 → flag 字符串

  MainActivity.smali — 确认按钮交互流程：
  - btnActivateVip → 取 etVipKey 的文本 → VipManager.activateVip() → 结果存 SharedPreferences
  - btnRun → 取 etParam 的文本 → FlagEngine.decryptFlag(vipKey, param) → 显示结果

  第四阶段：提取加密值并解密

  7. 从资源文件找被 XOR 隐藏的原始值
  打开 res/values/strings.xml，搜 param_blob 和 vip_blob：
  <string name="vip_blob">DBMKdxsZGR8JCXdoamhs</string>
  <string name="param_blob">dnd3Yk1ic2Bzf00law==</string>

  8. Python 完成解密链
  vip_blob → Base64.decode → XOR 0x5a → "VIP-ACCESS-2026"
  param_blob → Base64.decode → XOR 0x12 → "deep_param_7y"
  SHA-256("VIP-ACCESS-2026:deep_param_7y")[:16] → AES key
  AES-GCM decrypt(FLAG_PARTS_blob) → "flag{vip_gate_and_deep_param}"

答案：VIP-ACCESS-2026_deep_param_7y