2026西电长安杯wp（计算机取证）

计算机取证

• 检材看https://www.cnblogs.com/Yhsec/p/23348878

3.44 该计算机硬盘镜像中包含几个分区(包括保留分区及恢复分区等)？

火眼直出6个分区

答案：6

3.45 该计算机的设备名称（Computer Name）是什么？

答案：DESKTOP-DHCM8KM

3.46 该计算机的默认网页浏览器程序的可执行文件名是什么？（答案格式：abcde.exe）

我们可以看到html文件的默认打开方式用的是zen.exe，所以这个就是默认浏览器

答案：zen.exe

3.47 接上题，在计算机的默认浏览器中登录了一个邮箱服务，登录的邮箱地址是什么?（答案格式：xxx@xxx.xxx）

在“/Users/Wang/scoop/persist/zen-browser/profile/”这个路径下找到logins.json,但是内容都是加密的
后来去翻找places.sqlite这个数据库文件

moz_places这个表中的title字段中，能看到一个邮箱

答案：wang_0528@proton.me

3.48 通过浏览器下载了一个 Linux 发行版的镜像文件，该发行版的名称是什么？

可以看到他看了知乎的这篇linux文章，然后从知乎跳转下载了Tails，所以该发行版的名称是Tails
也可以去访问一下这个知乎网站

答案：Tails

3.49 Mega 网盘的恢复密钥保存在计算机中安装的某个软件中，该恢复密钥是什么？请使用该问题的答案解压检材“WHQ_MegaDrive.7z”。

镜像仿真一下，有obsidian，直接打开看一下，找到了恢复密钥
成功解压WHQ_MegaDrive.7z
答案：TTsJzb6V8XK_no6gKfh4jw

3.50 接上题，该软件开启了自动备份功能，备份功能连接的远程数据库的 URL 是什么？（答案格式：xxx.xxx.xxx.xxx:xxx/?xx=xxx）

obsidian启动时弹窗无法连接到47.89.230.121:5984地址，猜测这就是远程数据库的ip，但题目问的是URL
在/Basic data partition/Users/Wang/Documents/ObsidianVault/.obsidian/plugins/obsidian-livesync这个目录下就是备份功能这个插件的文件夹，查看data.json(加密了)
没办法了，暴搜看到data_1文件中有写到"db_name":"obsidian"

按照答案格式和obsidian的url规则得出答案


答案：47.89.230.121:5984/?db=obsidian

3.51 接上题，该软件备份功能连接远程数据库时使用的密码是什么？

Wang@0528@obsidian

3.52 计算机中最常使用的远程终端工具是什么?

桌面上的windterm打开看一下就是远程终端工具

答案：WindTerm

3.53 接上题，该工具连接的远程服务器使用的身份认证密钥（私钥）文件的 SHA1 哈希值是什么？请使用该问题的答案（字母大写）解压检材“WHQ_Server.7z”。

会话设置中能看到私钥文件的位置，算一下hash值就行，确认能解压WHQ_Server.7z

65D28E19A0FC1B790493B04D175D63391D0F9F95

3.54 计算机中有一个加密分区，该分区的盘符是什么？（答案格式：A）

只可能是D盘

3.55 接上题，综合分析王昊天的其他检材，该分区的解密密钥是什么？（提示：区分大小写）

这题真找不到，问了一下agent，可能是在王昊天手机的 com.opennotes（随笔记）数据库中。这是一个笔记app有密钥的可能很大

有四条笔记内容，试一下vE6w3re^URcXccrg成功了

答案：vE6w3re^URcXccrg

3.56 计算机上安装有一个虚拟局域网工具，该工具的版本号是什么？（答案格式：x.x.x）

这个工具是ZeroTier

注意：LocalSend 是“局域网文件传输工具”，ZeroTier 是“虚拟局域网工具”


答案：1.16.2

3.57 接上题，通过该工具加入的虚拟局域网的名称是什么？

这里去翻一下文件，有个叫saved_networks.json的，应该就是保存的之前加过的局域网，看“name”的值


答案：Wang's Zt Network

3.58 接上题，为该虚拟局域网添加的中继服务器的 id 是什么？

这里查了一下ZeroTier的中继服务器叫moon，文件目录下正好有个文件夹叫做moons.d

按照官方文档的说法，文件名就是中继服务器的 id

答案：6f570afe46

3.59 计算机中安装了一个启动介质（Bootable Media）制作工具。该工具第一次运行时，删除的分区中容量最大的分区的大小是多少字节？

搜索disk，发现了ventoy，工具确认，去翻翻文件。有个log.txt
这里日志很多有很多噪声，借助agent分析了一下，真正的记录删除操作的在图中标红的地方。经过对比，最大的是499775438848

答案：499775438848

3.60 接上题，该工具最后一次制作启动介质结束的时间是什么？（提示：以检材原始时区回答，答案格式：yyyy-MM-dd HH:mm:ss）

已知每一段都是以OK结尾，我们直接拉到最后，可以看到结束时间

答案：2026-07-10 15:21:13

3.61 计算机中安装了一个局域网文件传输工具，使用该工具接收了几个文件？

这个文件传输工具很明显是localsend

直接看历史，只有第一个是文件，所以接收了一个文件

答案：1

3.62 接上题，使用该工具最后一次接收数据的时间是什么？（提示：以检材原始时区回答，答案格式：yyyy-MM-dd HH:mm:ss）

最后一条接收记录就是 Research.tar (1)，时间看3.61的截图

答案：2026-07-10 14:38:03

3.63 计算机中保存有一个 C2 服务端工具，该工具的可执行文件的文件名是什么？

在Winodwsdefender的记录中v_windows_amd64调用了，猕猴桃、ghost、fscan等插件，明显就是C2 服务端工具
答案：v_windows_amd64.exe

3.64 接上题，该 C2 服务端连接了一个 Linux 客户端，其客户端 ID 是什么？

我们在之前把D盘成功挂载成O盘，O盘中就有该C2工具的DB数据库。这里账密都有了我直接去运行登录了。


很明显客户端就是那个叫B411NAS的，它的id是5


答案：5

3.65 接上题，目前存储了几个使用该工具下载的文件？

download文件夹下有5个文件

答案：5

3.66 接上题，综合其他检材分析，计算机本地的哪个端口与上述 Linux 客户端通信？

在NAS检材中frpc 客户端配置 分区4/root/frpc.toml serverAddr = "47.89.230.121"、serverPort = 7000；代理 ssh 127.0.0.1:22 → 远程 10022，http 127.0.0.1:80 → 远程 10080
所以B411NAS 的外连 IP 是 47.89.230.121，对应端口8085


答案：8085

3.67 计算机上安装有一个 FRP 的图形化管理工具，分析该工具的数据，创建的内网穿透代理隧道的名称是什么？

直接打开这个管理器就有隧道的名称了

答案：vshell-2

3.68 接上题，使用该工具最后一次成功连接 FRP 服务的时间是什么？（提示：以检材原始时区回答，答案格式：yyyy-MM-dd HH:mm:ss）

在日志文件下搜索success，定位到最后一个login to server success，得到时间
答案：2026-07-10 15:19:48

3.69 结合 Mega 网盘云取证数据分析，王昊天可能曾拥有另外一台云服务器，该服务器的 IP 地址是什么？

Mega 网盘云取证数据中有文件叫config-server.yaml，里面有个服务器地址

答案：119.8.47.96

3.70 结合 Mega 网盘云取证数据和 B411_FileHash_BlackList.csv 分析，网盘中的文件中，包含多少个不重复且在哈希清单中的文件？

答案：11