2026盘古石杯初赛(计算机取证部分)

检材密码VeZeTANHVkklvVljLnpOYeBwCJFYD5tFpf67f5kNuqP1G5jj
前四题简单的翻一翻就可以了, 不写了

5.分析刘洋liuyang_pc.E01检材，分析机主是从那里下载的typora?

下载的软件首先去查找浏览器下载记录

发现了下载的线索, 然后去历史记录里面搜索

6.分析刘洋liuyang_pc.E01检材，刘洋在2026-04-19 13:46:01（UTC +0）曾访问过百度云盘，请给云盘的打开密码?

先换算成北京时间 2026-04-19 21:46:01
百度云盘的密码大概率是浏览器的链接,所以去浏览器历史记录里面筛选访问时间,得到了结果:

7.分析刘洋liuyang_pc.E01检材，请给出刘洋管理pve集群所用的端口号?

pve是一个开源的服务器虚拟化管理平台, 通俗来说就是可以把一台物理服务器的硬件资源虚拟化成一个"资源池", 然后在这个池子里自由切分独立的"虚拟空间", 每个空间都可以安装一个不同的操作系统. 系统在底层完全隔离, 同时只要配置足够可以同时开机同时运行.

pve的核心优势是底层基于Debian Linux的稳定, 以及搭配有强大的Web的图形化管理界面

因此在这道题想要寻找pve的端口号, 可以去搜索浏览器的链接记录

在书签中发现了pve的三个主机, 确认端口是8006

8.分析刘洋liuyang_pc.E01检材，请给出刘洋登录理财网站所使用的密码？

在保存的密码里面发现密码admin123

9.分析刘洋liuyang_pc.E01检材，请给出理财网站的IP地址？

DNS 域名在本地的映射存放在 hosts 文件中, Windows的文件绝对路径是C:\Windows\System32\drivers\etc\hosts, Linux的文件绝对路径是/etc/hosts

得到答案192.168.0.70

10.分析刘洋liuyang_pc.E01检材，请给出计算机内Bitlocker加密分区恢复密钥的前6位?

新版火眼可以直接爆破出来加密分区的恢复密钥, 只需要把火眼更新到最新版就可以, 记得把内存镜像也拖进去

还有一种方法就是使用passware, 但是没有火眼快, 大概要一个多小时
密钥是560615-577522-342881-216865-242561-312356-584837-421597

11.分析刘洋liuyang_pc.E01检材，找出VC加密容器的密钥文件，给出该密钥文件的绝对路径

"D:\BaiduNetdiskDownload\无标题.png"
这个照片放到随波逐流里面, 测出来有高度隐写, 随波逐流修复之后发现是密钥文件

注:后面发现火眼也可以测出来图片隐写, 需要在一开始的快速分析的最下面勾选隐写检测

12.接上题，该VC加密容器的密钥文件的图像高度是多少像素?

修复好的png文件,1080像素

13.分析刘洋liuyang_pc.E01检材，请给出团队重要信息加密保存的软件名？

首先看到了这个1password的文件, 使用内置的WinRAR查看

用Winrar打开发现线索, 软件介绍和密码提示因此得到这道题的答案(很关键的提示)

14.分析刘洋liuyang_pc.E01检材，该软件的保险库文件名为什么？

文档处发现了1password的文件夹, 根据图标和profile.js的配置文件判断出来这是保险库文件

15.分析刘洋liuyang_pc.E01检材，该软件的保险库文件打开密码是什么?

保险箱里有一个密码的配置文件profile.js, 把这个配置文件拖到passware里面, 经过掩码爆破liuyang@?d?d?d?d得到了密码

16.分析刘洋liuyang_pc.E01检材，请给出用户刘洋的开机密码？

得到密码6yang@2o26

17.分析刘洋liuyang_pc.E01检材，请给出pve服务器的管理密码？

很阴, 正常看是看不到的!
但是点一下编辑, 就可以看到了

得到密码pgscup2o@6

18.分析刘洋liuyang_pc.E01检材，找出计算机内的脚本加密工具，给出该加密工具的SHA1的前6位？答案格式：字母小写

首先根据1password的vc容器密码提示, 得到了vc容器的密码和pim的值

然后找一找容器, 找到了这个, 把这个容器进行挂载, 密码是pgscup的MD58687f7d845649e03d02d4ff1f36ec952 pim是2026

挂载之后发现有两个压缩文件, 其中交易信息的密码在1password里面给出了提示, 所以直接passware掩码爆破解开了, 但是这两个文件并没有明确的加密脚本, 所以这个现在打开的容器很可能只是一个外层卷, 这个容器内很有可能包含隐藏卷

经过尝试, 最终把恢复后的密钥png文件和pim2026结合在一起打开, 容器不变, 但是内容却发生了变换, 从而成功打开了vc容器的隐藏卷

根据提示发现了加密脚本, 经过计算得到了SHA1: 7860dc719e0bd9fddc2eafd6708ecf204d744ae7
前六位小写是7860dc

19.分析刘洋liuyang_pc.E01检材，该脚本加密工具在进行脚本加密时，最后一层是进行什么操作？答案格式:字符替换

很良心, 在开头的注释里给出了每一层的步骤, 最后一层就是十六进制转换

20.分析刘洋liuyang_pc.E01检材，请解密该脚本加密工具加密的文件database.php.obf，给出该文件内的数据库密码？

#!/usr/bin/env python
# -*- coding: utf-8 -*-

import base64
import sys

XOR_KEY = 0x5A
BASE64_TABLE = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/"
CUSTOM_TABLE = "ZYXWVUTSRQPONMLKJIHGFEDCBAzyxwvutsrqponmlkjihgfedcba9876543210+/"


def xor_decrypt(data):
    result = []
    for i, c in enumerate(data):
        result.append(chr(ord(c) ^ (XOR_KEY + i) % 256))
    return ''.join(result)


def char_swap_decode(data):
    trans = str.maketrans(CUSTOM_TABLE, BASE64_TABLE)
    return data.translate(trans)


def deobfuscate(hex_text):
    step3 = bytes.fromhex(hex_text).decode('utf-8')
    step2 = char_swap_decode(step3)
    step1 = base64.b64decode(step2.encode('ascii')).decode('utf-8')
    plain = xor_decrypt(step1)
    return plain


def main():
    if len(sys.argv) != 3:
        print("Usage: python decrypt_database.py <input> <output>")
        sys.exit(1)

    in_path = sys.argv[1]
    out_path = sys.argv[2]

    with open(in_path, 'r', encoding='utf-8') as f:
        hex_text = f.read().strip()

    plain = deobfuscate(hex_text)

    with open(out_path, 'w', encoding='utf-8') as f:
        f.write(plain)

    print("[OK] %s -> %s" % (in_path, out_path))


if __name__ == "__main__":
    main()

使用python脚本解出database.php

<?php
return [
    'default' => env('DB_CONNECTION', 'mysql'),
    'connections' => [
        'mysql' => [
            'driver' => 'mysql',
            'host' => env('DB_HOST', '127.0.0.1'),
            'port' => env('DB_PORT', '3306'),
            'database' => env('DB_DATABASE', 'jinqin'),
            'username' => env('DB_USERNAME', 'root'),
            'password' => env('DB_PASSWORD', 'pgscup@o26'),
        ],
    ],
];

但是还有方法就是查看源代码发现了db_user和db_pass也可以得到密码

21.分析刘洋liuyang_pc.E01检材，找出刘洋计算机内的交易信息.rar，给出该文件的打开密码?

已经用passware爆破过了, 密码是pgscup@9541

22.分析刘洋liuyang_pc.E01检材，找出刘洋计算机内刘桂荣的身份证号码？

搜出来三个都是有效的, 也没有找到其他有用信息, 如何选择未知

23.分析刘洋ly-memdump.mem镜像，给出用户刘洋的NT哈希值？

得到答案: 876dfe7bd78730b7b0baaf451414de8e

24.分析刘洋ly-memdump.mem镜像，给出1Password密码管理器的数据库文件名?

答案: 1Password10.sqlite

文件扫码之后搜索1password就可以了

25.分析刘洋ly-memdump.mem镜像，1Password在VeraCrypt启动后约多少分钟启动？

1password: 2026-04-21 01:37:02.000000 UTC
veracrypt: 2026-04-21 01:34:47.000000 UTC
约两分钟,答案是2

posted @ 2026-05-21 15:24 C1za_Star 阅读(113) 评论(0) 收藏举报

刷新页面返回顶部

c1zastar