2024盘古石初赛

Y0ungK1ng

2025-04-28

电子取证

检材提取码: 1nup
哈希校验值: md5值：F22D20DA9E6CED1490EC8AEE249A02B0
挂载/解压密码: 2b26ba7ed35d622d8ec19ad0322abc52160ddbfa

IM服务器

1、分析内部IM服务器检材，在搭建的内部即时通讯平台中，客户端与服务器的通讯端口是：[答案格式：8888]

答案：8065

netstat -anpt查看已使用的网络端口，访问主机ip，通讯端口为8065

2、分析内部IM服务器检材，该内部IM平台使用的数据库版本是：[答案格式：12.34]

答案：8065

docker images查找服务器中镜像

mattermost-preview是一个经常用于自行聊天软件的docker

docker inspect mattermost-preview获取关于 Mattermost Preview 容器的详细信息。

同样这里也可以看到端口配置8065

发现有关于postgresql的内容

在容器内部查看数据库版本：
docker exec -ti mattermost-preview /bin/bash

env

3、分析内部IM服务器检材，该内部IM平台中数据库的名称是：[答案格式：小写]

答案：mattermost_test

同上

4、分析内部IM服务器检材，该内部IM平台中当前数据库一共有多少张表：[答案格式：1]

答案：82

在容器内部

1	psql -U mmuser -d mattermost_test -c "SELECT COUNT(*) FROM information_schema.tables WHERE table_schema NOT IN ('pg_catalog', 'information_schema');"

根据容器详细信息可查询到

直接连连不上，因为docker中ip是172.17.0.2
用 iptables 可以将容器内 PostgreSQL 使用的 5432 端口映射到虚拟机的 5432 端口, 以便后续使用工具连接:

iptables -t nat -A DOCKER -p tcp --dport 5432 -j DNAT --to-destination 172.17.0.2:5432

直接ssh连数据库成功，密码提示错误，好像进不了

也是82张表

5、分析内部IM服务器检材，员工注册的邀请链接中，邀请码是：[答案格式：小写数字字母]

答案：54d916mu6p858bbyz8f88rmbmc

这里可以看数据库也可以直接重构
数据库
在team数据库中

开始重构

在数据库的 user 表中可以看到加密存储的密码, 加密类型一眼为 bcrypt.

bcypt(123456) = $2a$10$szf3PEL.LKhCY3eolO8P7Opra5cr9MJ4aHdQOE5x8T.FW36vFs5/a, 修改数据库中的密码:

可以看到最后一个gxyt是管理员

替换其中gxyt的

成功进入

6、分析内部IM服务器检材，用户yiyan一共给fujiya发送了几个视频文件：[答案格式：数字]

答案：2

登录yiyan账户，一样改密码

可以看到2个视频，4个音频

7、分析内部IM服务器检材，用户yiyan在团队群组中发送的视频文件的MD5值是：[答案格式：小写]

答案：f8adb03a25be0be1ce39955afc3937f7

下载过来，计算hash

MD5:f8adb03a25be0be1ce39955afc3937f7

8.分析内部IM服务器检材，一个团队中允许的最大用户数是：[答案格式：数字]

答案：50

登录管理员账号, 在后台可以看到相关设置:

9、分析内部IM服务器检材，黑客是什么时候开始攻击：答案格式：2024−01−01−04−05

`答案：2024-04-25-15-38

在数据库的 audit 表或者后台的日志中可以看到一个 IP 地址(192.168.127.76)发出了大量的登录尝试, 试图爆破管理员账号的密码:

降序排练时间戳并转换

1714030719248

网站服务器

10、分析网站服务器检材，网站搭建使用的服务器管理软件当前版本是否支持32位系统：答案格式：是/否

答案：否

管理软件可以看到是bt

服务器上使用的宝塔版本为 8.0.2, 6.0 及以上版本的宝塔面板均不支持 32 操作系统安装.

11、分析网站服务器检材，数据库备份的频率是一周多少次：答案格式：1

答案：1

crontab -l查看定时任务，找到backup.sh的定时任务

0 0 * * 0 /root/backup.sh 表示在每周日的 0:00:00 执行 /root/backup.sh 脚本. 因此备份的频率为每周 1 次.

12、分析网站服务器检材，数据库备份生成的文件的密码是：答案格式：admin

答案：IvPGP/8vfTLtzQfJTmQhYg==

AES_PASS=$(echo -n "$DB_NAME" | openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt) 为 des3 加密的密钥, 在命令行中运行该指令可以得到密码:

echo -n "2828" | openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt

13、分析网站服务器检材，网站前台首页的网站标题是：答案格式：百度

答案：威尼斯

宝塔出现超时连接，但是可以直接找源码

requests.exceptions.ConnectionError: HTTPConnectionPool(host='www.btkaixin.net', port=80): Max retries exceeded with url: /api/getIpAddress (Caused by NewConnectionError(': Failed to establish a new connection: [Errno -2] Name or service not known'))

发现是nat没设置完全，导致无法上网

bt 16

14、分析网站服务器检材，受害人第一次成功登录网站的时间是：答案格式：2024−01−01−04−05

答案：2024-04-25-09-49

在网站的日志 /www/wwwlogs/touzilicai.com.log 中可以看到网站后台的 URL 为 /Admin/Login/index.php

1
2
3

skip-grant-tables
service mysqld stop
service mysqld start

处理数据库并连接

发现数据库是空的，需要去找备份文件

发现 2828 库已被删除

下载备份文件
用12题的密码解开

1	openssl des3 -d -salt -k IvPGP/8vfTLtzQfJTmQhYg== -in ./2828.sql.gz -out ./2828_dec.sql.gz tar -zxvf ./2828_dec.sql.gz

得到sql备份，直接导入mysql即可

1 2	mysql CREATE DATABASE `2828`;

太大了，还是直接命令行操作，可视化软件一直崩溃

1	mysql -uroot -proot 2828 < ./2828_20240427154000.sql

成功获取

2024-04-25-15-19

受害人为zhiwanjing
直接在表中查询

SELECT *
FROM think_userlog
WHERE nickname = 'zhiwanjing'
ORDER BY addtime ASC
LIMIT 1;

15、分析网站服务器检材，前台页面中，港澳数字竞猜游戏中，进入贵宾厅最低点数是：答案格式：1234

答案：100000

发现后台数据库里没有
查找源码

最低点数对应的是bj28_3_usermin_point，找到其对应的点数为100000

16、分析网站服务器检材，受害人在平台一共盈利了多少钱：答案格式：12

答案：2000

17、分析网站服务器检材, 网站根目录下, 哪个路径存在漏洞

答案：/Home/User/tkppwdpost.html

在前面继续看tmpugklv.php的相关记录，都是在访问/Home/User/tkppwdpost.html目录

18、分析网站服务器检材，黑客通过哪个文件上传的木马文件：答案格式：test.php

答案：tmpugklv.php

19、分析网站服务器检材，网站使用的数据库前缀是：答案格式：test_

答案：think_

20、分析网站服务器检材，木马文件的密码是：答案格式：123

答案：2335

D盾扫描