2025盘古石初赛WP

来不及做，还有n道题待填坑

手机取证 Mobile Forensics

分析安卓手机检材，手机的IMSI是？ [答案格式：660336842291717]

460036641292715

养鱼诈骗投资1000，五天后收益是？ [答案格式：123]

175

分析苹果手机检材，手机的IDFA是？ [答案格式：E377D1D7-BA02-4A79-BB9A-5C2DE5BD1F17]

E477D4C7-BD02-4979-BC9D-5C5DE7BD1F17

Telegram应用的卸载时间是？ [答案格式：2023-01-22-17:37:50]

2025-04-17 10:51:39

机主hotmail邮箱地址是？ [答案格式：[e-mail]]

[e-mail]

苹果电脑开机密码是？ [答案格式：12345]

12345678

截屏里

Telegram加密通讯中，加密聊天信息用到的第二个解密载体是？ [答案格式：123.zip]

2.mp4

在mac里

解密的结果嗯翻就行

贾韦码的内部代号是？ [答案格式：77]

48

特快专递的收货地址是？ [答案格式：老牛市快速路11号ADE公司]

西红市中山路35号PGS健身房

APK取证 APK Forensics

分析安卓检材，远程工具包名是？ [答案格式：com.app.cpp]

com.carriez.flutter_hbb

远程工具中继服务器IP是？ [答案格式：192.168.11.11]

59.110.10.229

仿真起来直接看

远程工具ID服务器端口是？ [答案格式：8088]

21116

接上

远程工具中继服务器Key是？ [答案格式：HOtGxUuV9OxSSEWRFsr1DVxQBkbbFReOImYMT1zyec=]

WIUqzRq1Ocx4QNnsF26dZQijKdyd2L9OfaT55hDlQCI=

接上

远程遥控中收藏的远程ID是？ [答案格式：123456]

1807892422

远程控制该手机的手机型号是？ [答案格式：huawei-Hot]

google-Pixel

接上

监听工具包名是？ [答案格式：com.app.cpp]

com.example.liekai

监听工具代码主入口是？ [答案格式：com.app.cpp.MainActiddidy]

com.example.liekai.MainActivity

监听工具的签名算法是？ [答案格式：AES123RSA]

SHA256RSA

监听工具运行多少秒后会跳转成黑色幕布？ [答案格式：3.000]

监听工具运行后，黑色幕布上字符串是？ [答案格式：aes取证平台]

监听工具检测到多少分贝开始录音？ [答案格式：30]

70

监听工具录音连续几秒没有检测到声音停止录音？ [答案格式：3]

4

监听工具保存文件存储路径的数据库名称是？ [答案格式：sqlite.db]

recordings.db

监听工具保存录像文件的文件夹是？ [答案格式：file]

recording

监听工具数据库中保存音视频文件的路径使用什么加密？ [答案格式：Rsa]

录音的文件采用什么加密方式？ [答案格式：RC4-123]

录像文件加密密钥的最后一位是？ [答案格式：0x6A]

原始文件md5为3b4d****55ae的创建时间是？ [答案格式：2024-2-14-16:32:8]

计算机取证 Computer Forensics

分析贾韦码计算机检材，计算机系统Build版本为？ [答案格式：19000]

18362

计算机最后一次正常关机的时间为UTC +0？ [答案格式：2025-05-06 09:00:00]

2025-04-18 03:20:54

计算机网卡的MAC地址为？ [答案格式：00-0B-00-A0-00-00]

00-0C-29-0F-69-00

计算机用户“贾韦码”安全标识符SID为？ [答案格式：S-X-X-X-X-X-X-X]

S-1-5-21-3733482367-3411043098-2536183883-1001

计算机默认浏览器为？ [答案格式：Mozilla Firefox]

Google Chrome

计算机默认浏览器版本为？ [答案格式：000.0.0000.00]

135.0.7049.96

机主通过浏览器搜索国外社交软件为？ [答案格式：Whatsapp]

telegram

机主的邮箱账号是？ [答案格式：[e-mail]]

[e-mail]

计算机安装过一款反取证软件为？ [答案格式：Encrypt.exe]

VeraCrypt.exe

计算机通过xshell远程连接的IP地址为？ [答案格式：127.0.0.1]

192.168.56.129

机主曾买过一个美国的TG账号，请给该账号的两步验证密码？ [答案格式：8位数字]

13770603

给出其电脑内加密容器的解密密码？ [答案格式：Abc@123]

Pgs8521d3j

给出其电脑内加密容器挂载的盘符？ [答案格式：C]

F

给出其电脑内存放了多少张伪造身份证？ [答案格式：10]

1023

给出任敏的身份证编号？ [答案格式：18位]

430529195112085460

找出其电脑内存放的密钥文件，计算MD5？ [答案格式：字母小写]

找出其电脑内存放的密钥文件，解密此密钥文件，给出其内容？ [答案格式：第3届pgscup]

对macOS系统进行分析，登陆的电子邮件服务是谁提供的？ [答案格式：pgscup]

系统备忘录的包名是什么？ [答案格式：com.dfefef.note]

com.apple.notes

图片中隐藏的内容是什么？ [答案格式：隐藏内容 刷子戏子痞子]

位移加密 正向位移操作

3.png 一个lsb

被加密文件的扩展名是什么？ [答案格式：123]

enc

被加密的文件总共有几个？ [答案格式：5]

1

好像就1个

贾韦码家使用的智能门锁品牌型号是什么？ [答案格式：小米XX号]

EXE取证 PE Binary Forensics

分析Windows木马，其控制端IP是？ [答案格式：192.168.1.11]

104.18.45.79

软件会复制自身到哪个文件夹下？ [答案格式：DaTa]

SubDir

软件复制后，复制后文件名是？ [答案格式：AppTmp.exe]

BwAcr.exe

软件一共可以窃取多少种浏览器的数据？ [答案格式：3]

dnspy嗯翻

每个对应一个浏览器

软件查询安装的杀毒软件出错或异常会返回什么字符串？ [答案格式：Apps]

苹果应用取证 macOS Apps Forensics

加密器在桌面上，直接跑会缺少加密模块

lib目录下有个打包的python38库，里面有这个模块

反编译一下丢同目录就行

对Mac电脑中的加密程序进行分析，使用了一个特定的数作为密钥生成过程的种子，请问这个数是什么？ [答案格式：1234]

42

分析文件头部元素并确定它们的正确顺序。将字段名按顺序连接并提交。 [答案格式：字段1_字段2_字段3…]

iv_encrypted_data

分析密钥派生过程中使用了几个算法步骤。其中一个函数名与其实际功能不符的名称。找出这个函数名并提交？ [答案格式：函数名]

_descramble_key

descramble是恢复、干扰的意思，但密钥是硬编码的

程序中实现了一个故意减慢加密过程的机制，延迟值是多少？ [答案格式：1.1]

程序中隐藏了一个版本标识符，请找出版本号？ [答案格式：v1.1.1]

服务器取证 Server Forensics

分析服务器检材，找到服务器系统启动盘的GUID？ [答案格式：数字、字母、-的组合，字母大写]

找出服务器网关IP？ [答案格式：1.1.1.1]

找出服务器数据盘的文件系统格式？ [答案格式：ntfs]

找出服务器数据盘的解密密钥文件名？ [答案格式：abcd]

找出服务器密码？ [答案格式：key@123]

找出服务器操作系统版本号？ [答案格式：0.0.0]

找出服务器内网盘Docker的虚拟磁盘位置？ [答案格式：/home/abc/adc.raw]

找出服务器启动盘的启动标识？ [答案格式：D100 (型号即可)]

找出服务器内共有多少个容器镜像？ [答案格式：10]

找出服务器内网盘服务器所用数据库运行的容器端口号？ [答案格式：abc-abc-1]

找出服务器内虚拟币容器对外暴露的端口号？ [答案格式：8000]

找出投资理财网站的域名？ [答案格式：3w.baidu.com]

找出投资理财网站内连接数据库的密码？ [答案格式：password]

找出投资理财网站后台访问地址？ [答案格式：http://www.baidu.com/login.html]

找出投资理财网站会员等级储存在哪个数据库表内？ [答案格式：user]

找出投资理财网站提现成功的金额？ [答案格式：10000]

找出投资理财网站内用户王欣的银行卡号？ [答案格式：16位数字]

找出投资理财网站用户的最低提现金额？ [答案格式：10000]

给出投资理财网站内0代表用户处于那种状态？ [答案格式：核实]

投资理财网站内，通过支付宝充值状态为未支付的金额？ [答案格式：10000]

pyvmx-cracker爆不出来

hashcat那个会提示不支持这个算法

其实都是AES256，直接试着简单粗暴注释掉

跟着历史记录启服务就行

登录不了，发现ip固定

直接改固定ip，并且配个100网段的网卡方便后面连接mongo

js跟php一个尿性，直接绕过登录

改一下cfg先给修改权限，然后改配置，允许远程连接

重启mongo服务，就能用navicat连了

对贾韦码计算机进行分析，账本系统使用的web框架是什么？ [答案格式：Django]

vue

对账本系统进行分析，账本使用的数据库版本是多少？ [答案格式：1.1.1]

5.0.3

对账本系统进行分析，使用的数据库库名是？ [答案格式：test]

crm

对账本系统进行分析，用户手机号码在数据库中的加密方法是？ [答案格式：xor-325-dfg]

aes-128-cbc

分析 crypto.js 中的 _0x3ad7 函数，找出返回加密数据的方法的编码格式? [答案格式：ascii]

utf8

*text*.toString(), _0xd8c3(1)，最后取到的值是_0x4c8a(1)

分析 crypto.js 中的 _0x3ad7 函数，找出使用异常作为控制流的触发语句? [答案格式：Test:connec]

读不懂这个题

分析KeyManager.js中 initializeKeys 函数的密钥获取优先级是什么？ [答案格式：优先级1>优先级2>优先级3]

环境变量 (AES_SECRET_KEY 和 JWT_SECRET) > 基于 MASTER_PASSWORD 的密钥 > 随机生成的一次性密钥

答案格式不知道怎么写，逻辑顺序是 环境变量 (AES_SECRET_KEY 和 JWT_SECRET) > 基于 MASTER_PASSWORD 的密钥> 随机生成的一次性密钥

对账本系统进行分析，账本记录的用户总数是多少？ [答案格式：1234]

2000

对账本系统进行分析，身份证号 “430014197812200986” 用户的投资金额是多少？ [答案格式：111111]

后台搜不到是什么鬼

对账本系统进行分析，姓名为明风英的客户有几人？ [答案格式：1]

2

物联网取证 IOT Forensics

分析冰箱，请问智能冰箱的品牌？ [答案格式：xiaomi]

Panasonic

请问智能冰箱的型号？ [答案格式：MiFridge2024]

NR-E46CV1

后面没时间做，留坑

请问智能冰箱的uuid？ [答案格式：34567890-12cd-efab-3456-789012cdefab]

请问智能冰箱默认保存几张图片？ [答案格式：1]

5

直接搜jpg头能搜到3个，前三个可以看到有facex的标识

默认有5个

请问冰箱中已存的第一张图片上的内容是什么？ [答案格式：满城尽带黄金甲]

盘古石杯贾韦码

文件尾位置

+2是因为ffd9本身俩字节，010里面地址是算开头的

请问冰箱中已存的第二张图片的名称是什么？ [答案格式：123.jpg]

请找冰箱中隐藏的内容？ [答案格式：chuxizixipizi]

pangushicup

strings

请找出冰箱中嫌疑人图片MD5值的后六位？ [答案格式：1a2b3d]

882564

钟无声，第三张图

找出冰箱最后一次开门时间？ [答案格式：10:11]

默认图片的存储限制大小是多少？ [答案格式：1KB]

分析video.E01，被修改的录像md5前5位是？ [答案格式：1a2b3]

EA7BE

其他仨录像都是两分多钟的，就这一个只有18秒，盲猜一下他被删减了

数据分析 Data Analysis

没时间做，留坑

对贾韦码计算机检材进行分析，该诈骗集团的最高层领导者的ID和姓名？ [答案格式：M0000001 姓名]

找出从直接下线中所有下线提现总金额最高的成员ID？ [答案格式：M0000001]

找出从直接下线获得平均佣金最高的成员ID及其平均佣金金额？ [答案格式：M0000001, 123.12]

找出注册时间最早的前10%成员中，交易次数最多的5位成员的ID列表？ [答案格式：M0000001, M0000002, M0000003, M0000004, M0000005]

找出交易次数增长率最高的成员ID及其增长率？ [答案格式：M0000001, 24.44%]

统计状态‘active’、90天无交易、历史交易额前20%的成员数？ [答案格式：111]

找出有上线且直接下线最多的成员ID及下线数？ [答案格式：M000001:数量]

比较最早年份Q1与Q4注册成员的总交易额，指出哪个更高及其金额？ [答案格式：Q1:123.12]

找出成员地址中最常出现的省份，并计算居住在该省份的所有成员的总提现金额？ [答案格式：省份, 123.12]

计算最高层领导者的净资金流？ [标准格式：123.12]