美亚杯2017团队赛复盘WP

2023-11-27 15:50
文章标签 2017 wp 复盘 团队 美亚

本文主要是介绍美亚杯2017团队赛复盘WP，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

美亚杯2017团队赛复盘WP

linux

1被检取作法证检验的LINUX系统，共有四个硬盘，已经分别被制作为四个E01法证镜像文件(Forensic Images)，下列哪个不是它们的MD5哈希值(Hash value)?B
A.2e4a6afe6b27188480d1b7b10e576f7c
B.c961d814f99d45b3f54e8a1d48be8544
C.a88e671fc44940620e77a9342d311133
D.c961d814f23d45b3f54e6a1d48be8544
E.cf5c42018d93c3703f744c646e7f21ae
2上述四个法证镜像文件中，其中有一个法证镜像文件(Forensic Image)内含三个磁盘分区(Partition)。对于第三个(即最后一个)磁盘分区(Partition)而言，下列哪个是其起始扇区(Starting Sector)?D
A.2048
B.1050624
C.51382271
D.51382272
E.50331648

image-20230406223429174

3上述磁盘分区(Partition)共占多少扇区(Starting Sector)?A
A.69924864
B.60058404
C.50331648
D.1048576
E.2048
4在上述第三个(即最后一个)磁盘分区(Partition)当中，储存了一个名为amons.mark的文件，下列哪项为其MD5哈希值(Hash value)E
A.01daa9fb8d1cc386bffb0c25ff57d7ea
B.64394febb8fb82520164645ade7dbaa0
C.b69894efe2f03d43d95d98856ea21674
D.74c5d7a6500d63a0308f2fc54a03eb0d
E.43309465540a069357182af1da438a07

image-20230406223732962

5在上述第三个(即最后一个)磁盘分区(Partition)当中，储存了一个名为slackware-13.37-install-dvd.iso的文件，下列哪项为其MD5哈希值(Hash value)B
A.01daa9fb8d1cc386bffb0c25ff57d7ea
B.64394febb8fb82520164645ade7dbaa0
C.b69894efe2f03d43d95d98856ea21674
D.74c5d7a6500d63a0308f2fc54a03eb0d
E.43309465540a069357182af1da438a07

image-20230406224445804

6于上述四个法证镜像文件中，有三个硬盘共同组成一个独立磁盘冗余阵列RAID System。以扇区(sector)计算，该阵列(RAID)大小(size)是多少?C D
A.110051100
B.110049052
C.110049053
D.120049664
E.120049663

image-20230406224330298

这里算是一个坑，因为raid并没有被正确识别出来，所以阵列大小并不能简单的以物理扇区数为准。最稳妥的办法其实就是仿真起来之后直接查看raid的详细信息：

image-20230408191743761

有一些可以快速分析磁盘阵列的工具，比如赤兔、ufs等，也能很快提取出相关基础信息

7就该独立磁盘冗余阵列RAID System而言，下列哪项是其建立日期?C
A.2017-09-05 10:06:55
B.2017-09-06 10:06:55
C.2017-09-07 10:06:55
D.2017-09-08 10:06:55
E.2017-09-08 10:06:55

试了一下raid重组，发现使用raid-5 左同步之后，该raid就被识别出来了。看来就是这个。

image-20230406225736974

但是无法识别出更多的东西……看来只能手动起一下看看

image-20230407194300135

看到raid5，应该识别成功了

image-20230407195525537

能看到分区md0就是raid5，所以直接去查看配置文件

image-20230407195642015

虽然成功了，但怎么拖进取证软件里面识别啊……

8就该独立磁盘冗余阵列RAID System而言，下列哪项是其UUID?C
A.ae891891:ab1261bf:17f4b1e8:c1adaef6
B.ae891891:ac1261bf:27f4b1e8:c1adaef6
C.ae891891:ad1261bf:37f4b1e8:c1adaef6
D.ae891891:ae1261bf:57f4b1e8:c1adaef6
E.ae891891:af1261bf:67f4b1e8:c1adaef6
9就该独立磁盘冗余阵列RAID System而言，使用了下列哪种阵列配置排列(RAID LAYOUT)?A
A.left-symmetric
B.right-symmetric
C.pre-Lie algebra
D.rooted tree algebras
E.vertex algebras
10该独立磁盘冗余阵列RAID System使用了下列哪种阵列级别(RAID LEVEL)?C
A.RAID 0
B.RAID 1
C.RAID 5
D.RAID 6
E.RAID 1 0
11此外，在该独立磁盘冗余阵列RAID System中，内含一个标示为逻辑分卷管理器Logical Volume Manager (LVM) 的磁盘分区(Partition)，此分区(Partition)共有多少个扇区(Sector)?C
A.110051100
B.110049052
C.110049053
D.120049664
E.120049663

fdisk梭一下就有了

image-20230407205442516

12就上述逻辑分卷管理器Logical Volume Manager (LVM)而言，下列哪个是其仅有的物理卷Physical Volume (PV) UUID ?B
A.l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
B.ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
C.UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
D.eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
E.UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

image-20230407205605645

13在该物理卷Physical Volume (PV)中，下列哪个是其仅有的卷组 Volume Group (VG) 名称 ?B
A.vol_vm_guests
B.vol_vm_guest
C.vol_guest
D.lv_vm1
E.lv_vm2

image-20230407205707048

14下列哪项是该卷组 Volume Group (VG) UUID ?D
A.l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
B.ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
C.UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
D.eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
E.UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9
15该卷组 Volume Group (VG)共有多少个LVM物理区域Physical Extent (PE)?E
A.50
B.3210
C.3456
D.6666
E.6716
16该卷组Volume Group (VG)共划分了多少个物理区域Physical Extent (PE)用了配置逻辑卷Logical Volume (LV)?D
A.50
B.3210
C.3456
D.6666
E.6716
17该卷组Volume Group (VG)还余下多少个物理区域Physical Extent (PE)未被配置使用?A
A.50
B.3210
C.3456
D.6666
E.6716

???一个vgdisplay命令硬是拆成6道题，草

18就该卷组Volume Group (VG)而言，每个物理区域Physical Extent (PE)的大小(size)是多少?D
A.1 MB
B.2 MB
C.4 MB
D.8 MB
E.16 MB
19事实上，该卷组Volume Group (VG) 共配置了两个逻辑卷组Logical Volume (LV)，第一个逻辑卷组Logical Volume (LV) UUID是 ?A
A.l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
B.ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
C.UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
D.eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
E.UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

image-20230407210301014

20上述第一个逻辑卷组Logical Volume (LV)的名称是什么 ?D
A./dev/loop0
B.vol_vm_guest
C.vol_guest
D.lv_vm1
E.lv_vm2
21上述第一个逻辑卷组Logical Volume (LV)共占据了多少物理区域Physical Extent (PE) ?B
A.50
B.3210
C.3456
D.6666
E.6716
22上述第一个逻辑卷组Logical Volume (LV)的建立时间是什么 ?C
A.2017-09-06 05:02:16 +0800
B.2017-09-07 05:02:16 +0800
C.2017-09-08 05:02:16 +0800
D.2017-09-09 05:02:16 +0800
E.2017-09-10 05:02:16 +0800
23在上述第一个逻辑卷组Logical Volume (LV)当中，储存有一个名为duncan.mark的文件，下列哪项为其MD5哈希值(Hash value)?B
A.01daa9fb8d1cc386bffb0c25ff57d7ea
B.8da97369e625574d1d8145d49ca9b61c
C.b69894efe2f03d43d95d98856ea21674
D.74c5d7a6500d63a0308f2fc54a03eb0d
E.43309465540a069357182af1da438a07

虚拟机上不知道为什么死活挂载不上去raid组……那就只能把lv分离出来，在取证大师里面手撸了。
image-20230408080056503

image-20230408080117113

24在该卷组Volume Group (VG) 共配置了两个逻辑卷组Logical Volume (LV)，其中有一个逻辑卷组Logical Volume (LV)是用作运行Ubuntu 系统，该逻辑卷Logical Volume (LV) UUID是 什么?C
A.l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
B.ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
C.UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
D.eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
E.UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

这里可以看到是第二个lv image-20230408080251457

image-20230408080421620

25在上述逻辑卷组Logical Volume (LV)当中，储存有一个名为lora.mark的文件，下列哪项为其MD5哈希值(Hash value)?D
A.01daa9fb8d1cc386bffb0c25ff57d7ea
B.8da97369e625574d1d8145d49ca9b61c
C.b69894efe2f03d43d95d98856ea21674
D.74c5d7a6500d63a0308f2fc54a03eb0d
E.43309465540a069357182af1da438a07

image-20230408080458459

26事实上，上述被检取作法证检验的LINUX系统，曾经运行了三个虚拟机(Virtual Machine, VM)，下列哪项组合包含了上述全部曾运行的虚拟机?D
iGentoo
1iiSlackware
1iiiUbuntu
ivAntergos
1vCentOS
A.(i), (ii) 及 (iii)
B.(i), (iii) 及 (iv)
C.(i), (iii) 及 (v)
D.(ii), (iii) 及 (v)
E.(i), (iii) 及 (v)

image-20230408080558347

image-20230408080615851

image-20230408080806560

27在上述三个虚拟机(Virtual Machine, VM)当中，其中有一个储存了可用作编程(Coding)的勒索软件源码( Source Code)，它是使用了下列哪个本地IP 地址 (Local IP Address) ?A
A.192.168.122.198
B.192.168.10.10
C192.168.122.214
D.192.168.122.157
E.192.168.122.2

把虚拟磁盘文件导出来就好了。然后所谓的勒锁软件，应该也就是个人赛里面的那个invoice，搜一下就出来了。

image-20230408091156528

28在上述三个虚拟机(Virtual Machine, VM)当中，其中一个曾经安装并运行过私有云软件，它是使用下列哪个本地IP 地址 (Local IP Address) ?C
A.192.168.122.198
B.192.168.10.10
C192.168.122.214
D.192.168.122.157
E.192.168.122.2

这个没啥直接线索，我是根据后面题目的提示在centos中根据“mantech”找到了配置文件，才确定了私有云位置。

image-20230408101922665

（弘连仿真又覆盖了网卡配置）

image-20230408102114446

29在上述三个虚拟机(Virtual Machine, VM)当中，其中一个安装了FTP服务器服务，它是使用下列哪个本地IP 地址 (Local IP Address) ?D
A.192.168.122.198
B.192.168.10.10
C192.168.122.214
D.192.168.122.157
E.192.168.122.2

image-20230408092247947

看到了vsftd，应该就是这个了。不过弘连的仿真软件偏偏这次给我自动配置好了网络，导致看不到原来的网卡信息……又得手撸

image-20230408093622584

30在个人竞赛中，Gary的手提电脑(Win7 OS)发现有勒索程序invoice.exe。就是次团体竞赛中，于题27中提及过的虚拟机(Virtual Machine, VM)里，在哪个位置能发现此勒索程序的原始代码?D
A.…/Python-Serverless-Ransomware-master/…
B.…/holy_crypt-1.1/…
C…/setuptools-master/…
D.…/invoice/…
E.…/ransomware-master/…

image-20230408091148791

31根据上述勒索程序的原始代码，哪行程序代码显示该程序进行自我复制(Self-replication)?C
A.8
B.70
C74
D.84
E.119

image-20230408094407144

有源码就方便了不少。只不过这个行数好像有点对不上啊……70还只是定参数，所以这里我认为是74

32根据上述勒索程序的原始代码，哪行程序代码显示开始进行文件加密(Encryption)?A
A.8
B.70
C74
D.84
E.119

题目不是很严谨啊，这个只是加密函数，对其的调用才是加密的开始。不过做题罢了，没必要较真。 image-20230408094949293

33根据上述勒索程序的原始代码，该程序总共能加密多少类型文件?B
A.19
B.20
C21
D.22
E.不能加密

image-20230408095245185

34根据上述勒索程序的原始代码，该程序是使用何种加密标准?B
A.Data Encryption Standard (DES)
B.Advanced Encryption Standard (AES)
CRSA (Rivest–Shamir–Adleman)
D.Twofish
E.Blowfish
35根据上述勒索程序的原始代码，哪行程序代码显示连接指挥及控制(Command & Control, C&C)服务器。E
A.2
B.70
C74
D.84
E.119

image-20230408094617984

36于题28中提及过的虚拟机(Virtual Machine, VM)曾经运行过一个私有云软件，提供私有云服务，并储存有一个于2017年 10月30日建立的PCAP文件，下列哪个是其MD5哈希值(Hash value)?A
A.36a179aebadcd697e11bf0bbad7c4d8a
B.88ac535e35792b72efd768c2f8c11f94
C9e4bf671e1d44da9e085c4c790116e59
D.0ac9f639679361708832c77950f93be2
E.1b385451a788a825673c31862566e0a5

image-20230408102346779

37运行在此虚拟机(Virtual Machine, VM)的私有云软件，根据其设定，下列哪项是其对外连结的URL?B
A.http://mantech.mood.com:8000
B.http://mantech.mooo.com:8000
Chttp://mantech.mooo.com:8080
D.http://mantech.mooo.com:8088
E.http://mantech.mooe.com:8000

image-20230408102425505

38此私有云软件，会使用内置RPC框架(Internal RPC framework)，其ID是什么?[注: RPC – 远端过程调用 (Remote Procedure Call) ]C
A.1318f3e6015c708ef841013094b83689adc97573
B.1318f3e6015d708ef841013094b84689adc97573
C1318f3e6015e708ef841013094b85689adc97573
D.1318f3e6015f708ef841013094b95689adc97573
E.1318f3e6015g708ef841013094b05689adc97573
39此虚拟机(Virtual Machine, VM)中的私有云软件，会连接上一个本地MySQL 数据库，登入密码是什么?B
A.f0123
B.f1234
Cf1334
D.f1134
E.f2345

额，答案对不上捏。估计是题目问题，这里就取最接近的。

image-20230408102905078

40在上述运行私有云软件的虚拟机(Virtual Machine, VM)中，遗留了一个以日期为文件名称的PCAP文件，它共记录了多少个数据包(Packet)？A
A.85193
B.85194
C.85195
D.85196
E.85197

image-20230408103306017

41上述PCAP文件共占据了多少时间?B
A.14分47秒
B.14分57秒
C.15分37秒
D.15分47秒
E.15分57秒

image-20230408103447858

42上述PCAP文件记录了多少个公共IP地址(Public IP) ?D
A.3
B.4
C.5
D.6
E.7

“192.168.112.* ”同属一个网段下面，所以推测是内网

image-20230408104024891

43根据上述PCAP文件，总流量值最高的公共IP地址是哪个？B
A.14.0.229.190
B.49.130.131.245
C.118.140.184.98
D.37.218.240.198
E.37.218.240.199
44根据上述PCAP文件，最高下载流量的公共IP地址是哪个？A
A.14.0.229.190
B.49.130.131.245
C.118.140.184.98
D.37.218.240.198
E.37.218.240.199

其实问的是那个IP接收的流量最多。

45根据调查得知，上述PCAP文件是前文提及的私有云软件尚在运作时的上传/下载资料记录。当中记录了Gary曾于该私有云浏览与案有关的枪械照片，共有三张(不计缩略图)。请按时间顺序，找出其MD5哈希值。第一张枪械照片的MD5哈希值是什么?C
A.89c68c45a7e4d10f409cf2764fd44c33
B.d291d1da748ce7fb4ba408a6bbbcb222
C.37088010ef0f8730c0f8600653b1fca2
D.9fd7afbdb5d682525509b3b57f4c0c91
E.003bc4bfbd364bd447648ea36cd1c514

image-20230408105959206

http导出全部文件之后肉眼筛图，量还是很大的……虽然麻烦，但暂时没有更好的办法

然后进行统计：

IMG_20171027_222426_9433(2).GIF:37088010ef0f8730c0f8600653b1fca2

670px-User-Completed-Image-Make-a-Real-Gun-2016.05.29-10.09.02.0(1).jpg:baa1c80a2b2de42a1bd776f3db5ecac4

IMG_20171029_002841_9438(1).JPG:0585b1c1d2e132e32ce3928be2b60d6a

IMG_20171029_215219_9564(1).PNG:f94398336683d9878f9ea7598f2e40dd

46第二张枪械照片的MD5哈希值是什么?A
A.0585b1c1d2e132e32ce3928be2b60d6a
B.e9a21071a5df65d43ea2a75fab51279e
C.5a078264ecd55918308a3164eefee7f3
D.a9c2962d2e0f31b067ae1b1d04ec9d94
E.b9b039a8aed7132cc9630788f9d698f2
47第三张枪械照片的MD5哈希值是什么? D
A.b23d4610b0012ac47cb0f60bae8ee0a7
B.7c1bf67df7aab0db10c68f9646e9a674
C.bdbb0f0915790aa718d6837025ecf269
D.f94398336683d9878f9ea7598f2e40dd
E.e533c315c7000ad15227a2670f606334
48上述枪械照片是经下列哪个浏览器软件浏览的?D
A.Chrome
B.QQ Browser
C.Internet Explorer
D.Firefox
E.Opera

翻翻流量包就知道了 image-20230408110811871

49在题29中提及过的虚拟机(Virtual Machine, VM)，曾安装并提供过FTP服务，请问是下列哪种FTP?A
A.vsftp
B.gftp
CWinScp
D.ProFTP
E.Fire-FTP
50根据该FTP服务器的日志，只记录了一个公共地址IP曾上传(UPLOAP)过资料，是下列哪个? D
A.125.203.195.185
B.14.0.226.51
C.192.168.1.57
D.210.3.88.181
E.45.64.240.68

image-20230408111700724

51根据该FTP服务器的日志，用户warrior曾上传过哪些资料？i) Desert.jpgii) 6cd5c528b5f00233ba7e0ba154de0309.jpgiii) Koala.jpgiv) invoice.exev) invoice.02.exe______D
A.i
B.i, ii
C.i, ii, iv
D.ii,iv, v
E.i, iii, iv, v

一个个搜过去就行了

2，4，5

52根据该FTP服务器的日志，用户warrior第一次上传的时间为: *A*D
A.2017-10-27 11:51:38 (UTC)
B.2017-10-28 03:35:51 (UTC)
C.2017-10-28 09:44:28 (UTC)
D.2017-10-28 03:33:22 (UTC)
E.2017-10-3102:01:30 (UTC)

image-20230408133838119

太着急了，没看到是上传……下次得好好看清题目再解题

53上述安装了FTP 服务器服务的虚拟机(Virtual Machine, VM)内，储存有一个名为invoice.exe的执行文件，下列哪项是其储存位置?C
A./home/lora
B./home/warrior/doc
C/home/warrior/photo
D./etc/doc-base
E./var/log

image-20230408133927635

54上述执行文件invoice.exe的MD5哈希值(Hash value)是什么?C
A.9d377b10ce778c4938b3c7e2c63a229a
B.bdf3bf1da3405725be763540d6601144
C5690ebcf2a6233ba743fbbd37b0b13a6
D.5a44c7ba5bbe4ec867233d67e4806848
E.fafa5efeaf3cbe3b23b2748d13e629a1

image-20230408134203794

emmmmm，看来还是不能走捷径

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

55上述执行文件invoice.exe是使用了什么执行文件格式(Executable File Format)?A
A.PE32
B.PE64
CELF
D.COFF
E.XCOFF

32位PE可执行文件image-20230408134629128

image-20230408134901121

56下列哪项不是上述执行文件invoice.exe的执行文件格式的节表(Section Table)?C
A..text
B..rdata
C.reloc
D..data
E..rsrc

直接看一下段就可以了……额，但是没有显示重定位表。不过没关系，还可以看十六进制。

image-20230408135553413

image-20230408193547853

windows

57Eric的手提电脑内的虚拟机己成功取证并制作成法证镜像文件 (Forensic Image)，下列哪个是其MD5哈希值。B
A.0CFB3A0BB016165F1BDEB87EE9F710C9
B.F4089F7DA826DF56654C7AAE32D583C2
C.A0BB016160CFB3A0BB0161661670CFB3
D.16160CFB3A0BB016166A0BB016166167
E.FB3A0BB016165 B016166 A0DF7FJE2EJ0

image-20230408140725982

58根据上述法证镜像文件 (Forensic Image)显示，Eric是使用的下列哪个虚拟机？C
A.Parallel
B.Virtual Box
C.VMware
D.KVM
E.Xen

image-20230408141613867

59根据法证镜像文件(Forensic Image)，内有多少个硬盘分区？A B
A.1
B.2
C.3
D.4
E.5

image-20230408141646454

所以，没有盘符的分区也是分区是吧

60请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是？ （答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC）A
A.2013-10-17 21:27 UTC
B.2013-11-14 02:11 UTC
C.2017-09-28 06:16 UTC
D.2017-10-02 02:10 UTC
E.2017-10-03 12:14 UTC

注意时区 image-20230408141859182

61用户“IEUSER＂的SID是什么？C
A.500
B.1000
C.1001
D.1005
E.1007

image-20230408142125136

62用户“IEUSER＂的最后登入日期？D
A.2013-08-22
B.2017-10-28
C.2017-10-30
D.2017-11-01
E.2017-11-02
63硬盘的操作系统是什么？B
A.windows7
B.windows8
C.windows10
D.Linux Red Hat 7.1
E.MAC OS X
64根据执法机关调查所得，Eric曾经对暗网进行资料搜寻，并储存于电脑上。根据Eric 电脑上资料，那些来自暗网(Dark Web)并与洋葱网域(.onion)有关的信息，存放于哪个文件?A
A.好东西
B.暗东西
C.坏东西
D.宝贝
E.你的宝贝

在图片里面找了加密的压缩包，很可能就是这个。

image-20230408142922807

找了一圈，没啥秘钥的线索，所以直接爆破。 image-20230408142855174

很可惜，里面的东西并不是关于暗网的，而是和编写invoice程序有关。不过很可能成为后续的线索，可以留心一下。

桌面上的“好东西”便是关于暗网的。

image-20230408143255451

65上述的文件，提及了多少条洋葱网域(.onion)的信息?D
A.1
B.2
C.3
D.4
E.5
66Eric 曾在其电脑使用浏览器Chrome，浏览过一些有关“如何学习PHP网页设计”的信息，下列哪项是相关的浏览记录?A
A.www.yiyada.com
B.www.hackdig.com/
C.www.carbonblack.com
D.www.antiy.com/
E.click.alibabacloud.com/

image-20230408143502753

67Eric还曾在其电脑使用浏览器Chrome，搜集过一些有关勒索软件的信息，下列哪项不是相关的浏览记录?C
A.www.hackdig.com/
B.click.aliyun.com/
C.www.carbonblack.com
D.click.alibabacloud.com
E.www.antiy.com/
68根据执法机关调查所得，Eric更在上述其中一个网站下载了相关的勒索软件信息，是一份名为“揭开勒索软件的真面目”的文件。根据Eric电脑记录，是从哪个网站下载的?E
A.www.hackdig.com/
B.click.aliyun.com/
C.www.carbonblack.com
D.click.alibabacloud.com/
E.www.antiy.com/

image-20230408144034579

69续上题，该份名为“揭开勒索软件的真面目”文件的MD5哈希值(Hash value)是什么?E
A.9110c96baa70c00acd8fbdfe2dc7c397
B.0258646764b1cb36ca2570090062b65c
C.ce38881d8f63a00973e6324bc1bf9245
D.703899985d881e2d103eb4fd1306be2e
E.84af8511ca9a66e79cfb28da0da2ee76
70Eric 曾在其电脑制造勒索网站，下列哪项是相关网站的首页位置?B
A.\Windows\C&C\
B.\xampp\htdocs\C&C\
C.\xampp\apache\C&C\
D.\xampp\httpd\C&C\
E.\inetpub\wwwroot\C&C\

image-20230408144234259

71Eric 曾经收过一封有关mantech.mooo.com信息之电邮，标题为"你的东西到了"，根据Eric计算机记录，下列那个是发信人电邮地址之域名(Domain Name)?A
A.guerrillamail.com
B.guerrillomail.com
C.guerrillbmail.com
D.guerrillcmail.com
E.guerrilldmail.com

image-20230408144403067

72该封有关mantech.mooo.com信息的电邮，曾提及一个密码(Password)，是什么?D
A.Fewer@4
B.Much@5
C.Less@6
D.More@6
E.Echo@7
73该封有关mantech.mooo.com信息的电邮，曾提及其相关连接端口，是多少?E
A.11000及18000
B.10800及18000
C.16000及18000
D.17000及18000
E.17001 及18000
74此外,亦有另一封有关mantech.mooo.com信息之电邮，曾提及一个云盘，而其相关端口，是多少?A
A.8000
B.8001
C.9000
D.9002
E.11000

image-20230408144549298

75Eric 曾经收过一封标题“你要的宝贝到了”的电邮，根据Eric电脑记录，下列哪个是发信人电邮地址(不包括域名)?A
A.8xhbjn+3u2w1yitqmaws
B.8xhbjn+3u2w1yitqmows
C.8xhbjn+3u2w1yitqmbws
D.8xhbjn+3u2w1yitqmsws
E.8xhbjn+3u2w1yitqmtws
76上述该封标题“你要的宝贝到了”的电邮，附有一个电邮附件，详述了如何编写勒索软件。有关资料的提供者是谁?B
A.Dave Ken
B.Amit Serper
C.Amit Perper
D.Chris Kennedy
E.David Kennedy

刚刚的压缩包有用了

image-20230408144930727

77上述电邮附件，还提及过编写勒索软件相关原始码(Program Code)，其中显示Advanced Encryption Standard (AES)加密方法字眼的图片，其MD5哈希值(Hash value)是什么?C
A.a93a6572335e37863f5d611293c6660
B.95c60bbc1cb267f85e51f99c2c9646f5
C.0e20d5f091eac98f6e196dcda2c73837
D.ee2b59e91e829e3b3d350d8c14306dcb
E.f4b881e8a08d4bd40c5ee96ab3580bc8
78在个人竞赛中，Gary曾经收到一封来自电邮帐号 eric_wang99@outlook.com 的电邮，附加有三张与Apple iCloud有关的钓鱼网站相片。现经执法机关调查后，得知此电邮的发信人就是Eric。在Eric的电脑中，在哪位置可以找到电邮?B
A.\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyi44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
B.\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyk44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
C.\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyl44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
D\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoym44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
E.\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyn44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\

image-20230408145404757

79续上题，在Eric的电脑中，在哪位置可以找到上述钓鱼网站资料?D
A.\inetpub\wwwroot\itunes\itones\
B.\inetpub\wwwroot\itunes\itenes\
C.\inetpub\wwwroot\itunes\itanes\
D.\inetpub\wwwroot\itunes\itunes\
E.\inetpub\wwwroot\itunes\itumes\

image-20230408145524054

80Eric电脑储存了一个iCloud 数据库供上述钓鱼网站所使用，根据相关记录，有多少IP地址是“登陆成功”?D
A.13
B.14
C.15
D.16
E.17

image-20230408153059360

image-20230408153106724

81根据执法机关调查所得，Eric是使用一个文件传输软件，进行网上远端文件存取，以逃避执法机关追查。下列哪个是相关软件。D
A.vsftp
B.gftp
C.ProFTP
D.Filezilla
E.Fire-FTP
82上述文件传输软件相关的传输日志是储存在哪里?A
A.Users\IEUser\Pictures\log\
B.Users\IEUser\Documents\
C.Users\IEUser\Pictures\log\
D.Users\IEUser\Music\
E.Program Files\

image-20230408153649802

83根据上述相关文件的传输日志显示，能成功登入的用户，有以下哪个用户? (请选择其中一项)D
1iamons
iiduncan
1iiilora
1ivwarrior
veric
A.i 及 ii
B.i, iii及 v
C.i, iv及 v
D.i, iii 及 iv
E.只有iv
84根据上述成功登入的日志记录，该传输服务器的网址是什么? (请选择其中一项)B
A.http://mantech.mooo.com:8000
B.http://mantech.mooo.com:9000
C.http://mantech.mooo.com:17001
D.http://mantech.mooo.com:18000
E.http://mantech.mooo.com:18001

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

85根据上述相关文件的传输日志显示，能成功从服务器下载文件是以下哪个用户? A
A.amons
B.duncan
C.lora
D.warrior
E.eric

image-20230408154830354

86根据上述相关文件的传输日志显示，用户是使用了什么传输网址最后成功从服务器下载文件? B
A.http://mantech.mooo.com:8000
B.http://mantech.mooo.com:9000
C.http://mantech.mooo.com:17001
D.http://mantech.mooo.com:18000
E.http://mantech.mooo.com:18001
87根据Eric电脑的浏览网页记录，他是何时浏览私有云盘http://mantech.mooo.com:8000? A
A.2017-10-29
B.2017-10-30
C2017-10-31
D.2017-11-01
E.2017-11-02

image-20230408155235248

88执法机关曾在Eric的电脑进行现场搜证并检取其虚拟内存，放在下列位置中:Users\IEUser\Desktop\RAM\ , 文件名称:Memory.vmem。下列哪项是其MD5哈希值?E
A.3A70A392F8FF1DE83F8CAE94C4E71427
B.5F1BDEB87EE9F710C90CFB3A0BB01616
C.F68778AE77C4E4B88212B179C4622FC4
D.16160CFB3A0BB016166A0BB016166167
E.FD3AFD63F34F167EAD59CD66B08ADEBF
89在该段内存中，共运行了多少个进程(以独立程序ID计算)？D
A.16
B.25
C.48
D.54
E.62
90就进程w3wp.exe而言，下列哪项是该程序产生次序？C
A.wininit.exe >services.exe > w3wp.exe > svchost.exe
B.smss.exe >services.exe > svchost.exe > w3wp.exe
C.wininit.exe >services.exe > svchost.exe > w3wp.exe
D.csrss.exe >> svchost.exe > services.exe > w3wp.exe
E.System >services.exe > svchost.exe > w3wp.exe

image-20230408162046883

91根据调查资料，Eric总是使用filezilla软件上传/下载文件。filezilla的程序ID是什么？D
A.4
B.780
C.820
D.3096
E.3228
92上述filezilla进程的父程序(Parent PID) 是什么？E
A.516
B.1536
C.1676
D.2284
E.3124
93你知道程序ID:3932是什么进程(process)吗？B
A.winlogon.exe
B.QQBrowser.exe
C.QQProtect.exe
D.svchost.exe
E.chrome.exe
94请从该段内存中提取(Extract)上述filezilla进程的原来执行档-filezilla.exe文件，并计算其md5哈希值(hash value)。下列哪行是该md5哈希值?B
A.43502d07de3d31f05f1623b76c47a58e
B.7cac848d4a36e5c5d3773b4cd213fab4
C.2717eae9129e3943d33c639825654425
D.98eb240853589172c82e3d7935e9b7ba
E.147fc1da6b0a752be633dcb20553450

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

95根据上述的取回的文件filezilla.exe，它在执行时会呼叫多少个动态连结函式库(Dynamic Linked Library)?D
A.32
B.56
C.73
D.82
E.98

image-20230408173748015

96在Eric的电脑中，还储存有一个同名的文件filezilla.exe，你能找到该文件的md5哈希值(hash value)吗？C
A.43502d07de3d31f05f1623b76c47a58e
B.7cac848d4a36e5c5d3773b4cd213fab4
C.2717eae9129e3943d33c639825654425
D.98eb240853589172c82e3d7935e9b7ba
E.147fc1da6b0a752be633dcb20553450

这题真是被坑惨了……我还以为它说电脑内存在着第二个filezilla.exe（事实上内存filescan出来确实是两个），于是穷尽方法去搜索、恢复、提取，但怎样都只有一个。

最后摆烂了，就把那一个的md5填上去，结果对了……

97该段内存中有多少个连接埠与svchost.exe 有关?C D
A.3
B.4
C.5
D.6
E.7

49153

49154

135

49163

3389

image-20230408182637713

可恶，连接埠是进程号的意思。但是埠明明也有端口的意思啊。

PHONE

98Eric有一个苹果可携式设备，并备份到电脑，密码是wangapple，最后备份的日期是什么?D
A.2017-10-22
B.2017-10-23
C.2017-10-24
D.2017-10-25
E.2017-10-26

image-20230408182900114

99该苹果可携式设备，是什么型号?E
A.MLQ32ZP/C
B.MLQ64ZP/B
C.MLQ32ZP/B
D.MLQ64ZP/A
E.MLQ32ZP/A

找不着……网上也找不到解答，官方WP也没有解释，整套题目的唯一未解之谜（笑）

100该苹果可携式设备名称是什么？B
A.bean的 iPhone
B.bean的 iPad
C.bean的iPad Mini
D.bean的iPod
E.bean的iPod Touch
101该苹果可携式设备序号是什么？D
A.4D85FA6D4FD2
B.6F7E653CCSD48
C.3CCSD46F7E653
D.DLXRH10JGXQ4
E.10JGXQ4DLXRH
102Eric的苹果可携式设备备份内,储存了枪的数张相片，是与网页thegunstorelasvegas.com有关，有多少张图片是存放于屏幕快照文件夹内?D
A.2
B.3
C.4
D.5
E.6

image-20230408195202452

103根据该苹果可携式设备的备份所显示，下列哪三项有可能是Eric意图购买的枪械型号?C
1i.SPRINGFIELD XDS9 9MM
iiM4.223
1iiiMP45 M2.0
1ivSpringfield Armory SAINT AR-15 5.56/223 Carbine
vSpringfield Armory SAINT AR-15 5.56/224 Carbine
A.i, ii, iii
B.iii, iv, v
C.i, iii, iv
D.i, iii, v
E.全部皆是

这题没有其他办法，只有老老实实翻图片。

104在Eric的苹果可携式设备的备份内,在其中一张相片中，显示一款枪价值是$949.9，你能找出该相片的MD5哈希值?B
A.42b3e17a7d431f8c09ff319d970faae2
B.63878942da949014adca2a1ce304caf0
C.4caae44fbe76c22206dc986ac88b3006
D.4bc423d322bca4a1cf7b407ff31ad4cc
E.82b53001f6ceb5181ffaef472097c24a

image-20230408185642606

105Eric的苹果可携式设备备份内，有多少相片与“深水战士”有关?C
A.IMG_0006.JPG
B.IMG_0035.PNG
C.IMG_0060.PNG
D.IMG_0062.PNG
E.IMG_0072.JPG

额，这题目……

总结

这次比赛的重点看来是文件系统啊……先重组软raid，再提取lv，再把lv里面的虚拟机全部仿真才能获得全部信息，真是离谱（指同时起了5个虚拟机）

但题目仍然很有意思的，从中学到不少知识，特别是经过LVM的毒打，能明显感觉自己对linux的文件系统熟悉不少。但比起前面精彩的LVM题目，后面的windows、内存、手机显得很水。总之当成一套专题卷来做的话还是很不错的。

这篇关于美亚杯2017团队赛复盘WP的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/427953。

相关文章

Science Robotics 首尔国立大学研究团队推出BBEX外骨骼，实现多维力量支持！

Science Robotics 首尔国立大学研究团队推出BBEX外骨骼，实现多维力量支持！

重复性举起物体可能会对脊柱和背部肌肉造成损伤，由此引发的腰椎损伤是工业环境等工作场所中一个普遍且令人关注的问题。为了减轻这类伤害，有研究人员已经研发出在举起任务中为工人提供辅助的背部支撑装置。然而，现有的这类装置通常无法在非对称性的举重过程中提供多维度的力量支持。此外，针对整个人体脊柱的设备安全性验证也一直是一个缺失的环节。 据探索前沿科技边界，传递前沿科技成果的X-robot投稿，来自首尔国立
阅读更多...
docker基于minio部署outline团队知识库

docker基于minio部署outline团队知识库

outline 介绍 Outline 是一个开源的Wiki 知识库和团队协作文档管理工具，美观、实时协作、功能丰富且兼容 Markdown，设计用于帮助团队和组织有效地创建、共享和管理文档。 Outline 具有简单易用的界面和强大的功能，可以替代传统的文档管理系统，如 Google Docs 或 Confluence。Outline 提供了一种结构化的方式来组织信息，使团队成员可以快速访问和
阅读更多...
2024数学建模国赛选题建议+团队助攻资料（已更新完毕）

2024数学建模国赛选题建议+团队助攻资料（已更新完毕）

目录 一、题目特点和选题建议 二、模型选择 1、评价模型 2、预测模型 3、分类模型 4、优化模型 5、统计分析模型 三、white学长团队助攻资料 1、助攻代码 2、成品论文PDF版 3、成品论文word版 9月5日晚18：00就要公布题目了，根据历年竞赛题目，可以分析A/B/C/D/E题目大概的类型，提前了解题目特点，在选题上就不会浪费过多时间。下面总结了一下5个题目各
阅读更多...
PMP–一、二、三模–分类–14.敏捷–技巧–帮助团队交付价值的执行实践迭代和增量如何帮助交付工作产品

PMP–一、二、三模–分类–14.敏捷–技巧–帮助团队交付价值的执行实践迭代和增量如何帮助交付工作产品

文章目录 技巧一模14.敏捷--实践--帮助团队交付价值的执行实践--持续集成--在不同层面测试、验收测试驱动开发 (ATDD) 、测试驱动开发和行为驱动开发、刺探 。90、 [单选] 敏捷项目的第一次迭代即将开始。发起人召集团队、Scrum主管、产品负责人和其他项目干系人参加启动会议。发起人强调需要在项目尽可能早的时候以最小的成本识别和应对项目风险。与会者实现发起人要求的最佳方式是什么？
阅读更多...
【自用14】C++俄罗斯方块-思路复盘

【自用14】C++俄罗斯方块-思路复盘

1.编写主函数 int main(void){welcome();//欢迎函数system("pause");//窗口停留colsegraph();//关闭图画return 0;//返回值} 其中包含有最开始的欢迎，以及基础的窗口停留、图画关闭和返回值语句 2.编写欢迎函数 需求： 欢迎函数中需要包含的功能 设置游戏窗口的大小 设置游戏窗口的颜色 设置游戏窗口需要显示的文字的字
阅读更多...
复盘高质量Vision Pro沉浸式视频的制作流程与工具

复盘高质量Vision Pro沉浸式视频的制作流程与工具

在探索虚拟现实（VR）和增强现实（AR）技术的过程中，高质量的沉浸式体验是至关重要的。最近，国外开发者Dreamwieber在其作品中展示了如何使用一系列工具和技术，创造出令人震撼的Vision Pro沉浸式视频。本文将详细复盘Dreamwieber的工作流，希望能为从事相关领域的开发者们提供有价值的参考。 一、步骤和工作流 构建基础原型 目的：快速搭建起一个基本的模型，以便在设备
阅读更多...
一个人就能干一个团队剪辑工作？云微客就是这么神奇

一个人就能干一个团队剪辑工作？云微客就是这么神奇

你知道拍摄、剪辑一条视频需要花费多长时间吗？半个小时？还是一个小时呢？如果我想一天发布上百条视频，你觉得可能吗？很显然，仅凭个人是很难办到的，那么就需要借助工具，而云微客AI批量剪辑系统正好可以解决这个难题。 在当下这个短视频风靡的时代，不管是企业还是个人创作者们都需要借助各种工具和系统来提升创作内容的生产效率和传播效果。而云微客AI批量剪辑系统凭借着批量剪辑的功能，为创作者带来了很大的
阅读更多...
2017 版本的 WebStorm 永久破解

2017 版本的 WebStorm 永久破解

1.  在IntelliJ官网中下载 最新版本的WebStorm   下载地址：https://www.jetbrains.com/webstorm/download/#section=windows 2. 获取注册码    获取地址：http://idea.lanyus.com/   点击获取注册码，然后将注册码复制，再打开最新版的WebStorm，将注册码粘贴到激活框中就大功告
阅读更多...
掌握Git分支管理策略：让团队协作更高效

掌握Git分支管理策略：让团队协作更高效

在现代软件开发过程中，版本控制系统（VCS）是不可或缺的一部分。Git作为目前最流行的分布式版本控制系统之一，为开发者提供了强大的工具集来管理代码变更历史。然而，仅仅掌握Git的基本命令并不足以应对大型项目和团队协作的需求。有效的分支管理策略对于保持代码库的整洁、促进团队间的高效协作至关重要。本文将探讨几种常用的Git分支管理模型，并提供一些建议来帮助你的团队选择最适合的策略。 常见的分支管
阅读更多...
全国机器人大赛 Robocon 常州工学院团队首战国三

全国机器人大赛 Robocon 常州工学院团队首战国三

全国机器人大赛 Robocon 常州工学院团队首战国三 通宵7天7夜，常州工学院RC团队，首次闯入全国机器人大赛国赛，并成功得分！ 不同于老牌强队，常州工学院（下面用"常工"代替）的这只队伍，大多数成员由大一组成，核心岗位由一些大二各个专业基础最为扎实的学生担任。 7月7日，19:26分。卡在报道的最后10分钟，由在团队项管和电控成功领队签到，光电Robot成为最近几年唯一一只冲入Roboc
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2