misc
domainhacker
流量分析一遍，发现是使用了 Mimikatz 获取机器 hash，并且把结果压缩到了 1.rar 里面，压缩密码如下**压缩包密码 SecretsPassw0rds将 rar 压缩包导出出来
**得到 hash：416f89c3a5deb1d398a1a1fce93862a7
电子取证
手机取证
手机取证_1
通过盘古石手机取证分析系统查看，模糊搜索文件 627604C2-C586-48C1-AA16-FF33C3022159.PNG 图片，找到文件后导出文件，查看属性得到分辨率为：360X360
360x360
手机取证_2
模糊搜索字符串“姜总”，找到聊天记录，得到单号。
SF1142358694796
计算机取证
计算机取证_1:
先使用指令：.\vol.exe -f 1.dmp --profile=Win7SP1x64 hivelist，看 system 的地址，和 SAM 的地址。
得到地址：0xfffff8a000024010，0xfffff8a00191c010
然后使用指令：\vol.exe -f 1.dmp --profile=Win7SP1x64 hashdump -y 0xfffff8a000024010 -s 0xfffff8a00191c010，得到用户 HASH 值
通过网站 MD5 解密，得出 flag：anxinqi
anxinqi
计算机取证_2:
通过指令列出所有进程 .\vol.exe -f 1.dmp --profile=Win7SP1x64 pslist
分析得 flag 是 MagnetRAMCaptu 进程号
2192
程序分析
程序分析_1:
使用 jadx 查看 AndroidManifest.xml，AndroidManifest.xml 是整个 Android 项目的配置文件，程序中定义的所有四大组件都需要在这个文件里注册。所以在这里你可以找到注册的包名。 **
**
exec.azj.kny.d.c
程序分析_2:
使用 AndroidKiller 直接查看，将 apk 拖进 AndroidKiller 分析，可以直接得到入口名。 **
**
minmtta.hemjcbm.ahibyws.MainActivity
程序分析_3:
使用 Jadx 分析 apk，首先看 MainActivity 主函数，发现有一个 Base64 加密后的密文，解密后等到明文：https://ansjk.ecxeio.xyz
明文是一个网址，猜测就是用来交互的服务器网站，密文就是 Base64 加密后的密文。 **
**
aHR0cHM6Ly9hbnNqay5lY3hlaW8ueHl6
程序分析_4:
安全检测类通常里面含有一些检测的方法，检测用户合法性，MD5 值正确与否，root 检测之类的。 **
通常采用搜索特定字符串形式寻找，在模拟机打开程序，发现弹窗，弹出消息：您手机处于 root 环境，请注意资金安全，这是在经行 root 安全检测，搜索字符串。
**
找到字符串，所在方法是所在类 h，分析代码结合 MainActivity 主类中的方法，发现 h 类其实是 mainActivity，程序将它单独拿出来了，通过继承的方式进行调用，h 类实际是一个 开发业务逻辑。
通过分析得到 h 类接入了 a 类的接口，所以最后安全检测的类是 a 类
a
网站取证
网站取证_1:
直接放到 D 盾里面扫，第一个就是lanmaobei666
网站取证_2:
打开数据库的配置文件发现密码是一个函数的返回值**那就直接运行一下就行了，这里有个坑，就是要用低于 php7.1 的版本跑
**密码：KBLT123
取网络证_3:
审计源码发现，金额加密的函数为
$param['money']=$this->encrypt($param['money']);
直接跟进发现，这个加密函数有个默认参数，用于参加加密过程，跟进 salt 盐值的定义，发现这个值就是 salt 值jyzg123456
取网络证_4:
题目描述是
请计算张宝在北京时间 2022-04-02 00:00:00-2022-04-18 23:59:59 累计转账给王子豪多少 RMB？（换算比例请从数据库中获取，答案参考格式：123.45）
也就是说要对数据库进行分析，查看语法发现这是一个 postgresql，那我就将数据库备份文件 bak.sql 导入到我的数据库中，然后连接可以发现有这些表，简单分析一下
info_bargain：每日的 RMB 汇率
tab_channel_order_list：所有的订单
tab_user：用户表
题目要求的是张宝在北京时间 2022-04-02 00:00:00-2022-04-18 23:59:59 累计转账给王子豪多少 RMB
张宝的用户 ID 为 3，王子豪的用户 ID 为 5然后日期是 2 号到 18 号，筛选一下导出成 xlsx 格式进行进一步分析**
**
接着对货币依次解密，因为有现成的解密函数，那就直接写个 php 脚本如下
<?php
ob_start();
$file = fopen("money.txt","r");
$new_file = fopen("qian.txt","a");
while(!feof($file))
{
$encoded = fgets($file);
$decoded = decrypt($encoded);
fwrite($new_file,$decoded."\n");
}
fclose($file);
fclose($new_file);
function decrypt($data, $key = 'jyzg123456')
{
$key = md5($key);
$x = 0;
$data = base64_decode($data);
$len = mb_strlen($data);
$l = mb_strlen($key);
$char = '';
$str = '';
for ($i = 0; $i < $len; $i++) {
if ($x == $l) {
$x = 0;
}
$char .= mb_substr($key, $x, 1);
$x++;
}
for ($i = 0; $i < $len; $i++) {
if (ord(mb_substr($data, $i, 1)) < ord(mb_substr($char, $i, 1))) {
$str .= chr((ord(mb_substr($data, $i, 1)) + 256) - ord(mb_substr($char, $i, 1)));
} else {
$str .= chr(ord(mb_substr($data, $i, 1)) - ord(mb_substr($char, $i, 1)));
}
}
return $str;
}
得到所以解密后的金额，直接复制粘贴到表格里面，然后根据每日的 RMB 汇率计算出最后的总和得到转账总金额 15758353.76