2026盘古石预赛计算机取证 Writeup 作者：yagami 任务目录：/mnt/d/文档/hermes-work/liuyang-huangzhiyuan-q1-to-q56/ 生成时间：2026-06-20 生成模式：完整 writeup 工具与模型 项目 内容 工具 Hermes Agent 模型 Qwen3.6-27B-Uncensored-HauhauCS-Aggressive-Q4_K_P.gguf 运行方式 本地 任务信息 题目范围：Q1-Q56（刘洋E01+内存镜像 + 黄志远E01） 检材： 刘洋 liuyang_pc.E01 (30GB, SHA1: 5bc41890367e9c79c6b415c922e30bc994bfb351) 刘洋 ly-memdump.mem (5GB) 黄志远 PC.E01 (80GB, Kali Linux) 状态文件：state.md, answers.md, findings.md, commands.md, errors.md, verification.md 验证策略：默认验证未验证/猜测/证据不足题目；已验证题目保留原验证等级；用户确认不需验证的题目跳过 答案汇总总表 题号 答案 答案状态 验证等级 关键证据摘要 Q1 5bc418 已验证 L1 状态文件记录 Q2 26100 已验证 L1 状态文件记录 Q3 2026-04-20-16:25:35 用户确认不需验证 用户确认 状态文件记录 Q4 00-50-56-30-26-1C 用户确认不需验证 用户确认 状态文件记录 Q5 蓝奏云 已验证 L2 状态文件记录 Q6 48gy 已验证 L1 状态文件记录 Q7 8006 已验证 L1 状态文件记录 Q8 admin123 已验证 L1 状态文件记录 Q9 192.168.0.70 已验证 L1 状态文件记录 Q10 560615 用户确认不需验证 用户确认 状态文件记录 Q11 D:\BaiduNetdiskDownload\无标题.png 已验证 L1 状态文件记录 Q12 1080 已验证 L1 状态文件记录 Q13 1password 已验证 L1 状态文件记录 Q14 liuyang.opvault 已验证 L1 状态文件记录 Q15 liuyang@6419 已验证 L1 状态文件记录 Q16 6yang@2o26 已验证 L1 状态文件记录 Q17 pgscup2o@6 已验证 L1 状态文件记录 Q18 7860dc 已验证 L1 状态文件记录 Q19 十六进制转换 已验证 L1 状态文件记录 Q20 pgscup@o26 已验证 L1 状态文件记录 Q21 pgscup@9541 已验证 L1 状态文件记录 Q22 500000196606302245 用户确认不需验证 用户确认 状态文件记录 Q23 876dfe7bd78730b7b0baaf451414de8e 已验证 L1 状态文件记录 Q24 1Password10.sqlite 已验证 L1 状态文件记录 Q25 2 已验证 L1 状态文件记录 Q26 hermes 已验证 L1 状态文件记录 Q27 gioa 已验证 L1 状态文件记录 Q28 16 已验证 L1 状态文件记录 Q29 exploit.c 已验证 L1 状态文件记录 Q30 readfile() 已验证 L1 状态文件记录 Q31 CVE-2002-1078 已验证 L1 状态文件记录 Q32 AUTOINCREMENT 已验证 L1 状态文件记录 Q33 cmd=id 已验证 L1 状态文件记录 Q34 FastApi 已验证 L1 状态文件记录 Q35 CVE-2026-0005 已验证 L1 状态文件记录 Q36 uploads/ 已验证 L1 状态文件记录 Q37 8.8 已验证 L1 状态文件记录 Q38 move_uploaded_file 已验证 L1 状态文件记录 Q39 Indexes 已验证 L1 状态文件记录 Q40 DEFAULT 已验证 L1 状态文件记录 Q41 15000 已验证 L1 状态文件记录 Q42 www-data 已验证 L1 状态文件记录 Q43 id 已验证 L1 状态文件记录 Q44 /var/www/html/address_book.db 已验证 L1 状态文件记录 Q45 Content-Disposition 已验证 L1 状态文件记录 Q46 admin/Str0ngP@ssw0rd2026! 已验证 L1 状态文件记录 Q47 /api/logs 已验证 L1 状态文件记录 Q48 file_shell.php 已验证 L1 状态文件记录 Q49 CVE-2026-0002 已验证 L1 状态文件记录 Q50 WAF 已验证 L1 状态文件记录 Q51 tools.php 已验证 L1 状态文件记录 Q52 SQLite 已验证 L1 状态文件记录 Q53 $_FILES 已验证 L1 状态文件记录 Q54 2.4.66 已验证 L1 状态文件记录 Q55 9.8 已验证 L1 状态文件记录 Q56 www-data 已验证 L1 状态文件记录 解题过程 刘洋E01取证 (Q1-Q22) Q1: 分析刘洋liuyang_pc.E01检材，提取磁盘镜像SHA1值的前6位？ 答案：5bc418 答案状态：已验证 验证等级：L1 解题思路： 刘洋liuyang_pc.E01的SHA1值为 5bc41890367e9c79c6b415c922e30bc994bfb351 来源: ewfinfo直接读取E01头中的Digest hash 证据: CMD-20260619-001 Q2: 分析刘洋liuyang_pc.E01检材，计算机系统Build版本为？ 答案：26100 答案状态：已验证 验证等级：L1 解题思路： 系统Build版本为26100 (Windows 11 24H2) 来源: 注册表SOFTWARE hive CurrentBuild + SSH PowerShell双源确认 BuildLab: 26100.ge_release.240331-1435 证据: CMD-20260619-002 Q3: 分析刘洋liuyang_pc.E01检材，计算机最后一次正常关机的时间为？UTC +0 答案：2026-04-20-16:25:35 答案状态：用户确认不需验证 验证等级：用户确认 解题思路： 最后一次正常关机时间为 2026-04-21T00:25:33 UTC 来源: System事件日志 Event ID 6006 (EventLog source) 证据: CMD-20260619-003 Q4: 分析刘洋liuyang_pc.E01检材，计算机网卡的MAC地址为？ 答案：00-50-56-30-26-1C 答案状态：用户确认不需验证 验证等级：用户确认 解题思路： 网卡MAC地址为 00-50-56-30-26-1C (Ethernet0, VMware虚拟网卡) 来源: E01挂载的SYSTEM注册表hive静态解析 注册表路径: HKLM\SYSTEM\ControlSet001\Control\Class{4d36e972-e325-11ce-bfc1-08002be10318}\0001 Entry 0001: Intel(R) 82574L Gigabit Network Connection, NetCfgInstanceId={98420441-28EB-43A5-A59F-C9EACCBA714B}(=Ethernet0) 二进制MAC 00-50-56-30-26-1C在SYSTEM hive中3处命中(offset 0x96BFBC, 0xA0A08C, 0xA0A09C) Q5: 分析刘洋liuyang_pc.E01检材，分析机主是从那里下载的typora？ 答案：蓝奏云 答案状态：已验证 验证等级：L2 解题思路： Chrome downloads表记录：tab_url=https://developer2.lanrar.com/file/?... (蓝奏云CDN域名) target_path=C:\Users\刘洋\Downloads\Typor1.9.3-x64-CN.7z (71MB, 下载完成 state=1) Chrome History显示搜索 ansky.com/?s=typora&type=post (聚问天空网下载站搜索页) 实际文件从蓝奏云CDN (developer2.lanrar.com) 下载 答案: 蓝奏云 Q6: 分析刘洋liuyang_pc.E01检材，刘洋在2026-04-19 13:46:01（UTC +0）曾访问过百度云盘，请给云盘的打开密码？ 答案：48gy 答案状态：已验证 验证等级：L1 解题思路： 2026-04-19 13:46:01 UTC访问的百度云盘分享链接密码为 48gy Chrome History在目标时间附近无记录（13:30-14:00只有百度搜索和Quark云盘） Edge History精确匹配：https://pan.baidu.com/s/1EnFgUyZINuv5dsy_wPkxUQ?pwd=48gy (diff=0s) 来源: Edge浏览器History数据库静态解析 证据: CMD-20260619-026 Q7: 分析刘洋liuyang_pc.E01检材，请给出刘洋管理pve集群所用的端口号？ 答案：8006 答案状态：已验证 验证等级：L1 解题思路： PVE集群管理端口为8006 (标准PVE Web UI端口) Chrome History显示访问 pve-node01.pgscup:8006, pve-node02.pgscup:8006, pve-node03.pgscup:8006 证据: CMD-20260619-006 Q8: 分析刘洋liuyang_pc.E01检材，请给出刘洋登录理财网站所使用的密码？ 答案：admin123 答案状态：已验证 验证等级：L1 解题思路： 用户名: admin (Chrome Login Data确认) 密码: admin123 (内存镜像Chrome进程PID 8284明文命中) 内存证据: 偏移 0x1c34035a8be0, 0x1c34035a8d60, 0x1c34035a8ee0: 命中 "admin123" (UTF-16明文) 偏移 0x1c34038f9ce0, 0x1c34038f9cfa: 命中 "admin123" / "assword" (与password字段上下文相邻) Q9: 分析刘洋liuyang_pc.E01检材，请给出理财网站的IP地址？ 答案：192.168.0.70 答案状态：已验证 验证等级：L1 解题思路： 理财网站域名 3w.jlzb.vip 解析到 IP 192.168.0.70 Chrome History显示访问 http://3w.jlzb.vip/login, /dist/#/leverdealCenter, /admin/index 证据: CMD-20260619-007, CMD-20260619-008 Q10: 分析刘洋liuyang_pc.E01检材，请给出计算机内Bitlocker加密分区恢复密钥的前6位？ 答案：560615 答案状态：用户确认不需验证 验证等级：用户确认 解题思路： BitLocker加密分区恢复密钥完整值: 560615-577522-342881-216865-242561-312356-584837-421597 前6位: 560615 来源: Elcomsoft Forensic Disk Decryptor 加载 liuyang_pc.E01 + ly-memdump.mem 内存镜像联合解密BitLocker得到 内存镜像中存在FVE驱动(fvecerts.dll, fveapi.dll, dumpfve.sys)、FVE2预认证元数据文件、BitLocker Management事件日志、FVE内存池分配(FVEp, FVE0, FVEx, dFVE tag) 答案格式要求6位数字，取恢复密钥前6位 Q11: 分析刘洋liuyang_pc.E01检材，找出VC加密容器的密钥文件，给出该密钥文件的绝对路径？ 答案：D:\BaiduNetdiskDownload\无标题.png 答案状态：已验证 验证等级：L1 解题思路： VC加密容器的密钥文件位于: M:\BaiduNetdiskDownload\无标题.png 文件存在于E01分区M: (/mnt/m/BaiduNetdiskDownload/无标题.png)，208,289字节 文件为PNG图片，IHDR高度被篡改(声明680，真实1080) PNG结构分析: IHDR chunk_len=13(非标准12，末尾多0x00)，width=1920, height=680(0x000002a8)，IHDR CRC=MISMATCH，其余chunk CRC全部OK 修复后真实尺寸: 1920 x 1080 (标准1080p) — IHDR height改为1080(0x00000438)，所有chunk CRC重新计算(0 errors) Q12: 接上题，该VC加密容器的密钥文件的图像高度是多少像素？ 答案：1080 答案状态：已验证 验证等级：L1 登录后阅读全文 本文已展示开头部分。成为社区成员，即可解锁全部题目复盘与解题记录、参与讨论并累积积分。 登录 免费注册 登录即表示同意社区准则。
