从实战到复盘：2024盘古石杯初赛服务器与AI取证关键点解析

1. 服务器取证实战：从端口扫描到数据库渗透

在盘古石杯初赛中，服务器取证环节往往是最先接触的实战场景。我按照优秀Writeup的指引，从基础信息收集开始逐步深入。第一步永远是确定目标IP和开放端口，这次遇到的192.168.48.133服务器上，8065端口引起了我的注意——这个非标准端口运行着Mattermost即时通讯系统，这种非常规配置往往是突破点。

通过ip a命令发现Docker环境后，事情变得有趣起来。进入容器命令行就像拿到了通往宝藏的钥匙，直接输入chaxun就能看到数据库版本信息（PostgreSQL 12.18）。这里有个实用技巧：用docker inspect 64 | grep -i 'db' -C 10命令可以精准定位数据库配置，比盲目搜索效率高得多。

数据库连接环节最容易踩坑。我最初直接用Navicat连接失败，后来发现必须通过SSH隧道，且Docker内部IP（172.168.0.2）与宿主机不同。成功连接后，82张表的mattermost_text数据库里藏着关键线索——用户密码采用bcrypt加密，这种加密方式虽然安全，但通过修改数据库字段仍可绕过认证。

2. 网站服务器深度取证技巧

仿真环境搭建是取证的基础功课。将网络设置为NET模式后，修改hosts文件实现域名解析这个小技巧，帮我顺利访问到标题为"威尼斯"的网站后台。这里特别提醒：phpstudy这类集成环境的时间戳记录，往往是确定首次登录时间的关键。

数据库备份分析环节有三处细节值得注意：

1. 自动脚本任务会暴露备份频率（每周1次）
2. 备份文件使用AES加密，密码"mysecretpassword"就藏在配置文件里
3. 面板版本8.0.2存在已知漏洞，这个信息对后续渗透很有帮助

我在排查网站管理软件时还发现，32位系统支持情况这类看似简单的问题，其实考察的是对服务器架构的全面认知。通过uname -a命令验证系统位数，比盲目猜测可靠得多。

3. AI取证核心：模型分析与视频解密

人工智能取证是今年比赛的新亮点。声音模型分析需要掌握三个关键点：

1. 模型数量统计（本题找到3个训练模型）
2. 训练素材量统计（voice2模型含17条素材）
3. 训练轮次确认（voice3训练了8轮）

视频解密环节最考验逆向能力。面对被混淆的Python脚本，我采用分步调试策略：

# 反混淆后的关键解密函数 def xor_decrypt(file_path, output_folder): with open(file_path, 'rb') as f: encrypted_data = f.read() filename = os.path.basename(file_path).replace('-cn', '') return bytes([b ^ ord(filename[i%len(filename)]) for i,b in enumerate(encrypted_data)])

这个异或解密算法揭示了解密规律：用文件名本身作为密钥。最终在target-1080p.mp4等文件中发现了AI换脸证据，而model文件夹里的15个模型文件更坐实了深度伪造行为。

4. 内存与手机取证高阶技巧

内存取证往往能发现进程级别的蛛丝马迹。通过分析内存镜像：

• 定位navicat.exe的进程ID可追踪数据库操作
• 内存时间戳能还原取证环境UTC+8时区时间
• 容器密码文件大小（123字节）暗示其存储格式

手机取证方面，记账APP分析堪称信息宝库：

1. 使用Realm数据库的应用（如MoneyLoverS2）需要特殊查看工具
2. 收入统计要结合cat_id字段筛选（本题36表示收入）
3. 时间范围查询要注意边界条件（2022-3-1到2023-12-1）

即时通讯软件取证时，我发现了两个实用方法：

• 在/data/media/0/.privacy_safe/db路径查找隐藏应用
• 使用SQLCipher3打开加密数据库，密钥Rny48Ni8aPjYCnUI

5. APK逆向与反混淆实战

诈骗APP分析让我掌握了APK取证的核心技能：

1. 包名w2a.W2Ah5.jsgjzfx.org.cn暴露了伪装手段
2. 服务器地址192.168.137.125藏在网络请求中
3. 主启动项io.dcloud.PandoraEntry指向混合开发框架

针对计算器隐藏应用这类难题，我总结出三板斧：

1. 对比系统预装与用户安装的计算器版本
2. 分析电量使用记录发现异常行为
3. 通过SQLite数据库恢复九位数密码

浏览器取证也有意外收获：悟空浏览器的搜索记录"ai写文章生成器"，恰好反映了攻击者的工具准备过程。而公民信息.xlsx文件的MD5值497f308f66173dcd946e9b6a732cd194，更是成为串联整个证据链的关键。

6. 电子数据取证的方法论沉淀

经过完整复盘，我梳理出取证实战的黄金法则：

1. 环境信息收集要全面（系统版本、网络配置、服务架构）
2. 数据库操作遵循"连接-定位-提取"三步骤
3. 加密数据先判断算法类型（bcrypt/AES/异或等）
4. 内存取证重视进程关系和时区转换
5. 移动端取证注意隐藏存储和加密数据库

在团队协作方面，即时通讯软件的日志分析（如Mattermost）能还原完整时间线。工资单、盈余统计这类财务数据，往往藏在回收站或备份文件中，需要结合密码学知识进行恢复。