NSSCTF平台：https://www.nssctf.cn/

PS：记得所有的flag都改为NSSCTF

计算机取证：

[蓝帽杯 2022 初赛]计算机取证_1

现对一个windows计算机进行取证，请您对以下问题进行分析解答。从内存镜像中获得taqi7的开机密码是多少？
压缩包密码为:93ce7ea39bdd7baa137f1e9b963b7ee5

volatility -f 1.dmp imageinfo

volatility -f 1.dmp –-profile=Win7SP1x64 mimikatz

NSSCTF{anxinqi}

[蓝帽杯 2022 初赛]计算机取证_2

现对一个windows计算机进行取证，请您对以下问题进行分析解答。制作该内存镜像的进程Pid号是多少？

volatility -f 1.dmp --profile=Win7SP1x64 pslist #列出进程

NSSCTF{2192}

[蓝帽杯 2022 初赛]计算机取证_3

现对一个windows计算机进行取证，请您对以下问题进行分析解答。
bitlokcer分区某office文件中存在的flag值为？（答案参考格式：NSSCTF{abcABC123}）

[蓝帽杯 2022 初赛]计算机取证_4

手机取证：

[蓝帽杯 2022 初赛]手机取证_1

现对一个苹果手机进行取证，请您对以下问题进行分析解答。
627604C2-C586-48C1-AA16-FF33C3022159.PNG图片的分辨率是？（答案参考格式：1920x1080）

盘古石阅读器 直接搜索给的图片名称 导出文件，查看属性即可。

NSSCTF{360x360}

[蓝帽杯 2022 初赛]手机取证_2

姜总的快递单号是多少？（答案参考格式：abcABC123）

这里可以搜姜总，可以搜单号 发现在聊天记录中有显示

NSSCTF{SF1142358694796}

网站取证：

[蓝帽杯 2022 初赛]网站取证_1

据了解，某网上商城系一团伙日常资金往来用，从2022年4月1日起使用虚拟币GG币进行交易，现已获得该网站的源代码以及部分数据库备份文件，请您对以下问题进行分析解答。请从网站源码中找出木马文件，并提交木马连接的密码。

使用火绒杀毒软件扫描目录0f71e php直接记事本打开即可。

NSSCTF{lanmaobei666}

[蓝帽杯 2022 初赛]网站取证_2

据了解，某网上商城系一团伙日常资金往来用，从2022年4月1日起使用虚拟币GG币进行交易，现已获得该网站的源代码以及部分数据库备份文件，请您对以下问题进行分析解答。请提交数据库连接的明文密码

打开WWW.zip备份文件先找到databases.php 然后找到加密函数 encrypt.php 运行即可（PHP版本要7.0一下 不然保存！）

因为是复现所以就直接使用在线网站（支持php版本选择好用！！）：https://onlinephp.io/

NSSCTF{KBLT123}

[蓝帽杯 2022 初赛]网站取证_3

请提交数据库金额加密混淆使用的盐值。

查看bak.sql发现tab_channel_order_list 和钱有关 然后找到Channelorder.php 里面就有key

NSSCTF{jyzg123456}

[蓝帽杯 2022 初赛]网站取证_4

请计算张宝在北京时间2022-04-02 00:00:00-2022-04-18 23:59:59累计转账给王子豪多少RMB？
（换算比例请从数据库中获取，答案参考格式：123.45）