2026精武杯-手搓版-服务器取证

原创

李逍遥
李逍遥

SPEEDCoding

2026年10月15日 15:37
山西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

GZH WORKBENCH

2026精武杯-手搓版-服务器取证

2026精武杯

【简要案情】近期，某市反诈部门接到多名群众报案，均遭遇“投资理财”类电信网络诈骗，指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查，该犯罪团伙搭建虚假投资平台，通过社交软件诱骗受害人充值转账，团伙成员分散多地办公，使用多种 AI 工具进行违法犯罪活动，同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注：所有检材及相关数据均为虚拟构造，不负法律责任，如有侵权请及时告知，未经允许不得用于商业用途。检材容器密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队

01

第三部分：服务器取证

SECTION

提示：分析办案人员提取的“服务器镜像.E01”回答下列问题：

4.59（填空题　1 分） 分析服务器检材，该服务器的操作系统版本是什么？（答案格式：Centos 19.02.14 LTS）

查看火眼的分析结果：

Ubuntu%2022.04.5%20LTS

4.60（填空题　1%20分）%20分析服务器检材，该服务器的根文件系统（/）的%20UUID%20是多少？（答案格式：以实际为准）

仿真起来后查看一下ip和端口号ssh连接（注意核实一下vmware的ip段）：

先用命令：lsblk%20-f查看一下根分区是哪个硬盘：

是sda2这个设备，这里还看到一个加密盘没挂载，然后使用命令：blkid查看uuid信息：

ea044f8e-b4ad-4151-a508-135bf5e57a94

4.61（填空题　1%20分）%20分析服务器检材，该服务器部署的运维面板安全入口是什么？（答案格式：1abc23）

使用小皮面板的命令行查看安全入口：

5adf0f

4.62（填空题　1%20分）%20接上题，该面板管理员密码的哈希值（32位MD5）是多少？（答案格式：英文小写）

火眼可以直接分析出来：

2af0c70468cb8dc60e7b17c692d56d4d

4.63（填空题　1%20分）%20分析服务器检材，该服务器部署的知识库监听端口是什么？（答案格式：8080）

用命令修改一下小皮面板的密码登录一下查看：

什么都没有，刚才已经看到有一个加密盘没有挂载了，而且在历史命令里面也可以看到解锁数据盘的命令：

查看一下这个unlock-data：

全局搜luks的时候找到一个神奇的文本文档：

导出后查看一下：

啊，是一套服务器取证的题目和答案解析，不会是防AI的吧，这里面说LUKS加密卷的密码存在AnythingLLM里面，现在还解不开，试了一下这个密码也解不开luks加密卷，但是里面有提到anythingllm，全局搜索一下：

‍

看来题目问的知识库就是这个了，opt目录下有个部署文档：

打开看一下：

可以看到这里用的3001端口验证，正好当前服务器也开启的3001端口：

浏览器访问一下可以访问：

在anythinllm的目录下有.env文件，里面有密码信息：

输入12345678试试发现登进去了（跟那个新建文本文档里面对应题目的答案一样）：

所以端口号就是3001

3001

4.64（填空题　1%20分）%20接上题，该知识库的登录密码是什么？（答案格式：以实际为准，如%20123Abc）

上题解出来了，是12345678

12345678

4.65（填空题　1%20分）%20接上题，部署的知识库向量数据库（LanceDB）中存储的向量数量是多少？（答案格式：123）

同上面的题截图，点击工作区设置查看向量数据库即可：

162

4.66（填空题　1%20分）%20接上题，知识库中配置的智谱API%20Key是什么？（答案格式：以实际为准）

查看配置里面的模型设置：

隐藏了，需要去配置文件或者数据库里面直接找，参考一下opt目录下的部署文档：

可以看到密钥信息在.env文件里面，打开看一下：

可以找到智谱的apikey

58698bedc6dc4cec843279c6f8af606d.IWW6vmNn7kYurMQ0

4.67（填空题　1%20分）%20分析服务器检材，该服务器中存在一个LUKS%20加密卷，解密密码是什么？（答案格式：tuojie@feiyingteam）

在知识库工作区上传那里可以看到有个常用密码本的markdown文件：

参考之前的部署文档，知识库的文档存在ducuments目录，打开后找到常用密码本这个文件：

打开查看：

成功找到LUKS加密卷的密码，使用这个密码搭配unlock-data命令解密成功：

回到小皮面板重新登录，发现已经有数据库和docker了：

neko@123456

4.68（填空题　1%20分）%20分析服务器检材，服务器上部署的%20dsh（DeepSeek%20Harness）版本号是多少？（答案格式：以实际为准，如1.0.0-1.2）

opt目录下有个dsh目录，进入后打开dsh源码目录里面的package.json文件查看：

0.1.1-rc.2

4.69（填空题　1%20分）%20接上题，该dsh配置的%20DeepSeek%20API%20Key是什么？（答案格式：以实际为准）

dsh的apikey去.dsh目录找.credentials.yaml文件：

sk-2177516d95314bcb87467626b7b43623

4.70（填空题　1%20分）%20接上题，DSH中用户安装的插件共有多少个？（答案格式：如%203）

服务器里面没有npx，直接查看文件：/opt/dsh/dsh-home/.dsh/profiles/web/package.json

可以看到安装了5个插件一共

5

4.71（填空题　1%20分）%20分析服务器检材，该服务器中部署了一个API中转站，该API中转站管理员账号Jelly的登录密码是什么？（答案格式：以实际为准）

刚才解开了luks加密卷，成功刷新出了docker的容器，查看一下：

可以看到API中转站是new-api，端口是3000，打开访问一下：

之前luks加密卷解密后挂载到了data目录，进入/data目录查看：

查看一下这个mm.txt文件：

用这个账号密码登录一下，成功登录：

Jelly@666

4.72（填空题　1%20分）%20接上题，该中转站里启动的模型中哪个模型供应商下的模型最多？（答案格式：TuoJie）

查看模型，然后点击供应商：

可以看到最多的是OpenAI

OpenAI

4.73（填空题　1%20分）%20接上题，该中转站源码中用户密码存储使用的哈希算法是什么？（答案格式：如%20md5）

去小皮面板查看数据库，mysql是空的，但是点击额外数据库可以看到new-api的数据库，还有另一个项目数据库：

都点击一下备份就可以备份到备份路径里面，然后导出到本地数据库里面分析，这里数据库的位置是在docker容器里面，看new-api的docker部署文件可以看到

导入本地数据库查看：

查看users表：

可以看到password的哈希是bcrypt

bcrypt

4.74（填空题　1%20分）%20接上题，该%20API%20中转站平台注册的用户总数是多少？（答案格式：如1234）

在数据库里面查询users表：

网站管理页面也可以查看用户数量：

都是6200

6200

4.75（填空题　1%20分）%20接上题，平台全部消费记录中，单笔消费额度（quota）的最大值是多少？（答案格式：1000）

查看数据库中的logs表：

可以看到type指定了该条日志类型，最大是7，筛选type字段，发现2是消费类日志：

里面记录了本次使用的用户、模型名称、quota（消费额度）、提示词token量等信息，这里把quota字段降序排列可以得到最多的一次消费：

3428685

4.76（填空题　1%20分）%20分析服务器检材，嫌疑人部署了一个云手机，该云手机的设备名称是什么？（答案格式：以实际为准）

查看历史命令可以看到一条云手机的记录：

查看这个sh脚本：

对应的是redroid这个docker容器，这里运行这个脚本启动一下，提示启动失败：

但是在解密后的data目录里面有云手机的数据目录：

这里使用scrcpy进行连接云手机：

CMD

scrcpy.exe --tcpip=192.168.112.136:5555 --no-audio

成功连接：

打开设置查看设备名称：

redroid12x8664

4.77（填空题　1%20分）%20接上题，请问该云手机中安装的记账软件中文名称是什么？（答案格式：支付宝）

查看该云手机的app：

有个纯记账APP就是题目问的记账软件

纯记账

4.78（填空题　1%20分）%20接上题，该记账软件中显示支付宝的账户余额为？（答案格式：-123.12）

打开这个记账软件：

纯负资产，点击左侧弹框找到账户管理，可以看到支付宝余额：

-75803.81

4.79（填空题　1%20分）%20接上题，该记账软件会将数据保存在本地数据库中，该数据库的名称是什么?（答案格式：Jelly.db）

查看luks加密卷的/data目录里面的云手机数据目录，找到里面的data目录：

找到记账软件的数据目录：

导出后把AccountBook.db在数据库工具打开：

确定是这个数据库

AccountBook.db

4.80（填空题　1%20分）%20接上题，该记账软件中欠债借款类型对应的图标名称是什么？（答案格式：123.jpg）

查看APP的分类统计：

查看一下composer.json文件，发现用的是laravel的框架：

这里显示laravel的版本需要大于12.0，查看composer.lock里面实际用的版本号是多少：

Laravel-12.67.0

4.82（填空题　1 分） 接上题，该发卡系统的平台抽佣比例是多少？（答案格式：10%）

后面很多题都可以把网站搭起来看，但是这里我搭的时候点了删除，结果网站目录也被删了，又不想重新弄，后面就纯看源码和数据库吧

下载一下之前备份的数据库并导入到本地数据库：

导入成功后查看system\_config表，可以找到抽佣比例的数据：

这里有两个比例，一个是3，一个是2，把源码导出后全局搜索“比例”字符串：

找到一个php源码里面有说明一共有两个比例分别是平台抽佣比例和联盟抽佣比例，还有一个前端的vue源码：

可以看到这里判断条件是判断type如果是proxy就是平台抽佣，否则是联盟抽佣，所以题目要求的平台抽佣比例应该是3%

3%

4.83（填空题　1 分） 接上题，该发卡系统中七牛云存储配置的AccessKey是什么？（答案格式：以实际为准）

还是看数据库的system\_config表：

这里存了七牛云的AccessKey

AKTl23456789abcdefghijklmnopqrstuvwxyz

4.84（填空题　1 分） 接上题，该发卡系统的百度统计ID是什么？（答案格式：以实际为准）

先在源码里面全局搜索一下百度统计：

这里的key是tongjibaidukey，再去system\_config表里面找，正好有一个：

4567891230abcdef1234567890abcdef

4.85（填空题　1 分） 接上题，该发卡系统支持微信公众号后台配置，请问配置的公众号AppID是什么？（答案格式：以实际为准）

还是在system\_config表：

wx9a2b3c4d5e6f7890

4.86（填空题　1 分） 接上题，该发卡系统的支付渠道，有几个还在启用？（答案格式：10）

依旧源码里面搜索“支付渠道”关键词：

可以看到查询的是channel表，关于可用和不可用，在下面可以看到：

是否启用是status字段，统计一下数据库，没多少，直接肉眼统计：

9

4.87（填空题　1 分） 接上题，订单号ZC202607111204的商品名称是什么？（答案格式：以实际为准）

这个比较明显，查看order表进行过滤：

影视动漫双平台月卡 平台担保

4.88（填空题　1 分） 接上题，该发卡系统的累计营收金额是多少？（答案格式：12346.36）

全局搜索累计营收找到平台看板的vue前端文件：

可以看到平台的累计营收是b.stats.total\_income，再往下看是发起哪个请求获取的：

可以看到是apiFinanceOverview，再去前端的api接口里面找：

给后端发起的请求是​/admin/finance/overview，再去后端找对应哪个controller：

对应的是BFinance这个类里面的overview方法：

这里可以看到计算逻辑是针对order表筛选status为1，对total\_price求和，这里写sql语句求和即可：

MYSQL

SELECT SUM(total\_price) FROM order where status = 1

运行结果：

52707.46