2024“龙信杯“电子数据取证竞赛-服务器取证题目Writeup

服务器检材-分析

前置

提示：该服务器做了登录密码校验配置，如果没有拿到服务器的密码而直接仿真服务器，输入密码进入系统后，服务器会将部分数据给自动删除

前提：无

因为我们仿真进入服务器会自动删除文件，所以我们需要先静态分析检材，查找删除脚本

在登录执行文件夹中可以找到 check-system.sh 脚本

查看脚本内的内容，发现里面会通过Linux系统的密码文件(/etc/shadow)，与 /etc/.cadpc 文件内容进行比对，如果密码不一致，将会删除文件，清除history等操作

根据上面的脚本查找存放密码的文件路径

找到密码修改脚本

这时仿真服务器时选择保持原有密码

进入系统后按e进入内核编辑界面，编辑图中的字段

按ctrl+x进入救援模式，输入chroot /sysroot/ 进入root用户

执行查找到的passwd.sh脚本，修改密码

然后使用修改后的密码进入系统

参考答案：/etc/profile.d/check-system.sh

解题思路：在登录执行文件夹中可以找到start-check.sh 脚本

参考答案：12320

解题思路：netstat -nltp