第二届网络安全行业职业技能大赛初赛

1.（检材1分析）交易者使用的手机的品牌是？（答案格式：英文，全大写）

答案：HUAWEI

2.（检材1分析）交易者微信绑定的手机号是?

答案:18190804503

3.检材1分析）交易者与某微信好友曾经有过资金往来，该好友的微信ID是？（答案格式aa_1ede48076c4f）

答案：gh_3dfda90e39d6

4.（检材1分析）交易者添加野生动物卖方微信的时间是？（答案格式：2020-01-01 01:01:01）

答案：2020-05-12 13:42:52

5.（检材1分析）除了微信，交易者还使用的与卖方联系的软件是？（答案格式：微信）

答案：掌嗨

6（检材1分析）交易者使用的与卖方联系的软件的数据存放的文件是？（答案格式：abc.txt）

答案：08fe8d5df5f62daab6556fb11fba8c5c_v4.msgstore

7.（检材1分析）卖方发送的压缩文件的解压密码是?

答案：dd123

8.（检材1分析）被贩卖的动物共有几种?

答案：7（需要修改损坏的文件头，png图片和后缀）

9 （检材1分析）贩卖的动物中，单价最贵的动物是？

答案：熊掌

10 （检材2分析）该检材的包名是？

答案：com.gass.collect

11 （检材2分析）检材采集了用户以下哪些信息？（按字母表顺序填写）

答案：ACD

A. 通信录

B. 通话记录

C. 短消息

D. 应用信息

12（检材2分析）采集信息保存的xml文件名称是？（答案格式：xxx.xml）

答案：readdata.xml

1.使用jadx-gui反编译apk。

2.找到写入xml的XMLwrite。

3.可以看到写入到了该文件。

13 （检材2分析）上传文件的解密密码是？

)P>I]TVSR.

同样反编译可以看到getpassword。

public native String getPassWd(String str); static {    
System.loadLibrary("native-lib"); 
} 
private void EncryFile() {    
String strPwd = getPassWd("n%qNR9YDEa");    
*// 使用这个密码加密ZIP文件* 
}

// 在native-lib.so中查找JNI函数映射
JNIEXPORT jstring JNICALL
Java_com_gass_collect_MainActivity_getPassWd(JNIEnv *env, jobject instance, jstring input) {
    // 解密逻辑在这里
}

3.解压apk后，找到libnative-lib.so文件，ida反编译，找到getpasswd这个函数。

4.交给ai，跑一下脚本解密。

# 完整解密过程
input_str = "n%qNR9YDEa"
password_chars = []

for char in input_str:
    ascii_val = ord(char)
    xor_val = ascii_val ^ 0xAB
    mod_val = xor_val % 94
    final_val = mod_val + 32
    password_chars.append(chr(final_val))

    print(f"'{char}' -> ASCII: {ascii_val:3d} -> "
          f"XOR 0xAB: {xor_val:3d} -> "
          f"mod 94: {mod_val:2d} -> "
          f"+32: {final_val:3d} -> "
          f"'{chr(final_val)}'")

password = ''.join(password_chars)
print(f"\n最终密码: {password}")

5.得到答案。

14 （检材2分析）检材采集信息发送到远端的URL地址是？（参考格式：http://xxx）

http://www.gwt.com/api/upload

1.地址在getstr函数这里。

2.解密脚本。

def decrypt_url(encrypted):
    # 第一步：字符重排
    length = len(encrypted)
    rearranged = [''] * length

    for i in range(length):
        if i % 2 == 1:  # 奇数索引
            new_pos = (i - 1) // 2 + (length + 1) // 2
        else:  # 偶数索引
            new_pos = i // 2
        rearranged[new_pos] = encrypted[i]

    rearranged_str = ''.join(rearranged)
    print(f"重排结果: {rearranged_str}")

    # 第二步：猜测convertFormat的可能实现
    # 尝试Base64解码（最常见）
    import base64
    try:
        # 先尝试直接Base64解码
        decoded = base64.b64decode(rearranged_str)
        return decoded.decode('utf-8')
    except:
        pass

    # 如果Base64失败，返回重排结果供进一步分析
    return rearranged_str


# 解密URL
encrypted_url = "aYH2R90tcLD2oFvwLa3Sd931dcyG5xnvdY3WQQu="
result = decrypt_url(encrypted_url)
print(f"最终URL: {result}")