第四部分：物联网取证

（一）提示：分析办案人员提取的“无人机”文件夹，内含“26-09-14-10-12-59_FLY001.DAT”，回答下列问题：              
（二）提示：分析办案人员提取的“NAS”文件夹，内含“sda-system.E01、sdb.E01、sdc.E01、sdd.E01、sde.E01”，回答下列问题：

（一）提示：分析办案人员提取的“无人机”文件夹，内含“26-09-14-10-12-59_FLY001.DAT”，回答下列问题：

5.89（填空题　1 分）该无人机的型号是什么？（答案格式：Tuojie1）

这是我第二次接触物联网取证，我接到上一次是做打印机的。做下来感觉还是很有意思的。

这里分析无人机用到的工具是苏小沐大佬的分析工具，太强了

我们把检材直接丢进CsvView中，就能直接看到这题找到无人机型号

5.90（填空题　1 分）飞行记录中马达的启动时间（UTC +8）是什么时候？（答案格式：2026-08-02 11:05:13）

在CsvView中有一个EventLogPlayer，这个日志中记录了和无人机相关的信息，比如电池情况，马达情况，飞行情况等等，所以我们肯定要在这个日志中找答案。

打开日志，这些都是啥啊。其实，第一列是相对时间（时间偏移），有正有负，相对时间为0的时间点没有统一标准（这个日志中是马达启动的时间）。第二列是内部时间计数。第三列是日志的模块，告诉我们这是哪一个部分的日志。最后是内容。

我们可以注意到，相对时间是0的时候，时间是马达的启动。但是题目要求我们写的是绝对的时间，所以我们可以取前面的日志中找有没有设计时间的日志，之后再做计算。往前面翻一翻一下就发现 这个9/14的记录，根据相对时间就能计算出无人机马达启动的时间。（相对时间的单位是秒）

2026-09-14 10:15:33

5.91（填空题　1 分）接上题，该马达总共运行多少秒？（答案格式：四舍五入，回答整数，如321）

继续找跟马达相关的日志，我直接翻到最后，找到了power off

我一开始以为这就是答案，但其实这是关机的时间，不是马达停止的时间

但是，着并不是马达停止的时间，是电源切断的时间，要找到马达关闭的时间，还是要找[L-MOTOR]才行，又找了一下，发现了这一条：

5.92（填空题　1 分）飞行记录中海拔最高时的纬度是多少？（答案格式：四舍五入取小数点后五位，如31.11111）

这里直接导出飞行的具体信息

注意alti（飞行高度）和Latitude（维度）两列，将他们排序，就能找到结果：

5.93（填空题　1 分）分析飞行记录的轨迹为几边形？（答案格式：4）

CsvView的geoplayer提供了无人机的运行轨迹

wow这真的好有意思

（二）提示：分析办案人员提取的“NAS”文件夹，内含“sda-system.E01、sdb.E01、sdc.E01、sdd.E01、sde.E01”，回答下列问题：

接下来用的工具是lovelycarve，这个工具真的很神奇。就拿这道题目来说，把给的几个检材直接放进去，就能直接识别RAID级别，条带大小。而且还能增加插件，可以说这个工具可实现的内容很多。还有cli，可以说把这个接入agent，功能很强大。

LovelyTeams/LovelyCarve: a forensic carver with a soft heart · 基于 Rust、Tauri 2 与 Vue 3 的桌面磁盘取证与数据恢复工具：只读解析镜像、文件系统与加密卷，提供原类型预览、全局搜索、时间线、文件雕刻与插件分析

5.94（填空题　1 分）分析涉案NAS的存储配置，其数据盘的RAID级别是什么？（答案格式：RAID0）

做这些之前，我们要先了解我们取证的对象是什么。

NAS是 Network Attached Storage（网络附加存储），中文通常叫作网络存储设备或网络存储服务器。这样理解起来有一些困难，说直白一些，这个nas就是一个私人搭建的本地的云盘服务器。本质还是一个服务器，它的主要功能不是网站网页，而是存储，共享文件。举一个更加具体一些的例子：再一个公司中，有一个NAS服务器。员工可以登录到这个NAS服务器上根据自己的权限上传下载文件之类的操作。

了解了NAS是什么之后，我们来看题目中的RAID是什么。RAID是NAS服务器中各个磁盘的组织方式。这些组织方式改变了存储数据的方式。为了存储更多的数据，往往一个NAS服务器要多个磁盘来存储。但是，多个磁盘就会涉及到存放再哪个盘的问题。RAID就是解决这个问题的。常见的方式有0，1，5，6。

RAID 0：条带化，数据分散存储在不同硬盘上，提高读写速度，但没有冗余保护。RAID 1：镜像，多块硬盘保存相同的数据，一块损坏仍可能从另一块读取。RAID 5：分布式校验，数据和校验信息分布在所有硬盘上，允许损坏 1 块硬盘。RAID 6：双校验，与 RAID 5 类似，但可以允许同时损坏 2 块硬盘。

现在我们可以直接做题了，把检材拖进lovelycarve之后，自动检测出来是RAID5。

5.95（填空题　1 分）接上题，分析其条带大小是多少？（答案格式：64K）

这道题出现了一个新的我不懂的东西——条带。这又是什么呢？

条带大小就是 RAID 在向某一块硬盘写入数据时，单次连续写入的数据块大小。为了更方便的理解这个内容，我放到RAID5的具体形式中来解释。RAID5中，同一个文件的数据可能会存储再不同的盘上。为什么不存在同一个盘上呢？这是为了加快读取上传的速度。比如上传一个文件，文件如果被存储再同一个盘中，由于每个盘的存储速度有限，所以速度肯定不快。如果分开分别存储到多个盘中，速度肯定翻了好多。那么既然要分开存储，单次连续写入的数据块大小是多大呢？这个就是条带大小的定义了。除了能加快速度之外，还有一个优点是能够有容错。再真实的存储中，假设有4个盘来存储，可能的存储过程是：

实际 RAID 5 使用 XOR 运算生成校验信息，这样就能恢复数据了。

到这，我还有一个疑问，NAS是怎么读取数据的呢？我一开始以为是通过链表，就是上面的存储方式其实是一个链表。但实际上，有RAID 控制器（或软件 RAID 驱动）负责按照预先设定的规则，把分散的数据重新映射成一个连续的逻辑磁盘。

当然，这道题目的答案再lovelycarve的帮助下也是轻松得到

5.96（填空题　1 分）该操作系统root账户的密码是多少？（提示：六位密码，第一位是T，第二位是小写英文，后面是数字，答案格式：根据实际情况进行填写）

这里可以看到密码的哈希：（当然也可以去/etc/passwd和/etc/shadow中手动找）

用hashcat爆破一下

✏️ Note

hashcat.exe -a 3 -m 1800 --potfile-disable "AJCYvsyi3zYK7sLF$I1QBhWJMfZXRL4xA.Gny6pvnjxjJz3ScEqoScgnU7UAjiU5Tvlp4aYRF2uVfHdKvt0RViZ2hRTR4tm5GW017M1" "T?l?d?d?d?d"

5.97（填空题　1 分）该设备使用的NAS平台名称是什么？（答案格式：英文小写，如tuojie）

这里我想通过仿真来做。要注意的是，去仿真的检材有两个：其一是这个服务器的主机，检材中直接提供了。其二是数据盘，这里不用把四个权放到vmware中仿真，只要拥抱lovelycarve把RAID5重构好的结果导出就行了。lovely系列真是太牛了

仿真好之后，还是老步骤：修改网关让虚拟机能和主机通信。

之后想直接用ssh连接，但是发现连不上，找了半天，发现一个是ssh的配置文件有些问题，我直接去修改了。我在/etc/sshd/ssh_config这个文件的尾部加上了PasswordAuthentication yes PermitPootLogin yes之后就可以正常连接了

连接上之后，先搜索一下是用什么搭建的服务器。发现是nginx，之后再在nginx的目录底下查看一下servername，监听端口之类的内容，一下就发现了答案。（这些命令是我直接让机皮踢写的，我让他写了一系列查这些的语句。

5.98（填空题　1 分）接上题，其管理页面的端口是多少？（答案格式：80）

上一题一起查到了，这样就能直接登上管理页面看看了。

5.99（填空题　1 分）分析涉案NAS回答用户alice的Email是什么？（答案格式：1121313@163.com）

登上管理页面之后，发现缺少管理员密码。由于这是一个NAS的服务器，而且用到openmediavault，OpenMediaVault 管理后台的本地 admin 用户密码通常以哈希形式存放在 /etc/shadow 中，所以我们去这里找找。

很显然发现了这个admin用户，但是不知道密码，我也懒得破解，直接用其自带的工具omv-firstaid重置密码看看

成功了喜喜

5.100（填空题　1 分）该NAS回收站保留文件的天数是多少？（答案格式：2）

5.101（填空题　1 分）分析NAS，哪个设备曾登录NAS？请写出对方设备名。（答案格式：根据实际情况进行填写）

这里先看日志，发现再我登录之前，还有一个人登录过。

这里能看到这个人的ip地址

稍微看了一下文件系统，子啊samba这个目录底下发下来这个ip地址。这个目录是存放什么东西的呢？一般存放 Samba 文件共享服务的运行和访问日志。可以想成这是一个登录信息的目录。可以看到用户名，客户端 ，IP客户端设备名，登录成功或失败，连接时间，访问的共享名称，使用的认证方式等

5.102（填空题　1 分）分析NAS数据，嫌疑人曾访问哪个文件导致报错？（请写出文件名，含扩展名，答案格式：Tj123.docx）

这道题目肯定要去日志中找，但是找了很多日志，里面都没有这个信息。

之后，还在管理网站中找，发现了这个网站用来filebrowser这个插件，它是 OpenMediaVault 的一个插件，用于给 NAS 增加一个“网页版文件管理器”。用户可以通过浏览器查看、上传、下载、重命名和删除 NAS 共享目录中的文件，实际权限取决于 FileBrowser 账户配置。这下就有思路了，嫌疑人估计就是用这个插件访问文件的，所以要找跟这个插件有关的报错信息。到处找了找这个插件的日志，发现再root底下。。。。

5.103（填空题　1 分）NAS中SHA256哈希值为75A42B1F337722E4127DCA66CBC9BB38FF82F56F0D66C2FAE59517ACF6FE9BFB的文件是什么软件产生的？（答案格式：英文小写，如python）

这道题感觉太阴了，藏在有关doc文档的图片中。。。

5.104（填空题　1 分）分析NAS中的数据，9月18日比9月17日新增多少客户？（答案格式：1）

题目中提到再nas的数据，肯定要去数据盘中找。继续用lovelycarve，找到了两个客户总表，打开对比一下即可。

5.105（填空题　1 分）分析NAS中的数据，收U笔数最多的钱包被谁控制？（答案格式：根据实际情况进行填写，如tuojie）

再数据盘中，发现了这个USDT明细，答案应该再这个文件中。

可惜我一直破解不出密码，看了别人的wp才发现用wps打开能看到提示，提示是宇宙啥啥啥的一本书，那本书之前高中的时候同学还推荐过，里面有一个比较重要的数字42，密码就是424242。理论上破解应该也行，但是我看破解的时间太久了就没破解。

5.106（填空题　1 分）当前哪个用户可通过浏览器上传文件到NAS？（答案格式：填写用户名，如bob）

这道题目问上传文件到NAS，之前提到了filebrowser这个插件，它就有上传文件的功能，于是我们直接定位到这个插件的数据库位置。再/ver/lib/filebrowser中。这个数据库一般是boltdb，不是一般的数据库。这里用到诺申写的工具：

https://github.com/ljnljn2005/BoltViewerljnljn2005/BoltViewer: Read-only BoltDB / bbolt viewer with bucket navigation, JSON and hex views, search, and lossless export.

打开发现这个K这个人有上传文件的权限，肯定就是他了。

5.107（填空题　1 分）接上题，分析哪个文件夹被分享过？（答案格式：资料）

link bucket 是 FileBrowser 数据库中存放分享记录的地方，去这里看看

5.108（填空题　1 分）综合分析，含有客户资料的文件最有可能是谁上传的？（答案格式：根据实际情况进行填写）

还是在数据盘中，发现在回收站中，有一个bob的文件夹，底下是客户资料，所以猜bob

‍

一些碎碎念：精武杯的复盘应该就到这里了。前两天打了一次新生赛，（虽然我不是新生）对agent有些思考：我在比赛的时候还是坚持手搓，结果就是没做出几题做了一半多吧。做完才发现大家好像都在用agent。这让我思考，以后的取证中到底要怎么用agent呢？是直接让agent报答案，我们做边上玩手机或者催ai再快点？还是坚持手搓不会的问问ai？在真实的取证中，我觉得更有可能的是后者。但在比赛中，我觉得我会选择前者，至少在现在我还是觉得我的能力远不及agent。（我觉得在取证中人能不被agent取代的唯一有点可能就是某些agent的速度确实比较慢吧，着甚至是agent的缺点）。现在的agent取证变得越来越简单了，搭建一个最基础的取证agent的步骤只有两步：第一下载dsh，第二安装超级取证大师mcp（甚至安装mcp都提供了prompt），这样一个最基本的agnet就诞生了，优点是方便快捷，能力至少比人强吧。只要题目的数量变多，agnet的优势就更加明显。当然，我并不是在抱怨新生赛全在用agent的现象，只是在思考取证中到底要怎么用agnet。我个人还是更像要去手搓。只是在探索手搓和agent同步的可能。我在想，比如在服务器取证中，能否让agent做一些简单基础的定位题，并找到关键的数据库的密码，后台的密码等等，再由我们手动去复现这个网站服务等等。探索agnet的方法，是想在未来的真实取证场景中也能派上用场 可能显得我有些作。。。。

当然做了这个物联网还是学到了很多的。这个无人机取证确实非常有意思，尤其还能看到飞行轨迹，感觉挺好玩的。这个NAS感觉就在做服务器一样。

最近在跟考驾照搏斗，这个是真的难。。。