2026聚合杯wp（服务器部分）

好久没做取证了，趁这会不忙练练手吧，顺便体验一下火眼最新的cli

自己做的答案可能有错的，佬们轻点喷

服务器取证

1.请分析服务器检材，节点1中最后一次登录系统的普通用户账号是什么？【答案格式：root】

答案：zhoujie

火眼直接看，其他常规用户都没登录过

2.请分析服务器检材，节点1中 Nginx 所监听的业务站点数量是多少？【答案格式：1】

答案：7

查看节点1 /etc/nginx/nginx.conf文件，共 7 个 server 块

3.请分析服务器检材，虚拟矿机商城所连接的数据库名称是什么？【答案格式：shop】

答案：mykc

题目没有说是哪个节点，就先找节点1吧，根据上一题找到的站点对应的目录文件夹看看是不是矿机商城。

找到了很多与miiner有关的文件名，这不就是矿机吗！查看数据库配置

4.请分析服务器检材，虚拟矿机平台数据库遭删除的时间是什么？【答案格式：2026-01-01】

答案：2026-6-11

/var/log/mysqld.log ，最后一条记录是2026-06-11T09:01:28.677428Z 0 [Note] /usr/sbin/mysqld: Shutdown complete

再去看看yum历史

5.请分析服务器检材，用于备份矿池数据库的脚本文件名是什么？【答案格式：mysql.sh】

6.请分析服务器检材，接上题，该数据库加密备份文件的后缀名是什么？【答案格式：txt】

7.请分析服务器检材，Docker 中用于存放密码的容器名称是什么？【答案格式：syncthing】

答案：vaultwarden

节点二在仿真的时候虽然选择了NAT模式（192.168.50.1）但是执行ifconfig命令发现ens33网卡是192.168.131.142

我们看一下/etc/sysconfig/network-scripts/ifcfg-ens33，发现网关地址被写死了

把 BOOTPROTO=static 改成 bootproto=dhcp,注释/删除 IPADDR 等行,重启网络即可。

查看容器列表，vaultwarden是一个开源的密码管理器

8.请分析服务器检材，接上题，密码保险箱容器中的密码是多少？【答案格式：123456】

20.请分析服务器检材，节点2中运行了多少个 Docker 容器（包括已停止的）？【答案格式：1】

答案：17