总体来说这一套卷子是很多元化，很有意思的一套题，题目关联性很强，不会PVE的话后边的软路由等等都做不出来，也没有故意挖很逆天的坑，像计算机给的提示非常明显，这一套计算机取证我感觉甚至很适合给新生做。总体来说还是蛮好玩的，期待2026FIC
拿到检材是这样子三个E01镜像文件
仅从名字来看，似乎是一个数据分区镜像data.E01，一个系统分区sys.E01，还有一个个人计算机PersonalPC.E01
看看题目给的背景（在这一篇文章上边截图的，因为没比不知道背景https://sechub.in/view/2886994，文章有很多不会的也是跟着这一篇wp写的）
印证了猜想，的确是计算机和服务器的数据和系统镜像
我们继续往下看题目慢慢来
一、计算机取证
1.请分析卢某的计算机，并计算原始检材的SHA256值。
计算机已知是PersonalPC.E01
直接计算源盘的SHA256值即可（这边我觉得问的是原始检材的话很容易去查镜像的SHA256，是不是问源盘的会好一点）
得到SHA256值
484117F3002E5B876C81DD786F899A439514BB0621D62D58F731E5B344DB3634
2.嫌疑人回收站中的“备忘录.txt”文件SHA1 值为？
在基本信息即可找到回收站记录，转回源文件直接计算哈希即可
当然也可以直接在虚拟机中恢复回收站文件
放入Hash计算工具即可得到SHA1值
fded9342533d92fa46fc4aabd113765a7a352ceb
3.嫌疑人使用ssh连接工具，该工具的名称为？ 
在分析界面可以看到很眼熟的ssh连接工具
甚至还有ssh会话的记录
确定就是这个MobaXterm
4.嫌疑人使用ssh连接工具，其中连接名为node的连接记录，连接的端口为？
仿真打开MobaXterm可能需要输入密码
密码就在备忘录中
密码：mobapass00
但是我直接仿真好没输密码就进去了
打开MobaXterm即可看到node的连接
右键查看设置
发现端口开在122
5.在2024-03-12 17:13左右，嫌疑人计算机最少连接了多少台安卓虚拟机。
查看这个时间段的文件，说是左右，那就搜2024-03-12 17:12-2024-03-12 17:14
发现有一张照片在这个时间段
跳过去发现是一张控制手机的照片截图
可以看到最少有5台安卓虚拟手机
**所以答案是5 **
6.软件“QtScrcpy”的配置文件显示，嫌疑人配置了多少台安卓虚拟机（以连接端口计数）。
火眼没有检测出QtScrcpy这个软件，我们利用everything查找一下
电脑里没自带我们可以自己装一个，当然也可以用火眼的索引搜索来搜一下，就是比everything慢多了
配置文件当然在config路径下，可以看到两个配置文件，对于配置了多少台明显属于用户数据的配置文件，在userdata.ini里，我们查看该文件即可
都是像这样子的，题目提示以连接端口计数
可以看到端口号是21111，22222，23333......
一共有15个，所以答案是15
7.嫌疑人桌面文件"老婆.png"的SHA256哈希值为？
桌面就有，很明显，我们直接提取出来算一下SHA256即可（这png我怀疑有隐写，后边再看）
02139BF305630CEFFADD6926C202BAE655C79D25A64F5C7A1C62BC4C91C9CCF1
8.嫌疑人把xls文件藏入老婆.png中，该xls的密码为？
还真是，放在显眼位置的png都不是什么好png
不过说的也是够明确的，追踪一下png的文件尾AE426082即可
后边就是xls文件了，我们可以直接把后半部分的xls十六进制提取出来，也可以直接Foremost提取
而密码同样存在备忘录里
八位大小写字母加数字，最后是rd，我们去掩码爆破一下
如此设置掩码即可，但是由于是大小写字母加数字，还有6位未知，要跑好一会儿呢
跑了差不多20分钟，得到密码为P1ssw0rd
打开来是这些公民信息
9.嫌疑人桌面"2024年3月13日星期三 日报.docx"文档密码为？
同样在备忘录中，前边让我们算备忘录的题出的太好了
这边说了是老婆的密码只改数字部分即可，就好爆破多了
P1ssw0rd，只有俩不知道，设置掩码即可
word也不难找，就在桌面
设置完毕开始爆破
很轻松爆破出为P1ssw1rd
是一些制作AI图片的心得
10.嫌疑人使用的AI软件名称为？
上一题分析出了AI图片生成心得，里边有一些AI截图信息
比如左上角就写了AI软件为Stable Diffusion
就可以搜索定位一下了，得到答案应该是stable-diffusion-webui
11.嫌疑人使用的AI软件监听端口为？
有使用过很有可能在历史记录能找到
我们去看看，着重查找关键词stable diffusion
成功找到端口为7860
12.AI软件安装目录下的“2024-03-13”目录，其中由AI生成的图片有多少张？
继续利用Everything搜索，发现有两个文件夹，这个文件夹有41个项目，很像ai生成的
还有经典六根手指
至于另一个则是拼图，不算，所以这一题的答案为41
13.嫌疑人使用Ai软件生成燃烧的汽车图片使用的模型SHA256哈希值为？
word的截图写了使用的模型，是v1-5-pruned-emaonly.safetensors** ** ** **
搜索即可得到，计算SHA256即可
得到22E8515AA5985B776AFC1E48647F23F5651A317D2497A91232D03A1C4FEEAE2C
14.嫌疑人使用Ai软件生成燃烧的汽车图片(00036-957419862.png)使用的正向提示词，包含哪些？
A.china
B.high way
C.fast speed
D.car on fire
E.no people
这套卷子说的够明确的
提示词会放在png的IHDR块中，查看即可
当然也会放在jpg的EXIF中，我们去那个拼图看也行
（SPC的电子取证初赛也考了，还都是着火的车，说起来都是弘联出的来着（））
用的同一套提示词，所以答案是ABD
15.嫌疑人桌面文件"老婆.png"的图像生成种子是多少？
同理查看老婆.png的IHDR块
发现种子是3719279995
二、PVE虚拟化
这边需要把两个文件sys.E01和data.E01放在一起仿真
像这样子仿真才行
尤其要注意顺序，先放系统盘再放数据盘，如果反着放会把这俩搞反（然后就显示system not found打不开了，火眼还不会自动检测）
一起仿真，一起分析
1.PVE虚拟化平台版本号为？
看看pve的版本号，直接看软件信息的pve-manager，版本号是8.1.4
或者仿真起来先
仿真起来发现PVE虚拟化平台的web管理地址在192.168.71.133，所以我们修改子网IP和DHCP配置
修改好配置之后即可在本机登录https://192.168.71.133:8006网址
到PVE界面了，这边火眼绕密了，直接root和123456登陆进去即可
看到了版本号为8.1.4
2.PVE虚拟化平台的web管理地址为？
仿真起来马上就看见了web管理地址在https://192.168.71.133:8006
3.在PVE虚拟化平台中，当前共有多少个虚拟机？
我们可以在这边修改语言
在左上角选择文件夹视图
即可看见虚拟机，有7台
当然直接看应该也能推测出来这个图标是虚拟机
答案是7
4.PVE虚拟化平台的“vmbr1”网卡所使用的网段为？
用的网段是192.168.100.0/24
5.PVE虚拟化平台中“120(Luck)”虚拟机的smbios uuid为？
双击luck虚拟机，查看选项，可以看到SMBIOS的设置
得到uuid为e9990cd6-6e60-476c-bd37-1a524422a9a8
6.在PVE虚拟化平台中，用户“Lu2k”被授予了多少个虚拟机的使用权限？
回到服务器视图，查看权限一栏
可以看到Lu2k有4个虚拟机的权限
7.在PVE虚拟化平台中，shell历史命令中最后一条命令为？
查看历史命令最后一个即可
lxc-attach 110
8.请分析嫌疑人最近一次销毁虚拟机的时间为？
A.2024-03-13 10:34:20
B.2024-03-22 18:06:15
C.2024-03-22 18:15:17
D.2024-03-22 18:20:55
查看pve节点的任务历史
可以发现最近一次销毁发生在2024-03-22 18:15:17（因为很近，没筛选，要筛选的话筛选qmdestroy即可）
选C
9.PVE虚拟化平台的openEuler系统镜像下载的开始时间为？
A.2024-03-12 12:03:12
B.2024-03-12 12:04:19
C.2024-03-12 12:10:09
D.2024-03-12 12:11:02
继续在任务历史搜索，在筛选器里筛选一下下载的任务类型
可以看到，openEuler的下载开始时间为2024-03-12 12:04:19
选B
10.根据嫌犯供述，可通过快照启动PVE虚拟化平台中的云手机。请根据该条线索找到对应虚拟机，其快照的时间为？
A.2024-03-12 11:02:32
B.2024-03-12 11:24:11
C.2024-03-13 10:34:20
D.2024-03-13 9:43:23
一个个找快照信息
发现在node2节点中存在快照安装手机
时间为2024-03-13 9:43:23，选D
** 三、软路由分析** 首先，什么是软路由？
简单来说，就是利用PC硬件和路由软件实现的路由器方案
而MobaXterms可以拿来管理软路由
1.软路由root用户的密码是？
我们这边想打开PVE的虚拟机，但是报错了
发现是虚拟机配置要求KVM硬件虚拟化，但宿主机的CPU虚拟化功能未开启
所以我们需要在虚拟机中开启这一个功能，这需要我们重启并修改设置
我们按下Win+R
输入appwiz.cpl后回车
关闭下方这四个
在关闭完这些功能后重启
现在我们就可以打开虚拟化了
成功打开了PVE中的虚拟机，打开第一个Router就看到了OpenWrt的字样
这是一个著名的软路由软件
ifconfig之后发现ip为192.168.71.100，而这个在MobaXterm出现过，可是没有密码
注意到一开始分析的时候会跳出来这个问我们密码，但是当时不知道哇，所以当时跳过了
不过在做完计算机部分后我们明确了密码就写在备忘录里，就是这一个mobapass00，明确了就要重新让火眼分析一下了
所以我们可以填进去了
把这个远程主机删了重新分析即可
这个时候分析就可以看到密码了（没填mobapass00是看不见的）
所以root用户的密码是OP2024fic
2.软路由管理面板所用http协议监听的端口为？
我们上一题已经打开了装有软路由软件的虚拟机
netstat -antp看看开了哪些端口
发现http协议的端口在8080
我们输入网址看看
输入上一题得到的密码OP2024fic
确认了这一个就是管理面板，所以端口为8080
3.软路由的系统版本号为？
可以直接看到是23.05.2
也可以分析嵌套证据里边的vm-100
然后查看系统信息，可以看到版本号是23.05.2
4.软路由的WAN口所配置的网关为？
选择路由，可以看到WAN口配置的网关为192.168.71.2
5.软路由防火墙端口转发规则有多少条记录？
查看网络的防火墙设置中的端口转发，一共17条（状态里的那个防火墙不太好数，很麻烦）
6.OpenClash控制面板登录密钥为？
直接选择服务，即可看到OpenClash
下边写了控制面板登录密钥
MCoYZFwg
7.OpenClash的局域网代理密码（SOCKS5/HTTP认证信息）为？
在OpenClash的覆写设置的常规设置中
拉到最下边就能找到了
所以密码为WAMqotI9
8.OpenClash的订阅地址为？
直接就能看见配置订阅
里边就有订阅地址
https://www.amrth.cloud/s/FnT83dutLWlF5via?clash=2
9.代理节点“香港501 中继 动态”的服务端口为？
在配置管理中
可以看到香港501在42001端口
10.OpenWrt的包管理软件的系统镜像源配置文件的绝对路径是？
看看软件包的opkg配置，这就是包管理软件
所以系统镜像源配置文件的绝对路径为/etc/opkg/distfeeds.conf
四、云手机取证
1.PVE虚拟化平台的虚拟机“101(node1)”的droid用户登录密码为？
说的很明确要开101虚拟机了
又有新报错了，重点问题是说最多只能分派两个2个vCPU（后边的111，112，102等好多节点都有这个问题，只要有这个问题就是配置不对要改vCPU的数量，氪金或许也行（？））
# 查看当前配置
qm config 101
# 修改 vCPU 数量
qm set 101 --cores 2
可以看到现在是4核的，最高只能给2个（多了要许可证，要氪金），所以启动不起来了
降低一下配置吧
成功启动了
接下来在问密码，跟软路由那题一样，在MobaXterm看即可
droid的密码就是droid2024fic
成功登录，认证这个密码正确，答案为droid2024fic
2.PVE虚拟化平台的虚拟机“101(node1)”中Docker容器的镜像ID的前六位为？
查看一下Docker镜像的设置即可
sudo docker images
即可查看到Docker容器的镜像ID
这边前六位为d1d4bf
3.在PVE虚拟化平台的node1虚拟机中，容器手机的数量为？
这边问容器手机的数量，所以我们这边当然应该去继续追踪一下docker里边的容器
这边输入docker ps -a，把所有的容器全部列出来
sudo docker ps -a
这边可以看到有5个容器，即5台手机
4.在PVE虚拟化平台的node1虚拟机中，若要启动手机容器，有几条前置命令（docker命令不纳入计算）?
看看之前是怎么启动的手机容器即可，输入history
火眼也能看，甚至还能看到root的
可以看到之前有用到这些命令，我们一个个看，先看droid的历史命令
waydroid first-launch
sudo touch /run/user/1000wayland-0
waydroid first-launch
sudo touch /run/user/1000/wayland-0
waydroid first-launch
ls -lah /run/user/1000/
sudo rm -rf /run/user/1000/wayland-0
sudo rm /run/user/1000wayland-0
touch /run/user/1000/wayland-0
waydroid first-launch
sudo su
一开始1-5都是在尝试进行对Waydroid的初始化，类似于启动一部新手机
这边1一开始试了试，结果应该是发现不行，需要构建一个wayland-0的空文件
然后2去构建之后3又尝试初始化，结果发现失败了，发现是路径有误
所以后边的4-5是重新写了一遍正确创建文件，最后5再次初始化
之后一直想去删除之前创的文件，估计是5没成功，搞的10又初始化了
而10应该是初始化好了，之后发现了环境缺失，因此切换到root去了，我们也切过去看看root的命令
（我搞不懂的点在于为什么我想自己试着输入命令结果会报错说命令不存在）
继续一条条看吧
history
exit
history
modprobe binder_linux devices="binder,hwbindre,vnbinder"
modprobe ashmem_linux
docker ps -a
docker start bd
docker ps -a
docker start 380
docker exec 380 /bin/sh
docker -it exec 380 /bin/sh
docker exec -i 380 /bin/sh
前边没什么好看的，关键是下边的两句
modprobe binder_linux devices="binder,hwbindre,vnbinder"
modprobe ashmem_linux
这两句话进行了对于IPC驱动模块和共享内存驱动模块的加载，指定了设备参数
是在加载Waydroid所需的内核模块
在这之后可以看到就正常启动docker了
所以答案就是这两句，答案为2
其实这一题不需要那么麻烦
备注这块都写明白了（
就是2条
5.在PVE虚拟化平台的“101(node1)”虚拟机中启动“priceless_knuth”手机容器后，该安卓手机的蓝牙MAC地址是多少？
那我们就要先把这个手机容器起起来啦，按照上一题的步骤做即可
这边可以看到id是380e5b2c8b98
所以我们直接启动这个容器即可
modprobe binder_linux devices="binder,hwbindre,vnbinder"
modprobe ashmem_linux
docker ps -a //看看ID（ID可以省略写一点点的，能认出来就行）
docker start priceless_knuth
docker exec -it priceless_knuth /bin/sh
netstat -antp //看看端口
但是这边有很多命令，直接写会很麻烦，我们可以尝试ssh连接一下
（不会配置PVE的，我们跟着师傅写一下https://sechub.in/view/2886994）
先看看node的ip
发现ip在192.168.100.101/24
看看pve的配置
可以发现确实还有一张Linux Bridge：vmbr1（之前问过其实），但是我们虚拟机没有这样子一张啊，我们加一下
添加一个虚拟网络VMnet9
改一下DHCP的配置，子网设置为192.168.100.0
为了避免和检材的虚拟机冲突，可以给本机的VMnet9加一个静态的IP
给PVE虚拟机加上这个
加完之后刷新一下PVE网页即可
这个时候就会发现多了一张网卡ens36，我们让vmbr1从属于ens36即可
要重启一下才行
发现ip确实还是192.168.100.101，ssh开着，开在22端口，我们用finalshell连接一下
连接成功，可以往里写代码了
开在1111了
我们只需要给仿真的计算机也加一个VMnet9网卡
之后就可以利用PersonalPC的QtScrcpy进行连接
在无线这块加入这个地址即可
手机就给打开了
进入设置之后在关于手机这一块就能看到蓝牙的MAC地址了
地址为3c:5a:b4:01:02:03
6.警方现场勘验过程中，曾使用雷电手机取证软件通过嫌疑人软路由对云手机进行了远程取证，请问以下哪个端口可以明确是取证时使用过的端口？
A.11111
B.12222
C.13333
D.23333
E.24444
F.35555
可以看到node1节点中写了1111，2222，3333，4444，5555端口被转发
还有node2和node3都和node1一样有起手机的备注
在软路由的转发规则可以看到选项里的这些端口都有被转发过，我们都用火眼分析一下
把这些节点全部添加为新检材，分析检材
发现只有node2节点带有弘联取证工具
所以只有node2的转发端口
**所以是DE **
7.在PVE虚拟化平台的node2中名为loving_shtern的手机映射至软路由中，所占用的端口号为？
先把node2打开来，和node1的起法差不多
# 查看当前配置
qm config 102
# 修改 vCPU 数量
qm set 102 --cores 2
这个的vcpu数目也要改
我们打开来，账密与node1相同
还报错了
跟着步骤做就好了
fsck.ext4 -y /dev/sda2
exec /sbin/init
成功进入，尝试ssh连接
一切正常
modprobe binder_linux devices="binder,hwbindre,vnbinder"
modprobe ashmem_linux
docker ps -a
可以看到绑定的是5555端口
所以我们在软路由找被转发到5555端口的就好了
得到端口为25555
8.在PVE虚拟化平台的node2中loving_shtern手机容器中安装的名为“抖音”安装包的MD5值为？
我们追踪过去，看看安装包
直接查哈希值即可
得到答案0ce8f95ba0401769a9f4860749cc8206
9.根据集群中手机内容分析，传销人员在评论区引流使用的qq号为？
根据题目背景，可以判断引流的平台是lalala李的，我们先查一下节点中是否存在QQ
发现node1中存在Tim，可以拿来登录QQ
我们分析一下Tim
成功得到lalala小李的QQ号
3791621185
10.通过云手机聊天记录可以得知，涉案传销网站域名为？
分析Tim的聊天记录即可
易得域名为shop.jshcloud.cn
五、服务器取证
1.涉案服务器集群中，sql数据库服务器112（sqlserver）对应的虚拟磁盘的SHA256值为？
由于虚拟机运行的时候会对112进行读写，导致磁盘被修改过，所以如果开了这个的，这边需要重新仿真，重新仿真的时候不开嵌套虚拟化（我从来没开过，不用重新来）
之后finalshell连上然后下载/mnt/pve/local2/images/112/vm-112-disk-0.qcow2即可
计算sha256值为0a7d9f77a5903bece9290f364b410a233a8415dabb35bc1ef585d837681d44e3
2.涉案服务器集群中，数据库服务器的root用户密码加密方式为？
A.SM3
B.SHA256
C.MD5
D.Bcrypt
上一题我们把那个112的镜像搞出来了
我们也扔到火眼里边分析一下
我们知道在Linux里，一般会把用户的加密密码放在/etc/shadow里
所以我们看看shadow就好了
写的很清楚是sm3了，选A
3.涉案服务器集群中，数据库服务器的内核版本？
同样是火眼一把梭即可
4.涉案服务器集群中，Java服务器web服务监听的端口为？
A.9030
B.9031
C.9032
D.9033
明显Java服务器是111虚拟机
添加为新检材看看有没有网站的配置文件
在历史命令看到了是运行了两个jar包来启动网站的
我们定位这两个jar文件的位置，提取出来
利用Jadx进行分析jinyi.web.web.jar，查看prod生产环境
**发现了web用的9032端口，而api用的9031端口，选BC **
5.涉案服务器集群中，数据库服务器中Docker容器的数量为？
数据库服务器即为112
查看火眼
得到答案为2
6.涉案服务器集群中，数据库服务器有一个mysql容器节点，该容器的ID前六位为？
火眼里直接能看见容器ID
所以前六位为3ba5cb
7.涉案服务器集群中，数据库服务器mysql容器节点的数据库版本号为？
在火眼查看MySql数据库版本号即可
版本号为5.7.44
8.从外部访问涉案网站“鲸易元MALL管理系统”管理后台所使用的域名为？
A.jy.proxy2.jshcloud.cn
B.master.jy.proxy2.jshcloud.cn
C.jy.proxy.jshcloud.cn
D.master.jy.proxy.jshcloud.cn
从外部访问涉案网站，一般反代用的都是nginx或者apache
而我们在PVE可以看到这样子一个nginx的LXC容器
启动容器，我们发现不知道密码
没关系，我们在第二大题第七题已经做到过绕过方法
即利用这个命令直接进入这个LXC容器
直接就进去了
进到nginx的配置文件存放路径/etc/nginx/conf.d，可以看到这边有一个conf配置文件，查看一下（我刚刚配置完一个nginx的反代嘻嘻）
翻一翻就能看到说管理后台在这两个域名
所以是master.jy.proxy2.jshcloud.cn master.jy.proxy.jshcloud.cn;
答案选BD
9.“鲸易元MALL管理系统”管理后台所使用的网站框架为？
A.TOMCAT
B.SPRING_BOOT
C.Struts
D.THINKPHP
我们刚刚第四题已经找到了网站是用jar包启动的，也找到了两个jar文件，明显网站设置在jinyi.web.web.jar中
我们知道构建属性和关键元数据都放在MANIFEST.MF文件，因此我们可以去那边看看
得到本管理后台使用的网站架构为SPRING_BOOT，选B
这边也写了一嘴
10.“鲸易元MALL管理系统”管理后台运行时，依赖了几种不同的数据库？
在上边问端口的时候就看见了，还是在prod生产环境 ** **
依赖mysql数据库以及redis数据库，共2种
11.“鲸易元MALL管理系统”管理后台运行时，在生产环境（prod）下所连接的mysql服务器密码为？
同上题的位置，honglian7001，总感觉很眼熟，估计是别的卷子也是这个
12.“鲸易元MALL管理系统”管理后台中Aliyun OSS对应的密钥KEY是为？
搜索寻找Aliyun OSS即可
得到密钥为LfA2sPaJiVW3Th32YeCN0bsD8NIjF7
13.“鲸易元MALL管理系统”管理后台中，管理员（admin）的账号密码采用了什么样的加密方式？
一般账密都是加密存在数据库的
我们连接数据库看看，连接mysql数据库
配置信息在这边
启动111，112虚拟机
我们先启动112的sql虚拟机，注意这边也需要我们先修改vCPU的数量后才能正常启动（顺便111也要这样子来一遍）
# 查看当前配置
qm config 112
# 修改 vCPU 数量
qm set 112 --cores 2
之后启动即可，启动完之后我们即可通过ssh连接虚拟机112并连接MySQL数据库了
然而面临的一大难题是我们不知道密码，要么手动去绕密，要么我们其实也可以直接重新仿真两个镜像，因为之前我们已经提取出来了111和112的两个镜像了嘛
绕密方法一：火眼绕密
所以方法一就是提取后做，我们上边已经说了提取手法了
火眼仿真就是直接分别仿真俩就好了，我们就不细讲了，是很基础的
绕密方法二：手动绕密
方法二就是进行手动绕密，比较复杂
虚拟机111绕密+配置ssh
我们首先绕111，这是一个Ubuntu的，所以属于Ubuntu的绕密操作
打开进入下述界面
之后输入e
找到linux这一行，在末尾将ro 改为rw single init=/bin/bash
之后再输入ctrl+x即可
即可绕密登录111虚拟机，后边passwd修改密码即可（这边千万不要用num lock的那个小数字块，解析不出来，我因为习惯了用那个导致我后边ssh一直密码不对，真神了）
然后直接用123456登录即可
成功登录，之后加一下配置连一下ssh
都是对的，但是解不开
看了看ssh的配置，结果发现这边被注释掉了，我们去解开一下
成功连接ssh
虚拟机112绕密+配置ssh
而112则属于是openEuler绕密
我们打开应该就能先到这个界面，然后按e
会到这样子一个界面，我们输入默认密码即可
默认用户:root 默认密码为:openEuler#12
输入完了就到了这边，我们重点还是看Linux一行
将ro修改为rw，然后最后还是加上init=/bin/sh即可
像是这样，改成读写后改权限，之后ctrl+x进入即可
成功以root身份绕密进入，我们passwd修改密码变成123456
说是不好，但是也没什么事情就是了
然后输入exit退出重启系统
输入touch /.autorelabel，保证下次重启密码还在
再次重启，我们就可以拿root直接登录了
大成功
后边就尝试ssh连接了，先看ip和ssh情况
似乎ip不太对，网卡配置有问题
我们去看看网络配置文件路径/etc/sysconfig/network-scripts
发现只有一个ifcfg-enp6s18的文件，cat看看
发现了IP地址设置在192.168.100.112，但是网卡的名字写错了，不是enp6s18，要改是ens36才对，我们把192.168.100.x都放在那边
所以改成这样子
用vi改即可
之后重启一下，注意这边用的是nmcli
试了很久发现系统里是有一个网络连接配置叫ens36，然后有一个物理网卡叫enp6s18
所以我们需要用nmcli先连接绑定一下
nmcli connection modify ens36 connection.interface-name enp6s18
nmcli connection reload
成功有ip了，修改ssh配置后即可ssh连接成功
OK我们的两个ssh都连接上了
连接MySQL
我们发现两个数据库服务都在docker容器里，所以我们需要先启动这俩
docker ps -a //找id
docker start 3b 2a //(多长都行，能识别就好)
docker ps //看看开没开起来
成功启动，这下就可以直接在mysql连接数据库了
注意端口在13306
打开看看
即可在表sys_user中成功寻找到admin的密码
明显为Bcrypt加密
14.“鲸易元MALL管理系统”管理后台中，管理员（admin）账号绑定的手机号码为？
上一题Mysql连接起来就方便了
同一张表，手机号为15888888888
15.“鲸易元MALL管理系统”管理后台中，会员的数量为？
网站重构
嗯。。网站重构其实主要是为后边的数据分析题目做辅助工作，其实好像这个15题也算数据分析（
这网站重构也不难，就是照着历史记录一步步来就好了
启动一下jar包
java -jar /home/service/jinyi/api/jinyi.api.api-1.0.0.jar --spring.profiles.active=prod
java -jar /home/service/jinyi/web/jinyi.api.api-1.0.0.jar --spring.profiles.active=prod
启动成功
又因为我们之前就给PVE加过那个网卡，所以nginx连着这俩呢
我们直接加hosts即可
对着我们之前看到的这些域名
加入后我们就可以加入后台管理界面了
** ** 
随便用一个后台的域名即可打开后台管理系统登录界面
我们已经知道了admin的密码是Bcrypt加密存储的
所以我们直接替换就好了，去Bcrypt加密一下123456然后修改数据库即可
直接替换即可
成功进入网站后台，网站重构完毕
重构完之后轻易即可看见会员信息中写了共有52908位会员
六、数据分析
本部分必须基于上一题网站重构后才可进行
1.“鲸易元MALL管理系统”管理后台中，会员级别为“总代”的数量为？
根据题目，总代是会员级别，因此直接在后台过滤即可
往下拉，就能看见总人数
所以共248人
2.“鲸易元MALL管理系统”管理后台中,以“推荐人id”做为上级id对会员进行层级分析，总层级为多少层？（最高层级视为1层）
直接选择导出即可，我们利用弘联的网钜数据分析软件做会方便很多
在网钜选择组织架构导入即可
注意这边要选严格模式
即可直接得到最大层数为53
（网钜真好用，自家软件做自家题就是不一样，2026估计还有）
3.“鲸易元MALL管理系统”管理后台中，会员编号为sgl01的下游人数（伞下会员）数量为？
筛选会员编号为sgl01即可
即可精准定位下游人数为18001
4.“鲸易元MALL管理系统”管理后台中，会员编号为sgl01的下游人数（伞下会员）充值总金额合计为多少元/RMB？
在平台里兜了一圈没找到到充值总金额在哪里，只能回到数据库找
在member_money表中定位到了充值总金额字样，我们提取表格出来
但是这边没有id，我们需要把member表也提取出来
导出即可
导出后在网钜依旧选择组织架构
会发现导入之后找到了匹配的模板
所以伞下总金额为8704119
（这个在数据库是不带后边俩0的，明显是识别错了）
5.“鲸易元MALL管理系统”管理后台中，已支付订单的数量为？
直接在订单管理过滤已支付即可
至于时间，我们选大点就好了，大不了可以试试看，再往前几年人还会不会变 ** **
**得到共31760条 **
6.“鲸易元MALL管理系统”管理后台中，已支付订单的支付总金额总计为多少元/RMB？
我们在数据库使用建议SQL语句即可
过滤表中已支付的，算金额总数即可
SELECT SUM(pay_money) FROM `doing_order` WHERE is_pay=1
注意有俩小数点
应该是71979976
7.“鲸易元MALL管理系统”管理后台中，在提现账号管理页面中银行卡的记录数为？
跟着题目，在提现管理里找账号管理，然后看过滤一样的银行卡（这边没有），最后发现是6701张银行卡
8.“鲸易元MALL管理系统”管理后台中，打款成功的提现记录数量为？
依旧是在打款这一栏目，我们时间拉大
筛选打款成功的之后发现数量一共为8403条
9.“鲸易元MALL管理系统”管理后台中，打款成功的提现应打款金额总计为多少元/RMB？
像第六题，我们依旧简易SQL即可
在member_deal可以找到累计提现总金额
注意筛选提现状态为成功的，即4的
所以编写代码
SELECT SUM(need_give_money) FROM `member_deal` WHERE deal_status = 4
所以为10067655
寒假第一套，终于放寒假了，真好啊
喜欢这一套，很有意思，期待今年2026fic