无法恢复虚拟机快照是一个很严重的问题，在一定程度上会拖慢做题进程。

未解出题目：3 9 11 12 13

类取证

攻击 IP 地址

第一个 IP 可以从 Nginx 的日志 (/var/log/nginx/access.log) 中获得，其特性是使用了 Webshell。

第二个 IP 与反弹 Shell 有关，在快照中正在运行的 Docker 容器中，因无法还原快照难以找到...于是另辟蹊径，用磁盘取证工具进行全盘搜索，还好找到了...具体分析过程见下文。

• 《半场开香槟！舟舟队排名一度攀升到第四》
• 《终场滑铁卢！应急响应分值骤降，舟舟惨遭降维打击》
• 《人格分裂？比赛赛题歧义引不解》
• 《菜就多练！Cl0neW1th “闭关”研究后释怀一笑》

这次比赛值得一提的是应急响应类题目的体量，如果思路贯通做起来是非常爽的。也是因为太过于集中而没有管其他分类的题...）

有一些本能做出来的题目，因为缺乏经验/脑子短路没有做到，这方面的练习需要重点关注。

目前先给出第一个应急响应的题解，剩余复现在筹备中~