在裸聊敲诈、虚假理财诈骗案件类型中，犯罪分子为了能实现更低成本、更快部署应用的目的，其服务器架构多为常见的初始化网站架构，也称为站库同体服务器！也就是说网站应用程序，数据库及用户账号信息、交易记录，文件（如相关的Apk、视频图片）等资源都部署在同一台服务器中，因此，我们在现场勘验或者获取调证后的涉案网站和数据库都同一个服务器镜像内。
在取证分析时我们通常对服务器镜像进行仿真后，查看历史命令等启动相应服务，进入宝塔面板或修改本地hosts文件等实现网站还原，使用改密或者修改后台登录逻辑等进入后台，用Navical或PHPMyadmin等登录涉案数据库查看相关数据。
然而由于各个案件情况不一致，嫌疑人对网站修改配置各式各样、web中间件或数据库环境受到损坏、一些调证回来的镜像文件本地仿真环境限制等因素导致网站还原失败，从而迟滞了我们案件的进程。
本文通过对某虚假理财类案的调证服务器镜像进行仿真，初始网站还原失败，通过一步步的查找分析配置环境，最后成功重构PHP网站---【凌风、蘇小沐】
宝塔面板6.0之后，命令bt集成了很多我们需要的命令，方便我们对宝塔面板相关信息进行修改。| 宝塔面板命令行序号 | 注释 |
|---|
| 1 | 重启面板服务 |
| 2 | 停止面板服务 |
| 3 | 启动面板服务 |
| 4 | 重载面板服务 |
| 5 | 修改面板密码 |
| 6 | 修改面板用户名 |
| 7 | 强制修改MySQL密码 |
| 8 | 改面板端口 |
| 9 | 清除面板缓存 |
| 10 | 清除登录限制 |
| 11 | 取消入口限制 |
| 12 | 取消域名绑定限制 |
| 13 | 取消IP访问限制 |
| 14 | 查看面板默认信息 |
| 15 | 清理系统垃圾 |
| 16 | 修复面板(检查错误并更新面板文件到最新版) |
| 17 | 设置日志切割是否压缩 |
| 18 | 设置是否自动备份面板 |
| 22 | 显示面板错误日志 |
| 23 | 关闭BasicAuth认证 |
| 24 | 关闭谷歌认证 |
| 25 | 设置是否保存文件历史副本 |
此次涉案服务器中宝塔面板版本低于6.0。输入bt命令后并没有显示相关宝塔的信息。
我们使用老版本宝塔面板登录命令：bt default 得到进入宝塔面板的网址、用户名和初始密码，验证后发现密码错误。
使用修改面板密码命令修改密码，例如：改成123456 : cd /www/server/panel && python tools.py panel 123456 ，成功登录宝塔面板。
登录宝塔面板后，我们发现为空，而且宝塔面板操作日志中仅仅有一条清空日志，回收站中也没有源码。【宝塔的主数据库路径：/www/server/panel/data/default.db】宝塔的主数据库，网站信息面板配置什么的都在这里面，随即查看下宝塔面板路径：/www/server/panel/data/default.db中的数据库文件，使用navicat打开发现宝塔面板操作日志，发现有将源码压缩并转移到backup文件夹下的操作记录日志。
然后查找backup路径，在此果然发现了网站源码备份，遂将其还原至默认路径下。
在启动中间件和MySQL数据库后网站依旧进不去，报错提示无法连接到 MySQL 数据库。
由于前面有更改过许多默认路径及配置，这里猜测比较可能的原因是网站数据库配置文件未配置好。在启动中间件和MySQL数据库后网站依旧进不去，报错提示无法连接到 MySQL 数据库。
由于前面有更改过许多默认路径及配置，这里猜测比较可能的原因是网站数据库配置文件未配置好。
在网站源码中发现PHP读取配置文件为：db_settings.PHP。当然，这里也可以用一种通用的方法快速定位网站数据库配置文件，因为网站数据库中不可避免的会存储数据库的数据库名、用户名、密码等，将网站源码下载到电脑本地后，可以使用FileLocatorPro等文本内容搜索工具搜索包含数据库名"database"或用户名"user"、密码"password"等关键词快速定位到网站数据库配置文件。在宝塔面板中修改数据库密码为123456，根据宝塔面板中的数据库名、用户名、密码等配置网站数据库配置文件，保证两者相同。修改网站数据库配置文件中host改为仿真起来ifconfig得到的IP。
这时网站数据库配置文件已经配好了，但是登录网站依旧报错。
剩下的就是访问权限的问题了，在宝塔面板中发现数据库权限为"指定IP"访问，尝试将数据库权限升级为所有人均能访问。再次登录网站，成功显示登陆页面，还原涉案网站前台。此时，继续查找有用信息，在数据库中搜索发现用户列表里有管理员信息，猜测其前台登录不仅仅有受害人，也可能有前端管理员权限用户信息。
在网站源码中发现PHP不仅读取配置文件db_settings.PHP。还读取了functions.inc.PHP、main.inc.PHP两个文件。遍历之后发现functions.inc.PHP为控制前台用户登录的文件，其中发现登录网站的密码加密盐值不是固定的！！！
【盐值规律：盐值是从0123456789abcdef中随机抽取10个！！！所以我们不能通过随机注册用户后生成的密码密文来替换我们想要登录的某用户！！！】
【破解方法：虽然盐值随机，但是我们可以通过修改代码逻辑进入其它用户，将选中的==（等于）改为！=（不等于），就可以用随便非正确的密码登录任意用户账号！！！】
【破解方法：虽然盐值随机，但是我们可以通过修改代码逻辑进入其它用户，将选中的==（等于）改为！=（不等于），就可以用随便非正确的密码登录任意用户账号！！！】
【破解方法：虽然盐值随机，但是我们可以通过修改代码逻辑进入其它用户，将选中的==（等于）改为！=（不等于），就可以用随便非正确的密码登录任意用户账号！！！】
在/www/wwwlogs/路径下找到网站登录日志，找到后台登录网址。
此密码密文为32位，推测是MD5加密，在线解密得明文密码。如果密码不是MD5加密，或者说MD5解密不出来，我们也可以修改源码逻辑进入，首先用虚假的账号和密码登录后台，查看报错内容。
然后在宝塔面板中网站源码页面点击文件查找，输入报错内容，点击包含子目录，点击查找，就能查找出包含此报错内容的文件。
将选中的！==（不等于）改成==（等于），后台任意密码即可登录。
一是熟悉工具各种参数配置文件信息等。比如宝塔面板，我们通常用命令bt就能查看修改宝塔相关信息，但殊不知在宝塔6.0以下版本并没有集成到bt中，需要用复杂的命令行进行解析。
二是在网站源码丢失时，可以通过宝塔面板日志或在服务器中敲击"history"命令查看输入过的历史命令，来了解嫌疑人历史相关操作，从而有可能找回源码。
三是网站前台也有可能会有部分特权用户，也就是前端管理员用户，进入其管理页面后可以获取相关权限，了解更多信息。其管理的小队成员列表更能帮助我们迅速理清人物架构。
四是网站后台的寻找和破密、绕密，方式多种多样，有些时候网站的密码加密盐值不是固定的，密码随机生成，并不能用普通的替换绕密，等等。
以上这些只是个人的一些粗浅看法，在网络高速发展的今天，我们并不能期望对手比我们弱，比我们什么都不懂，这是不现实的！我更期望的是大家积极探讨，集思广益，了解更多的知识，融会贯通，来更好的应用到相关案件服务中。
宝塔面板server和panel的目录功能说明
WindowsServer服务器镜像仿真
10个月宝宝每天需要喝多少奶粉？
