电子取证平航杯的复现

闻早起部分：

一、闻早起的windows10电脑

（1）.“闻早起”所使用的笔记本电脑使用何种加密程式？

1.在EFI文件中找到加密程式

（2） 教徒“闻早起”所使用的笔记本电脑中安装了一款还原软件，其版本号为？

1.用火眼防真取证创建虚拟机，注意：启动参数不能勾选，网络配置勾选NAT模式，

观察检材的照片，得到密码和pim分别为5FlowerMa)(ThousandGoldQiu]'/[;.和88

  

2.打开虚拟机，输入密码和pim，进入闻早起的电脑

（3）教徒“闻早起”所使用的U盘中，共有几份邪教文档？

1.根据其U盘上的信息可得密码和pim

2.使用磁盘虚拟挂载工具和vc容器进行挂载解密

4.找到4个邪教文件

（4）教徒“闻早起”所使用的U盘中，有一份文档明显提到了自焚时间，其时间为？
(yyyy年mm月dd日，月日中0不保留）

1.在U盘的一个文档中发现自焚时间为2001年1月23日

（5）教徒“闻早起”所使用的笔记本电脑中名为“2023年Q4飞天五子棋教部门规
章.docx”的下载地址为？

1.在闻早起的电脑中找到history文件

2.将此文件复制粘贴到自己的电脑上，再用工具DB来查看数据库，发现在downloads中找到下载的网址

（6）教徒“闻早起”所使用的笔记本电脑中浏览器保存的聊天系统密码为？

1.将webbrowserpassview文件粘贴到闻早起的电脑上

2.打开这个软件，发现存在密码

（7）教徒“闻早起”所使用的笔记本电脑中安装了一款还原软件，其版本型号为？

（8）教徒“闻早起”所使用的笔记本电脑中登录的微信内部id为？

玉文直部分

一、介质取证

（1）介质取证 玉王直所使用的windows电脑中，VeraCryptBootLoader所使用的版本号
为？

1.使用火眼仿真，打开虚拟机，发现vc版本号为1.26.7

（2）玉王直所使用的windows电脑中，系统安装时间为？

密码信息在笔记本检材账面上，pim被撕去一角，1开头，手工爆破至18时解开
[]\BadQianMingMoonGuang14DSS,./
18
密码音为“床前明月光，疑是地上霜。”

（2）玉王直所使用的标签为“飞天五子棋教”的u盘密码为？

在手机检材中，data文件中发现vccrypt.txt，在里面发现U盘密码和pim

（3） 玉王直所使用的标签为“飞天五子棋教”的u盘中“（内部）（机密）飞天五子
棋教福音传播资料”中的“P5_4”集的md5值为？

1.由上题可知其U盘密码

2.使用磁盘虚拟挂载工具和vc容器进行挂载解密，pim为30

3.根据题目，并使用工具计算出它的哈希值

（4）玉王直所使用的标签为“飞天五子棋教”的u盘中共有几个文件？

通过对其U盘的观察，可知有58个文件

（5）玉王直所使用的标签为“飞天五子棋教”的u盘中在“（高层）（绝密）飞天五
子棋教创飞全世界阶段性成果2023Q1-2023Q4”目录中，md5哈希值为“9949205C1999C47A053C53F3C58E852C”的文件名为？

对其中的文件进行计算md5值，发现该文件为为【万宁五子棋】 琉璃秘
境.mp4

（6）玉王直所使用的标签为“IT”的u盘中结尾为.pem的文件md5值为？

密码：Sudden11SpringFengLai,./THTreeLiHuaOpen/.,	pim:22

使用vc挂载成功之后，计算其md5值，md5值为BCE0BEE4D9F6EC6172AD51F64223924C

（7） 玉王直所使用的标签为“IT”的u盘中结尾为.enc的文件md5值为？

在U盘中找到该文件,计算其MD5值，其值为2F1C257AF6ED99B55540115C7D0845C0

（8）玉王直所使用的标签为“IT”的u盘中提到的云服务器提供商的联系电话为？

在服务器管理平台.txt文件中找到联系方式

（9）玉王直所使用的标签为“IT”的u盘中提到的登录云服务器平台登录密码为？
由上提可知Ywz@qzbw.zj.2024

（10）玉王直所使用的标签为“IT”的u盘中结尾为.xsh的文件有几个？

通过在Users文件夹中寻找，找到了五个结尾为.xsh文件

（11）玉王直所使用的windows电脑中，曾经挂过U盘的盘符为？

（12）玉王直所使用的windows电脑中，使用的系统版本Build号为？

（13）玉王直所使用的windows电脑中，玉王直实际登录次数为？