2024 年全国网络安全行业职业技能大赛-电子数据取证分析师-决赛WP_2024网络安全行业赛取证

第二部分：电子数据恢复 (30%)

任务3:检材3**.rar上的任务(14****分)**

1.对磁盘进行修复并加载成功后，计算磁盘的MD5 值，并以此作为flag 提交。 (答案格式：69271864341AA3B2C1E6F2DCA5E90666)  (2 分)

E9A881988A46953422BCA3BA0EB2FF99

把四个镜像放到winhex里面，磁盘M，Q是正常的，磁盘L，X缺少一些引导，复制磁盘MQ的引导两部分ctrl+s保存，然后退出winhex重新打开磁盘L,X显示分区，标识修复成功

火眼证据分析工具箱里面可以组raid，把四块磁盘放到工具里面，软raid信息查询可以看到起始扇区为65664，点击生成文件

ftk挂载镜像，可以看到修复成功，可以看到里面的文件，然后把镜像放到哈希工具，

MD5:E9A881988A46953422BCA3BA0EB2FF99

2.对磁盘进行修复并加载成功后，磁盘共计有多少个扇区。  (答案格式：1) (2 分)

6094464

镜像放到winhex查看即可

3.给出磁盘中的数据库root用户最后一次修改密码的时间，并以此作为flag提交。 (答案格式：2022-12-12 12:01:11)  (3分)

2021-03-17 15:49:52

数据库取证工具文件夹导入，找到mysql下的user表，root账号对应的password_last_changed：2021-03-17 15:49:52

4.磁盘中的数据库里有一张表记录了发布的通知，给出最后一次通知创建的时间，并以此作为flag提交。  (答案格式：2022-12-12 12:01:11) (3 分)

2017-12-14 17:22:35

数据库取证工具里面可以恢复删除掉的数据带红叉的就说删除过的，

game库下面announcement_detail表里面update_time字段

使用sql语句

select MAX(update_time) from announcement_detail

时间戳最大为1513243355

转换时间为2017-12-14 17:22:35

5.磁盘中的数据库里有一张表记录了管理员账号，给出这张表里记录的密码的密文，并以此作为 flag 提交。 (4 分)

cjyp2017zxcd

dealer_account_user表里面secret字段cjyp2017zxcd

任务4:检材4**.rar上的任务(16****分)**

1.对虚拟机进行分析，并找出其中“李真宝”的身份证号，并以此作为flag 提