15年美亚杯电子取证

最新推荐文章于 2023-11-01 14:45:05 发布
最新推荐文章于 2023-11-01 14:45:05 发布
阅读量902 收藏 11
点赞数
分类专栏： 电子取证 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mr_Liu_Stark/article/details/120251147
版权
个人赛

背景介绍
Eden 有丰富的业余爱好与特殊的职业。他是一个恋童癖，超爱收集儿童色情相关的东西。他
也是一个臭名昭著的匪徒，其敛财的主要手段主要有：裸聊敲诈；制造炸弹；假币制造；通过编
写及分发病毒邮件盗窃用户信息；在线拍卖平台欺诈（在用户付款之后，却不寄送出所拍物品）
等等。
Eden 最近被逮捕，他的电脑也被没收了并送至法证取证检查处。你是一个数字取证
调查员，并且接到了 Eden 被送检的硬盘。你负责调查 Eden 曾经是否进行过任何的非法活
动。在取得了硬盘的法证镜像之后，请解答如下问题

运用取证工具分析检材：
在这里插入图片描述

  1. 系统安装时间：
    2015-08-07 16:45:52

  2. 系统版本号
    5.1

  3. 系统产品编号
    76481-641-1471224-23942

  4. 注册者名称
    Test

  5. 该计算机所设定的时区
    UTC +08:00 Beijing

  6. 最后登录日期（YYYY/MM/DD）
    2015-08-07 16:33:39

  7. 最后关机时间（hh:mm）
    2015-08-10 18:23:58

分析网卡信息得知其ip地址
在这里插入图片描述

  1. IP 地址
    192.168.180.129
  2. MAC 地址 000c2912a037j.
  3. 硬盘标记(Disk signature)E7DEE7

请给出桌面图片所对应的 MD5 值。

USB设备同样可以直接分析记录得出
在这里插入图片描述
3. 曾经有 USB 存储设备连接至计算机，请列出该 USB 存储设备的 S/N 号码。
CCBB1410081257510038214000

在这里插入图片描述
“Eden”, “Jess”, 及 “Eddie”之间是否有非法的行为？请理清三人之间非法行为的关系，并将相应的非法行为从选项中填写至相应的横线中。
a. A、F，E
b. C、E
c. A

分析邮件内容：

在这里插入图片描述
这封邮件包含“病毒程序”，可以看到是由eden发给了Eddie、jess、john
，得知eden与Eddie、jess之间存在的违法关系，而john题目没涉及

在这里插入图片描述
这封邮件得知，eden与jess之间存在的违法关系

在这里插入图片描述
这封邮件由 jess 发给eden和eddie，得知其存在的违法关系

在这里插入图片描述
这封邮件从其附件内容得知关于‘制造炸弹’的违法关系

下面找文件和MD5的

在这里插入图片描述
在文件分析可以依次计算相应文件md5值

在这里插入图片描述
邮箱信息同样从邮件分析得到

在这里插入图片描述
已删除文件：
分析回收站可以得到

在这里插入图片描述
MD5：导出后用工具计算即可
另外并不是所有题目所要求收集的信息都真的存在，需要自行取证判断。

团队赛

背景介绍
审问 Eden 之后发现，他的朋友 Johnson 不仅仅是一个黑客，更是一个电脑高手。
Johnson 开发并传播不少应用程序，其中也包括窃取网站敏感信息的恶意软件。Johnson
曾经通过邮件发送一个网络数据 dump 给 Eden，用以展示其中一个恶意软件的违法行为。
随后他因为挪用公款、窃取公司重要的客户信息而被起诉。据悉，有目击者称看到
Johnson 当日驾车从公司离开，而当日驾车行驶记录可作为他本人是否来往公司窃取数据
的重要证据。
近日，Johnson 被逮捕，他的电脑也被没收了并送至法证取证检查处。经过初始简单
查看之后，警方发现在他的 windows 7 系统里面安装了一个 Linux 的虚拟机。你是一个
数字取证调查员，受警方委托接到了 Johnson 被送检的硬盘。你负责调查 Johnson 的电脑
中是否有为了推广恶意软件而对外发送的网络数据包、所窃取的客户信息、及行车记录。
在取得了硬盘的法证镜像之后，请解答如下问题：

  1. 请给出相应 Linux 虚拟机所在的文件夹名称：
    VM-ubuntu

在这里插入图片描述

  1. 请在 Johnson 的电子邮件中找出相应的网络数据包，并提供如下信息：
    a. 网络数据包的名称及后缀名（例如：readme.txt）
    traffic-analysis-exercise.pcap

在这里插入图片描述邮件中发现网络数据包

b. 网络数据包的 md5 值
8D69DE03A33FB4AA1E9C63583007D1CB

在这里插入图片描述跳转源文件路径，计算当前文件md5

  1. 被恶意软件感染的电脑的主机的信息：
    a. 主机名
    b. IP 地址：37.200.69.143
    c. MAC 地址：00:50:56:f3:ca:52

  2. 在该事件中被利用的网站的基本信息：
    a. IP 地址：82.150.140.30
    b. 域名：http://www.ciniholland.nl/

  3. 传播该漏洞/病毒网站的基本信息
    a. IP 地址：93.184.216.34
    b. 域名：http://www.example.com

在这里插入图片描述

在这里插入图片描述

  1. 重定向 URL 所指向的漏洞利用工具包的到达网页域名是什么？http://24corp-shop.com
    在这里插入图片描述
    这个包的referer是http://24corp-shop.com，可知通过http://24corp-shop.com的重定向来攻击37.200.69.143

在这里插入图片描述

  1. 除了到达页面（含有 CVE-2013-2551IE 漏洞），漏洞利用工具包还发送了其他的漏洞。
    请从下列选项中选择出相应的漏洞：b
    I. Flash 漏洞
    II. IE 漏洞
    III. Windows 漏洞
    IV. office 漏洞
    V. Java 漏洞
    a. I & II
    b. I & V
    c. II & IV
    d. III & V
    e. II & IV
  2. 恶意代码的有效载荷(payload)总共被传递了几次？297

在这里插入图片描述
10. 被利用的网站中哪个文件或网页中含有重定向 URL 链接的恶意脚本？A
A. Index Page
B. Second Page
C. Third Page
D. Fourth Page
E. Fifth Page

10.请提取出该网络数据包中恶意程序/文件，并选择出对应的两个 MD5 值：（2 分）
I. 7b3baa7d6bb3720f369219789e38d6ab
II. c45e9f2a3954e44296c1178c3a3d2b28
III. 1e34fdebbf655cebea78b45e43520ddf
IV. 6ccb3791c0b857158ffd1dabb0a49695
V. 2cc9bd30cd18cdc8884b3cc837e7a3cd
a. I & IV
b. I & III
c. II & V
d. III & IV
e. III & V

11.Linux 系统的基本信息：
需要将镜像中Ubuntu虚拟磁盘文件导出，用VMware打开，再通过 修改用户密码后登录，也可以对Ubuntu虚拟磁盘文件进行取证

a. 系统安装日期（YYYY/MM/DD）：2015-08-26 15:53:57

在这里插入图片描述

b. Linux 系统版本号：14.04
c. 最后登录日期（YYYY/MM/DD）：2015-09-04 14:28:18

在这里插入图片描述

d. 最后关机时间（hh:mm）

在这里插入图片描述
e. IP 地址：192.168.220.128

在这里插入图片描述

f. 请选择哪一个是终端 Terminal 的最后 1 个命令：sudo fdisk -l

在这里插入图片描述
12.被窃取的客户信息是一个 mysql 数据库，请提供 mysql 数据库基本信息：
现在需要进入mysql，查看数据，但是我们没有密码，前面提到的修改用户密码的方法同样适用于root用户，以root身份进入打开mysql

在这里插入图片描述
g. Mysql 版本（例如：1.1）：5.5.44

在这里插入图片描述
h. DB 数据库存储地址\存储路径(例如：/sys/dev/)：/var/lib/mysql

在这里插入图片描述

i. 数据库表名称

在这里插入图片描述
表信息：

在这里插入图片描述

j. 请提供数据库中名字 Name 为 Jessamine B. Underwood 的电话、信用卡号、密码、
及 Email 记录

在这里插入图片描述

13.你能从电脑中找到任何的 Johnson 所盗取的公司进出账记录么？如果有的话，请协助提供如下信息：
a. 进出账记录的文件名（例如:readme.txt）：
文件在加密文件里，密码在邮件里为 7316
CashDairy.xlsx

在这里插入图片描述
b. 在该记录中，Johnson 借款金额为：100000

在这里插入图片描述
14.你能从电脑中找到行程记录仪所记录的视频或者地图截图么？如有，请列举其文件类型及对应 MD5 值。

文件名：CombinedPicture.jpg
MD5值：E931E11283641473564383A51B85FACA
文件名：MOV_1051.MP4
MD5值：2D76D94DCF833EBF9847D3DB1C15BA26
文件名：MOV_1052.MP4
MD5值：6295AD06E8B810DC89E54FEB721847AD

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

孤勇silly兔
关注
专栏目录
2015“美亚杯”全国电子数据取证大赛—团队赛
weixin_63735821的博客
05-02 263
2015“美亚杯”全国电子数据取证大赛—团队赛
15美亚WP
wmicn的博客
09-12 638
15美亚取证WP 个人赛–背景介绍 Eden有丰富的业余爱好与特殊的职业。他是一个恋童癖，超爱收集儿童色情相关的东西。他也是一个臭名昭著的匪徒，其敛财的主要手段主要有：裸聊敲诈；制造炸弹；假币制造；通过编写及分发病毒邮件盗窃用户信息；在线拍卖平台欺诈（在用户付款之后，却不寄送出所拍物品）等等。 Eden最近被逮捕，他的电脑也被没收了并送至法证取证检查处。你是一个数字取证调查员，并且接到了Eden被送检的硬盘。你负责调查Eden曾经是否进行过任何的非法活动。在取得了硬盘的法证镜像之后，请解答如下问题：（总分2
18美亚团队电子取证（C部分；Streaming Server）
孤勇傻兔的博客
11-11 164
从系统日志入手，btmp记录登录失败日志，若该文件比较大的话，可能涉及暴力破解。wtmp记录当前用户登录状况，这两个文件都是二进制文件，只能在linux环境下用命令读取，由于我的工具仿真无法这个镜像，所以只有提供这个思路了。 这个得从日志入手 这题，我只能用排除法，首先A，B选项是网关，然后D选项是FTP服务器 题目说的是首次输入时，从终端记录得知用户“pi”首次执行失败后以root用户再次执行。 sudo su指：当前用户暂时申请root权限，所以这里应该还是算用户“pi”安装的 ...
18美亚团队电子取证（D部分；DatabaseServer）
孤勇傻兔的博客
11-12 1305
这个比19年的麻烦，但是还是能用取证大师去取的 首先添加镜像，然后会提示是否动态分析，选是； 然后，进去之后先退出自动取证，再对raid5进行磁盘结构扫描，会扫出三个逻辑卷； 最后，再对这三个逻辑卷进行自动取证 给的就是三个磁盘镜像 三个逻辑卷，属于两个卷组，vg1，vg2 这里不能盲目看home在哪个逻辑卷，这不叫挂载，LVhome里面auxsup则为用户目录，所以LVhome就是挂载的home目录，而LVsys里的home目录为空。 卷组信息相关文件都是二进制文件，无法直接打开，需要
17美亚团队赛电子取证
孤勇傻兔的博客
10-15 387
案件背景： Gary被逮捕后;其计算机被没收并送至计算机取证实验室。经调查后，执法机关再逮捕一名疑犯 Eric，并检取其家中计算机(window 8)，并而根据其家中计算机纪录,执法机关再于其他地方取得一台与案有关的服务器,而该服务器内含四个硬盘。该服务器是运行LINUX系统。 由于事件涉及Windows 7,8,LINUX及 Mac IOS系统，故取证团队有可能需要使用相关系统之取证工具(105题,105分) 选B，直接计算得到 选C，在应用路径下找到工具名称 选B 选A，该镜像的时区的东八区，题目要求
美亚杯全国2018第四届电子数据取证竞赛-个人赛
05-02
美亚杯全国2018第四届电子数据取证竞赛-个人赛 电子取证竞赛是测试电子取证专业人员的技能和技术的竞赛，本竞赛旨在提高电子取证技术的应用和普及。 本竞赛包括了多个题目，涵盖了电子取证的多个方面，包括MD5...
2020年第六届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-26 7017
2020年第六届 美亚杯电子取证 团体赛 wp一、案情简介二、检材三、题目ZelloXenoBob 张伟华Bob的桌上计算机Bob iphoneSamsung S2Bob iMACCole 冯启礼Cole桌上计算机Cole笔记本计算机Cole笔记本的随机存取记忆体Cole的PICole NASCole手机Daniel 罗俊杰Daniel的桌上计算机Daniel的MacBookDaniel的iPhone 一、案情简介 你的电子数据取证调查结果发现一个国际黑客组织牵涉这宗案件。经深入调查后，调查队伍相信该黑客组
2020第六届美亚杯中国电子数据取证大赛个人资格赛
ShenZ的博客
01-22 2343
2020第六届美亚杯中国电子数据取证大赛个人资格赛 这一套还不错，个人赛的检材也各个有联系，检材照片和笔录让人身临其境。 第一次用富文本编辑器，感觉好酷 目录 笔记本计算机 手机 USB 笔记本计算机 1.Alice的笔记本计算机已成功被取证并制作成镜像(ForensicImage),下列哪个是镜像的SHA-1哈希值?
2019年第五届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-13 1624
2019年第五届 美亚杯电子取证 团体赛 wp 案情 路由器 Win1.E01 Win3.E01 L:\Group_Competition\Hacker_Linux\Linux1 MacBookAir.00001 手机镜像 blk0_mmcblk0.bin backup.ab Group_Competition\Hacker_RAID Group_Competition\Hacker_PCAP
2020第六届美亚杯全国电子数据取证大赛个人赛wp
dazaogege的博客
10-27 2420
2020第六届美亚杯全国电子数据取证大赛个人赛wp
19美亚杯团队电子取证（Linux部分）
孤勇傻兔的博客
11-09 300
选C 选B 选E，直接对照终端记录 选B 仿真 选C 选E 选B，从取证结果跳转源文件 选C，四月那个选项没有就按选项有的来 选E，出现两个就可以选E了，但是还是都找一下 这题我确实找不出来，我想到去搜索monodevelop等看看相关文件的创建日期，但是也无果，希望有做出来的的朋友，能告知我一下，非常感谢。 选A，搜索agent.exe，从命令历史得知 ...
21美亚个人赛，工具用火眼和取证大师
2301_76717243的博客
04-14 1万+
62. [填空题] 阿力士FTP服务器用户输入了指令_____________去检查现存的Docker容器 (例如 netstat lntp，请输入 netstatlntp，不要输入空格) (3分)这个从第十题得到是BitLocker加密的，要解密就要找到密码，看modest——ybw的博客，里面说美亚有个功能，就是可以直接解析，在没把加密分区解出来的时候就可以通过爆搜找到，但我好像不行。(请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)(请以亚拉伯数字作答，省去“.”符号) (2分)
2015美亚杯团队赛
cuddlylm的博客
10-17 2579
团队赛 –背景介绍 审问 Eden 之后发现，他的朋友 Johnson 不仅仅是一个黑客，更是一个电脑高手。 Johnson 开发并传播不少应用程序，其中也包括窃取网站敏感信息的恶意软件。Johnson 曾经通过邮件发送一个网络数据 dump 给 Eden，用以展示其中一个恶意软件的违法行为。 随后他因为挪用公款、窃取公司重要的客户信息而被起诉。据悉，有目击者称看到 Johnson 当日驾车从公司离开，而当日驾车行驶记录可作为他本人是否来往公司窃取数据 的重要证据。 近日，Johnson 被逮捕，他的电脑也
2016年 第二届美亚杯全国电子数据取证大赛个人赛write up
weixin_42744595的博客
12-05 3609
2016年 第二届美亚杯个人赛write up 前景概要： 你会获得一个包含Hugo电脑硬盘的镜像文件，其文件名为“Competition_HD1.E01＂，该文件是由AccessData FTK Imager采集而来的。根据Hugo电脑硬盘的内容，请回答以下问题： 请写下Hugo电脑硬盘的MD5哈希值。 解题：使用取证大师，计算Hugo电脑硬盘的MD5值 答案：f895fd18e47a5371aec6db72d0aedca7 你能找到多少个硬盘分区？ 解题： 方法1：：使用Mount Image或
2015年美亚杯全国电子数据取证大赛个人
最新发布
m0_64180167的博客
11-01 112
做题考时间 我们先去看看该电脑的时区都是东八区 那我们直接看时间 因为题目没有要求我们时间答案为 2015-08-07 16:45:52 转为格式 2015/08/07系统版本号 去看看5.176481-641-1471224-23942Test之前看过了 中国标准时间2015/08/1018：23是DHCPIP192.168.180.129如何在 Windows 10 上查找 MAC 地址（物理地址）？ 5 个方法一次教给你 - 知乎直接仿真查看暂时无法实现、1.list disk无实现 所以下一个 目
2022美亚杯第八届中国电子数据取证大赛-个人赛write up详解
weixin_42744595的博客
11-21 1万+
2022“美亚杯”第八届中国电子数据取证大赛-个人赛 本人TEL15543132658同wechat，本内容为我个人解题思路，有不同见解欢迎讨论。 检材文件下载链接：https://pan.baidu.com/s/1kg8FMeMaj6BIBmuvUZHA3Q?pwd=ngzs
取证解析1
XiAXiAb的博客
09-12 275
第一部分：个人赛 Eden有丰富的业余爱好与特殊的职业。他是一个恋童癖，超爱收集儿童色情相关的东西。他也是一个臭名昭著的匪徒，其敛财的主要手段主要有：裸聊敲诈；制造炸弹；假币制造；通过编写及分发病毒邮件盗窃用户信息；在线拍卖平台欺诈（在用户付款之后，却不寄送出所拍物品）等等。 Eden最近被逮捕，他的电脑也被没收了并送至法证取证检查处。你是一个数字取证调查员，并且接到了Eden被送检的硬盘。你负责调查Eden曾经是否进行过任何的非法活动。在取得了硬盘的法证镜像之后，请解答如下问题：（总分25分）
2017年第三届 美亚杯电子取证 个人赛题解
algae
04-24 8269
CPPU名侦社2020寒假作业，记录一下自己做的过程。 在这个案例里嫌疑人反侦察意识较弱，题目也不难，很适合大家做（做法不唯一，仅供参考）。 做完这些题目不需要太深的计算机知识，但是取证大师肯定是用得更加熟练了。 以后取证比赛的题目考察的内容会越来越深的，所以还是要好好学习各种基础知识和相关软件设备的使用~ —————————————————————————————— 案件背景： Gar...
2021第七届美亚杯中国电子数据取证大赛详解write up
热门推荐
weixin_42744595的博客
02-13 1万+
"美亚杯"第七届中国电子数据取证大赛-个人赛 本人TEL15543132658，个人解题思路，有不同见解欢迎讨论。 本次比赛共1 个段落, 62 个小题, 总共114分 检材方面，个人赛由一个加密容器和一个update更新的压缩包组成，检材量和题量非常大，很多检材的报告文件都加了压缩包，需要挨个解压，比武时间相对紧凑，想获得好成绩，需要前期认真分析官方给的案情信息，准备多台高性能计算机便于取证分析。 案情资料官方揭晓 资格赛 2021年10月某日早上，本市一个名为"大路建设"的高速公路工地主管发现办公室的.
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值