Windows硬盘文件分析取证(恢复删除文件)

最新推荐文章于 2025-01-08 21:42:16 发布
最新推荐文章于 2025-01-08 21:42:16 发布
阅读量967 收藏 3
点赞数
分类专栏： 墨者学院
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/asd158923328/article/details/99885432
版权

靶场地址：
https://www.mozhe.cn/bug/detail/Y2dGZkpyczJvYmVSbVQ5MlhZYitRQT09bW96aGUmozhe
根据题意
在这里插入图片描述
进入环境，下载文件，用DiskGenius打开，获得数据
在这里插入图片描述
MD5解码
在这里插入图片描述
验证数据，得到key
在这里插入图片描述

CTF-Windows硬盘文件分析取证(访问的网站地址)
asd158923328的博客
08-22 1389
根据题意 进入环境，下载文件，用AccessData FTK Imager挂载 依次打开([root]>Documents and Settings>lihua>Local Settings>History>History.IE5>MSHist012018110120181102>index.dat，index.dat是一个由Internet Explo...
在线靶场-墨者-电子数据取证1星-Windows硬盘文件分析取证(恢复删除文件)
weixin_42079912的博客
08-09 501
打开靶场网页，下在文件，发现是img文件。 解压。下载DiskGenus工具，下载地址http://www.diskgenius.cn/download.php 使用DiskGenius工具，点击磁盘，打开虚拟硬盘文件，根据题意，我们需要恢复文件。点击恢复文件。 恢复文件后，找到了一个存放数据的文本，将其输入靶场发现得不到key。 将这个文本里的内容使用md5解密，得到xiaoming。将...
墨者 - Windows硬盘文件分析取证(恢复删除文件)
吃肉唐僧的博客
07-15 1038
下载文件，根据题目提示 用diskgenius打开 dg1.txt文件，但是是MD5加密之后 解密后得到数据值
Windows硬盘文件分析取证(新建的用户名)
asd158923328的博客
08-20 414
靶场地址： https://www.mozhe.cn/bug/detail/QkpTbTNyLzJNZFZNaExwVzM3dE1mdz09bW96aGUmozhe 根据题意 进入环境，下载文件，用AccessData FTK Imager挂载镜像 找到SAM文件，因为几乎所有window的用户创建都会在这个文件里 在linux 下使用命令chntpw -l SAM 验证用户得到key ...
[墨者学院] Windows硬盘文件分析取证(连接过的FTP地址)
0of_blog
06-02 571
犯罪嫌疑人在作案的时候连接过一个FTP服务器，分析硬盘文件并找到这个FTP地址。
墨者学院 windows硬盘文件分析取证(新建的用户名) 犯罪嫌疑人在使用过电脑之后并
12-15
墨者学院的Windows硬盘文件分析取证是一种通过对电脑硬盘上的文件进行分析来获取相关信息的技术手段。当涉及到犯罪调查时，这项技术可以帮助警方揭示犯罪嫌疑人的行为轨迹和证据。 在对犯罪嫌疑人所使用的计算机...
【实战学习】电子数据取证专题——磁盘文件分析取证
mozhe_的博客
04-10 3186
Windows硬盘文件分析取证(登陆用户的用户名) 背景介绍 犯罪嫌疑人在使用电脑时，登录过www.laifudao.com这个网站，分析硬盘文件并找到登录这个网站的用户名。 实训目标 1、了解AccessData FTK Imager使用方法； 2、了解XP保存的网站用户存放在什么文件里； 靶场地址：https://www.mozhe.cn/bug/detail/194 Windo...
电子数据取证技术，第四章，Windows操作系统取证技术
最新发布
qq_34871944的博客
01-08 655
预定义项，是代表注册表中的主要部分的项，指在注册表中以HKEY作为前缀的文件夹，位于注册表树状结构的最顶层。预定义项类似于硬盘上的根目录，Windows 2000/XP注册表编辑器中有五大预定义项，分别为 ：HKEY_USERS在Windows 9x操作系统的注册表中，另外还有一个预定义项。
服务器数据恢复—虚拟机配置文件丢失，虚拟磁盘文件被误删除的数据恢复案例
beiya123的博客
06-28 1413
由于erp42_jck.dbf文件中只缺失少量的页，因此可以根据缺失的页号在增量备份中查找，再将找到的页补到erp42_jck.dbf文件中，通过这种方式可以恢复一部分丢失的数据库页。根据删除虚拟磁盘文件中的文件系统以及文件类型在VMFS卷的自由空间中匹配和合并碎片，恢复删除的虚拟磁盘文件。b、人为删除某个文件，则目录项对应的数据区索引会被清掉，不会影响文件的实际数据，这种情况可根据删除虚拟磁盘文件中的文件系统以及文件类型，通过在VMFS卷自由空间中匹配和合并碎片的方法来恢复删除的虚拟磁盘文件。
文件系统取证分析经典教程
2. **文件恢复工具**：用于从磁盘映像中提取和恢复删除的文件。 3. **日志分析工具**：用于分析操作系统的事件日志、应用程序日志和其他日志文件，以收集与文件系统活动相关的证据。 4. **取证软件包**：如Autopsy和...
ZIP文件损坏修复
08-22
ZIP文件损坏修复 你懂的 问那么多干嘛
[墨者学院] Windows硬盘文件分析取证(登陆用户的用户名)
0of_blog
06-01 459
犯罪嫌疑人在使用电脑时，登录过www.laifudao.com这个网站，分析硬盘文件并找到登录这个网站的用户名。
[墨者学院] Windows硬盘文件分析取证(新建的用户名)
0of_blog
05-30 1944
题目 题解 他给了一个百度云链接，下载解压后是一个E01文件 先看一眼文件格式 在这里，我们使用accessDate这个工具挂载image 挂载到文件系统，进入E盘，先把隐藏的项目勾上 然后就能看到隐藏的Application Data了 看到用户头像，有那么几个 lihua是一只都存在的，Users目录就看到了lihua这个目录，应该是使用过。而没有momo目录，说明应该是新建的。 最后答案就是momo了 ...
墨者 - Windows硬盘文件分析取证(访问的网站地址)
吃肉唐僧的博客
07-11 841
用ftk打开镜像文件 搜索history,发现是ie5搜索的 找到dat文件，这里说明一下index.dat文件 在微软windows操作系统中，index.dat是一个由Internet Explorer和资源管理器创建的文件。这个文件的功能就像一个数据库，随系统启动。它的功能在于收集个人信息，就像网址，搜索字符串，和最近打开的文件。它的职责就像数据库中的索引。简单来说，当IE开启...
墨者学院_Windows硬盘文件分析取证(登陆用户的用户名)
ierciyuan的博客
09-05 380
墨者学院_Windows硬盘文件分析取证(登陆用户的用户名)
Windows硬盘文件分析取证(连接过的FTP地址)
asd158923328的博客
08-20 511
靶场地址： https://www.mozhe.cn/bug/detail/UDl1dXYzdithbHNCaVNPNVdQY1lyQT09bW96aGUmozhe 根据题意 进入环境，下载文件，AccessData FTK Imager挂载 寻找history.ies 的 index.dat 直接用记事本打开index.dat，ip地址一般是1字开头，直接寻找找到 验证数据，得到key ...
计算机取证之文件恢复(foremost和autopsy)
robacco的博客
09-23 1506
prodump 可提取单独某个进程的内存。https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump 数字取证测试镜像下载：http://dftt.sourceforge.net/或https://www.cfreds.nist.gov dd的Windows版本下载地址：http://www.chrysocome.net/...
取证——硬盘数据恢复
YT的博客
05-03 2230
FAT 文件系统 FAT 文件系统分为 5 个部分： MBR区 MBR(Main Boot Record 主引导记录区) 位于整个硬盘的 0磁道 0柱面 1扇区，占用 512 字节。 ① MBR 引导程序占用其中的前 446 个字节 ② 随后的 64 个字节为硬盘分区表（DPT）。每一个分区为 16 个字节，故共可以划分 4 个主分区。 ③ 最后 2 个字节是分区的阶数标志 0x55AA DB...
Windows取证
记录并分享学习安全的知识点..
12-20 1456
Windows取证——数据恢复（Fat32文件系统和NTFS文件系统）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值