校赛取证解析

在一起电诈案件中，受害者称自己的银行卡被他人冒用，曾收到假冒公安的短信，因为自己在一个P2P网站中理财，假冒公安称该网站已被列入非法网站，要自己到公安备案网站填写自己的信息，并帮助自己追回本金，因此信以为真，在网站上填写了自己的信息和绑定的银行卡信息；办案机关推测嫌疑人可能是获取了P2P网站中的注册用户信息，从而进行定向诈骗，“Personal Computer.E01”为嫌疑人笔记本电脑镜像。

1、计算“Personal Computer.E01”文件的sha256值（d）

A. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c5

B. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c6

C. e6e47e210bd56c7071ce73ab5523736120071d0f3da5335936d7beb25c3914cd

D. 1e646dec202c96b72f13cc3cf224148fc4e19d6faaaf76efffc31b1ca2cdd200

 这道题取证大师跑出来的是C，火眼跑出来的是D，我去问了师兄，是题目有点问题。

2、请分析该检材的操作系统版本（a）

A. Windows 10 Education

B. Windows 10 Home

C. Windows 10 Pro

D. Windows 10 Enterprise

3、找出该系统用户最后一次登陆时间：（c）

A. 2019-07-14 10:50:02  

B. 2019-07-14 10:10:02

C. 2019-07-14 10:40:02   

D. 2019-07-14 10:30:02

4、找出该系统最后一次正常关机时间：（c）

A. 2019-07-14 17:30:05

B. 2019-07-14 10:30:05  

C. 2019-07-14 11:30:05   

D. 2019-07-14 12:30:05

5、请计算检材桌面上文本文件的sha256值：（）

A. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c5  

B. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c6

C. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c7   

D. 58a4ab5ee3dc4c4a279fa8287ed7dce315090512fa87127f8f9278c7972366c8

6、该系统于2019年7月13日安装的软件为：（a）

A. Eraser  

B. Putty

C. Xftp   

D. Xshell

7、找出该嫌疑人于2019-07-13 17:52:19时，使用WinRAR工具访问了_____文件：（d）

A. navicat11.zip  

B. we.tar.gz

C. test2-master.zip  

D. BitLocker.rar

8、系统于2019-07-13 17:53:45时运行了___程序：（d）

A. regedit.exe  

B. WinRAR.exe

C. Xshell.exe   

D. Foxmail.exe

9、文件test2-master.zip是什么时间下载到本机的：（d）

A. 2019-07-13 14:21:01  

B. 2019-07-13 17:22:01

C. 2019-07-13 15:23:01   

D. 2019-07-13 16:20:01

10、文件test2-master.zip是使用什么工具下载到本地的：（a）

A. Chrome

B. Internet Explorer

C. edge   

D. 迅雷

11、嫌疑人成功连接至192.168.184.128服务器的时间为：（）

A. 2019-07-13 16:21:28  

B. 2019-07-13 16:21:31

C. 2019-07-13 16:21:35   

D. 2019-07-13 16:21:25

用时间暴搜

12、嫌疑人通过远程连接到128服务器，下载了什么文件到本机：（）

A. web.tar.gz  

B. we.tar.gz

C. home.tar.gz   

D. wwwroot.tar.gz

暴搜就行。

13、承接上一题，下载该文件用了多长时间：（）

A. 10秒  

B. 20秒

C. 15秒   

D. 25秒

14、该镜像“Personal Computer.E01”中存在几个手机备份：（d）

A. 4

B. 3

C. 2

D. 1

15、请分析并提取手机备份文件（备份密码请注意“Personal Computer.E01”桌面相关记录），嫌疑人所用的手机的IMEI号码：（c）

A. 352021062748965

B. 352021062748966

C. 352021062748967   

D. 352021062748968

 密码就是右上角的niuroumian6

16、嫌疑人是通过何种方式首次联系到售卖恶意程序的卖家的：（）

A. 微信  

B. QQ

C. 短信   

D. 邮件

17、嫌疑人和卖家的资金来往是通过何种方式：（）

A. 微信  

B. QQ

C. 银行转账  

D. 支付宝

18、嫌疑人在犯罪过程中所使用的QQ账号为：（）

A. 1649840939

B. 1137588348

C. 364505251   

D. 1722629449

19、卖家所使用的微信账号ID为：（）

A. refrain_C  

B. flame_guan

C. chao636787   

D. sword19880521

20、嫌疑人电脑中存在Bitlocker容器（恢复秘钥通过其他方式获得：494208-639155-079684-230648-428923-176902-004312-663696），嫌疑人下载了几个恶意程序到本机“Personal Computer.E01”加密容器中：（）

A. 1  

B. 2

C. 3   

D. 4

 两个压缩包，盲猜一手两个。

21、嫌疑人是什么时间开始对受害者实施诈骗的：（）

A. 2019-07-13 19:14:44  

B. 2019-07-13 19:24:44

C. 2019-07-13 19:04:44   

D. 2019-07-13 19:44:44

22、请综合分析，嫌疑人入侵服务所使用的登陆方式为：（）

A. SSH密码登陆  

B. SSH密钥登陆

C. 连接后门程序  

D. FTP登陆   

之前做题找那个服务器地址的时候有发现是SSH密钥

23、通过手机微信记录分析，涉案邮件收件人为：（）

A. 1649841939@qq.com  

B. 1649840939@qq.com

C. 1649845939@qq.com  

D. 1649848939@qq.com

24、压缩包test2-master.zip中的文件是什么？（）

A.恶意软件

B.加密程序

C.密钥文件

D.下载软件

解压出来这样子的，有个KEY ，猜一下

25、文件runit.txt从哪个域名下载的？（D）

A.https://pan.forensix.cn/lib/367d7f96-299f-4029-91a8-a31594b736cf/runit

B.https://pan.baidu.com/s/19uDE7H2RtEf7LLBgs5sDmg?errno=0&errmsg=Auth Login Sucess&&bduss=&ssnerror=0&traceid=

C.https://pan.forensix.cn/seafhttp/files/dec88b97-b2bc-414f-93a3-dcbbc15d615/runit

D.https://pan.forensix.cn/seafhttp/files/8fdf1982-e323-4efe-ae28-2bba21b5162c/runit

26、嫌疑人在什么时间登陆PC端网页微信？（）

A. 2019-07-13 16:34:55

B. 2019-07-13 16:40:13

C. 2019-07-13 16:45:45

D. 2019-07-13 16:53:45

27、嫌疑人于2019-07-13 17:22:23下载了什么文件？（）

A.网站目录压缩文件

B.数据库备份文件

C.网站日志文件

D.数据库日志文件

28、硬盘C盘根目录中，文件pagefile.sys.vhd的作用是什么？（）

A. pagefile页面交换文件

B. 虚拟机启动文件

C. 系统配置文件

D. 虚拟磁盘

29、“Personal Computer.E01”中名为“2019bw”的虚拟机，该虚拟机操作系统内核版本是（）

A. Ubuntu 16.04.3 LTS

B. KERNEL_VERSION 4.4.1-87

C. Ubuntu 16.04.4 LTS

D. KERNEL_VERSION 4.4.0-87

这道题我把虚拟机文件拖出来了但是不会打开，有时间我再看看。

30、“Personal Computer.E01”中虚拟机的密码为（）

A. admin888

B. honglian123

C. root

D. 123456