记一次镜像取证学习

题目：file

## ######文件类型确认

拖到kali中 file file确认文件类型

file: Linux rev 1.0 ext4 filesystem data, UUID=2d362e1b-69ae-4137-bdbb-4fde2775ac91 (extents) (huge files)

确定是Linux ext4文件系统镜像

#######挂载

sudo mkdir /lx/a

sudo mount ./HZ /lx/a -o loop,ro # ro防止变更文件

#######安装扫描器

sudo apt install extundelete # 安装磁盘文件扫描器
df  # 查看所有挂载点

########恢复文件
sudo extundelete /dev/loop0 --inode 2 # 执行恢复,inode 2为文件索引节点

######发现删除文件.cat.jpg,恢复文件

sudo extundelete /dev/loop0 --restore-file  .cat.jpg

#####打开恢复文件得到flag

cat RECOVERED_FILES/ .cat.jpg

flag{fugly_cats_need_luv_2}

方法2：直接使用strings file

搜索f l a g，不知道为什么包含空格。。