[墨者学院] Windows硬盘文件分析取证(新建的用户名)

零溢出

已于 2022-05-30 16:03:14 修改

阅读量2k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： # 电子取证文章标签：安全 windows

于 2022-05-30 10:34:37 首次发布

本文链接：https://blog.csdn.net/czw2479/article/details/125040424

电子取证专栏收录该内容

23 篇文章

订阅专栏

博客围绕一个题目给出两种题解。题解1通过百度云下载解压得到E01文件，用AccessDate FTK工具挂载到E盘，复制相关文件到kali并执行命令；题解2将文件挂载到文件系统，查看隐藏项目，根据Users目录情况得出答案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

题目

题解1

他给了一个百度云链接，下载解压后是一个E01文件

先看一眼文件格式

在这里，我们使用AccessDate FTK这个工具挂载image

File -> Image Mounting...

现在挂载到E盘上了

复制 /WINDOWS/system32/config/SAM 到kali

然后执行 chntpw -l SAM

┌──(kali㉿kali)-[~/ctf]
└─$ chntpw -l SAM              
chntpw version 1.00 140201, (c) Petter N Hagen
Hive <SAM> name (from header): <\SystemRoot\System32\Config\SAM>
ROOT KEY at offset: 0x001020 * Subkey indexing type is: 666c <lf>
File size 262144 [40000] bytes, containing 4 pages (+ 1 headerpage)
Used for data: 218/15416 blocks/bytes, unused: 8/840 blocks/bytes.

| RID -|---------- Username ------------| Admin? |- Lock? --|
| 01f4 | Administrator                  | ADMIN  |          |
| 01f5 | Guest                          |        | dis/lock |
| 03e8 | HelpAssistant                  |        | dis/lock |
| 03e9 | lihua                          | ADMIN  | dis/lock |
| 03ea | momo                           | ADMIN  | *BLANK*  |

看到momo 还是blank