[墨者学院] Windows硬盘文件分析取证(登陆用户的用户名)

题目

 

背景介绍

犯罪嫌疑人在使用电脑时，登录过www.laifudao.com这个网站，分析硬盘文件并找到登录这个网站的用户名。

实训目标

1、了解AccessData FTK Imager使用方法；

2、了解XP保存的网站用户存放在什么文件里；

解题方向

分析硬盘文件，找到存放网站用户cookie文件。

解题步骤

下载文件，是个zip压缩包，解压出来为E01后缀ewf格式文件。

用AccessData FTK打开

File -> Add Evidence Item...，选择打开image file

 

然后点一下finish

上面解题方向说了是cookie。那就去找浏览器的cookie文件。

cookie文件的存放位置是C:/Documents and Settings/lihua/Cookies

 题目要找的是laifudao的用户，那我们就看到相关文件

 并且注意到cookie里username=momo123这段键值参数。

那答案应该就是momo123了