墨者学院靶场Linux硬盘文件分析取证(恢复文件)

访问靶场下载文件

在Kali虚拟机输入extundelete

回车

自动安装，并且有环境变量吧

 虚拟机添加硬盘

 fdisk -l 

验证磁盘添加成功

 对磁盘进行分区，更改类型： 

输入n建立分区，输入p,默认回车，默认回车，输入t更改分区为83，输入w保存

fdisk /dev/sdb 

 mkfs.ext3 /dev/sdb1 

对新建的分区进行格式化类型为 ext3

创建/date目录用于sdb1挂载并查看

mkdir /date

mount /dev/sdb1 /date/
df -hT 

把解压出的bf.img文件拖到了我的Kali虚拟机/date文件夹下

 命令fdisk bf.img，输入p查看，输入w保存

再用命令：

mount -o loop,offset=1048576 bf.img /mnt/

 

cd /dev

extundelete loop0 --restore-all 

把key.txt里的字符复制出来

 输入靶场进行验证，弹出的内容就是key