19美亚个人赛windows部分（过了很久才复盘，可能有些有出入）

（win.E01均为win2.E01）

1、2、哈希值&操作系统

当前设备\win.E01易得

3、文件系统

即分区类型（看c盘的）

4、操作系统分区的总容量

总容量=设备大小=扇区数x扇区大小（bit 位；byte 字节）

5、某文件起始位置

取证大师中的物理扇区物理大小即是其起始位置

6、安装日期

自动取证\win.E01\系统痕迹\系统信息\系统信息 问的是utc，系统是东八区，注意时区转换

7、每个扇区多少字节 略

8、时区

略（注意GMT=UTC）

9、计算机主机名

自动取证\win.E01\系统痕迹\系统信息\系统信息

10、用户sid

自动取证\win.E01\系统痕迹\系统信息\用户信息

12、曾经在挂载为e盘的usb中访问的文件和文件夹，以下哪个不是

自动取证\win.E01\用户痕迹\最近访问记录\，知道是e盘直接排序即可，注意“USB设备使用痕迹”是看不到文件的。

13、用户“HeYuan”最近在本机上访问过一些文件，以下哪一个不是 略

14、以下哪一个是程序“VERACRYPT.EXE”的运行次数

自动取证\win.E01\系统痕迹\应用程序运行痕迹

15、在程序“VERACRYPT.EXE”运行时，以下哪个dll文件并没有同时被加载

用depends分析dll

16、桌面墙纸（Wallpaper）背景是什么颜色

仿真

17、电脑poweroff的时候仍然拥有内存的内容?此文件具有与电脑内存（RAM）相似的大小并保存在根目录。

HIBERFIL.sys 理论题

18、哪个database文件存有此操作系统的timeline痕迹

自动取证\win.E01\用户痕迹\Win10 时间轴\ 不用跳转到源文件，最下面可以看文件来自于哪里

19、曾被分配过的ip地址是

自动取证\win.E01\系统痕迹\系统信息\网络配置\网络连接

20、用户”Administrator”的InternetExplorer浏览器的startpage是以下哪个

仿真