2023平航杯——介质取证部分复现

闻早起的电脑

教徒“闻早起”所使用的笔记本电脑使用何种加密程式？

VeraCrypt

教徒“闻早起”所使用的笔记本电脑中安装了一款还原软件，其版本号为？【标准格式：1.2.3.4】

8.71.020.5734

教徒“闻早起”所使用的笔记本电脑中登录的微信内部id为？【标准格式：ABCabc123】

wxid_bsvr29ygby9712

先了解一下什么微信内部id

比赛的时候我们都以为是微信昵称

先看一下自己电脑微信id的路径

在文档里面

在仿真机里找到

教徒“闻早起”所使用的笔记本电脑中名为“2023年Q4飞天五子棋教部门规章.docx”的下载地址为？（保留整个url）【标准格式：http://www.baidu.com:8080/admin.php】

http://openim.sys.lab:11001/#/chat/si_4690220374_6898676456

这里要到数据库里看

拖出来到010里看是db文件

放入数据库里查看

教徒“闻早起”所使用的笔记本电脑中浏览器保存的聊天系统密码为？【标准格式：ABCabc123】

e290c5be371f4

可以下载一个插件

WebBrowserPassView 我是在这里下的WebBrowserPassView v2.11 汉化版(浏览器密码查看工具) - Windows - 软件 - 4分贝分享网

这里记得改一下 ‘\User Data\Default’的路径

教徒“闻早起”所使用的U盘中，共有几份邪教文档？【标准格式：1】

4份

这里就要挂载硬盘了

比赛的时候直接vc解密怎么也挂载不上

要先手工镜像挂载成移动硬盘

再用vc挂载

我这里用ftk是没挂起来的、

最后用这个Arsenal Image Mounter 挂起来的

参考：【计算机取证篇】镜像挂载利器-Arsenal Image Mounter-CSDN博客

然后用vc挂载

4份邪教文档

教徒“闻早起”所使用的U盘中，有一份文档明显提到了自焚时间，其时间为？(yyyy年mm月dd日，月日中0不保留)【标准格式：2025年1月1日】

2001 年 1 月 23 日

 这里比赛的时候居然写成6.27了。。。

真是脑子坏了

玉王直windows7电脑

玉王直所使用的windows电脑中，VeraCryptBootLoader所使用的版本号为？【标准格式：1.1.1】

这个需要爆破这里的pim

这里学到一招用编辑里面就可以粘贴密码了

比赛的时候以为要一个一个的打

直接放弃爆破了。。。

终于进去了。。\\\\

_______________进去个鬼——————————————

就卡在这里不动了

手动挂载也试过了

p用没有、。、。

下面几题先略过。。。

——————————卡了20多分钟进去了————————

8.71.020.5734

玉王直所使用的windows电脑中，系统安装时间为？【标准格式：2025年1月1日】

2024 年 3 月 17 日

玉王直所使用的windows电脑中，曾经挂过U盘的盘符为？

虚拟机又又又崩了。。。

这题用usbdeview这个插件

这是我电脑上的插件显示

主要是

玉王直所使用的windows电脑中，使用的系统版本Build号为？【标准格式：1234】

上面一样

systeminfo就可以看到

玉王直所使用的windows电脑中，玉王直实际登录次数为？

无法确定

因为里面安装了还原软件

每次登陆都会还原

所以无法确定登陆次数