2016第二届美亚杯电子数据取证(个人赛)

最新推荐文章于 2023-12-29 07:00:00 发布
最新推荐文章于 2023-12-29 07:00:00 发布
阅读量3.3k 收藏 25
点赞数 5
分类专栏： 电子取证 文章标签： 电子取证
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m_de_g/article/details/120453233
版权

2016第二届美亚杯——个人赛

1.请写下Hugo电脑硬盘的MD5哈希值。
在这里插入图片描述
答案:F895FD18E47A5371AEC6DB72D0AEDCA7

2. 你能找到多少个硬盘分区？
A) 1
B) 2
C) 3
D) 4
E) 5
答案：C
在这里插入图片描述

3.根据主引導記錄（MBR），以下哪組偏移显示了包含操作系统分区的总扇区数？
A) 偏移 446-449
B) 偏移 458-461
C) 偏移 474-477
D) 偏移 490-493
E) 偏移 506-509
(1)先查看磁盘内的主要文件、文件夹，确定系统分区是分区2，
在这里插入图片描述
(2)使用winhex查看磁盘的MBF尾部，第二个分区的0C-0F偏移显示了包含文件操作系统分区的总扇区，级偏移474-477

4.根据主引導記錄（MBR），包含操作系统的分区的总扇区数是多少？
（答案格式：5246852048 sectors）

5.请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是？
（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC）

A) 1996-01-04 02:56 UTC
B) 2009-06-10 21:10 UTC
C) 2015-04-14 07:12 UTC
D) 2016-09-09 05:26 UTC
E) 2016-09-13 02:28 UTC

在这里插入图片描述

答案:2016-09-09 05:26 UTC
解题:使用取证大师,找到的时间是UTC+8搜索一应该注意-8小时

6. 用户“Hugo＂的唯一标识符（SID）是什么？（答案格式：RID）
A) 1000
B) 1001
C) 1002
D) 1003
E) 1007
答案:A
在这里插入图片描述
7.于包含操作系统的分区內，$Bitmap的物理起始偏移位置是什么？
（答案格式：256363）
在这里插入图片描述
物理位置:3325526016

在这里插入图片描述
分区2的物理地址:105906176
操作系统的分区:3219619840

3325526016-105906176=3219619840

答案:3219619840

方法二:
使用x-ways进行分析，找到分区2里的$
在这里插入图片描述
可以计算为:

6288320*512=3219619840

答案:3219619840

8. 硬盘的操作系统是什么？
A) 视窗XP
B) 视窗7
C) 视窗8
D) 视窗10
E) 视窗CE
在这里插入图片描述
答案:B

9.操作系统的最新服务包（Service Pack）版本号是什么？
A) Service pack 1
B) Service pack 2
C) Service pack 3
D) Service pack 4
E) Service pack 5

在这里插入图片描述答案:A

10.其中一个分布式拒绝服务／拒绝服务工具的readme文件中声明“SECURITY TESTING PURPOSES ONLY！＂请找出该readme文件，并列出文件中的前十二字符？
在这里插入图片描述
目标文件：C:\Users\Hugo\Documents\Tools\GoldenEye-master\README.md
在这里插入图片描述
导出文件readme.md
在这里插入图片描述
答案:GoldenEye =

11.哪一个用户拥有分布式拒绝服务／拒绝服务（DDOS／DOS）工具？
A) Home
B) Hugo
C) Administrator
D) Mike
E) Public

在这里插入图片描述
答案:B

12. 用户 “Hugo＂的收藏夹中是否含有任何与“黑客＂相关的链接？若有，请列举出相关链接。
（答案格式：http://123.com/abc.htm）
在这里插入图片描述
答案:https://0day.work/

13.Hugo有时会自己编写程序代码。请问Hugo用什么语言编写程序？
（答案格式：ProgramLanguageName）

[D]:\Users\Hugo\Documents\Attack\malware.py

在这里插入图片描述

答案:python

在这里插入图片描述

14.请检查Hugo在桌面上的快捷方式文件，其中有一个快捷方式文件的创建日期是“2016-09-14＂（世界协调时间／UTC），请问该文件的目标位置是什么？
（答案格式：D:\folder\123.abc）
在这里插入图片描述

在这里插入图片描述

答案:C:\Users\Dell\AppData\Local\Programs\Python\Python35-32\python.exe
思路:去Hugo桌面找到该快捷方式,导出文件找其路径

15. 请找一个“shellcode＂的文件夹，该文件夹中含有一个用于连接HTC Touch2设备的程序。请列举出其中任何的电子邮件地址。
（答案格式：abcd@email.com）

在这里插入图片描述

答案:celilunuver@gmail.com

16. Hugo承认曾经进行网络攻击诈骗，并且把诈骗金额记录在电脑中。请问，保存有诈骗金额记录的文件名是什么？
（答案格式：123.abc）

在这里插入图片描述
答案:Important.xlsx
**解题思路:**诈骗记录一般放在xlsx或txt中

17. 在所有用户中，用于电子邮件发送/接收的程序名称是什么？
A) Gmail
B) Foxmail
C) 新浪邮箱
D) 网易163
E) 阿里邮箱

在这里插入图片描述
答案:B

18. 根据上述问题，请于注册表(registry) 找出该电子邮件发送/接收程序的版本号。（答案格式：1.3.4.5）
取证大师寻找注册表的方法
在这里插入图片描述
根据用户名Hugo,找到下载的文件，调到注册表里，然后使用注册表解析
找到对应的版本号
在这里插入图片描述

19. Hugo的主要电子邮件地址是什么？
（答案格式：abc@mail.com）
在这里插入图片描述

在这里插入图片描述
答案:hackerthehugo@qq.com

20. 加分题︰Hugo有任何其他属于Google的电子邮件地址吗？
（答案格式：abcd@gmail.com）
在这里插入图片描述
答案:hugo82618@gmail.com

21.Hugo编写了一个获取击键信息（k）的程序。请问，该程序的文件名是什么？（答案格式：123.abc）

在这里插入图片描述
答案malware.py
22. 根据上述问题，程序中攻击者的IP地址是什么?(答案格式：123.123.123.123）
在这里插入图片描述
答案:192.168.4.78

23. Hugo也编写了另一个程序，并存储在同一个文件夹中，该程序开启一个用于建立连接的端口。请问，该端口号是多少？
（答案格式：8080）
在这里插入图片描述
答案:443

24. Hugo有时会注入恶意脚本到已经被攻击的网站中盗取PayPal的用户帐户和密码。请找到该脚本。请问，用于存储盗窃信息的文件名称是什么？
（答案格式：123.abc）

在这里插入图片描述
答案passwd.txt
思路:

login.php
\Users\Hugo\Documents\

25. Hugo用于PayPal的网络钓鱼电子邮件，请问，该PayPal帐户号码是什么？
（答案格式：98-765-4321）
在这里插入图片描述
答案12-976-9860

26. 根据上述问题，网络钓鱼电子邮件将链接到一个URL查看交易的细节。请问，该链接的URL是什么？
（答案格式：http://abc.com/abc.htm）
在这里插入图片描述

答案http://158.69.201.134/login.html

27. 请问哪一个文件中保存了微软互联网浏览器的历史浏览记录？
（答案格式：123.abc）

在这里插入图片描述
答案index.dat

28. 根据上述问题，那个档案储存了Hugo的微软互联网浏览器的缓存记录（cache history）？（答案格式：C:\folder\subfolder\123.abc）

在这里插入图片描述

答案:C:\Users\Hugo\AppData\Local\Microsoft\Feeds Cache\index.dat

29. 根据微软互联网浏览器的历史浏览记录，Hugo在2016-09-13，02:32:34（世界协调时间／UTC），曾访问域／主机的名称／地址是什么？
（答案格式：http://www.abc.com.cn）

在这里插入图片描述
答案:http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
注意给的时间+8h

30. 请找出Mozilla Firefox的互联网历史文本，上述文本的名称是什么？
（答案格式：123.abc）
在这里插入图片描述

答案:places.sqlite

31. 请检查视窗用户Hugo中的Mozilla Firefox互联网历史文本，他是在那一天（世界协调时间／UTC），访问网页www.xshellz.com？
（答案格式：YYYY-MM-DD）

在这里插入图片描述

答案:2016-09-13
解题：搜索关键词www.xshellz.com

32. 请问哪一个文件中保存了Google Chrome浏览器的历史浏览记录？
在这里插入图片描述

答案:History

33. 该电脑中可能含有Jason的相关信息，例如电子邮件地址。请问，Jason的电子邮件地址是什么？
(提示：21个字符)

在这里插入图片描述

答案:jasonforensics@qq.com

34. 有没有发现其他可以与手机通讯的聊天程式？
（答案格式：ProgramName）
在这里插入图片描述
答案:微信

35. 有没有发现任何包括安全文件传输功能的传输工具？
（答案格式：123.abc）
在这里插入图片描述

36. 根据上述问题，该文件传输工具是从哪里下载的？
（答案格式：https://domain.abc）

在这里插入图片描述
答案:https://winscp.net

37. 根据上述问题，请问用户使用哪一个浏览器下载该文件传输工具？
A) Internet Explorer
B) Firefox
C) Chrome
D) 以上任何一个都没有

在这里插入图片描述
答案:C

38. 有没有发现任何已下载的远程访问工具？若有，请列举。
（答案格式：123.abc）

在这里插入图片描述
答案putty.exe

39. 加分题︰根据远程访问工具，请问用户曾连接到哪一个主机名？
答案：shell.xshellz.com
解题：通过查找注册表
HKEY_USERS/Hugo/sid/Software/SimonTatham/PuTTY

参考连接
https://blog.csdn.net/weixin_42744595/article/details/110678125

山川绿水
关注
专栏目录
2020第六届美亚杯中国电子数据取证大赛个人资格赛
ShenZ的博客
01-22 2395
2020第六届美亚杯中国电子数据取证大赛个人资格赛 这一套还不错，个人赛的检材也各个有联系，检材照片和笔录让人身临其境。 第一次用富文本编辑器，感觉好酷 目录 笔记本计算机 手机 USB 笔记本计算机 1.Alice的笔记本计算机已成功被取证并制作成镜像(ForensicImage),下列哪个是镜像的SHA-1哈希值?
2020第六届美亚杯全国电子数据取证大赛个人赛wp
dazaogege的博客
10-27 2458
2020第六届美亚杯全国电子数据取证大赛个人赛wp
19美亚杯个人赛，第一次做取证题目，大佬勿喷。（保姆级教程）
best_Floats的博客
03-25 2604
我发现取证其实火眼和取证大师得结合起来用，首先这是美亚杯，所以取证大师肯定有一些题目是有优势的，但是火眼的话它自身也有一定的便捷性，所以结合起来用的话做题会更顺畅些。我这题不知道去哪里找，所以直接采取了暴搜，一个个试过去，发现其他四个都没有信息，只有D能找到，而且在os中可以找到这一条完整的计算机名。12、在何源的个人计算机中，用户“He Yuan”曾经在挂载为“E”盘的 USB 移动储存装置中访问过一些文件/文件 夹，以下哪一个不是？6 、在何源的个人计算机中，请问操作系统的安装日期是？
2019美亚杯个人赛刷题
7ruth0hn的博客
11-11 7292
文章目录写在前面解题1. 何源的个人计算机硬盘已成功被取证并制作成镜像（ForensicImage），下列哪个是镜像的SHA1哈希值？2.在何源的个人计算机中，硬盘中包含哪个操作系统（OperatingSystem）？3.何源个人计算机的文件系统(FileSystem)是什么？4.在何源的个人计算机中，你能找到操作系统分区的总容量吗(单位：字节byte)？5.在何源的个人计算机中，操作系统分区的$Bitmap的起始物理扇区位置(PhysicalSectorNumber)是多少？6.在何源的个人计算机中，请问
美亚杯第二届（2016）-个人赛
qq_43717836的博客
06-23 1156
取证学习新手，做做美亚杯的题
2016年 第二届美亚杯全国电子数据取证大赛个人赛write up
weixin_42744595的博客
12-05 3653
2016年 第二届美亚杯个人赛write up 前景概要： 你会获得一个包含Hugo电脑硬盘的镜像文件，其文件名为“Competition_HD1.E01＂，该文件是由AccessData FTK Imager采集而来的。根据Hugo电脑硬盘的内容，请回答以下问题： 请写下Hugo电脑硬盘的MD5哈希值。 解题：使用取证大师，计算Hugo电脑硬盘的MD5值 答案：f895fd18e47a5371aec6db72d0aedca7 你能找到多少个硬盘分区？ 解题： 方法1：：使用Mount Image或
19美亚个人赛题解，我认真地做一下，解析尽可能认真，希望与各位准备比赛的小伙伴一起进步。
热门推荐
ntrybw的博客
10-08 4万+
在何源的个人计算机中，用户”Administrator”的 Internet Explorer 浏览器的 start page 是以下哪个？在2019-10-31(UTC+8)，何源用iPhone手机在车库拍了一些车的照片,请问最早的那张车照片是什么时候拍的？12 在何源的个人计算机中，用户“He Yuan”曾经在挂载为“E”盘的 USB 移动储存装置中访问过一些文件/文件。在何源的个人计算机中，何源 iPhone 手机中的一些图片曾被同步到他的百度网盘中，请问图片“2019-06-21。
计算机取证科普性基础
农夫果园好好喝的博客
01-18 7580
内容为美亚柏科公开课笔记。
美亚杯全国2018第四届电子数据取证竞赛-个人赛
05-02
美亚杯全国2018第四届电子数据取证竞赛-个人赛 电子取证竞赛是测试电子取证专业人员的技能和技术的竞赛，本竞赛旨在提高电子取证技术的应用和普及。 本竞赛包括了多个题目，涵盖了电子取证的多个方面，包括MD5...
教育信息门户（CIP）项目案例分析
05-08
内含详细说明书，测试计划，测试评估报告，开发计划，软件规格说明书等
[数字取证] 数字取证 处理操作 高级教程 (英文版)
11-27
☆ 资源说明：☆ [Syngress] 数字取证 处理操作 高级教程 (英文版) [Syngress] Digital Forensics Processing and Procedures (E-Book) ☆ 图书概要：☆ This is the first digital forensics book that covers the complete lifecycle of digital evidence and the chain of custody. This comprehensive handbook includes international procedures, best practices, compliance, and a companion web site with downloadable forms. Written by world-renowned digital forensics experts, this book is a must for any digital forensics lab. It provides anyone who handles digital evidence with a guide to proper procedure throughout the chain of custody--from incident response through analysis in the lab. ☆ 出版信息：☆ [作者信息] David Lilburn Watson, Andrew Jones [出版机构] Syngress [出版日期] 2013年10月01日 [图书页数] 880页 [图书语言] 英语 [图书格式] PDF 格式
计算机取证工具集
02-04
计算机取证、网络取证所用到的工具命令程序集合，内含150余个程序。均小巧。
证书成功工具xca1.3.2版
11-18
setup_xca-1.3.2.最新版证书 生成工具，对于支付或者退款进行证书验证等功能生成各种证。如：ssl，ca证书。使用curl库进行双端验证更加方便。关于使用xca的方法，请自行百度。一搜就有
数据库修复取证大师Sql Extractor[预览版] V10.96.rar
12-08
软件特色:针对勒索病毒加密的SQL 数据库有特殊的修复算法,可匹配用友,金蝶数据库结构关系. 支持7.0、SQL2000、SQL2005、SQL2008、 SQL2008R2 、SQL2012、 SQL2014、 SQL2016； •SQL数据库修复软件操作简便； •可以修复数据库置疑状态； •可以修复数据库无法附加或附加报错； •可以修复数据表查询错误； •可以修复MDF文件损坏； •可以修复数据库备份文件损坏； •可以修复数据库被恢复后还是坏的； •可以修复一致性错误； •可以修复错误823； •可以修复输入数据有误； •可以修复运算溢出； •可以修复SQL数据库某些应用程序出错； •可以修复并行事务发生死锁； •支持数据库删除数据的恢复； •支持从日志LDF文件恢复删除的记录； 软件特色:针对勒索病毒加密的SQL 数据库有特殊的修复算法,可匹配用友,金蝶数据库结构关系. 支持7.0、SQL2000、SQL2005、SQL2008、 SQL2008R2 、SQL2012、 SQL2014、 SQL2016； •SQL数据库修复软件操作简便； •可以修复数据库置疑状态； •可以修复数据库无法附加或附加报错； •可以修复数据表查询错误； •可以修复MDF文件损坏； •可以修复数据库备份文件损坏； •可以修复数据库被恢复后还是坏的； •可以修复一致性错误； •可以修复错误823； •可以修复输入数据有误； •可以修复运算溢出； •可以修复SQL数据库某些应用程序出错； •可以修复并行事务发生死锁； •支持数据库删除数据的恢复； •支持从日志LDF文件恢复删除的记录；
2020年第六届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-26 7071
2020年第六届 美亚杯电子取证 团体赛 wp一、案情简介二、检材三、题目ZelloXenoBob 张伟华Bob的桌上计算机Bob iphoneSamsung S2Bob iMACCole 冯启礼Cole桌上计算机Cole笔记本计算机Cole笔记本的随机存取记忆体Cole的PICole NASCole手机Daniel 罗俊杰Daniel的桌上计算机Daniel的MacBookDaniel的iPhone 一、案情简介 你的电子数据取证调查结果发现一个国际黑客组织牵涉这宗案件。经深入调查后，调查队伍相信该黑客组
2019年第五届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-13 1666
2019年第五届 美亚杯电子取证 团体赛 wp 案情 路由器 Win1.E01 Win3.E01 L:\Group_Competition\Hacker_Linux\Linux1 MacBookAir.00001 手机镜像 blk0_mmcblk0.bin backup.ab Group_Competition\Hacker_RAID Group_Competition\Hacker_PCAP
Autopsy数字单机取证神器的使用方法及详细教程
最新发布
Aluxian_的博客
12-29 4941
AutopsyForensic Browser是数字取证工具The Sleuth Kit（TSK）的图形界面，可用来分析磁盘镜像和恢复删除的文件，提供在磁盘镜像中进行字符串提取，包括关键字搜索，哈希匹配，注册表分析，Web分析，恢复文件，时间轴分析，chrome，firefox 等浏览器历史分析，关键字搜索和邮件分析等功能。
物理地址=段地址向左移1个16进制位+偏移量
fzy1017692329的博客
12-22 4021
偏移地址(SA)是指段内相对于段起始地址的偏移值，例如一个存储器的大小是1KB,可以把它分为4段，第一段的地址范围就是0—255，第二段的地址范围就是256-511，以此类推。这些段内的偏移地址就是在0-255的范围内的。 而计算它们的物理地址只需要把段地址左移4位，再加上偏移地址就可以了。 段地址是针对内存的分段而言的,将每一段的段首地址定义为段地址.段地址的存在是由系统的分段存储决定的,通过
第二届美亚柏科杯数据安全管理员实操大赛：Webshell应对策略与处置流程
在2023年全国行业职业技能大赛——第二届美亚柏科杯“数据安全管理员”实操真题附件中，主要关注的是Webshell类事件的处置。Webshell是一种恶意软件，常用于远程控制Web服务器，分为多种类型，如一句话木马、小马、...
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值