墨者 - Windows硬盘文件分析取证(连接过的FTP地址)

最新推荐文章于 2022-09-05 00:06:15 发布
最新推荐文章于 2022-09-05 00:06:15 发布
阅读量555 收藏
点赞数
分类专栏： 墨者刷题笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39936434/article/details/95069577
版权

下载文件之后，发现是镜像文件

 

这次略微不同，需要挂载这个镜像文件才可以

 挂载出来的盘符出来了

 寻找history.ies 的 index.dat

 

直接用记事本打开index.dat

ip地址一般是1字开头，直接寻找找到

参考链接;https://www.cnblogs.com/17bdw/p/9094659.html 

吃肉唐僧
关注
专栏目录
墨者学院—Windows硬盘文件分析取证：连接过的FTP地址（简单复习）
LRedAnt的博客
12-31 667
墨者学院—Windows硬盘文件分析取证：连接过的FTP地址（简单复习） 背景描述： XP系统连接过的FTP记录都会以文件的形式保存在本地电脑，默认在C盘下，对于不同的Windows系统，存放的位置可能有差异，但是XP系统会保存在当前用户文件下的历史记录问文件，文件格式是“.dat”的文档格式，如果用记事本等打开，内容会出现一定的乱码。 挂载工具：AccessData FTK Imager 靶场实...
在线靶场-墨者-电子数据取证1星-Linux硬盘文件分析取证(MySQL操作记录)
weixin_42079912的博客
07-19 368
打开靶场网页，下载文件，下载文件后是压缩文件，解压后发现是img镜像文件。img文件需要挂载才能读取。于是下载AccessData FTK Imager软件。下载地址：https://download.csdn.net/download/sunwen551/10839742 下载完软件后，点开软件，按照下图步骤： 找到root文件里的.mysql_history文件，在文件中查看数据库更改的...
[墨者学院] Windows硬盘文件分析取证(连接过的FTP地址)
0of_blog
06-02 484
犯罪嫌疑人在作案的时候连接过一个FTP服务器，分析硬盘文件并找到这个FTP地址。
在线靶场-墨者-电子数据取证1星-Windows硬盘文件分析取证(连接过的FTP地址)
weixin_42079912的博客
08-09 240
打开靶场网页，下载文件并解压。 使用AccessData FTK Imager软件打开镜像。 下载地址：https://download.csdn.net/download/sunwen551/10839742 按照路径寻找index.dat文件([root]>Documents and Settings>lihua>Local Settings>History>H...
Windows硬盘文件分析取证(连接过的FTP地址)
asd158923328的博客
08-20 483
靶场地址： https://www.mozhe.cn/bug/detail/UDl1dXYzdithbHNCaVNPNVdQY1lyQT09bW96aGUmozhe 根据题意 进入环境，下载文件，AccessData FTK Imager挂载 寻找history.ies 的 index.dat 直接用记事本打开index.dat，ip地址一般是1字开头，直接寻找找到 验证数据，得到key ...
墨者 - Windows硬盘文件分析取证(访问的网站地址)
吃肉唐僧的博客
07-11 802
用ftk打开镜像文件 搜索history,发现是ie5搜索的 找到dat文件，这里说明一下index.dat文件 在微软windows操作系统中，index.dat是一个由Internet Explorer和资源管理器创建的文件。这个文件的功能就像一个数据库，随系统启动。它的功能在于收集个人信息，就像网址，搜索字符串，和最近打开的文件。它的职责就像数据库中的索引。简单来说，当IE开启...
墨者学院 windows硬盘文件分析取证(新建的用户名) 犯罪嫌疑人在使用过电脑之后并
最新发布
12-15
墨者学院的Windows硬盘文件分析取证是一种通过对电脑硬盘上的文件进行分析来获取相关信息的技术手段。当涉及到犯罪调查时，这项技术可以帮助警方揭示犯罪嫌疑人的行为轨迹和证据。 在对犯罪嫌疑人所使用的计算机...
在线靶场-墨者-电子数据取证1星-网络数据分析溯源(查找下载文件的内容)
weixin_42079912的博客
08-09 391
打开靶场网页，下载文件，解压后用wireshark打开。 根据题意我们知道某人从xxx.com网站上下载一压缩包，请找到压缩包内容。 从网站上下载走的是http协议，我们先过滤出http协议的数据来。 然后再使用Ctrl + F搜索zip。搜索中有一个1.zip和key.zip。看到key.zip我们便知道这个压缩包应该是题目中要查看内容的压缩包。 在wireshark中点击file>...
在线靶场-墨者-电子数据取证5星-网络数据分析溯源(上传WebShell的IP地址)
weixin_42079912的博客
08-09 600
打开靶场网页，下载文件并压缩 根据题意发现有人成功上传了WebShell，请找到上传者的IP地址。 使用Wireshark打开21.pcapng文件，因为是上传WebShell，所以数据走得应该是http协议，使用POST请求方式。属于在Wireshark中输入http.request.method==POST。过滤出http协议POST请求的数据出来。查看数据，找到uploads上传，一般上传...
在线靶场-墨者-电子数据取证1星-Windows硬盘文件分析取证(访问的网站地址)
weixin_42079912的博客
08-09 243
打开靶场网页，下载文件。并解压。 使用AccessData FTK Imager软件打开镜像。 按照路径寻找index.dat文件([root]>Documents and Settings>lihua>Local Settings>History>History.IE5>MSHist012018110120181102>index.dat)。里面记录了...
磁盘镜像工具
06-12
FTK Imager 是我最喜欢的镜像工具，功能强大，支持几十种镜像格式，E01、DD、L01、DMG、VMDK、VHD、AD1; FTK Imager 获取当前内存镜像、获取受保护的文件;
最强大的windows取证工具
01-09
该工具包中所包含的python代码支持对windows不同版本、linux以及android系统的取证分析，功能强大，包罗万象
墨者 - Windows硬盘文件分析取证(远程登录的IP地址)
吃肉唐僧的博客
07-16 780
下载文件，ftk打开挂载镜像 上网百度后，发现Default.rdp 文件是使用远程桌面协议(RDP) 连接到远程计算机时，相应程序在计算机上创建的文件。 所以直接在搜索Default.rdp 找到了记录的ip地址 ...
在线靶场-墨者-电子数据取证1星-Windows硬盘文件分析取证(远程登录的IP地址)
weixin_42079912的博客
08-09 366
打开靶场网页，下载文件并解压。 使用AccessData FTK Imager软件挂载镜像。 下载地址：https://download.csdn.net/download/sunwen551/10839742 寻找远程登录的ip，根据路径：本地磁盘D>Documents and Settings>lihua>Recent。找到Default.rdp这个文件。打开这个文件...
在线靶场-墨者-电子数据取证1星-Windows硬盘文件分析取证(恢复删除文件)
weixin_42079912的博客
08-09 453
打开靶场网页，下在文件，发现是img文件。 解压。下载DiskGenus工具，下载地址http://www.diskgenius.cn/download.php 使用DiskGenius工具，点击磁盘，打开虚拟硬盘文件，根据题意，我们需要恢复文件。点击恢复文件。 恢复文件后，找到了一个存放数据的文本，将其输入靶场发现得不到key。 将这个文本里的内容使用md5解密，得到xiaoming。将...
墨者学院_Windows硬盘文件分析取证(登陆用户的用户名)
ierciyuan的博客
09-05 345
墨者学院_Windows硬盘文件分析取证(登陆用户的用户名)
磁盘镜像分析工具TSK
weixin_34194551的博客
09-07 284
2019独角兽企业重金招聘Python工程师标准>>> ...
墨者 - Windows硬盘文件分析取证(新建的用户名)
吃肉唐僧的博客
07-08 542
用ftk挂载镜像 找到SAM文件，因为几乎所有window的用户创建都会在这个文件里 将SAM文件拷贝到kali里，用chntpw 工具来爆破 具体参考链接：https://ywnz.com/linuxjc/90.html 爆出用户名，一个个试就行了 ...
[墨者学院] Windows硬盘文件分析取证(新建的用户名)
0of_blog
05-30 1826
题目 题解 他给了一个百度云链接，下载解压后是一个E01文件 先看一眼文件格式 在这里，我们使用accessDate这个工具挂载image 挂载到文件系统，进入E盘，先把隐藏的项目勾上 然后就能看到隐藏的Application Data了 看到用户头像，有那么几个 lihua是一只都存在的，Users目录就看到了lihua这个目录，应该是使用过。而没有momo目录，说明应该是新建的。 最后答案就是momo了 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值