“美亚杯”第二届中国电子数据取证大赛答案解析（个人赛）

已于 2022-12-12 13:43:13 修改
阅读量5.2k 收藏 20
点赞数 1
分类专栏： 电子取证 文章标签： 安全 windows 系统安全 数据分析 电子取证
于 2022-11-09 22:39:42 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43678263/article/details/127779198
版权

（一）个人赛-背景介绍 (39题, 50分)

Hugo是一个职业黑客，他喜欢透过非法入侵其他人的电脑来炫耀自己高超的计算机技术。他也是一个臭名昭著的匪徒，其敛财手段主要有：
1）网络攻击诈骗；
2）编写及分发计算机病毒；
3）网络诈骗。
Hugo最近被逮捕，他的计算机也被没收了并送至法证取证检查处。你是一个计算机取证专家，你负责调查Hugo曾经是否进行过任何的非法活动，并找出其同党的数据。
注: 如题目出現“C:\＂，即Ｃ盘，代表包含操作系统分区
如答案需要表示包含操作系统分区，請Ｃ盘即“C:\ ＂代表

你会获得一个包含Hugo电脑硬盘的镜像文件，其文件名为“Competition_HD1.E01＂，该文件是由AccessData FTK Imager采集而来的。根据Hugo电脑硬盘的内容，请回答以下问题：

1.请写下Hugo电脑硬盘的MD5哈希值。
在这里插入图片描述
2. 你能找到多少个硬盘分区？
A) 1
B) 2
C) 3
D) 4
E) 5

C
在这里插入图片描述

3.根据主引導記錄（MBR），以下哪組偏移显示了包含操作系统分区的总扇区数？
A) 偏移 446-449
B) 偏移 458-461
C) 偏移 474-477
D) 偏移 490-493
E) 偏移 506-509
C
用X-Ways查看
1

  1. 根据主引導記錄（MBR），包含操作系统的分区的总扇区数是多少？
    （答案格式：5246852048 sectors）
    102195200 sectors
    包含操作系统的分区为D盘
    1

  2. 请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是？
    （答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC）

A) 1996-01-04 02:56 UTC
B) 2009-06-10 21:10 UTC
C) 2015-04-14 07:12 UTC
D) 2016-09-09 05:26 UTC
E) 2016-09-13 02:28 UTC
D
在系统信息中查找
在这里插入图片描述

  1. 用户“Hugo＂的唯一标识符（SID）是什么？（答案格式：RID）
    A) 1000
    B) 1001
    C) 1002
    D) 1003
    E) 1007
    A
    在用户信息中查找
    在这里插入图片描述

  2. 于包含操作系统的分区內，$Bitmap的物理起始偏移位置是什么？
    （答案格式：256363）
    3219619840
    1

  3. 硬盘的操作系统是什么？
    A) 视窗XP
    B) 视窗7
    C) 视窗8
    D) 视窗10
    E) 视窗CE
    B
    在系统信息中查看
    1

9.操作系统的最新服务包（Service Pack）版本号是什么？
A) Service pack 1
B) Service pack 2
C) Service pack 3
D) Service pack 4
E) Service pack 5
A
在系统信息中查看
在这里插入图片描述

1
  1. 其中一个分布式拒绝服务／拒绝服务工具的readme文件中声明“SECURITY TESTING PURPOSES ONLY！＂请找出该readme文件，并列出文件中的前十二字符？

GoldenEye===
搜索readme.md文件，只有4个，一个个查看发现GoldenEye中有SECURITY TESTING PURPOSES ONLY！
1

  1. 哪一个用户拥有分布式拒绝服务／拒绝服务（DDOS／DOS）工具？
    A) Home
    B) Hugo
    C) Administrator
    D) Mike
    E) Public
    B
    路径在Hugo文件夹下
    在这里插入图片描述

  2. 用户 “Hugo＂的收藏夹中是否含有任何与“黑客＂相关的链接？若有，请列举出相关链接。
    （答案格式：http://123.com/abc.htm）
    http://5566.net/hack-.htm
    搜索hack相关词，发现只有IE收藏夹有一个
    1

  3. Hugo有时会自己编写程序代码。请问Hugo用什么语言编写程序？
    （答案格式：ProgramLanguageName）
    Python
    搜索常见语言文件(py,cpp,c,h,php,class)
    在这里插入图片描述

  4. 请检查Hugo在桌面上的快捷方式文件，其中有一个快捷方式文件的创建日期是“2016-09-14＂（世界协调时间／UTC），请问该文件的目标位置是什么？
    （答案格式：D:\folder\123.abc）
    C:\Users\Hugo\AppData\Local
    Programs\Python\Python35-32
    python.exe
    搜索关键词“快捷方式”，只有一个结果命中
    在这里插入图片描述

  5. 请找一个“shellcode＂的文件夹，该文件夹中含有一个用于连接HTC Touch2设备的程序。请列举出其中任何的电子邮件地址。
    （答案格式：abcd@email.com）
    celilunuver@gmail.com
    搜索“shellcode”，在文件夹下预览，发现15116.cpp文件用于连接HTC Touch2
    2

  6. Hugo承认曾经进行网络攻击诈骗，并且把诈骗金额记录在电脑中。请问，保存有诈骗金额记录的文件名是什么？
    （答案格式：123.abc）
    Important.xlsx
    记录诈骗金额一般存放在excel表中，搜索xls和xlsx文件，预览得Important.xlsx存放
    2

  7. 在所有用户中，用于电子邮件发送/接收的程序名称是什么？
    A) Gmail
    B) Foxmail
    C) 新浪邮箱
    D) 网易163
    E) 阿里邮箱
    B

Foxmail
在这里插入图片描述

  1. 根据上述问题，请于注册表(registry) 找出该电子邮件发送/接收程序的版本号。
    （答案格式：1.3.4.5）
    7.2.7.174
    搜索源文件导出查看

1
在这里插入图片描述

  1. Hugo的主要电子邮件地址是什么？
    （答案格式：abc@mail.com）
    hackerthehugo@qq.com
    2

  2. 加分题︰Hugo有任何其他属于Google的电子邮件地址吗？
    （答案格式：abcd@gmail.com）
    hugo82618@gmail.com
    搜索上网记录发现
    2

  3. Hugo编写了一个获取击键信息（k）的程序。请问，该程序的文件名是什么？
    （答案格式：123.abc）
    malware.py
    首先搜索py文件，有很多，其中malware.py很可疑，因为malware是恶意软件的意思，打开查看果真是
    2
    在这里插入图片描述

  4. 根据上述问题，程序中攻击者的IP地址是什么？
    （答案格式：123.123.123.123）
    192.168.4.78
    查看上题脚本
    在这里插入图片描述

  5. Hugo也编写了另一个程序，并存储在同一个文件夹中，该程序开启一个用于建立连接的端口。请问，该端口号是多少？
    （答案格式：8080）
    443
    由题意为test.py
    在这里插入图片描述
    在这里插入图片描述

  6. Hugo有时会注入恶意脚本到已经被攻击的网站中盗取PayPal的用户帐户和密码。请找到该脚本。请问，用于存储盗窃信息的文件名称是什么？
    （答案格式：123.abc）
    Passwd.txt
    因为是网站，木马可能为php文件，搜索php文件，发现login.php文件中有相关信息
    在这里插入图片描述
    在这里插入图片描述

  7. Hugo用于PayPal的网络钓鱼电子邮件，请问，该PayPal帐户号码是什么？
    （答案格式：98-765-4321）
    12-976-9860
    将邮件导出得
    在这里插入图片描述

  8. 根据上述问题，网络钓鱼电子邮件将链接到一个URL查看交易的细节。请问，该链接的URL是什么？
    （答案格式：http://abc.com/abc.htm）
    http://158.69.201.134/login.html
    同上题
    2

  9. 请问哪一个文件中保存了微软互联网浏览器的历史浏览记录？
    （答案格式：123.abc）
    Index.dat
    点击一条上网记录，跳转到源文件得
    1

  10. 根据上述问题，那个档案储存了Hugo的微软互联网浏览器的缓存记录（cache history）？（答案格式：C:\folder\subfolder\123.abc）
    C:\Users\Hugo\AppData\Local
    Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
    做法同上题
    在这里插入图片描述

    1

  11. 根据微软互联网浏览器的历史浏览记录，Hugo在2016-09-13，02:32:34（世界协调时间／UTC），曾访问域／主机的名称／地址是什么？
    （答案格式：http://www.abc.com.cn）
    http://www.chiark.greenend.org.uk
    根据时间搜索
    1

  12. 请找出Mozilla Firefox的互联网历史文本，上述文本的名称是什么？
    （答案格式：123.abc）
    places.sqlite
    点击一条上网记录，跳转到源文件得
    1

  13. 请检查视窗用户Hugo中的Mozilla Firefox互联网历史文本，他是在那一天（世界协调时间／UTC），访问网页www.xshellz.com？
    （答案格式：YYYY-MM-DD）
    2016-09-13
    1

  14. 请问哪一个文件中保存了Google Chrome浏览器的历史浏览记录？
    History
    点击一条上网记录，跳转到源文件得
    1

  15. 该电脑中可能含有Jason的相关信息，例如电子邮件地址。请问，Jason的电子邮件地址是什么？
    (提示：21个字符)
    jasonforensics@qq.com
    导出邮件得
    1

  16. 有没有发现其他可以与手机通讯的聊天程式？
    （答案格式：ProgramName）
    WeChat
    1

  17. 有没有发现任何包括安全文件传输功能的传输工具？
    （答案格式：123.abc）
    WinSCP.exe
    1

  18. 根据上述问题，该文件传输工具是从哪里下载的？
    （答案格式：https://domain.abc）
    https://winscp.net
    搜索WINSCP，查看下载记录得
    1

  19. 根据上述问题，请问用户使用哪一个浏览器下载该文件传输工具？
    A) Internet Explorer
    B) Firefox
    C) Chrome
    D) 以上任何一个都没有
    C
    在这里插入图片描述

  20. 有没有发现任何已下载的远程访问工具？若有，请列举。
    （答案格式：123.abc）
    putty.exe
    1

  21. 加分题︰根据远程访问工具，请问用户曾连接到哪一个主机名？
    shell.xshellz.com
    搜索内容ftp，发现WinSCP.ini中存在相关信息
    在这里插入图片描述

youhao108
关注
  • 1
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
美亚杯全国2018第四届电子数据取证竞赛-个人赛
05-02
美亚杯全国2018第四届电子数据取证竞赛-个人赛
数字电子技术试题库及答案(学渣专用）
01-02
数字电子技术试题库及答案(学渣专用）用了都说好
2024 年全国网络安全行业职业技能大赛-电子数据取证分析师-决赛WP_2024网络安全行业赛取证
最新发布
2401_84240129的博客
05-01 621
数据库取证工具里面可以恢复删除掉的数据带红叉的就说删除过的，game库下面announcement_detail表里面update_time字段使用sql语句时间戳最大为1513243355转换时间为2017-12-14 17:22:35。
2022美亚杯个人赛
WXjzcccc的博客
12-04 1126
于2022年10月，有市民因接获伪冒快递公司的电邮，不慎地于匪徒架设的假网站提供了个人信用咭资料导致经济损失。 警方追查下发现当中一名受骗市民男子李大輝 (TaiFai) 的信用卡曾经被匪徒在区内的商舖购物。 后来警方根据IP地址，锁定及拘捕了一名男子林浚熙 （阿熙 ChunHei），并于他的居所发现了一批相信曾被用作犯案的电脑及手机装置。经调查后，警方发现阿熙除上述案件外，他亦牵涉其他的一些犯罪活动。警方的电子数据取证小组在现场作出初步了调查并对涉案装置进行了电子数据取证。请你根据得到的资料，协助将事件经
【计算机取证期末复习题】
xiongIT的博客
06-08 6365
计算机取证
2021年美亚杯个人资格赛（记录第一次的取证之旅）
m0_56194555的博客
11-28 9264
2021年美亚杯个人资格赛wp
2023年 首届盘古石杯全国电子数据取证大赛 技能赛决赛 服务器题解析
yagami的博客
05-29 2835
希望对大家有帮助 ^_^
redis --- bitmap类型的使用
qq_46093575的博客
04-03 162
setbit key offset value :setbit键 偏移位 只能是0或者1，bitmap的偏移量是从零开始的。
2023 年全国行业职业技能大赛-第二届美亚柏科杯“数据安全管理员”实操真题附件
01-02
2023 年全国行业职业技能大赛---第二届美亚柏科杯“数据安全管理员”实操真题附件 运维题：事件处置指南.docx
17第三届美亚杯个人赛题WP 新手
07-27
17第三届美亚杯个人赛题WP 新手
2023 年全国行业职业技能大赛---第二届美亚柏科杯“数据安全管理员”实操真题（职工A组、职工B组、学生组）
renxq097的博客
01-02 634
2023 年全国网络安全行业职业技能大赛---数据操作安全管理员实操真题（职工A组、职工B组、学生组）
计算机取证期中测试试卷
01-08
一、 填空题（每空1分，共32分） 1、计算机证据的来源有（　主机系统　）、（网络方面 ）、（其它数字设备 ） 2、存储设备与服务器的连接方式通常有（ DAS ）、（ NAS ）、（SAN ） …… 二 选择题（每空2分，共20分） 1、WinXP主要的文件系统是（ B ） A.FAT-16 B.NTFS C.FAT32 D.FAT-12 …… 三、名词解释（每小题4分，共20分） 1、计算机取证 …… 四、简答题（每小题4分，共28分） 1、列举几例有关计算机的犯罪 ……
【2023美亚杯】团队赛赛题（无解析版）
0xac001d09
11-14 4990
提示:请参阅附加资料 Tips: Please refer to additional information (1分)参考 ’ benckwindow10.e01 ’ 回答以下题目 With reference to ‘benckwindow10.e01’ to answer below question 按照时间线分析Ben电脑活动，在2023-09-06 16:58:10时及2023-09-06 16:58:21时，在”Access-Control-Allow-Origin”中显示了哪一个网站?
2019美亚杯团体赛刷题 部分题解（1-42、106-116）
7ruth0hn的博客
11-10 5838
文章目录写在前面使用工具刷题1.在黑客路由器里，有一台设备的MAC地址为00:11:6B:47:4D:55，请问它的IP地址是什么？2.在黑客路由器里，发现一设备的IP地址为192.168.0.103，请问该设备为如下哪一个：3.警方已经查证所有连接此router的设备都归黑客所有，根據黑客路由器的訊息，下列哪组（设备---ip）是错误的：4.Hacker现场检获的Windows主机硬盘已成功取证并制作成镜像Win1.E01，下列哪个是其硬盘证据文件的MD5哈希值。5.MD5hash算法会产生一个什么大小的
2017年第三届 美亚杯电子取证 个人赛题解
algae
04-24 8130
CPPU名侦社2020寒假作业，记录一下自己做的过程。 在这个案例里嫌疑人反侦察意识较弱，题目也不难，很适合大家做（做法不唯一，仅供参考）。 做完这些题目不需要太深的计算机知识，但是取证大师肯定是用得更加熟练了。 以后取证比赛的题目考察的内容会越来越深的，所以还是要好好学习各种基础知识和相关软件设备的使用~ —————————————————————————————— 案件背景： Gar...
2020年美亚杯电子数据取证大赛-个人赛
热门推荐
weixin_44770698的博客
11-04 1万+
2020美亚杯电子数据取证大赛-个人赛（刷题）
【实战学习】电子数据取证专题——网络数据分析溯源（上）
mozhe_的博客
03-04 3428
电子数据取证专题-网络数据分析溯源 新题来了！！！ 网络取证对网络入侵事件、网络犯罪活动进行证据获取、保存、分析和还原，它能够真实、连续地获取网络上发生的各种行为；能够完整地保存获取到的数据，并且防篡改；对保存的原始证据进行网络行为还原，重现入侵现场。 网络数据分析溯源(爆破扫描的IP地址) 背景介绍 某公司安全工程师抓取到一段Wireshark数据包，其中一IP对目标服务器做爆破扫描攻击扫...
电子数据取证-日志分析(第1题)
asd158923328的博客
08-20 463
靶场地址： https://www.mozhe.cn/bug/detail/QWVEWUJjbno0WURjS1RvU0pIRyt0UT09bW96aGUmozhe 根据题意 进入页面下载文件，通过notepad打开搜索post /upload ，得到ip，获得key
2020美亚杯团体赛刷题 部分题解（1-27、73-124）
7ruth0hn的博客
11-08 5297
文章目录写在前面解题结语参考资料 写在前面 美亚杯还是挺考验分工协作的，自己做了zello和xeno的两个Server，还有Cole的设备。记录一下解题思路。 同时由于美亚杯的题目局部的顺序是打乱的，所以会有题目不连贯、难度骤降骤升、逻辑前果后因的情况。 取证工具： 取证大师V6.1.80018RTM、弘连火眼证据分析软件v4.14.0.33748、弘连火眼仿真取证V4.1.1.2972、VMware Workstation 解题 1.Zello服务器的哈希值（SHA256）是甚么？ 30B856EEE51
电子数据取证大赛 pandas
10-16
电子数据取证大赛是一个为了推动电子数据取证技术发展而设立的比赛。在这个比赛中，参赛者需要运用各种技术和工具来收集、验证、保存和分析电子数据，以获取关键证据用于刑事调查、法律诉讼或其他相关领域。 Pandas是一个广泛应用于数据分析和处理的Python库。它提供了强大的数据结构和数据操作工具，使得处理和分析大规模数据集变得更加高效、简洁。在电子数据取证大赛中，参赛者可以使用Pandas来处理和分析收集到的电子数据，以便从中挖掘出关键信息和线索。 Pandas具备多种功能，如数据清洗、数据过滤、数据转换和数据聚合等。对于电子数据取证来说，这些功能非常有用。比如，参赛者可以使用Pandas来清洗收集到的电子数据，去除不必要的空值和重复数据；使用Pandas的过滤功能，筛选出具有特定特征或属性的数据；使用Pandas的转换功能，对数据进行格式化、排序或分类；使用Pandas的聚合功能，汇总和统计数据的特征和分布。 除了基本功能外，Pandas还提供了丰富的统计分析和数据可视化工具。这些工具可以帮助参赛者更好地理解和解释数据，并从中获得更深层次的洞察。比赛中，参赛者可以利用这些工具，对电子数据进行统计分析，如计算数据的平均值、方差和相关系数等；利用数据可视化功能，将数据以图表的形式展示，帮助发现数据的规律和趋势。 综上所述，Pandas在电子数据取证大赛中具有重要作用。参赛者可以利用Pandas强大的数据处理和分析功能，对收集到的电子数据进行处理和分析，以获得关键证据和有用信息。Pandas的灵活性和易用性使得参赛者能够更高效地完成任务，并在竞赛中取得优异的成绩。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

youhao108

行行好吧，揭不开锅了~QAQ

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值