“美亚杯”第三届中国电子数据取证大赛答案解析（个人赛）

youhao108

已于 2022-12-12 13:42:23 修改

阅读量1.7k

点赞数 2

分类专栏：电子取证文章标签：安全 windows 系统安全数据分析电子取证

于 2022-12-12 13:32:43 首次发布

本文链接：https://blog.csdn.net/qq_43678263/article/details/128285770

版权

电子取证专栏收录该内容

10 篇文章 10 订阅

订阅专栏

试题

	1	Gary的笔记本电脑已成功取证并制作成镜像 (Forensic Image)，下列哪个是其MD5哈希值。
	A.	0CFB3A0BB016165F1BDEB87EE9F710C9
	B.	5F1BDEB87EE9F710C90CFB3A0BB01616
	C.	A0BB016160CFB3A0BB0161661670CFB3
	D.	16160CFB3A0BB016166A0BB016166167
	E.	FB3A0BB016165 B016166 A0DF7FJE2EJ0

	2	根据此镜像 (Forensic Image)，里面有多少个硬盘分区？
	A.	1
	B.	2
	C.	3
	D.	4
	E.	5

	3	你能找到硬盘操作系统分区内的开始逻辑区块地址（LBA）？
	A.	0
	B.	512
	C.	2,048
	D.	206848
	E.	102,402,047

	4	你能找到硬盘操作系统分区的大小吗 (字节byte)？
	A.	48.7
	B.	102,195,200
	C.	140,232,703
	D.	19,369,295,872
	E.	52,323,942,400

	5	在包含操作系统的分区内，$MFT的物理起始偏移位置是什么？
	A.	3328
	B.	4170040
	C.	6026176
	D.	6291456
	E.	16949352

	6	请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是？（答案格式－“世界协调时间＂：YYYY-MM-DD HH:MM UTC）
	A.	2017-09-14 02:10 UTC
	B.	2017-09-14 02:11 UTC
	C.	2017-09-14 02:12 UTC
	D.	2017-09-14 02:13 UTC
	E.	2017-09-14 02:14 UTC

	7	用户“Gary＂的SID是什么？
	A.	1000
	B.	1001
	C.	1002
	D.	1005
	E.	1007

	8	用户“彼得＂的SID是什么？
	A.	1000
	B.	1001
	C.	1002
	D.	1005
	E.	1007

	9	硬盘的操作系统是什么？
	A.	Windows 7
	B.	Windows 8
	C.	Windows 10
	D.	Linux Red Hat 7.1
	E.	MAC OS X

	10	哪个是Windows的默认浏览器？
	A.	Microsoft Internet Explorer
	B.	Google Chrome
	C.	Mozilla Firefox
	D.	Opera
	E.	QQ 浏览器

	11	用户 “Gary＂曾经浏览过一些非法博彩网站，下列哪项URL符合？
	a.	www.10086.com
	b.	www.188bet.com
	c.	www.hv5858.com
	d.	www.12377.cn
	e.	www.88.bettingwell.com
	f.	www.aaakk.org

	A.	只有(a) & (b)
	B.	(a), (b), (d) & (f)
	C.	(b), (c), (d) & (f)
	D.	(b), (c), (e) & (f)
	E.	以上皆是

	12	用户Gary曾经登入上述非法博彩网站，下列哪个是其登入名称？
	A.	ggchey68
	B.	gany-cher88
	C.	galy_chen88
	D.	garychen1688
	E.	garychen88

	13	在所有用户中，用于电子邮件发送/接收的程序名称是什么？
	A.	新浪邮箱
	B.	网易163
	C.	阿里邮箱
	D.	Foxmail
	E.	Mozilla Mail – ThunderBird

	14	在该Windows系统中，曾经连接数个USB移动储存装置 (U盘)，下列那个不是该系统连接过的USB移动储存装置 ?
	A.	WD My Passport 0827 USB Device
	B.	StoreJet Transcend USB Device
	C.	Samsung Portable SSD USB Device
	D.	StoreJet TS256GESD400K USB Device
	E.	General UDisk USB Device

	15	在该Windows系统中，下列哪个USB移动储存装置 (U盘)曾被指派为‘Z’磁盘分区代号(Drive Letter) ?
	A.	WD My Passport 0827 USB Device
	B.	StoreJet Transcend USB Device
	C.	Samsung Portable SSD USB Device
	D.	StoreJet TS256GESD400K USB Device
	E.	General UDisk USB Device

	16	该Windows系统中，下列哪个是最后的关机时间?
	A.	2017-10-31 4:52:54 UTC
	B.	2017-10-31 4:53:54 UTC
	C.	2017-10-31 4:54:54 UTC
	D.	2017-10-31 4:55:54 UTC
	E.	2017-10-31 4:56:54 UTC

	17	该Windows系统中，下列哪个是电脑名称?
	A.	GARYPC
	B.	GARY-PC
	C.	GARY_PC
	D.	GARY
	E.	GARY-NB

	18	在该Windows系统中，下列哪个是用户Gary日常使用的邮箱帐号?
	A.	ics_user@mail.com
	B.	ics_user@gmail.com
	C.	gary@mail.com
	D.	gary_chen@mail.com
	E.	gary_chen@gmail.com

	19	在该Windows系统中，用户Gary曾经收过一封来自邮箱帐号 ics_user@mail.com 的邮件，内容提及有关制作钓鱼网站及邮件帐号eric_wang99@outlook.com，下列哪个是此封邮件的发送日期和时间?
	A.	2017-09-25 17:07:15
	B.	2017-10-17 14:35:45
	C.	2017-10-17 18:24:02
	D.	2017-10-26 19:17:08
	E.	2017-10-26 19:24:57

	20	在该Windows系统中，用户Gary还曾经收过两封来自邮箱帐号 eric_wang99@outlook.com的邮件，标题为“学习制作网站”，下列哪个是第一封邮件的发送日期和时间?
	A.	2017-09-25 17:07:15
	B.	2017-10-17 14:35:45
	C.	2017-10-17 18:24:02
	D.	2017-10-18 18:30:45
	E.	2017-10-18 19:38:05

	21	在该Windows系统中，用户Gary还曾经收过两封来自邮箱帐号 eric_wang99@outlook.com邮件，标题为“学习制作网站”，下列哪个是第二封电邮的发送日期和时间?
	A.	2017-09-25 17:07:15
	B.	2017-10-17 14:35:45
	C.	2017-10-17 18:24:02
	D.	2017-10-18 18:30:45
	E.	2017-10-18 19:38:05

	22	用户Gary还曾经收过一封来自邮箱帐号 ics_user@mail.com 的邮件，附加了两张与咖啡豆有关的相片，下列哪个是此封邮件的发送日期和时间?
	A.	2017-09-25 17:07:15
	B.	2017-10-17 14:35:45
	C.	2017-10-17 18:24:02
	D.	2017-10-26 19:17:08
	E.	2017-10-26 19:24:57

	23	在该Windows系统中，用户Gary还曾经收到一封来自邮箱帐号 eric_wang99@outlook.com 的邮件，附加有三张与Apple iCloud相关的相片，下列哪个为该封邮件的发送日期和时间?
	A.	449cebf0eb96499df047fe0bff8e1627
	B.	17f9c6bcca44d128f7ed6769a6920278
	C.	4bc48ce355acd4732f33a79e29728e96
	D.	4bc48ce355acd4732f33a79e29728e96
	E.	e3e545c80a7273b7b0d7c73dacdd7227

	24	在该Windows系统中，用户Gary还曾经收到一封来自邮箱帐号 eric_wang99@outlook.com 的邮件，附加有三张与Apple iCloud相关的相片，下列哪个为该封邮件的发送日期和时间?
	A.	2017-09-25 17:07:15
	B.	2017-10-17 14:35:45
	C.	2017-10-17 18:24:02
	D.	2017-10-18 18:30:45
	E.	2017-10-18 19:38:05

	25	Gary经常使用笔记本电脑浏览互联网，他的笔记本电脑上曾经连接过多少WIFI热点？
	A.	1
	B.	2
	C.	3
	D.	4
	E.	5

	26	上述电脑曾经连接过星巴克WIFI热点，下列哪项是其全局唯一识别元（Globally Unique Identifier, GUID）？
	A.	{8039D237-A346-4BA1-9B78-5752580ED7F0}
	B.	{39489FA0-DE35-4989-8730-E2E2ED15E85A}
	C.	{558B94DF-8D68-4779-AA25-65FBDAB4C2B9}
	D.	{4EFCDA7E-CE51-4EC2-8980-8629647C9968}
	E.	{AF0778E8-6C4F-41C6-84B2-CB14490CF29E}

	27	有关Gary的笔记本电脑，下列哪项是其最后分派得到的IP地址？
	A.	192.168.0.1
	B.	192.168.10.4
	C.	192.168.20.6
	D.	192.168.30.3
	E.	192.168.40.5

	28	Eric曾发邮件给Gary，内容是关于如何在暗网(Dark Web)中浏览枪械的信息，以下哪个URL是由Eric提供的?
	A.	http://hhnovpxmqrw5xaqg.onion
	B.	http://gunsjmzh2btr7lpy.onion
	C.	http://gunsdtk58tolcrre.onion
	D.	http://armoryohajjhou6m.onion
	E.	http://armory45jijdf7d.onion

	29	Eric 售卖iCloud 网站给Gary 的价钱是多少?
	A.	$500
	B.	$800
	C.	$1000
	D.	$1400
	E.	$1500

	30	Gary 经常将非法文件存储到该笔记本电脑的加密分区中，下列哪一个为该加密软件?
	A.	TrueCrypt
	B.	VeraCrypt
	C.	Bitlocker
	D.	LUKS
	E.	PGP WDE

	31	在加密磁区内有三张与Apple iCloud有关的相片，下列哪个为其中一张相片的MD5哈希值(Hash Value)?
	A.	c9fbfaf3c45492c40feb83a83217f146
	B.	14903a7bd9d709b653f9afe8e3e51cdd
	C.	7cb0f29812317db645edbcd6cf46e1ba
	D.	5503d096bdf832460c8f51da62fbbb5d
	E.	9918465b62171ba2c0a95595db629bf3

	32	在加密磁区内有三张与暗网(Dark Web)有关的相片，下列哪个为其中一张相片的MD5哈希值(Hash Value)?
	A.	2836d35fb45c591211d5b6865c4a82f5
	B.	d2b14799050b6c4ad6b07cd1227b91a5
	C.	9110c96baa70c00acd8fbdfe2dc7c397
	D.	703899985d881e2d103eb4fd1306be2e
	E.	4c57a45b8da5ea01e5eb7d875f94a7b8

	34	在上述加密磁区内，存有一个名为”2017-10-27”的文件夹，内有三张枪械的图片，该三张图片是来自哪个网站?
	A.	http://gunsdtk58tolcrre.onion
	B.	http://gunsjmzh2btr7lpy.onion
	C.	thegunstorelasvegas.com
	D.	cabelas.com
	E.	hyattgunstore.com

	35	Gary的笔记本电脑曾经下载过多少张有关恐怖组织的图片?
	A.	1
	B.	2
	C.	3
	D.	4
	E.	5

	36	根据Gary与Eric邮件的内容，Eric曾经提供Gary一个私有云盘，下列哪项是该邮件提供的资料?
	A.	动物图
	B.	枪的结构图
	C.	博彩图
	D.	博彩文件
	E.	恐怖主义图

	37	下列哪项是上述私有云盘的网址?
	A.	http://mantech.mooo.cn
	B.	http://mantech.mooo.com
	C.	http://mooo.com
	D.	http://mantech.com
	E.	http://23.54.45.113

	38	下列哪项是上述私有云盘网址的连接端口?
	A.	TCP 80
	B.	TCP 8080
	C.	UDP 80
	D.	TCP 8000
	E.	TCP 443

	39	下列哪项是Gary第一次浏览该私有云盘网址时，所使用的浏览器?
	A.	Microsoft Explorer
	B.	Google Chrome
	C.	Mozilla Firefox
	D.	Opera
	E.	QQ 浏览器

	40	下列哪项是Gary第一次浏览该私有云盘网址的日期和时间?
	A.	2017-10-29 12:42:09
	B.	2017-10-30 12:42:09
	C.	2017-10-31 12:42:09
	D.	2017-10-30 10:42:09
	E.	2017-10-30 11:42:09

	41	在上述加密磁区内，存有一个名为”2017-10-30”的文件夹，里面有三张与枪械结构有关的图片，该三张图片是从哪个方法/软件下载?
	A.	邮件
	B.	Firefox
	C.	Chrome
	D.	USB thumb drive
	E.	ftp

	42	Gary的笔记本电脑，曾经下载过一个感染了电脑病毒的文件，名为invoice.zip。该病毒程序文件是什么时候下载?
	A.	2017-10-31 12:26:20
	B.	2017-10-31 12:50:34
	C.	2017-10-31 12:29:55
	D.	2017-10-31 10:52:10
	E.	2017-10-31 12:18:54

	43	Gary的笔记本电脑，还存有一个感染了电脑病毒的程序文件，名为\User\Gary\Downloads\invoice\dist\invoice.exe。该文件的最后存取日期/时间(Last Accessed Data/Time) 是什么?
	A.	2017-10-31 12:26:27
	B.	2017-10-31 12:50:34
	C.	2017-10-31 12:29:55
	D.	2017-10-31 10:52:10
	E.	2017-10-31 12:18:54

	44	上述invoice.exe文件伪装成什么格式的软件?
	A.	pdf
	B.	jpg
	C.	psd
	D.	Docx
	E.	Doc

	45	上述的\User\Gary\Downloads\invoice\dist\invoice.exe文件，最后执行日期/时间(Last Accessed Data/Time) 是什么?
	A.	2017-10-31 12:26:27
	B.	2017-10-31 12:50:34
	C.	2017-10-31 12:29:55
	D.	2017-10-31 10:52:10
	E.	2017-10-31 12:18:54

	46	事实上，Gary的笔记本电脑被电脑病毒感染了，部份文件被加密，当中包括下列哪种文件类型?
	a.	exe
	b.	gif
	c.	jpg
	d.	psd
	e.	Docx
	f.	Doc

	A.	只有(a) & (b)
	B.	(a), (b), (d) & (f)
	C.	(b), (c), (d) & (f)
	D.	(b), (c), (e) & (f)
	E.	以上皆是

	47	上述\User\Gary\Downloads\invoice\dist\invoice.exe文件共执行多少?
	A.	1
	B.	2
	C.	3
	D.	4
	E.	5

	48	上述\User\Gary\Downloads\invoice\dist\invoice.exe文件是由什么程序编写?
	A.	LISP
	B.	C++
	C.	Visual Basic
	D.	Python
	E.	Java

	49	上述\User\Gary\Downloads\invoice\dist\invoice.exe文件，执行时会呼叫下列哪个动态连结函式库(Dynamic Linked Library)
	A.	KERNEL32.DLL
	B.	USER32.DLL
	C.	SHELL32.DLL
	D.	NTDLL.DLL
	E.	SYSTEM32.DLL

	50	Gary的笔记本电脑，还存有另一感染了电脑病毒的程序文件，名为\tmp\invoice.exe。该文件的最后存取日期/时间(Last Accessed Data/Time) 是什么?
	A.	2017-10-31 12:26:27
	B.	2017-10-31 12:50:34
	C.	2017-10-31 12:29:55
	D.	2017-10-31 10:52:10
	E.	2017-10-31 12:18:54

	51	上述两个文件\User\Gary\Downloads\invoice\dist\invoice.exe和 \tmp\invoice.exe是什么关系?
	A.	前者是后者的复本
	B.	后者是前者的复本
	C.	两者MD5不相同
	D.	两者元数据(Metadata)相同
	E.	两者无关系

	52	根据勒索讯息的显示，勒索网址是什么？
	A.	http://223.17.250.208:6000/C&C/
	B.	http://223.17.250.208/C&C/
	C.	http://223.17.250.208:6060/C&C/
	D.	http://223.17.250.208:80/C&C/
	E.	http://223.17.250.208:8080/C&C/

	53	根据勒索讯息的显示，勒索金额是多少钱？
	A.	$1,000
	B.	$10,000
	C.	$20,000
	D.	$50,000
	E.	$100,000

	54	根据勒索讯息的显示，下列哪个是与勒索案件有关的比特币钱包？
	A.	1KcjhpkowGWh5QYgPx5hYGuzbZpewgBszh
	B.	1KcjhpknwGWh5QYgPx5hYGuzbZpewgBszh
	C.	1KcjhpknwGWh5QYgPx5hYGuzbZpewgBzzh
	D.	1KcjhpknwGWh5QYgPx6hYGuzbZpewgBszh
	E.	1KcjhpknwGWh6QYgPx5hYGuzbZpewgBszh

	55	执法机关曾在现场对Gary的电脑进行电子法证检验，期间曾撷取与勒索软件相关的屏幕影像，并储存为png格式。下列哪项是其储存位置?
	A.	\Users\彼得\Downloads\
	B.	\Users\彼得\Desktop\
	C.	\Users\Gary\Downloads\
	D.	\Users\Gary\Desktop\
	E.	\Users\Gary\Documents

Keys point 分高下

		经法证工具分析后发现Gary的笔记本电脑有三个分区硬盘，所有敏感文件均储存在一个加密磁区，而其加密匙放在下列哪个位置？
	A.	\Windows\
	B.	\Users\
	C.	\Users\Gary\Desktop
	D.	\Users\Gary\Documents
	E.	\

答案解析

1、

A.	0CFB3A0BB016165F1BDEB87EE9F710C9

2、

3、内存物理地址的单位是字节（Byte），而一个逻辑区块占用512字节，所以要将这个值除以512=206848

206848

4、48.73*1073741824为52323439083.52

E.	52,323,942,400

5、应为6498304

6291456

6、北京是东八区，领先UTC时间八个小时，所以减掉后得出答案

B.	2017-09-14 02:11 UTC

7、

1000

8、

1001

9、

Windows 7

10、

A.	Microsoft Internet Explorer

11、首先排除正常的10086和12377网站，然后搜索每个网站

D.	(b), (c), (e) & (f)

12、将每个选项搜索，得到garychen88

E.	garychen88

13、

E.	Mozilla Mail – ThunderBird

14、

C.	Samsung Portable SSD USB Device

15、

E.	General UDisk USB Device

16、

A.	2017-10-31 4:52:54 UTC

17、

GARY-PC

18、

D.	gary_chen@mail.com

19、

C.	2017-10-17 18:24:02

20、

D.	2017-10-18 18:30:45

21、

E.	2017-10-18 19:38:05

22、

D.	2017-10-26 19:17:08

23、

B.	17f9c6bcca44d128f7ed6769a6920278

E.	2017-10-18 19:38:05

25、

26、取证结果 -> 密码/密钥检索 -> 无线账号

E.	{AF0778E8-6C4F-41C6-84B2-CB14490CF29E}

27、取证结果 -> 系统痕迹 -> 网络配置 -> 网络连接找到DHCPIP地址一栏有D选项的IP地址

D.	192.168.30.3

28、找到Eric发的邮件，根据提升打开附件的网页截图，找出暗网的url

B.	http://gunsjmzh2btr7lpy.onion

29、继续在收件箱中查找Eric与Gary的通信内容，在一封标题为“发票”的邮件中找到了疑似信息。

$1000

30、

VeraCrypt

31、在收件箱中查找Eric与Gary的通信内容，在一Re:学习制作网站的邮件中找到了疑似信息。可以导出这份邮件的三份图片附件

A.	c9fbfaf3c45492c40feb83a83217f146

32、做法同上

E.	4c57a45b8da5ea01e5eb7d875f94a7b8

B.	http://gunsjmzh2btr7lpy.onion

35、下载这种图片一般都是用浏览器下载，所以在取证结果 -> 上网记录 -> 下载记录里找线索

36、一个邮件包含三题答案

枪的结构图

37、

B.	http://mantech.mooo.com

38、

TCP 8000

39、把地址http://mantech.mooo.com:8000拉进FMP实时搜索，在“上网记录”一栏找到FireFox浏览器的最新访问信息。

C.	Mozilla Firefox

40、取证结果 -> 上网记录 -> FireFox -> 历史记录，以时间为关键字正序排序。得出嫌疑人第一次访问该私有网盘网址的准确时间。

B.	2017-10-30 12:42:09

41、取证结果 -> 上网记录 -> FireFox -> 下载记录，发现有三张图片被下载到了E:\2017-10-30，与题目吻合

Firefox

42、将关键字“invoice.zip”实时搜索，找到对应的文件，查看文件创建时间，得出答案。

E.	2017-10-31 12:18:54

43、将关键字“invoice.exe”实时搜索。题目要求我们得到的是文件最后存取日期，考虑到.exe文件一般不会被写，所以这个日期应该是最后的访问时间，在文件摘要中可以得到这一信息。

A.	2017-10-31 12:26:27

44、

pdf

45、为tmp目录下invoice.exe的访问时间。

B.	2017-10-31 12:50:34

46、

D.	(b), (c), (e) & (f)

47、将关键字“invoice.exe”实时搜索，然后在用户痕迹 -> 最近程序访问记录里面发现该程序被运行了五次。

48、导出invoice.zip之后，发现里面有pyc文件

Python

49、该题逆向动态调试可得

A.	KERNEL32.DLL

50、见43题

B.	2017-10-31 12:50:34

51、tmp为打开时生产的临时文件

后者是前者的复本

52、选项的网址拉进FMP实时搜索，发现C选项对应的网址是嫌疑人用火狐浏览器访问过的。

C.	http://223.17.250.208:6060/C&C/

53、在系统桌面上找找，结果发现一张screen.png，得到三题答案。

$10,000

54、

D.	1KcjhpknwGWh5QYgPx6hYGuzbZpewgBszh

55、

D.	\Users\Gary\Desktop\

youhao108

关注

2
点赞
踩
5

收藏

觉得还不错? 一键收藏
打赏
0
评论
“美亚杯”第三届中国电子数据取证大赛答案解析（个人赛）

“美亚杯”第三届中国电子数据取证大赛答案解析（个人赛）
复制链接

扫一扫

专栏目录

“美亚杯”第三届中国电子数据取证大赛答案解析（个人赛）

试题

答案解析

“相关推荐”对你有帮助么？