“美亚杯”第三届中国电子数据取证大赛答案解析（团体赛）

Questions

Gary被逮捕后,其计算机被没收并送至计算机取证实验室。经调查后，执法机关再逮捕一名疑犯Eric，并检取其家中计算机(window 8), 并而根据其家中计算机纪录, 执法机关再于其他地方取得一台与案有关的服务器,而该服务器内含四个硬盘。该服务器是运行LINUX 系统。

由于事件涉及Windows 7,8, LINUX及Mac IOS系统，故取证团队有可能需要使用相关系统之取证工具(105题,105分)

E01 Images

	1	被检取作法证检验的LINUX系统，共有四个硬盘，已经分别被制作为四个E01法证镜像文件(Forensic Images)，下列哪个不是它们的MD5哈希值(Hash value)?
	A.	2e4a6afe6b27188480d1b7b10e576f7c
x	B.	c961d814f99d45b3f54e8a1d48be8544
	C.	a88e671fc44940620e77a9342d311133
	D.	c961d814f23d45b3f54e6a1d48be8544
	E.	cf5c42018d93c3703f744c646e7f21ae

 

	2	上述四个法证镜像文件中，其中有一个法证镜像文件(Forensic Image)内含三个磁盘分区(Partition)。对于第三个(即最后一个)磁盘分区(Partition)而言，下列哪个是其起始磁区(Starting Sector)?
	A.	2048
	B.	1050624
	C.	51382271
x	D.	51382272
	E.	50331648

	3	上述磁盘分区(Partition)共占多少磁区(Starting Sector)?
x	A.	69924864
	B.	60058404
	C.	50331648
	D.	1048576
	E.	2048

	4	在上述第三个(即最后一个)磁盘分区(Partition)当中，储存了一个名为amons.mark的文件，下列哪项为其MD5哈希值(Hash value)
	A.	01daa9fb8d1cc386bffb0c25ff57d7ea
	B.	64394febb8fb82520164645ade7dbaa0
	C.	b69894efe2f03d43d95d98856ea21674
	D.	74c5d7a6500d63a0308f2fc54a03eb0d
x	E.	43309465540a069357182af1da438a07

	5	在上述第三个(即最后一个)磁盘分区(Partition)当中，储存了一个名为slackware-13.37-install-dvd.iso的文件，下列哪项为其MD5哈希值(Hash value)
	A.	01daa9fb8d1cc386bffb0c25ff57d7ea
x	B.	64394febb8fb82520164645ade7dbaa0
	C.	b69894efe2f03d43d95d98856ea21674
	D.	74c5d7a6500d63a0308f2fc54a03eb0d
	E.	43309465540a069357182af1da438a07

VM-HD1,2,3

RAID

	6	于上述四个法证镜像文件中，有三个硬盘共同组成一个独立磁盘冗余阵列RAID System。以磁区(sector)计算，该阵列(RAID)大小(size)是多少?
	A.	110051100
	B.	110049052
	C.	110049053
x	D.	120049664
	E.	120049663

组raid后，用fdisk -l查看硬盘及分区信息

	7	就该独立磁盘冗余阵列RAID System而言，下列哪项是其建立日期?
	A.	2017-09-05 10:06:55
	B.	2017-09-06 10:06:55
x	C.	2017-09-07 10:06:55
	D.	2017-09-08 10:06:55
	E.	2017-09-08 10:06:55

	8	就该独立磁盘冗余阵列RAID System而言，下列哪项是其UUID?
	A.	ae891891:ab1261bf:17f4b1e8:c1adaef6
	B.	ae891891:ac1261bf:27f4b1e8:c1adaef6
x	C.	ae891891:ad1261bf:37f4b1e8:c1adaef6
	D.	ae891891:ae1261bf:57f4b1e8:c1adaef6
	E.	ae891891:af1261bf:67f4b1e8:c1adaef6

	9	就该独立磁盘冗余阵列RAID System而言，是使用了下列哪种阵列配置排列(RAID LAYOUT)?
x	A.	left-symmetric
	B.	right-symmetric
	C.	pre-Lie algebra
	D.	rooted tree algebras
	E.	vertex algebras

	10	就该独立磁盘冗余阵列RAID System而言，是使用了下列哪种阵列级别(RAID LEVEL)?
	A.	RAID 0
	B.	RAID 1
x	C.	RAID 5
	D.	RAID 6
	E.	RAID 1 0

LVM

	11	此外，在该独立磁盘冗余阵列RAID System中，内含一个标示为逻辑分卷管理器Logical Volume Manager (LVM) 的磁盘分区(Partition)，此分区(Partition)共有多少个磁区(Sector)?
	A.	110051100
	B.	110049052
x	C.	110049053
	D.	120049664
	E.	120049663

磁区=end-start+1

	12	就上述逻辑分卷管理器Logical Volume Manager (LVM)而言，下列哪个是其仅有的物理卷Physical Volume (PV) UUID ?
	A.	l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
x	B.	ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
	C.	UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
	D.	eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
	E.	UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

pvdisplay

	13	在该物理卷Physical Volume (PV)中，下列哪个是其仅有的卷组 Volume Group (VG) 名称 ?
	A.	vol_vm_guests
x	B.	vol_vm_guest
	C.	vol_guest
	D.	lv_vm1
	E.	lv_vm2

	14	下列哪项是该卷组 Volume Group (VG) UUID ?
	A.	l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
	B.	ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
	C.	UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
x	D.	eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
	E.	UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

vgdisplay

	15	该卷组 Volume Group (VG)共有多少个LVM物理区域Physical Extent (PE)?
	A.	50
	B.	3210
	C.	3456
	D.	6666
x	E.	6716

	16	该卷组Volume Group (VG)共划分了多少个物理区域Physical Extent (PE)用了配置逻辑卷Logical Volume (LV)?
	A.	50
	B.	3210
	C.	3456
x	D.	6666
	E.	6716

	17	该卷组Volume Group (VG)还余下多少个物理区域Physical Extent (PE)未被配置使用?
x	A.	50
	B.	3210
	C.	3456
	D.	6666
	E.	6716

	18	就该卷组Volume Group (VG)而言，每个物理区域Physical Extent (PE)的大小(size)是多少?
	A.	1 MB
	B.	2 MB
	C.	4 MB
x	D.	8 MB
	E.	16 MB

	19	事实上，该卷组Volume Group (VG) 共配置了两个逻辑卷组Logical Volume (LV)，第一个逻辑卷组Logical Volume (LV) UUID是 ?
x	A.	l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
	B.	ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
	C.	UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
	D.	eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
	E.	UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

Lvdisplay

	20	上述第一个逻辑卷组Logical Volume (LV)的名称是什么 ?
	A.	/dev/loop0
	B.	vol_vm_guest
	C.	vol_guest
x	D.	lv_vm1
	E.	lv_vm2

	21	上述第一个逻辑卷组Logical Volume (LV)共占据了多少物理区域Physical Extent (PE) ?
	A.	50
x	B.	3210
	C.	3456
	D.	6666
	E.	6716

	22	上述第一个逻辑卷组Logical Volume (LV)的建立时间是什么 ?
	A.	2017-09-06 05:02:16 +0800
	B.	2017-09-07 05:02:16 +0800
x	C.	2017-09-08 05:02:16 +0800
	D.	2017-09-09 05:02:16 +0800
	E.	2017-09-10 05:02:16 +0800

	23	在上述第一个逻辑卷组Logical Volume (LV)当中，储存有一个名为duncan.mark的文件，下列哪项为其MD5哈希值(Hash value)?
	A.	01daa9fb8d1cc386bffb0c25ff57d7ea
x	B.	8da97369e625574d1d8145d49ca9b61c
	C.	b69894efe2f03d43d95d98856ea21674
	D.	74c5d7a6500d63a0308f2fc54a03eb0d
	E.	43309465540a069357182af1da438a07

使用dd if=/dev/mapper/vol_vm_guest-lv_vm1 of=/home/you/sdadisk.img创建镜像，导出后在取证大师中加载镜像

 

	24	在该卷组Volume Group (VG) 共配置了两个逻辑卷组Logical Volume (LV)，其中有一个逻辑卷组Logical Volume (LV)是用作运行Ubuntu 系统，该逻辑卷Logical Volume (LV) UUID是 什么?
	A.	l87QVT-6IjH-bVea-dM3H-OMtA-2y0I-yitBi9
	B.	ysHo03-FFL9-0Tfl-zOeO-O7fn-TPzX-2p4mu0
x	C.	UGpPyJ-lSUZ-eGJh-hrny-qPFY-UFUA-DfZ8mw
	D.	eSpqp3-OwnF-9ari-aEKV-IjRq-KjcY-kLz5Ul
	E.	UGpPyJ-lSUZ-eGJh-aEKV- OMtA-2y0I-yitBi9

	25	在上述逻辑卷组Logical Volume (LV)当中，储存有一个名为lora.mark的文件，下列哪项为其MD5哈希值(Hash value)?
	A.	01daa9fb8d1cc386bffb0c25ff57d7ea
	B.	8da97369e625574d1d8145d49ca9b61c
	C.	b69894efe2f03d43d95d98856ea21674
x	D.	74c5d7a6500d63a0308f2fc54a03eb0d
	E.	43309465540a069357182af1da438a07

同23题

Win8

	57	Eric的手提电脑内的虚拟机器己成功取证并制作成法证镜像文件 (Forensic Image)，下列哪个是其MD5哈希值。
	A.	0CFB3A0BB016165F1BDEB87EE9F710C9
x	B.	F4089F7DA826DF56654C7AAE32D583C2
	C.	A0BB016160CFB3A0BB0161661670CFB3
	D.	16160CFB3A0BB016166A0BB016166167
	E.	FB3A0BB016165 B016166 A0DF7FJE2EJ0

	58	根据上述法证镜像文件 (Forensic Image)的显示，Eric是使用的下列哪个虚拟机？
	A.	Parallel
	B.	Virtual Box
x	C.	VMware
	D.	KVM
	E.	Xen

	59	根据法证镜像文件(Forensic Image)，内有多少个硬盘分区？
	A.	1
x	B.	2
	C.	3
	D.	4
	E.	5

	60	请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是？  （答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC）
x	A.	2013-10-17 21:27 UTC
	B.	2013-11-14 02:11 UTC
	C.	2017-09-28 06:16 UTC
	D.	2017-10-02 02:10 UTC
	E.	2017-10-03 12:14 UTC

北京时间-8为UTC时间

	61	用户“IEUSER＂的SID是什么？
	A.	500
	B.	1000
x	C.	1001
	D.	1005
	E.	1007

	62	用户“IEUSER＂的最后登入日期？
	A.	2013-08-22
	B.	2017-10-28
	C.	2017-10-30
x	D.	2017-11-01
	E.	2017-11-02

	63	硬盘的操作系统是什么？
	A.	windows7
x	B.	windows8
	C.	windows10
	D.	Linux Red Hat 7.1
	E.	MAC OS X

	64	根据执法机关调查所得，Eric曾经对暗网进行资料搜寻，并储存于电脑上。根据Eric 电脑上资料，那些来自暗网(Dark Web)并与洋葱网域(.onion)有关的信息，存放于哪个文件?
x	A.	好东西
	B.	暗东西
	C.	坏东西
	D.	宝贝
	E.	你的宝贝

依据选项搜索关键词“东西”

	65	上述的文件，提及了多少条洋葱网域(.onion)的信息?
	A.	1
	B.	2
	C.	3
x	D.	4
	E.	5

	66	Eric 曾在其电脑使用浏览器Chrome，浏览过一些有关“如何学习PHP网页设计”的信息，下列哪项是相关的浏览记录?
x	A.	www.yiyada.com
	B.	www.hackdig.com/
	C.	www.carbonblack.com
	D.	www.antiy.com/
	E.	click.alibabacloud.com/

搜索关键词得

	67	Eric还曾在其电脑使用浏览器Chrome，搜集过一些有关勒索软件的信息，下列哪项不是相关的浏览记录?
	A.	www.hackdig.com/
	B.	click.aliyun.com/
x	C.	www.carbonblack.com
	D.	click.alibabacloud.com/
	E.	www.antiy.com/

将选项一个个带入搜索

	68	根据执法机关调查所得，Eric更在上述其中一个网站下载了相关的勒索软件信息，是一份名为“揭开勒索软件的真面目”的文件。根据Eric电脑记录，是从哪个网站下载的?
	A.	www.hackdig.com/
	B.	click.aliyun.com/
	C.	www.carbonblack.com
	D.	click.alibabacloud.com/
x	E.	www.antiy.com/

搜索关键词“揭开勒索软件的真面目”

	69	续上题，该份名为“揭开勒索软件的真面目”文件的MD5哈希值(Hash value)是什么?
	A.	9110c96baa70c00acd8fbdfe2dc7c397
	B.	0258646764b1cb36ca2570090062b65c
	C.	ce38881d8f63a00973e6324bc1bf9245
	D.	703899985d881e2d103eb4fd1306be2e
x	E.	84af8511ca9a66e79cfb28da0da2ee76

根据上题找到ransomware.pdf

	70	Eric 曾在其电脑制造勒索网站，下列哪项是相关网站的首页位置?
	A.	\Windows\C&C\
x	B.	\xampp\htdocs\C&C\
	C.	\xampp\apache\C&C\
	D.	\xampp\httpd\C&C\
	E.	\inetpub\wwwroot\C&C\

逐个搜索选项，发现只有B符合

	71	Eric 曾经收过一封有关mantech.mooo.com信息之电邮，标题为"你的东西到了"，根据Eric计算机记录，下列那个是发信人电邮地址之域名(Domain Name)?
x	A.	guerrillamail.com
	B.	guerrillomail.com
	C.	guerrillbmail.com
	D.	guerrillcmail.com
	E.	guerrilldmail.com

	72	该封有关mantech.mooo.com信息的电邮，曾提及一个密码(Password)，是什么?
	A.	Fewer@4
	B.	Much@5
	C.	Less@6
x	D.	More@6
	E.	Echo@7

	73	该封有关mantech.mooo.com信息的电邮，曾提及其相关连接埠，是多少?
	A.	11000及18000
	B.	10800及18000
	C.	16000及18000
	D.	17000及18000
x	E.	17001 及18000

	74	此外,亦有另一封有关mantech.mooo.com信息之电邮，曾提及一个云盘，而其相关端口，是多少?
x	A.	8000
	B.	8001
	C.	9000
	D.	9002
	E.	11000

	75	Eric 曾经收过一封标题“你要的宝贝到了”的电邮，根据Eric电脑记录，下列哪个是发信人电邮地址(不包括域名)?
x	A.	8xhbjn+3u2w1yitqmaws
	B.	8xhbjn+3u2w1yitqmows
	C.	8xhbjn+3u2w1yitqmbws
	D.	8xhbjn+3u2w1yitqmsws
	E.	8xhbjn+3u2w1yitqmtws

	76	上述该封标题“你要的宝贝到了”的电邮，附有一个电邮附件，详述了如何编写勒索软件。有关资料的提供者是谁?
	A.	Dave Ken
x	B.	Amit Serper
	C.	Amit Perper
	D.	Chris Kennedy
	E.	David Kennedy

宝贝.zip文件是加密的，爆破得密码23456

	77	上述电邮附件，还提及过编写勒索软件相关原始码(Program Code)，其中显示Advanced Encryption Standard (AES)加密方法字眼的图片，其MD5哈希值(Hash value)是什么?
	A.	a93a6572335e37863f5d611293c6660
	B.	95c60bbc1cb267f85e51f99c2c9646f5
x	C.	0e20d5f091eac98f6e196dcda2c73837
	D.	ee2b59e91e829e3b3d350d8c14306dcb
	E.	f4b881e8a08d4bd40c5ee96ab3580bc8

 

	78	在个人竞赛中，Gary曾经收到一封来自电邮帐号 eric_wang99@outlook.com 的电邮，附加有三张与Apple iCloud有关的钓鱼网站相片。现经执法机关调查后，得知此电邮的发信人就是Eric。在Eric的电脑中，在哪位置可以找到电邮?
	A.	\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyi44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
x	B.	\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyk44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
	C.	\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyl44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
	D	\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoym44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\
	E.	\Users\IEUser\AppData\Roaming\Thunderbird\Profiles\szoyn44h.default\ImapMail\imap-mail.outlook.com\Sent-1\网站价钱\

搜索“网站价钱”，再跳转源文件得

	79	续上题，在Eric的电脑中，在哪位置可以找到上述钓鱼网站资料?
	A.	\inetpub\wwwroot\itunes\itones\
	B.	\inetpub\wwwroot\itunes\itenes\
	C.	\inetpub\wwwroot\itunes\itanes\
x	D.	\inetpub\wwwroot\itunes\itunes\   inetpub是iis的安装有关
	E.	\inetpub\wwwroot\itunes\itumes\

搜索inetpub\wwwroot\itunes得

	80	Eric电脑储存了一个icloud 数据库供上述钓鱼网站所使用，根据相关记录，有多少IP地址是“登陆成功”?
	A.	13
	B.	14
	C.	15
x	D.	16
	E.	17

在数据库文件中找到，导出后查看即可

	81	根据执法机关调查所得，Eric是使用一个文件传输软件，进行网上远端文件存取，以逃避执法机关追查。下列哪个是相关软件。
	A.	vsftp
	B.	gftp
	C.	ProFTP
x	D.	Filezilla
	E.	Fire-FTP

在安装软件中查找

	82	上述文件传输软件相关的传输日志是储存在哪里?
x	A.	Users\IEUser\Pictures\log\
	B.	Users\IEUser\Documents\
	C.	Users\IEUser\Pictures\log\
	D.	Users\IEUser\Music\
	E.	Program Files\

搜索每个选项得

	83	根据上述相关文件的传输日志显示，能成功登入的用户，有以下哪个用户?  (请选择其中一项)
	i	amons
	ii	duncan
	iii	lora
	iv	warrior
	v	eric
	A.	i 及 ii
	B.	i, iii及 v
	C.	i, iv及 v
x	D.	i, iii 及 iv
	E.	只有iv

导出文件后搜索

	84	根据上述成功登入的日志记录，该传输服务器的网址是什么?  (请选择其中一项)
	A.	http://mantech.mooo.com:8000
	B.	http://mantech.mooo.com:9000
	C.	http://mantech.mooo.com:17001
	D.	http://mantech.mooo.com:18000
x	E.	http://mantech.mooo.com:18001

文件内搜索mantech.mooo.com

	85	根据上述相关文件的传输日志显示，能成功从服务器下载文件的用户，是以下哪个用户?
x	A.	amons
	B.	duncan
	C.	lora
	D.	warrior
	E.	eric

文件内搜索“下载”

	86	根据上述相关文件的传输日志显示，用户是使用了什么传输网址最后成功从服务器下载文件?
	A.	http://mantech.mooo.com:8000
x	B.	http://mantech.mooo.com:9000
	C.	http://mantech.mooo.com:17001
	D.	http://mantech.mooo.com:18000
	E.	http://mantech.mooo.com:18001

	87	根据Eric电脑的浏览网页记录，他是何时浏览私有云盘http://mantech.mooo.com:8000?
	A.	2017-10-29
x	B.	2017-10-30
	C	2017-10-31
	D.	2017-11-01
	E.	2017-11-02

直接搜索http://mantech.mooo.com:8000

Win8 – Memory（内存取证）

	88	执法机关曾在Eric的电脑进行现场搜证并检取其虚拟内存，放在下列位置中: Users\IEUser\Desktop\RAM\ , 文件名称:Memory.vmem。下列哪项是其MD5哈希值?
	A.	3A70A392F8FF1DE83F8CAE94C4E71427
	B.	5F1BDEB87EE9F710C90CFB3A0BB01616
	C.	F68778AE77C4E4B88212B179C4622FC4
	D.	16160CFB3A0BB016166A0BB016166167
x	E.	FD3AFD63F34F167EAD59CD66B08ADEBF

	89	在该段内存中，共运行了多少个进程(以独立程序ID计算)？
	A.	16
	B.	25
	C.	48
x	D.	54
	E.	62

用取证大师内存解析工具得

	90	就进程w3wp.exe而言，下列哪项是该程序产生次序？
	A.	wininit.exe >services.exe  > w3wp.exe > svchost.exe
	B.	smss.exe >services.exe  > svchost.exe > w3wp.exe
x	C.	wininit.exe >services.exe  > svchost.exe > w3wp.exe
	D.	csrss.exe >> svchost.exe  > services.exe  > w3wp.exe
	E.	System >services.exe  > svchost.exe > w3wp.exe

依次找到进程看父进程编号即可推导

	91	根据调查资料，Eric总是使用filezilla软件上传/下载文件。filezilla的程序ID是什么？
	A.	4
	B.	780
	C.	820
x	D.	3096
	E.	3228

 

	92	上述filezilla进程的父程序(Parent PID) 是什么？
	A.	516
	B.	1536
	C.	1676
	D.	2284
x	E.	3124

	93	你知道程序ID:3932是什么进程(process)吗？
	A.	winlogon.exe
x	B.	QQBrowser.exe
	C.	QQProtect.exe
	D.	svchost.exe
	E.	chrome.exe

	94	请从该段内存中提取(Extract)上述filezilla进程的原来执行档 - filezilla.exe文件，并计算其md5哈希值(hash value)。下列哪行是该md5哈希值?
	A.	43502d07de3d31f05f1623b76c47a58e
x	B.	7cac848d4a36e5c5d3773b4cd213fab4
	C.	2717eae9129e3943d33c639825654425
	D.	98eb240853589172c82e3d7935e9b7ba
	E.	147fc1da6b0a752be633dcb20553450

此题运用kali自带的Volatility

首先查看内存的Profiles

再查找filezilla.exe

最后导出并计算哈希

	95	根据上述的取回的文件filezilla.exe，它在执行时会呼叫多少个动态连结函式库(Dynamic Linked Library)?
	A.	32
	B.	56
	C.	73
x	D.	82
	E.	98

	96	在Eric的电脑中，还储存有一个同名的文件filezilla.exe，你能找到该文件的md5哈希值(hash value)吗？
	A.	43502d07de3d31f05f1623b76c47a58e
	B.	7cac848d4a36e5c5d3773b4cd213fab4
x	C.	2717eae9129e3943d33c639825654425
	D.	98eb240853589172c82e3d7935e9b7ba
	E.	147fc1da6b0a752be633dcb20553450

 

	97	该段内存中有多少个连接埠与svchost.exe 有关?
	A.	3
	B.	4
	C.	5
	D.	6
	E.	7

A