第一届“长安杯”电子数据取证竞赛答案解析

C

D

A

仿真后用uname -r查看

B

PV：psycial volume

VG：volume group

LV：logical volume

X-Ways检测的分区3、4是root和swap

C

LBA：Logical Block Address

D

应为分区4

C

D

39999->22 前面为主机端口，后面为docker（虚拟机）端口

B

C

A

C

D

D

B

C

C

D

B

对比images ID，发现是这个节点

B

查看选项中所有容器，最后在选项B对应容器中找到

A

直接过滤vue2得

C

同20题类似做法

D

X-Ways搜索文件内容192.168，任意打开一个文件查看

A

查看所有网络连接模式下的docker，只有bridge下有，Containers下面为具体docker

B

C

查看日志jrweb.log，其他ip无记录或可疑操作，其中嫌疑人的操作很可能是在试后台弱口令

C

C的内容更多

C

查看db.js

D

D

A

D

B

A

A

搜索关键词password

B

本来没思路，做了47题后得

D

A

A

B

 

D

过滤所有选项，发现只有D存在

C

A

查看登录日志wtmp

D

B

应为172.16.80.188

D

B

查看终端指令

D

查看终端指令

A

C为本地IP，B、D的IP数据包中未看到

B

128服务器只有we.tar.gz

D

B

仿真虚拟机，进入网站

C

B

根据69题的公钥文件