溯源取证-Chromebook数字取证 基础篇

学习目标：
此次学习的主要目标是学习如何检查Chromebook文件系统

实验环境：
windows 10
kali linux

使用工具：
CLEAPP
链接: https://github.com/markmckinnon/cLeapp/releases/tag/v1.0

1.The folder to store all your data in - How many files are in Eli’s downloads directory?
Eli用户的下载目录中有多少文件？

/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Downloads/
此目录包含用户下载的文件和文件夹。在 Chrome OS 中，用户可以通过内置的下载管理器来下载文件，并将其保存到特定目录中。

2.Smile for the camera - What is the MD5 hash of the user’s profile photo?
用户个人资料照片的MD5哈希是多少？
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Accounts/Avatar Images/
此目录包含用户的 Avatar 图像。在 Chrome OS 中，用户可以自定义其用户名和 Avatar 图像。​

3.Road Trip! - What city was Eli’s destination in?
Eli的目的地是哪个城市？
/c78-Chromebook/Takeout/My Activity/Maps/
此目录包含 Google Maps 应用程序的数据文件。在 Chrome OS 中，用户可以使用 Google Maps 应用程序来导航、查找地点和浏览地图。​

或者
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Downloads/
在 Chrome OS 中，用户可以使用“设置”应用程序更改默认下载目录。默认情况下，下载文件通常保存在“/decrypted/mount/user/Downloads/”目录中​


4.Promise Me - How many promises does Wickr make?
Wickr 许了多少个承诺？
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Downloads/
在 Chrome OS 中，用户可以使用“设置”应用程序更改默认下载目录。默认情况下，下载文件通常保存在“/decrypted/mount/user/Downloads/”目录中​

5.Key-ty Cat - What are the last five characters of the key for the Tabby Cat extension?
Key-ty Cat-Tabby Cat扩展的密钥的最后五个字符是什么？
在谷歌或者是火狐搜索一下Cat-Tabby ，然后安装，查看一下安装之后的文件夹扩展名


全局搜索mefhakmgclhhfbdadeojlkbllmecialg

/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Extensions/mefhakmgclhhfbdadeojlkbllmecialg/2.0.0_0/
该​目录是一个备份目录，用于存储用户安装和配置的应用程序和扩展程序的备份版本，以便在系统崩溃或出现其他问题时，可以恢复用户配置。


6.Time to jam out - How many songs does Eli have downloaded?
Eli 下载了多少首歌？
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/MyFiles/Music/
这个目录是用来存储用户音乐文件的

7.Autofill, roll out - Which word was Autofilled the most?
哪个单词自动填充最多？
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/
该​目录就是用于存储解密后的云存储桶中的数据，以便用户能够方便地访问和编辑这些文件。



或者使用cleapp工具



8.Dress for success - What is this bird’s image’s logical size in bytes?
这只鸟的图像的逻辑大小（以字节为单位）是多少？
应该是企鹅图片
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Downloads/

9.Repeat customer - What was Eli’s top visited site?
Eli访问量最大的网站是什么？

10.Vroom Vroom, What is the name of the car-related theme?
Vroom Vroom，与汽车相关的主题叫什么名字？
其实就是安装了个主题，全局搜索theme


而后返回到主题插件
/c78-Chromebook/2021 CTF - Chromebook/decrypted/mount/user/Extensions/dkkklbgbfaeockpgbkleblklmcjdbnbj/1_0/


11.You got mail - How many emails were received from notification@service.tiktok.com?
收到了多少封来自notification@service.tiktok.com?
/c78-Chromebook/Takeout/Mail/
该目录存储了用户的电子邮件帐户信息，包括电子邮件地址、电子邮件账户设置和电子邮件草稿等。​


12.Hungry for directions - Where did the user request directions to on Mar 4, 2021, at 4:15:18 AM EDT
用户在2021 3月4日凌晨4:15:18 访问了关于什么的事项
/c78-Chromebook/Takeout/My Activity/Maps/
该​目录存储了用户的活动数据和地图数据。这些数据包括用户浏览的网页、搜索记录、书签等，以及用户所使用的地图应用程序的数据，例如路线、地点和地图样式等。


13.Who defines essential? - What was searched on Mar 4, 2021, at 4:09:35 AM EDT
2021 3月4日凌晨4:09:35搜索到的内容是什么
/c78-Chromebook/Takeout/My Activity/Search/
该​目录存储了用户在其 Chrome 浏览器中的搜索历史记录和搜索记录。这些记录包括用户搜索的关键词、搜索时间、搜索网站等。

14.I got three subscribers, and counting - How many YouYube channels is the user subscribed to?
用户订阅了多少YouYube频道？
/c78-Chromebook/Takeout/YouTube and YouTube Music/subscriptions/
该​目录存储了用户在其 YouTube 平台上订阅的内容，包括频道、歌曲和视频等。


15.Time flies when you’re watching YT - What date was the first YouTube video the user watched uploaded?
用户观看的第一段YouTube视频上传的日期是什么时候？
/c78-Chromebook/Takeout/My Activity/YouTube/
该​目录存储了用户在其 YouTube 平台上的活动数据和视频订阅信息，例如用户搜索、观看和收藏的视频，以及用户的 YouTube 订阅列表和频道等。


访问

时间对不上了，其实是 1月27日
或者
/c78-Chromebook/Takeout/YouTube and YouTube Music/history/


16.How much? - What is the price of the belt?
皮带的价格是多少？
/c78-Chromebook/Takeout/My Activity/Chrome/
该​目录存储了用户在其 Chrome 浏览器中的活动数据和书签等个人信息，例如用户浏览的网页、搜索记录、书签等。