2023美亚杯个人赛复盘

最新推荐文章于 2024-06-14 12:57:09 发布

Y111eason

最新推荐文章于 2024-06-14 12:57:09 发布

阅读量2.3k

点赞数 31

分类专栏：取证文章标签： postgresql 数据库

本文链接：https://blog.csdn.net/zzy_yiiiii/article/details/134793590

版权

取证专栏收录该内容

7 篇文章 1 订阅

订阅专栏

李大辉手机

1. 参考'Android.bin'回答以下题目，李大辉所用手机移动运营商公司的名称。提示:请所有字母都用大写英文

DUCK

my：MOBILE DUCK

比赛时，找对位置了，对运营商有点歧义

2. 参考'Android.bin'回答以下题目，李大辉的手机安装了什么即时通讯软件 (Instant Messaging App)？

A. WhatsApp

B. LINE

C. 微信

D. Signal

E. QQ

my：c

比赛时急了，其实看看通讯记录的数量也可以得出答案的

3. 参考'Android.bin'回答以下题目李大辉的手机安装了什么反追踪软件？提示: 所有答案字母都用小写字母并用xxx_xxx_xxxxxxx_xxxxxx_xxxx格式作答

air_tag_tracker_detect_lite

没做出来，但镜像里好像也没有和这个软件相关的信息，是一点也没有。

4. [单选题] 李大辉的手机是什么时间成功登入WhatsApp？ (2分)C

A. 2022-08-18_21:52:30
B. 2022-08-19_21:56:23
C. 2022-08-18_21:56:37
D. 2022-08-19_06:59:07
E. 2022-08-19_07:01:17

5. 参考'Android.bin'回答以下题目，李大辉登入WHATSAPP时的认证短码是什么？提示: 请以阿拉伯数字作答

304313

上题图

6. 参考'Android.bin'回答以下题目，李大辉到美丽好化妆品公司的入职时间是何时？

A. 2016-04-16

B. 2016-06-28

C. 2017-05-25

D. 2017-07-25

E. 2017-08-18

比赛时文件的筛选没做到位

7. 参考'Android.bin'回答以下题目，李大辉曾于什么时间使用了图像编辑软件？

A. 2022-09-10

B. 2022-09-12

C. 2022-10-05

D. 2022-11-10

E. 2022-11-13

先搜搜editor然后定位到可疑的信息处，但是对比发现时间没一个对得上的，额

VPN

8. 参考Server文件夹下的'Meiya_VPN.vmdk'回答以下题目，这个访问服务器使用了哪个端口？提示: 请用阿拉伯数字作答

943

9. 参考Server文件夹下的'Meiya_VPN.vmdk'回答以下题目，“User1”账户最近连接到这个访问服务器时使用的IP地址是多少？提示: 用IPV4 格式回答

192.166.244.167

直接将日志导出搜索即可，这openvpn-as的日志地址在/var/log/中

10. [多选题]参考Server文件夹下的'Meiya_VPN.vmdk'回答以下题目，哪些文件可以找出这个访问服务器的Ubuntu版本？

A. lsb-release

B. issue.net

C. .profile

D. console

直接搜索即可

11、的'Meiya_VPN.vmdk'回答以下题目，哪些文件有助于分辨这是一个存储服务器？

A. auth.log

B. sys.log

C. bash_history

D. idconfig

这是有关用户的登录信息

这包是有相关信息的

两个文件都是空的，但是

所以通过命令也可以推断服务器的类型

D.不是文件，感觉像是出错了？

12. 参考Server文件夹下的'Meiya_VPN.vmdk'回答以下题目这个访问服务器所在时区是哪个时区？

A. UTC +9

B. UTC +8

C. UTC -7

D. UTC

13. 参考Server文件夹下的 ' Meiya_VPN.vmdk ' 回答以下题目，这个访问服务器的“openvpn”帐户密码是多少？提示:请用大写字母与阿拉伯数字作答

TLFAG6L6DSSC

具体区分是哪个密码，有两种方法：1.通过之前p9的IP地址可以推断是前者，毕竟网络号是相同的

2.还有就是通过仿真可以，查看日志文件来获取密码

14. 参考Server文件夹下的 ' Meiya_VPN.vmdk '回答以下题目，在这个访问服务器中，“User1”账户之间的连接所使用的加密算法（密码）是什么？

A. Blowfish-CBC

B. 3DES-CBC

C. AES-128-GCM

D. AES-256-CBC

user1.ovpn会存放和用户会话有关的配置信息

流量分析

15. 参考' 网络题目.pcapng ' 文件回答以下题目，给出正在进行Nmap扫描的计算机互联网协议地址？提示: 以IPV4格式给出答案

192.168.186.132

16. 参考'网络题目.pcapng'文件回答以下题目，有多少个Nmap扫描正在同时进行？提示:请给出阿拉伯数字作答

不太明白，就知道tcp扫描了8.8.8.8，udp扫描了45.33.32.156

流量分析太差劲了

17. 参考'网络题目.pcapng'文件回答以下题目，当计算机正在扫瞄8.8.8.8，namp相关的指令是什么？

A. nmap -sT 8.8.8.8

B. nmap -sU 8.8.8.8

C. nmap -sn -PR 8.8.8.8

D. nmap -sn -PU 8.8.8.8

18. 参考'网络题目.pcapng'文件回答以下题目，当计算机正在扫瞄45.33.32.156，namp相关的指令是什么？

A. nmap -sT 45.33.32.156

B. nmap -sU 45.33.32.156

C. nmap -sn -45.33.32.156

D. nmap -sn -45.33.32.156

如上图

19.国强被指派设定一个 DHCP 服务器, 该服务器需借出最后 100 个的 IP 地址, 以下哪个 IP 地址会是被借出的 IP 地址?

A. 10.1.4.255

B. 10.1.4.100

C. 10.1.4.254

D. 10.1.4.1

最近上了计网，对于IP的理解有了进一步的认识，A是回环地址不选，最后100自然就到了倒数第二大的C了

20.以下那个协议是属于 TCP/IP 协议?

A. i & iii

B. ii & iv

C. 所有皆是 (All answers belong to TCP/IP protocol)

D. 所有皆否(All answers don’t belong to TCP/IP protocol)

直接搜

21.浩贤为一间公司的网络管理员, 他需要把一个路由器作出以下设定

1) 允许 192.168.26.3 连上互联网 2) 允许 192.168.26.2 作 UDP 连接

现在浩贤把路由器作以下设定:-

access-list 119 deny udp any any

access-list 121 permit udp host 192.168.26.2 any

access-list 120 deny tcp any any

access-list 122 permit tcp host 192.168.26.3 eq www any

access-list 123 permit tcp any eq ftp any

志伟是浩贤的主管, 他发现浩贤的设定错误, 浩贤应作怎样的更正?

A. 'access-list 123 permit tcp any eq ftp any' 更正为 'access-list 123 permit udp any eq ftp any '

B. 'access-list 122 permit tcp host 192.168.26.3 eq www any' 更正为 'access-list 122 permit udp host 192.168.26.3 eq www any'

C. 删除 'access-list 120 deny tcp any any' 与 'access-list 119 deny udp any any'

D. 删除 'access-list 123 permit tcp any eq ftp any'

这题没学过ACL的很容易错，ACL的编写顺序有点独特，简单的来说就是要把具体规则放前面，通用规则放后面，上题中的错误会把tcp和udp服务直接断掉

22.根据以下ping指令的结果, 你会估计 192.168.186.132 是哪一个操作系统

Ping 192.168.186.132 (使用 32 字节的数据):

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

192.168.186.132 的 Ping 统计资料:

封包: 已传送 = 4, 已收到 = 4, 已遗失 = 0 (0% 遗失),

大约的来回时间 (毫秒):

最小值 = 0ms, 最大值 = 0ms, 平均 = 0ms

A. Linux

B. Windows XP

C. Windows 7

D. iOS 12.4 (Cisco Routers)

一般linux的TTL为64

23.当使用nmap扫描目标后, Nmap 内出现以下信息 "Note: Host seems down. If it is really up, but blocking our ping probes" (主机似乎关机. 如果它是开启的, 它正在阻挡 ping 探测.) 应用哪一个指令找出开放的端口?

A. nmap -sT

B. nmap -sN

C. nmap -sX

D. nmap -Pn

24.以下哪一个Nmap指令可以减低被侦测的可能性.

A. nmap -sT -O -T5

B. nmap -sT -O -T0

C. nmap sU

D. nmap -A --host-timeout 99-T1

T0是最慢速的扫描

计算机（MacOs）

25. Apple 计算机的硬盘可以使用以下分区方案

A. Apple Partition Map

B. GUID Partition Table

C. Master Boot Record

D. All of the above

26.Mac OS.img 文件中可以找到多少个符号链接?

A. 0

B. 1

C. 2

D. 3

说是用Mos虚拟机挂载后就可以直接看到了

里面就一条是alias（软链接）

27.在 Mac OS.img 档中使用了哪种分区方案?

A. Apple Partition Map

B. GUID Partition Table

C. Master Boot Record

D. HFS+

用x-ways可以很快得知分区

28.Mac OS.img 档的文件系统的正确描述是什么?¶

A. HFS+(已启用日志记录)

B. HFS+(已启用区分大小写)

C. HFS+(已启用日志记录和区分大小写)

D. APFS(已启用区分大小写)

光标处journaled值为true可以推断日志记录已开启，同时结合上面的HFSJ(一种HFS+的变体？可能吧，没有确切的资料)

29.从文件 Car.rtfd 中删除了哪个文件?

yeah.jpg

结合x-ways和火眼可以推断删除的文件

DocumentRevisions-V100 是 Apple 在 OSX Lion 中引入的内部版本控制系统. 它基本上每次保存时都会保存文件的历史副本, 类似 git. 通过V100里的两个文件夹也可以推断出

30.请提供 Mac OS.img 映像文件被 fsck 命令检查的具体时间.

fsck 是个检查和修复文件系统错误的命令,不会

31.在 .img 档中删除了多少个文件?

A. 1

B. 2

C. 3

D. 4

直接看trashes文件夹

看了别人的wp才了解到，这个img镜像是一个HFSJ分区，一个USB闪存驱动，因此没有一个完整的操作系统，无法杯火眼识别。

windows

32. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，Elvis Chui 总共登入过该计算机多少次？提示: 请以阿拉伯数字作答

33. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，该计算机的操作系统是在哪一个时区？

A. UTC +4

B. UTC +8

C. UTC -8

D. UTC -4

34. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，该计算机的操作系统于何时安装？

A. 2023-07-13 19:18:14

B. 2023-07-13 11:18:14

C. 2023-07-13 03:18:14

D. 2023-07-12 19:18:14

35. [多选题]参考'Window Artifacts.E01'内的Windows注册表回答以下题目，哪(几)个程序会于操作系统启动时自动执行？

A. Avast

B. Steam

C. OneDrive

D. QQ

36. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，该计算机内安装了以下哪一个程序？

A. QQ

B. WPS Office

C. Opera

D. Kaspersky

37. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，计算机内的OneDrive程序版本是什么？

21.220.1024.0005

38. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，计算机有一个正在连接的网络接口，该接口连接DHCP服务器的IP地址是多少？提示: 以 IPV4格式回答

192.168.88.254

39. 参考'Window Artifacts.E01'内的Windows注册表回答以下题目，该计算机何时连接过一只U盘？(以计算机系统时区回答)

A. 2023-07-13 11:48:26

B. 2023-07-13 03:48:29

C. 2023-07-12 19:48:29

D. 2023-07-13 11:48:29

40. [多选题]参考'Window Artifacts.E01'回答以下题目，Elvis Chui 将哪几个文本文件放在回收站中？

A. $+D10I76A74P.txt

B. Holiday schedule 2023-07-16.txt

C. Holiday schedule 2023-07-13.txt

D. Minute on 2023-07-01.txt

E. Minute on 2023-07-10.txt

41. 参考'Window Artifacts.E01'回答以下题目，Elvis Chui在什么时间删除了第一个文本文件？(以计算机系统时区回答)

A. 2023-07-13 11:50:15

B. 2023-07-13 03:49:45

C. 2023-07-13 03:50:15

D. 2023-07-13 11:49:45

42. 参考 ' Window Artifacts.E01 '回答以下题目，Elvis Chui删除的第一个文本文件的文件名是什么？提示: 请用小写字母回答及需列明文件格式。如文件名字内有空格位置，请用_标示。例如: go_to_school.docx

holiday_schedule_2023-07-16.txt

43. 参考'Window Artifacts.E01'回答以下题目，Elvis Chui删除的第一个文本文件在什么时间创建？(以计算机系统时区回答)

A. 2023-07-13_11:42:39

B. 2023-07-13_11:50:49

C. 2023-07-13_11:49:45

D. 2023-07-13_11:45:22

44. 参考'Window Artifacts.E01'回答以下题目，Elvis Chui计划于2023年7月15日20点5分有什么活动？提示: 答案请与文件内的文字大小写相同

Movie

45. 参考'Window Artifacts.E01'回答以下题目，该计算机执行STEAM.EXE总共多少次？提示: 请用阿拉伯数字作答

理论题

46.一个名为 Account 的数据库表拥有 5 个列, 以下哪一个指令会产生错误讯息?

A. SELECT * from Account WHERE name=‘Alex’ OR ‘1’=1

B. SELECT * FROM Account WHERE name=‘Bill’ UNION SELECT NULL, NULL, NULL, NULL

C. SELECT * from Account WHERE name=‘Candy’ ORDER BY 6

D. SELECT name FROM sys.tables

超过上限了

47.当客户端收到一个页面请求的 HTTP 状态代码为 304 时, 以下哪种情况最有可能发生?

A. 页面将显示错误

B. 页面将从浏览器缓存中加载

C. 浏览器将显示“访问被拒绝”

D. 服务器将复位向客户端到另一个资源

304和上一次请求的内容相同，因此会从浏览器的存缓中加载

48.在 HTML 注入攻击中, 以下哪种情况最有可能出现?

A. <form action="http://1.2.3.4/login.htm">Password:<input type="password" name="pword"> </form>

B. <embed src="http://demo.com/demo.swf"> </embed>

C. <script>alert(‘Correct’)</script>

D. <?php include(“inc/" .$_GET[‘file’]；?>

49.如何预防 HTML 注入攻击?

A. 密钥管理

B. 同源策略执行

C. 会话验证

D. 输入过滤

50.同源策略在浏览器内存中提供 Web 应用程序安全的目的是什么?

A. 防止客户端访问恶意网站

B. 禁止 Web 会话运行外部脚本

C. 控制来自不同服务器的代码之间的交互

D. 阻止浏览器运行危险或有害的脚本

51.编写 Nmap 命令以显示以下结果.

Starting Nmap 7.94 (https://nmap.org) at 2023-07-11 18:26 中国标准时间
Nmap scan report for www.baidu.com (220.181.38.149)
Host is up (0.044s latency).
Other addresses for www.baidu.com (not scanned): 220.181.38.150

Not shown: 998 filtered tcp ports (no-response)
PORT          STATE            SERVICE
80/tcp           open                http
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/
|_/homepage/  /cpro /
443/tcp     open             https
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/
|_/homepage/  /cpro /

Nmap done: 1 IP address (1 host up) scanned in 6.01 seconds

nmap -p 80,443 --script http-robots.txt www.baidu.com

52.除了使用 Nmap, 还有其他方法可以验证上述结果, 其中一种方法是使用 Web 浏览器浏览 URL, 编写 URL 以显示上述结果.

www.baidu.com/robots.txt

手机（IOS）

53.根据 com.apple.ios.StoreKitUIService.plist, 这部电话是什么型号?

A. SAMSUNG S23

B. iPhone X

C. iPhone XR

D. iPhone XS

E. iPhone 13

54. 参考'IOS'文件夹回答以下题目，根据com.apple.ios.StoreKitUIService.plist，上述电话的文件系统是什么？

A. FAT32

B. NTFS

C. HFS+

D. APFS

E. EXT4

55. [多选题]参考'IOS'文件夹回答以下题目，根据ChatStorage.sqlite，哪些对话已锁定？

A. 447380449879@.whatsapp.net

B. 79096209701@.whatsapp.net

C. 923109725619@.whatsapp.net

D. 85256026169@.whatsapp.net

E. status@broadcast

数据库有了但是里面字段的具体含义有待推敲

56. 参考'IOS'文件夹回答以下题目，根据ChatStorage.sqlite，有多少段录音对话？提示: 请以阿拉伯数字作答

57. 参考'IOS'文件夹回答以下题目，Apple Cocoa Core Data timestamp是由什么时间开始？

A. 2001年1月1日

B. 1970年1月1日

C. 2006年1月1日

D. 1960年1月1日

58. 参考'IOS'文件夹回答以下题目，根据Photos.sqlite数据库中，有多少段视频可能涉及WhatsApp？提示: 请以阿拉伯数字作答

只能说是ios的基础知识吧

59. [多选题]参考'IOS'文件夹回答以下题目，根据Photos.sqlite数据库中，下列哪个选项对IMG_0008.HEIC的描述是错的？

A. 由第三方软件拍摄

B. 经过修改

C. 由后镜拍摄

D. 用ISO200拍摄

E. 没有储存经纬度

感觉答案有些问题，从从表ZASSET中可以得知关键照片的Z_PK，然后在ZEXTENDEDATTRIBUTES表中可以得知对应照片的相关属性，是否被修改过看不出

60. 参考'IOS'文件夹回答以下题目，根据'sms(ios).db'的资料，全局唯一标识符(GUID): DD31C26F-1D72-DE0F-431E-EF98F104402D显示的信息是什么? 提示:答案需要与信息一样(答案包括中文字、阿拉伯数字与符号)

你的 Uber 驗證碼為 3666. 請勿分享此驗證碼.

61. [多选题]参考'IOS'资料夹回答以下题目，根据'com.burbn.instagram.plist'及'com.facebook.Facebook.plist'手机安装了实时通讯软件Facebook及Instagram的哪个版本？

A. Instagram (Version 278.0.0.19.115)

B. Facebook (Version 410.0.0.41.116)

C. Instagram (Version 279.0.0.23.112)

D. Facebook (Version 410.0.0.26.115)

E. Instagram (Version 278.0.0.25.115)

F. Facebook (Version 410.0.0.57.116)

62. 参考'IOS'文件夹回答以下题目，根据'ChatStorage(ios).sqlite'，用户数据Peter Chow (85262012141)在什么日期和时间(以UTC +8时区)曾经通过实时通讯软件送出一个信息(内容为: I am already home)？提示:以UTC +8时区作答,并以YYYY-MM-DD_HH:MM:SS格式作答例如:2023-01-01_10:01:01 (答案无需输入UTC +8)

2023-04-01_11:21:51

63. 参考' IOS'文件夹回答以下题目，根据影片IMG_0687.MOV的原数据，找出影片拍摄时间? 提示:以UTC +8时区作答,并以YYYY-MM-DD_HH:MM:SS格式作答例如:2023-01-01_10:01:01 (答案无需输入UTC +8)

2023-06-06_18:11:29

有疑问

64. 参考'IOS'文件夹回答以下题目，根据'CallHistory(ios).storedata'，哪份表格显示了通话记录？

A. ZCALLBPROPERTIES

B. ZCALLRECORD

C. Z_2REMOTEPARTICIPANTHANDLES

D. Z_METADATA

E. Z_MODELCACHE

F. Z_PRIMARYKEY

65. 参考' IOS ' 文件夹回答以下题目，根据'com.apple.sharingd.plist'，这部手机的隔空投送的身份标识号(AirDrop ID)是什么？提示:请以阿拉伯数字与小写字母作答

2abd0940fbdc

66. 参考'IOS'文件夹回答以下题目，根据'Accounts3.sqlite'，这部手机的苹果使用者账号 (Apple ID) 是什么？提示:请以电邮格式作答(例:jack2023@hotmail.com)

foratcd2023@gmail.com

理论题

67.哪一行代码的是负责更新在 GitHub 使用中的 .journal 文件的更新历史记录?

line 1 git config --global user.name "mikesezto"
line 2 git config --global user.email "smike@general.org"
line 3
line 4 cd which-truth
line 5 rm .journal
line 6
line 7 git add .journal
line 8 git commit -m "Remove sensitive data"
line 9 git push
line 10
line 11 git clone --mirror http://github.com/smike/which-truth
line 12
line 13 java -jar bfg.jar --delete-files .journal which-truth
line 14 cd which-truth
line 15 git reflog expire --expire=now --all
line 16 git gc --prune=now --aggressive
line 17 git push --force

A. 08

B. 13

C. 16

D. 17

68.下列哪一行 AWS S3 Bucket 授权策略中的设置有问题?

line 1 {
line 2   "Version": "2020-11-12", 
line 3   "Statement": [
line 4       {
line 5         "Sid": "PublicReadGetObject", 
line 6         "Effect": "Allow", 
line 7         "Principal": "*", 
line 8         "Action": "s3:GetObject", 
line 9         "Resource": "arn:aws:s3:::company-sensitive-14dnid23nfief/*"
line 10     }
line 11   ]
line 12 }

A. 2

B. 7

C. 8

D. 9

这里将权限开放给所有人了

69.以下哪项是多重身份验证(MFA)的示例

A. PIN 码和软件令牌

B. 指纹和视网膜扫描

C. 用户名和密码

D. 一次性短信代码和硬件令牌

其他都属于同种验证

70.AWS 用家在户口网络进行设定, 而这些设定会记录用户或第三者的活动. 第 11 行代码中的设定可以找到哪些用户或第三者的活动信息?

这道题的中文描述更是抽象. 按照英文 "An AWS user is setting up his AWS account. Those setting will record the activities of the user or third party. What user or third party information could be found in line 11 of code in the script?" 可以翻译为 "一位 AWS 用户正在设定他的账户. 在脚本的第 11 行代码中, 可以找到哪些用户或第三方的信息?".

line 1  sudo yum install python-pip -y
line 2  sudo pip install opencanary
line 3
line 4  sudo opencanaryd --copyconfig
line 5
line 6  opencanaryd --start
line 7
line 8
line 9  sudo yun install jq -y
line 10
line 11  jq -r .src_host /var/tmp/opencanary.log | grep -V ^$ | sort | uniq > -/sources.txt
line 12  jq -r .logdata.USERNAME /var/tmp/opencanary.log | grep -V null | sort | uniq > -/usernames.txt
line 13  jq -r .logdata.PASSWORD /var/tmp/opencanary.log | grep -V null | sort | uniq > -/passwords.txt

A. User Name 用户的名称

B. User Source 用户的来源

C. Attacker Name 攻击者的名称

D. Attacker Source 攻击者的来源

71.AWS 用户设置了一个 VPC, IP 地址范围为 10.0.0.0-10.0.0.24. 下列哪个 IP 地址用于 DNS?

A. 10.0.0.0

B. 10.0.0.1

C. 10.0.0.2

D. 10.0.0.3

在具有 CIDR 块 10.0.0.0/24 的子网中，以下五个 IP 地址是保留的：
10.0.0.0：网络地址。
10.0.0.1：由 AWS 保留，用于 VPC 路由器。
10.0.0.2：由 AWS 保留。DNS 服务器的 IP 地址是 VPC 网络范围的基址 + 2。对于包含多个 CIDR 块的 VPC，
DNS 服务器的 IP 地址位于主要 CIDR 中。我们还为 VPC 中的所有 CIDR 块预留了每个子网范围加二的基址。
10.0.0.3：由 AWS 保留，供将来使用。
10.0.0.255：网络广播地址。我们在 VPC 中不支持广播，因此我们会保留此地址。

72.以下哪种类型的云服务用于操作系统和网络?

A. 软件即服务

B. 平台即服务

C. 基础架构即服务

D. 数据即服务

73.以下哪项是 Bastionhost 的特点?

A. 包含敏感信息

B. 无法访问内部系统

C. 限制暴露的服务

D. 没有连接到互联网

74.在 Linux 系统中, 哪个命令可以用于创建文件系统?

A. mount /dev/sda3 /mnt/usb

B. mkfs-ext4 /dev/sda2

C. mkfs-ext3 /sys/sda1

D. pvcreate /dev/sda

E. genfstab -U -p /mnt

75.Link 实际上是指向 Linux 系统中另一个文件或文件夹的指标. 以下哪个命令可以产生下面的结果:

ls -ilas
|total 0
|9731253 0 drwxr-xr-x 1 user users 4096 Jul 14 13:31 .
|1725961 0 drwxr-xr-x 1 user users 4096 Jul 14 13:29 ..
|90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 testing.txt
|90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 shotcut-testing.txt

A. link -s testing.txt shotcut-testing.txt

B. ln -s shotcut.txt testing.txt

C. ln testing.txt shotcut-testing.txt

D. ln -s testing.txt shotcut-testing.txt

E. ln shotcut.txt testing.txt

ln 创建硬连接, 第一个参数是原文件, 第二个是硬连接文件

76.以下哪个命令用于在 Linux 系统中创建分区?

A. gdisk /dev/sde

B. mke2fs /dev/sdb1 -t ext4

C. mount /dev/sdc1 /mnt/fs_home

D. fdisk -lu

E. lvcreate -l +200 /dev/vg00/log/vol-00

77.一个系统管理员要扩展运行在 LVM 系统中的服务器存储. 以下哪个命令可以用于扩展 LVM 中的逻辑卷?

A. lvdisplay /dev/vg02/vol-01

B. lvcreate -n /dev/vg02 -l 200

C. lvextend -n /dev/vg02 -l +200

D. lvscan -l +200 /dev/vg02/vol-01

E. lvresize -l +200 /dev/vg02/vol-01

78.一个系统管理员编写了一个 bash 代码来构建一个 RAID 系统, 如下所示, 将要实现什么类型的 RAID?

#!/bin/bash
hd1=/dev/sda1
hd2=/dev/sdb1
hd3=/dev/sdc1
hd4=/dev/sdd1
mdadm --build /dev/md1 --level=1 --raid-devices=2 $hd1 $hd2
mdadm --build /dev/md2 --level=1 --raid-devices=2 $hd3 $hd4
mdadm --build /dev/md3 --level=0 --raid-devices=2 /dev/md2 /dev/md1

A. RAID 0

B. RAID 1

C. RAID 1+0

D. RAID 0+1

E. 这个代码不起作用

79.以下是运行在 Linux 服务器中的服务清单. 以下哪个命令可以关闭 bluetooth.service 服务?

|● vm-production-xabonline.com
| State: running
| Jobs: 0 queued
| Failed: 0 units
| Since: Fri 2023-05-19 08:37:06 UTC; 2 months 11 days ago
| CGroup:
| ├─init.scope
| │ └─ 1 /sbin/init
| ├─system.slice
| │ ├─bluetooth.service
| │ │ └─ 737 /usr/lib/bluetooth/bluetoothd
| │ ├─dbus.service
| │ ├─docker.service
| │ │ └─ 853 /usr/bin/dockerd -H fd://
| │ ├─libvirtd.service
| │ │ └─ 2975 /usr/bin/libvirtd --timeout 120
| │ ├─polkit.service
| │ └─virtlogd.service
| │ └─ 3176 /usr/bin/virtlogd
| └─user.slice
| └─user-1000.slice

A. systemctl kill bluetooth.service

B. systemctl disable bluetooth.service

C. systemctl down bluetooth.service

D. systemctl stop bluetooth.service

E. systemctl rm bluetooth.service

80.cron 服务在 Linux 系统中充当作业调度程序. 它实际上是在 cron 表(crontab)中指定的命令行列表. 现在准备启动和关闭一个 Web 服务器(httpd.service), 上午 8 时 30 分(启动) - 下午 6 时 06 分(关闭);周一至周五. 以下哪个 crontab 设置适用于这种情况?

A. 30 8 * 1-5 * /usr/bin/systemctl start httpd.service 及 06 18 * 1-5 * /usr/bin/systemctl stop httpd.service

B. 30 8 * * 1-5 /usr/bin/systemctl start httpd.service 及 06 18 * * 1-5 /usr/bin/systemctl stop httpd.service

C. 30 8 1-5 * */usr/bin/systemctl start httpd.service 及 06 18 1-5 * */usr/bin/systemctl stop httpd.service

D. 30 8 * * * /usr/bin/systemctl start httpd.service 及 06 18 * * * /usr/bin/systemctl stop httpd.service

E. 以上都不是

81.以下哪个 Linux 命令可以显示目录中的所有文件, 包括隐藏文件?

A. ls -ls

B. ls -asl

C. ls -lAs | wc

D. ls -als | grep ssh

E. None

82. 如果您想要检查 Linux 系统上可用的剩余磁盘空间量, 您会使用以下哪个命令?

A. df -vh

B. df -sh

C. dl -vh

D. dd -sh

E. dt -vh

83.Dockerfile 是一个文本文档, 用于在 Docker 架构中生成以下哪个组件?

A. docker engine

B. image

C. container

D. volumes

E. docker network

84.在 Linux 系统中, 运行中程序的进程并位于内存区域, 可以通过检查文件 `/proc/[pid]/maps` 来显示这些内存区域. 以下哪个不是 Linux 系统中的内存区?

A. [heap]

B. [stack]

C. [paging]

D. [vvar]

E. [vdso]

85.以下命令中, 哪个命令可以对 export-logs 输出进行排序?

A. export-logs<sort

B. export-logs>sort

C. export-logs&sort

D. export-logs|sort

E. export-logs<>sort

86.哪些文件会影响 Linux 主机的名称解析功能?

A. /etc/resolv.conf

B. /etc/hosts

C. /etc/default/names

D. /etc/nsswitch.conf

E. /etc/inet/hosts

/etc/resolv.conf - 包含用于域名解析的 DNS 服务器配置.
/etc/hosts - 用于本地主机名到 IP 地址的静态映射.
/etc/nsswitch.conf - 定义系统在进行名称解析时要使用的名称服务(Name Service Switch)的配置.
另外 2 个文件 linux 中并没有

87.哪个系统文件包含了一般的端口、关联的服务和协议?

A. /etc/services

B. /etc/sysconfig/network-scripts

C. /etc/services.conf

D. /etc/inet/hosts

E. Noneofthechoices

本地cat一下就行

计算机（win10）

88. 参考'Windows 10'文件夹回答以下题目，在Windows 10中\Users\qqqqq\Downloads，视频文件(mixkit-two-women-laying-together-925-medium.mp4)，在MFT 中分成多少个Data Cluster储存？提示: 请以阿拉伯数字作答

我的x-rays出了点问题，总之要把win10 文件先打个镜像，然后再对具体的文件进行分析

89.`Users\qqqqq\Downloads\mixkit-two-woman-laying-together-925-medium.mp4` 的 last Access 时间是多少?

A. 2023/07/10 18:31:32

B. 2023/07/10 18:31:01

C. 2023/07/10 19:31:22

D. 2023/07/11 19:31:22

win7

90.`\Users\Allen\Desktop` 有 1 个 MP3 文件, 用户使用什么程序打开该 MP3 文件?

potplayer

仿真起来看看即可

91.`\Users\Allen\Desktop`有 1 个 MP3 文件, 该文件的 Zone Identiflier 为 3. 上述 3 字代表哪一个 security Zone?

A. Local Machine Zone
B. Internet Zone

C. Restricted Zone

D. Trust Site Zone

92.`\Users\Allen\Desktop` 有 1 个 MP3 文件, 该文件从哪个网站下载?

A. www.Pixbay.com

B. free-mp3-download.net/

C. https://mp3juices.nu

D. mygomp3.com

93.`\Users\Allen\Downloads` 内有 mp3 文件 miracle.mp3, 更改名称时间?

A. 2023-07-13 02:55:20

B. 2023-07-15 10:55:20

C. 2023-07-12 10:58:04

D. 2023-07-13 10:55:20

弘连的要NTFS解析

94.`\Users\Allen\Downloads` 内有 mp3 文件 miracle.mp3, mp3 文件更改名称前的名称是什么?

a-small-miracle-132333.mp3

95. 有多少个文件曾被 potplayer 播放?

A. 7

B. 8

C. 9

D. 10

96.potplayer 最后播放的文件名?

unlock-me-149058.mp3

仿真里的播放清单里可以看到

理论题

97.事件应急小组正在处理一起网络事件. 调查显示, 目标服务器是一个 EC2 Linux 实例, 与该事件有关.

该团队打算获取Linux系统的内存(使用 SHA256 校验).

与该事件关联的 AWS 账户以用户名 duckman 注册.

为了促进内存获取过程, 该团队建立了专用的取证服务器, 并使用 LiME 通过网络获取内存.

以下哪一个指令是设定取证服务器以作取得内存内容的初步步骤?

A. nc -l 4444 >mem126.lime.gz

B. insmod lime.ko “pathtcp:4444 format=lime digest=sha256 compress=1”

C. scp -I ~/DFIRSciAWTest.pem lime.ko ec2-duckman@3.137.169.127:~/scp -I ~/DFIRSciAWTest.pem /usr/bin/nc ec2-duckman@3.137.169.127:~/

D. ssh duckman@<target_server_ip> "sudo dd if=/dev/mem | gzip -1 -" > memory_dump.gz

98.基于两个 SQLite 数据库文件 cus_202308102034.json 和 date_202308101120.json.

请编写一个 SQLite 脚本找出谁前往目的地莫斯科.

包括所有客户的姓名, 目的地, arrival_timestamp_HK(将时间戳转换为本地时间并将该列命名为 local_time).

A. SELECT c.customer_name, c.destination, datetime(d.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus c INNER JOIN date d ON c.destination = d.Destination WHERE c.destination = 'Moscow'

B. SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus INNER JOIN date ON customer_id = date.id WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

C. SELECT cus.customer_name, cus.destination, date.arrival_timestampFROM cus INNER JOIN date ON cus.destination = date.destination WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow'

D. SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus INNER JOIN date ON cus.destination = date.Destination WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

99.写一个 Powershell 的脚本以提取正在连接到 Windows 11 计算机的可移动设备的记录. 就每一个装置记录, 提取相关的数据如装置名称、制造商、装置详情、硬件编号. 及后用 Write-Host 指令题示数据.

$removableDevices = Get-PnpDevice | Where-Object { $_.Class -eq "DiskDrive" }

foreach ($device in $removableDevices) {
    $deviceDetails = Get-PnpDeviceProperty -InstanceId $device.InstanceId
    $deviceName = $device.Name
    $manufacturer = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_Manufacturer" }).Data
    $description = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_DeviceDesc" }).Data
    $hardwareId = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_HardwareIds" }).Data

    Write-Host "Device Name: $deviceName"
    Write-Host "Manufacturer: $manufacturer"
    Write-Host "Description: $description"
    Write-Host "Hardware ID: $hardwareId"
    Write-Host "-----------------------------"
}

100.以下 PowerShell 脚本用于从 Windows Server 2012 R2 获取具有管理员权限的所有使用者活动.

Get-WinEvent -FilterHashtable @{
LogName = 'Security'
ID = 4688
Level = 0
} | Where-Object { +B86
$_.Properties[?].Value -match 'S-1-5-21-\d+-500'
} | Select-Object -Property TimeCreated, Message