2023美亚杯个人赛

容器密码

3hqGFfT#B*Yjd74t@f%9fDqs6D^$wVjAvxZkA79*4UV*kVRcq^Zu6Xp87W*p#X3XD%*ER!nHzzTnSEMwy8NEGX6A*%P&#rBUkxypAPKwX4mP3WZuHnYKRc7sA33hd@qS

参考

https://blog.csdn.net/tanbinn/article/details/134527004

https://forensics.xidian.edu.cn/git/NoahTie/Wiki/src/branch/master/docs/MeiyaCup2023Indivi.md

https://mp.weixin.qq.com/s/lxAlUo93Si1p814TNHqKGg

官方答案

https://www.meiyacup.com/Mo_index_gci_36.html

题目

D:\anaconda3\python.exe E:\所有项目\智警杯\XPath提取美亚团体.py

1. [填空题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉所用手机移动运营商公司的名称
What is the name of the telecommunication company that Li Dahui's mobile phone is using.
提示:请所有字母都用大写英文
Tips: Please answer in capital letters.
(1分)

Mobile Duck

2. [单选题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉的手机安装了什么即时通讯软件 (Instant Messaging App)?
What instant messaging app is installed on Li Dahui's mobile phone?
(1分)
A.WhatsApp
B.LINE
C.微信
D.Signal
E.QQ

手机上同时安装了 WhatsApp 和微信两款即时通信软件. 但 WhatsApp 有数据(使用过), 微信没有数据(未使用).

A

3. [填空题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉的手机安装了什么反追踪软件?
What anti-tracking software is installed on Li Dahui's mobile phone?
提示: 所有答案字母都用小写字母并用xxx_xxx_xxxxxxx_xxxxxx_xxxx格式作答
Tips: Please answer the question as below format in lowercase letters.
(1分)

本题存疑.

将常见及系统包名过滤掉:

PackageName exc "lge" AND PackageName exc "google"  AND PackageName exc "android"

有一个疑似vpn的包名 com.ipsec.vpnclient.overlay, 从流量的角度来说 vpn 也是一种反追踪.

在检材里存在一张谷歌应用商店的截图, 根据图片上的内容, 应该是曾经安装过 photo_exif_editor-metadata 这一软件. 从抹除照片的 Exif 中的地理位置信息来说, 也算是一种反追踪.

官方给出的答案(air_tag_tracker_detect_lite)在检材里没有找到.

4. [单选题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉的手机是什么时间成功登入WhatsApp?
At what time did Li Dahui's mobile phone successfully log into WhatsApp?
(2分)
A.2022-08-18_21:52:30
B.2022-08-19_21:56:23
C.2022-08-18_21:56:37
D.2022-08-19_06:59:07
E.2022-08-19_07:01:17

登陆验证码在2022-08-18 21:56:23猜测登录时间在认证码之后很近的时间

C

5. [填空题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉登入WHATSAPP时的认证短码是什么?
What was the verification code that Li Dahui used to log into WhatsApp?
提示: 请以阿拉伯数字作答
Tips: Please answer in arabic numbers. (1分)

304-313

6. [单选题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉到美丽好化妆品公司的入职时间是何时？
When did Li Dahui join the Beauty Good Cosmetics Company? (2分)
A.2016-04-16
B.2016-06-28
C.2017-05-25
D.2017-07-25
E.2017-08-18

C

7. [单选题]参考 ' Android.bin ' 回答以下题目

With reference to 'Android.bin' to answer below question
李大辉曾于什么时间使用了图像编辑软件?
At what time did Li Dahui use image editing software? (2分)
A.2022-09-10
B.2022-09-12
C.2022-10-05
D.2022-11-10
E.2022-11-13

在 DCIM 中有一张照片的创建时间与修改时间不一致

猜测题目写反了

D

8. [填空题]参考Server文件夹下的 ' Meiya_VPN.vmdk ' 回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
这个访问服务器使用了哪个端口？
Which port was used for this access server?
提示: 请用阿拉伯数字作答
Tips: Please answer in arabic numbers. (1分)

思路1：

思路2：

去openvpn数据库中找

/usr/local/openvpn_as/etc/db/config_local.db

• admin_ui.https.port: OpenVPN Access Server 管理界面(Admin UI)使用的 HTTPS 端口. 默认情况下管理员可以通过 HTTPS 连接到管理界面.
• cs.https.port: OpenVPN Access Server 客户端服务(Client Service)使用的 HTTPS 端口. Access Server 提供了一个 Web 服务, 允许用户通过浏览器访问和下载连接配置文件等信息.
• vpn.daemon.0.listen.port: 这是 OpenVPN 守护进程监听的端口. 通常此端口用于 OpenVPN 服务器接受客户端连接.
• vpn.server.daemon.tcp.port: 这是 OpenVPN 服务器使用的 TCP 端口. OpenVPN 服务器通过此端口接受传入的连接.

943

9. [填空题]参考Server文件夹下的 ' Meiya_VPN.vmdk ' 回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
“User1”账户最近连接到这个访问服务器时使用的IP地址是多少？
What was the latest IP of “User1” account that connected to this access server?
提示: 用IPV4 格式回答
Answer: Please answer in IPV4 format (1分)

去路径/var/log之下

搜日志文件openvpn

192.166.244.167

10. [多选题]参考Server文件夹下的 ' Meiya_VPN.vmdk '回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
哪些文件可以找出这个访问服务器的Ubuntu版本？
Which files can find out the Ubuntu version of this access server?
(1分)
A.lsb-release
B.issue.net
C..profile
D.console

• lsb-release: 包含了有关系统版本的信息, 包括Ubuntu版本.
• issue.net: 系统登录界面的欢迎信息, 包括系统版本信息, /etc/issue 和/etc/issue.net在 login 提示符之前显示. /etc/motd 是在用户成功登录系统之后显示.
• .profile: 用户配置文件, 不包含系统版本信息.
• console: 控制台终端, 不是文件.

AB

11. [多选题]参考Server文件夹下的 ' Meiya_VPN.vmdk '回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
哪些文件有助于分辨这是一个存储服务器？
Which files could be used to prove this access server?
(1分)
A.auth.log
B.sys.log
C.bash_history
D.idconfig

auth.log里面有openvpn的登录信息:

Jul 12 03:31:10 ubuntu useradd[20631]: new user: name=openvpn_as,  UID=1001,  GID=1001,  home=/home/openvpn_as,  shell=/sbin/nologin,  from=/dev/pts/1

sys.log有openvpn启动信息:

Jul 12 11:01:36 ubuntu systemd[1]: Starting OpenVPN service...

bash_history 命令历史记录如果有的话按理说能证明的, 但是是空文件.

idconfig 如果, 我是说如果它写错了, 或许想写的应该是 ldconfig, 用于配置共享库的运行时连接器.

ABC

12. [单选题]参考Server文件夹下的 ' Meiya_VPN.vmdk ' 回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
这个访问服务器所在时区是哪个时区？
What is the time zone of this access server?
(2分)
A.UTC +9
B.UTC +8
C.UTC -7
D.UTC

在/etc/timezone里可以看到时区信息

美国洛杉矶是 UTC -7

UTC -7

13. [填空题]参考Server文件夹下的 ' Meiya_VPN.vmdk ' 回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
这个访问服务器的“openvpn”帐户密码是多少？
What is the password of the “openvpn” account of this access server?
提示:请用大写字母与阿拉伯数字作答
Tips: Please answer in capital letters and arabic numbers. (2分)

firefox存在两个保存的密码

查看ip地址是什么含义

192.168.112.138是DHCP地址

/usr/local/openvpn_as/etc/db/config_local.db里面的host.name是218.255.242.114

所以访问服务器的“openvpn”帐户密码是：

TLfAg6l6dssc

14. [单选题]参考Server文件夹下的 ' Meiya_VPN.vmdk '回答以下题目

With reference to ' Meiya_VPN.vmdk ' in Server folder to answer below question
在这个访问服务器中，“User1”账户之间的连接所使用的加密算法（密码）是什么？
What is the encryption algorithms (cipher) used for the connections among the “User1”account in this access server?
(2分)
A.Blowfish-CBC
B.3DES-CBC
C.AES-128-GCM
D.AES-256-CBC

之前题目的日志里有

D

15. [填空题]参考' 网络题目.pcapng ' 文件回答以下题目

With reference to ' 网络题目.pcapng ' file to answer below question
给出正在进行Nmap扫瞄的计算机互联网协议地址?
What is the source IP of the nmap scanning?
提示: 以IPV4格式给出答案
Answer: Please answer in IPV4 format. (1分)

显而易见

192.168.186.132

16. [填空题]参考' 网络题目pcapng' 文件回答以下题目

With reference to ' 网络题目.pcapng ' file to answer below question
有多少个Nmap扫瞄正在同时进行?
How many nmap scanning(s) is/are conducting at the same time?
提示:请给出阿拉伯数字作答
Tips: Please answer in number
(1分)

每一次 ICMP_Echo_Req 到 ICMP_Echo_Reply 是一个扫描进程的开始.

protocol=icmp_echo_req

2

17. [单选题]参考网络题目.pcapng文件回答以下题目

With reference to ' 网络题目.pcapng ' file to answer below question
当计算机正在扫瞄8.8.8.8，namp相关的指令是什么
The computer is scanning 8.8.8.8. What is the corresponding nmap command?
(1分)
A.nmap -sT 8.8.8.8
B.nmap -sU 8.8.8.8
C.nmap -sn -PR 8.8.8.8
D.nmap -sn -PU 8.8.8.8

TCP 连接扫描(-sT 选项)通常在进行主机发现时会使用 ICMP Echo 请求

A

18. [单选题]参考网络题目.pcapng文件回答以下题目

With reference to ' 网络题目.pcapng ' file to answer below question
当计算机正在扫瞄45.33.32.156，namp相关的指令是什么
The computer is scanning 45.33.32.156. What is the corresponding nmap command?
(1分)
A.nmap -sT 45.33.32.156
B.nmap -sU 45.33.32.156
C.nmap -sn -45.33.32.156
D.nmap -sn -45.33.32.156

UDP 扫描(-sU选项)通常在进行主机发现时会使用 ICMP Echo 请求

B

19. [单选题]国强被指派设定一个DHCP服务器，该服务器需借出最后100个的IP地址，以下哪个IP地址会是被借出的IP地址?

Kwok-keung was assinged to configure a DHCP server. The server
must lease the last 100 IP addresses. Which of the following IP address will be leased ?
(1分)
A.10.1.4.255
B.10.1.4.100
C.10.1.4.254
D.10.1.4.1

DHCP 服务器的 C 段范围是 1~254, 最后 100 个.

C

20. [单选题]以下那个协议是属于TCP/IP协议?

Which of the following protocols belong to TCP/IP protocol?
i: DHCP
ii: HTTP
iii: RTP
iv: Telnet
(1分)
A.i & iii
B.ii & iv
C.所有皆是 (All answers belong to TCP/IP protocol)
D.所有皆否(All answers don’t belong to TCP/IP protocol)

B

21. [单选题]题目内容请看题目描述。（21） (2分)

A.' access-list 123 permit tcp any eq ftp any ' 更正为(change) 'access-list 123 permit udp any eq ftp any '
B.' access-list 122 permit tcp host 192.168.26.3 eq www any ' 更正为(change) ' access-list 122 permit udp host 192.168.26.3 eq www any '
C.删除(Delete)' access-list 120 deny tcp any any ' 与' access-list 119 deny udp any any '
D.删除(Delete)' access-list 123 permit tcp any eq ftp any '

浩贤为一间公司的网络管理员，他需要把一个路由器作出以下设定

1. 允许192.168.26.3连上互联网

2. 允许192.168.26.2作UDP连接

现在浩贤把路由器作以下设定:-

Ho-yin now makes the router as following settings:-
access-list 119 deny udp any any
access-list 121 permit udp host 192.168.26.2 any
access-list 120 deny tcp any any
access-list 122 permit tcp host 192.168.26.3 eq www any
access-list 123 permit tcp any eq ftp any

志伟是浩贤的主管，他发现浩贤的设定错误，浩贤应作怎样的更正？

'access-list 119 deny udp any any' 拒绝了任何源IP和目标IP之间的UDP连接

'access-list 120 deny tcp any any' 拒绝了任何源IP和目标IP之间的TCP连接

因此，为了更正错误，浩贤需要删除以上两个拒绝规则，即：

删除 'access-list 119 deny udp any any'

删除 'access-list 120 deny tcp any any'

C

22. [单选题]题目内容请看题目描述。（22） (2分)

A.) Linux
B.) Windows XP
C.) Windows 7
D.) iOS 12.4 (Cisco Routers)
根据以下ping指令的结果，你会估计192.168.186.132是哪一个操作系统
According to below ping commands, what is the operation system of the target IP address 192.168.186.132?
Ping 192.168.186.132 (使用 32 字节的数据):
回复自 192.168.186.132: 字节=32 时间<1ms TTL=64
回复自 192.168.186.132: 字节=32 时间<1ms TTL=64
回复自 192.168.186.132: 字节=32 时间<1ms TTL=64
回复自 192.168.186.132: 字节=32 时间<1ms TTL=64
Ping 192.168.186.132 with 32 bytes of data
Reply from 192.168.186.132: byte=32 time<1ms TTL=64
Reply from 192.168.186.132: byte=32 time<1ms TTL=64
Reply from 192.168.186.132: byte=32 time<1ms TTL=64
Reply from 192.168.186.132: byte=32 time<1ms TTL=64)
192.168.186.132 的 Ping 统计资料:
封包: 已传送 = 4，已收到 = 4, 已遗失 = 0 (0% 遗失)，
大约的来回时间 (毫秒):
最小值 = 0ms，最大值 = 0ms，平均 = 0ms
Ping statistics for 192.168.186.132:
Packet: Sent = 4，Received = 4, Lost = 0 (0% loss)，
Approximate round trip times in milli-seconds:
Minimum = 0ms，Maximum = 0ms，Average = 0ms

TTL 值是每个操作系统设置的默认值, 用来决定数据包在网络中传递的最大跳数. 不同的操作系统有不同的默认 TTL 值.

一般情况下, Windows < 10 为 128, Windows >= 10 为 64, Linux 和 macOS 为 64.

A

23. [单选题]当使用nmap扫瞄目标后，nmap内出现以下信息

After scanning the target by nmap, below messags is shown in nmap
"Note: Host seems down. If it is really up, but blocking our ping probes"
(主机似乎关机。如果它是开启的，它正在阻挡ping探测。)
应用哪一个指令找出开放的端口?
Which command should be used to find out open port?
(2分)
A.) nmap -sT
B.) nmap -sN
C.) nmap -sX
D.) nmap -Pn

nmap会默认先用ping探活，如果ping不通就直接停止后续操作

除非加上参数-Pn，即不进行ping探活就直接进行扫描。

D

24. [单选题]以下哪一个Nmap指令可以减低被侦测的可能性

Which nmap command can be used to lower the possibility of being dectected ?
(2分)
A.nmap -sT -O -T5
B.nmap -sT -O -T0
C.nmap sU
D.nmap -A --host-timeout 99-T1

• -sT: 以 tcp 连接扫描
• -O: 关闭操作系统检测
• -T0: 扫描速度最低

B

*MAC OS仿真

将Mac OS.img放到MacOS虚拟机中，双击，会出现一个MyUSB

25. [单选题]Apple计算机的硬盘可以使用以下分区方案：

The following partition schemes can be used for an Apple computer's hard drive:
(1分)
A.Apple Partition Map
B.GUID Partition Table
C.Master Boot Record
D.All of the above

Apple Partition Map(APM):

APM是苹果根据世界计算机商会协会的SCSI命令所定的分区格式,早期Mac都使用此格式。

GUID Partition Table(GPT):

现代的Intel CPU Mac都使用此种分区表格式进行硬盘管理。

Master Boot Record(MBR):

MBR是PC兼容计算机最常见的早期分区格式,苹果不推荐使用这种方式进行分区。

D

26. [单选题]参考' Mac OS.img ' 文件回答以下题目

With reference to ' Mac OS.img ' file to answer below question
' Mac OS.img ' 文件中可以找到多少个符号链接？
How many symbolic links can be found in the ' Mac OS.img ' file?
(1分)
A.0
B.1
C.2
D.3

alias用于设置别名(快捷方式/软链接), 在镜像里只有一个标记了alias的文件, 那么只有一个.

B

27. [单选题]参考' Mac OS.img ' 文件回答以下题目

With reference to ' Mac OS.img ' file to answer below question
在' Mac OS.img ' 档中使用了哪种分区方案？
Which partition scheme was used in the ' Mac OS.img ' ?
(2分)
A.Apple Partition Map
B.GUID Partition Table
C.Master Boot Record
D.HFS+

使用 X-ways 可以比较清晰的看到：

B

28. [单选题]参考' Mac OS.img ' '文件回答以下题目

With reference to ' Mac OS.img ' file to answer below question
' Mac OS.img ' 档的文件系统的正确描述是什么？
What is the correct description of the file system in the ' Mac OS.img ' ?
(1分)
A.HFS+（已启用日志记录）HFS+ (with journaling enabled)
B.HFS+（已启用区分大小写）HFS+ (with case sensitivity enabled)
C.HFS+（已启用日志记录和区分大小写）HFS+ (with journaling and case sensitivity enabled)
D.APFS (已启用区分大小写）APFS (with case sensitivity enabled)

C

29. [填空题]参考' Mac OS.img ' 文件回答以下题目

With reference to ' Mac OS.img ' file to answer below question
从文件“Car.rtfd”中删除了哪个文件？
Which file was deleted from the file "Car.rtfd"?
提示:答案需包括副文件名，并以全小写字母作答，例如 answer.docx
Tips: The answer must be in lowercase and include file extension. Example: answer.docx (1分)

DocumentRevisions-V100 是 Apple 在 OSX Lion 中引入的内部版本控制系统. 它基本上每次保存时都会保存文件的历史副本, 类似 git.

里面有两个 .rtfd 文件夹, 其中有一个和目前的 Car.rtfd 不同, 多出来 yeah.jpg.

yeah.jpg

30. [填空题]题目内容请看题目描述。（30） (1分)

参考' Mac OS.img '文件回答以下题目
With reference to ' Mac OS.img ' file to answer below question
请提供' Mac OS.img ' 映像文件被“fsck”命令检查的具体时间。
Please provide the specific time when the ' Mac OS.img ' was checked by the "fsck" command.
提示:答案格式为YYYYMMDD-HHMMSS,如2023年1月1日1530时30秒则请回答"20230101-153030")
Tips: The answer format should be YYYYMMDD-HHMMSS. If the answer is 2023-01-01 1530 hrs, the answer should be 20230101-153030.

fsck 是个检查和修复文件系统错误的命令, 这个过程会对文件系统的一些元数据进行更改, 这些更改可能包括更新文件系统的某些时间戳,

例如最后检查时间或最后修改时间, 而最开始被更改的分区时间, 应该为 fsck 命令检查的具体时间(需要校正时区).

映像文件的分区中最早的记录更新时间

20230713-082435

31. [单选题]参考 ' Mac OS.img ' 文件回答以下题目

With reference to ' Mac OS.img ' file to answer below question
在 .dmg 档中删除了多少个文件？
How many files were deleted from the .dmg file?
(1分)
A.1
B.2
C.3
D.4

.Trashes 是回收站, 里面有 3 个被删掉的文件, 结合上面根据版本记录删掉了 yeah.jpg, 一共是 4 个.

4

32. [填空题]参考 ' Window Artifacts.E01 ' 内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui 总共登入过该计算机多少次?
According to the windows registry record of "Window Artifacts.E01", how many times has Elvis Chui logged into this computer?
提示: 请以阿拉伯数字作答
Tips: Please answer in arabic numbers
(1分)

11

33. [单选题]参考 ' Window Artifacts.E01 ' 内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
该计算机的操作系统是在哪一个时区?
What is the time zone of the operating system of this computer? (1分)
A.UTC +4
B.UTC +8
C.UTC -8
D.UTC -4

在注册表分析中 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\TimeZoneInformation 中有一些项, 包括 TimeZoneKeyName 和 ActiveTimeBias, 储存了时区信息.

B

34. [单选题]参考 ' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
该计算机的操作系统于何时安装? (以计算机系统时区回答)
When was the operating system of this computer installed? (Answer in the time zone of the computer system) (1分)
A.2023-07-13 19:18:14
B.2023-07-13 11:18:14
C.2023-07-13 03:18:14
D.2023-07-12 19:18:14

B

35. [多选题]参考' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
哪(几)个程序会于操作系统启动时自动执行?
Which program(s) would be automatically executed upon operating system startup? (1分)
A.Avast
B.Steam
C.OneDrive
D.QQ

ABC

36. [单选题]参考' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
该计算机内安装了以下哪一个程序?
Which one of the following programs was installed on this computer? (1分)
A.QQ
B.WPS Office
C.Opera
D.Kaspersky

安装软件里WPS

37. [填空题]参考' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
计算机内的OneDrive程序版本是什么?
What is the version of the OneDrive program installed on this computer? (1分)

21.220.1024.0005

38. [填空题]参考' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
计算机有一个正在连接的网络接口，该接口连接DHCP服务器的IP地址是多少?
What is the IP address of DHCP server. ?
提示: 以 IPV4格式回答
Answer: Please answer in IPV4 format. (1分)

注意是DHCP服务器的地址，不是DHCP地址

192.168.88.254

39. [单选题]参考' Window Artifacts.E01 '内的Windows 注册表回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
该计算机何时连接过一只U盘? (以计算机系统时区回答)
When was a USB flash drive last connected to this computer? (Answer in the time zone of the computer system) (1分)
A.2023-07-13 11:48:26
B.2023-07-13 03:48:29
C.2023-07-12 19:48:29
D.2023-07-13 11:48:29

D

40. [多选题]参考' Window Artifacts.E01 '回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui 将哪几个文本文件放在回收站中?
Which text files did Elvis Chui put into the recycle bin?
(3分)
A.$+D10I76A74P.txt
B.Holiday schedule 2023-07-16.txt
C.Holiday schedule 2023-07-13.txt
D.Minute on 2023-07-01.txt
E.Minute on 2023-07-10.txt

BE

41. [单选题]参考' Window Artifacts.E01 ' 回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui在什么时间删除了第一个文本文件? (以计算机系统时区回答)
What time did Elvis Chui delete the first text file? (Answer in the time zone of the computer system)
(3分)
A.2023-07-13 11:50:15
B.2023-07-13 03:49:45
C.2023-07-13 03:50:15
D.2023-07-13 11:49:45

同上图

D

42. [填空题]题目内容请看题目描述。（42） (2分)

参考 ' Window Artifacts.E01 '回答以下题目
With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui删除的第一个文本文件的文件名是什么?
What was the name of the first text file Elvis Chui deleted?
提示: 请用小写字母回答及需列明文件格式。如文件名字内有空格位置，请用_标示。例如: go_to_school.docx
Tips: Please use lowercase to answer the questions and mention the file extension. If a blank space is present, please use _ to represent the blank space. Example: go_to_school.docx

同上图

Holiday schedule 2023-07-16.txt

43. [单选题]参考 ' Window Artifacts.E01 ' 回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui删除的第一个文本文件在什么时间创建? (以计算机系统时区回答)
When was the text file first deleted by Elvis was created? (Answer in the time zone of the computer system)
(2分)
A.2023-07-13_11:42:39
B.2023-07-13_11:50:49
C.2023-07-13_11:49:45
D.2023-07-13_11:45:22

搜索一下可以看到有最近访问看见创建时间

D

44. [填空题]参考 ' Window Artifacts.E01 ' 回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
Elvis Chui计划于2023年7月15日20点5分有什么活动?
What is Elvis Chui's plan at 8:05 PM on July 15, 2023?
提示: 答案请与文件内的文字与大细阶相同
Tips: Please answer the exact words and uppercase/lowercase leters shown in the file (1分)

找txt文件

Movie

45. [填空题]参考 ' Window Artifacts.E01 ' 回答以下题目

With reference to ' Window Artifacts.E01 ' file to answer below question
该计算机执行STEAM.EXE总共多少次?
How many times has STEAM.EXE been opened on this computer?
提示: 请用阿拉伯数字作答
Tips: Please answer in arabic numbers
(1分)

7

46. [单选题]一个名为“Account”的数据库表拥有5个"列"，以下哪一个指令会产生错误讯息?

(提示: 1.数据库是拥有正常默认的系统表格 2.错误信息是关于"超出上限"的错误)
A database table called “Account” has 5 columns. Which of the following command will case an error message?
(Tips 1. database has default system tables 2. error message is related to "Out of Range".)
(1分)
A.SELECT * from Account WHERE name=‘Alex’ OR ‘1’=1
B.SELECT * FROM Account WHERE name=‘Bill’ UNION SELECT NULL, NULL, NULL, NULL
C.SELECT * from Account WHERE name=‘Candy’ ORDER BY 6
D.SELECT name FROM sys.tables

ORDER BY子句指定了列号6，而表Account只有5个列，因此会超出列的范围，导致错误消息。

C

47. [单选题]当客户端收到一个页面请求的HTTP状态代码为304时，以下哪种情况最有可能发生？

When a client receives an HTTP Status Code of 304 for a page request, which of the following is most likely to take place?
(1分)
A.页面将显示错误The page will display with errors
B.页面将从浏览器缓存中加载The page will be loaded from the browser cache
C.浏览器将显示“访问被拒绝”The browser will display an “Access Denied”
D.服务器将复位向客户端到另一个资源The server will redirect the client to another resource

当客户端收到HTTP状态代码为304（Not Modified）时，这意味着客户端发出的请求的资源在服务器上没有发生变化。

服务器将返回304响应，告诉客户端使用其缓存的副本。

因此，浏览器将从浏览器缓存中加载页面，而无需从服务器重新获取资源。这可以提高页面加载速度和减少网络流量。

B

48. [单选题]在HTML注入攻击中，以下哪种情况最有可能出现？

Which of the following would most likely be found in an HTML Injection attack?
(1分)

A.<form action="http://1.2.3.4/login.htm">Password:<input type="password" name="pword"> </form>
B.<embed src="http://demo.com/demo.swf"> </embed>
C.<script>alert(‘Correct’)</script>
D.<?php include(“inc/" .$_GET[‘file’]；?>

选项B是一个嵌入式的Flash对象，同样也没有直接涉及到恶意代码注入

选项C是一个XSS攻击

选项D是PHP代码，具有潜在的安全风险，但它并不是HTML注入攻击的典型形式

A

49. [单选题]如何预防HTML注入攻击？

How to prevent HTML injection attacks?
(1分)
A.密钥管理Key management
B.同源策略执行Same Origin Policy enforcement
C.会话验证Session validation
D.输入过滤Input sanitization

HTML注入攻击的主要原因是未正确过滤和验证用户输入。
攻击者可以通过注入恶意的HTML代码来利用这些漏洞。输入过滤是一种防止HTML注入攻击的常见做法，它涉及对用户输入的数据进行验证和过滤，以确保其中不包含恶意代码。

D

50. [单选题]同源策略在浏览器内存中提供Web应用程序安全的目的是什么？

What is the purpose of Same-Origin Policy in providing web application security in a browser’s memory?
(3分)
A.防止客户端访问恶意网站Preventing the client from accessing a malicious site
B.禁止Web会话运行外部脚本Prohibiting a web session from running externally sourced scripts
C.控制来自不同服务器的代码之间的交互Controlling interactions between code from different servers
D.阻止浏览器运行危险或有害的脚本Stopping a browser from running dangerous or harmful scripts

控制来自不同服务器的代码之间的交互 是同源策略在浏览器内提供Web应用程序安全的主要目的。

同源策略是浏览器的一项安全机制，它限制了来自不同源（域名、协议和端口）的代码之间的交互。

同源策略的目的是防止恶意网站通过跨域请求获取用户的敏感信息或执行未经授权的操作。

C

51. [填空题]题目内容请看题目描述。（51） (2分)

编写Nmap命令以显示以下结果。
Write the Namp command that will show the following result

Starting Nmap 7.94 (https://nmap.org) at 2023-07-11 18:26 中国标准时间
Nmap scan report for www.baidu.com (220.181.38.149)
Host is up (0.044s latency).
Other addresses for www.baidu.com (not scanned): 220.181.38.150
Not shown: 998 filtered tcp ports (no-response)
PORT          STATE            SERVICE
80/tcp           open                http
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/ 
|_/homepage/  /cpro /
443/tcp     open             https
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/ 
|_/homepage/  /cpro /
Nmap done: 1 IP address (1 host up) scanned in 6.01 seconds

提示:请输入完整的Nmap指令，例如: nmap --script http-brute -p 80 www.google.com
Tips: Please input the complete nmap command. Example: nmap --script http-brute -p 80 www.google.com

nmap --script http-robots.txt www.baidu.com

这个命令将扫描百度的主机www.baidu.com，指定使用http-robots.txt目录列表探测脚本

52. [填空题]除了使用Nmap，还有其他方法可以验证上述结果，其中一种方法是使用Web浏览器浏览URL，编写URL以显示上述结果。（答案不要包含“http://”）

Other than using Nmap, there are other methods which can verify the above result. One of the methods is using Web browser to surf the URL. Write the URL that will show the above result.
(Answer without “http://”)
(2分)

robots.txt文件是一个遵循Robots协议的文本文件，位于网站的根目录下。它用于向搜索引擎爬虫提供指示，告诉他们哪些页面可以被访问，哪些页面不应该被访问。

www.baidu.com/robots.txt

53. [单选题]参考' IOS ' 文件夹回答以下题目

With reference to ' IOS ' to answer below question
根据 ' com.apple.ios.StoreKitUIService.plist ' , 这部电话是什么型号?
According to ' com.apple.ios.StoreKitUIService.plist ', what is the model of this phone? (1分)
A.SAMSUNG S23
B.iPhone X
C.iPhone XR
D.iPhone XS
E.iPhone 13

用PlistEditor打开

hardwareModel 和商品型号之间的对应可以在网上查到

C

54. [单选题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' to answer below question
根据com.apple.ios.StoreKitUIService.plist，上述电话的文件系统是什么?
According to com.apple.ios.StoreKitUIService.plist, what is the file system of the phone in question? (1分)
A.FAT32
B.NTFS
C.HFS+
D.APFS
E.EXT4

iOS >= 10.3, 文件系统都是 APFS(Apple File System).

D

55. [多选题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据ChatStorage.sqlite，哪些对话已锁定?
According to ChatStorage.sqlite where chats are stored, which conversations are locked?
(3分)
A.447380449879@.whatsapp.net
B.79096209701@.whatsapp.net
C.923109725619@.whatsapp.net
D.85256026169@.whatsapp.net
E.status@broadcast

数据库中找不到与锁定对话相关的字段

56. [填空题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据ChatStorage.sqlite，有多少段录音对话?
According to ChatStorage.sqlite, how many recorded conversations are there?
提示: 请以阿拉伯数字作答
Tips: Please answer in arabic numbers. (2分)

像是音频有关的文件

Opus是一个有损声音编码的格式

搜audio关键词

48

57. [单选题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
Apple Cocoa Core Data timestamp 是由什么时间开始?
From what time does the Apple Cocoa Core Data timestamp start? (1分)
A.2001年1月1日
B.1970年1月1日
C.2006年1月1日
D.1960年1月1日

积累到一个常识，Core Data时间戳的起始日期是2001年1月1日

https://www.epochconverter.com/coredata

Core Data是一个数据存储框架，用于管理 iOS 和 OS X 应用程序中的对象。核心数据是 Cocoa API 的一部分。这些时间戳有时被标记为“Mac 绝对时间”。
核心数据时间戳是自格林尼治标准时间 2001 年 1 月 1 日午夜以来的秒数。

58. [填空题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据Photos.sqlite数据库中，有多少段视频可能涉及WhatsApp?
According to the Photos.sqlite database, how many videos may be related to WhatsApp?
提示: 请以阿拉伯数字作答
Tips: Please answer in arabic numbers (2分)

59. [多选题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' to answer below question
根据Photos.sqlite数据库中，下列哪个选项对IMG_0008.HEIC的描述是错的?
According to the ' Photos.sqlite ' database, which of the following descriptions of IMG_0008.HEIC is incorrect? (3分)
A.由第三方软件拍摄
B.经过修改
C.由后镜拍摄
D.用ISO200拍摄
E.没有储存经纬度

在ASSET表中, 该图片的 ZPK 为 491:

经纬度：

后镜拍摄：

HEIC是苹果手机相机的原格式

ISO为160：

是否修改不知道

答案不对

ABCD

60. [填空题]题目内容请看题目描述。（60） (1分)

参考 ' IOS ' 文件夹回答以下题目
With reference to ' IOS ' folder to answer below question
根据 ' sms(ios).db ' 的资料，全局唯一标识符(GUID): DD31C26F-1D72-DE0F-431E-EF98F104402D显示的信息是什么?
According to ' sms(ios).db ', what is the message shown on Globally Unique Identifier (GUID) of DD31C26F-1D72-DE0F-431E-EF98F104402D?
提示:答案需要与信息一样(答案包括中文字、阿拉伯数字与符号)

Tips: Answer should be same as the message (including Chinese words, arabic numbers and symols)

你的Uber驗證碼為3666.請勿分享此驗證碼.

61. [多选题]参考 ' IOS ' 资料 夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据 ' com.burbn.instagram.plist ' 及 ' com.facebook.Facebook.plist '
手机安装了实时通讯软件Facebook及Instagram的那个版本? (Instant Messaging Apps)?
According to 'com.burbn.instagram.plist ' and ' com.facebook.Facebook.plist ', which version of instant messaging apps (Facebook and Instagram) are installed on the phone? (1分)
A.Instagram (Version 278.0.0.19.115)
B.Facebook (Version 410.0.0.41.116)
C.Instagram (Version 279.0.0.23.112)
D.Facebook (Version 410.0.0.26.115)
E.Instagram (Version 278.0.0.25.115)
F.Facebook (Version 410.0.0.57.116)

AB

62. [填空题]题目内容请看题目描述。（62） (2分)

参考 ' IOS ' 文件夹回答以下题目
With reference to ' IOS ' folder to answer below question
根据 ' ChatStorage(ios).sqlite ' , 用户数据Peter Chow (85262012141)在什么日期和时间(以UTC +8时区)曾经通过实时通讯软件送出一个信息(内容为: I am already home)?
According to ' ChatStorage(ios).sqlite ', on what day and time (in UTC+8 time zone) did Peter Chan (user information 85262012141) send a message via instant messaging? (Hint: Message Content: I am already home)
提示:以UTC +8时区作答,并以YYYY-MM-DD_HH:MM:SS格式作答
例如:2023-01-01_10:01:01 (答案无需输入UTC +8)
Tips: Please answer the question in UTC +8 timezone and use format YYYY-MM-DD_HH:MM:SS to answer. Example: 2023-01-01_10:01:01

这个时间戳不同于UNIX时间戳，是从2001年1月1日起算，可以手动换算也可以用脚本

手工换算，先转换出2001.1.1的时间戳为978307200

再与数据库中的时间戳相加后进行转换

978307200+702012111.637933=1680319311.637933

然后再加8小时处理

2023-04-01_11:21:51

63. [填空题]题目内容请看题目描述。（63） (1分)

参考 ' IOS ' 文件夹回答以下题目
With reference to ' IOS ' folder to answer below question
根据影片IMG_0687.MOV的原数据，找出影片拍摄时间?
According to original data of video IMG_0687.MOV, please find out the taping time?
提示:以UTC +8时区作答,并以YYYY-MM-DD_HH:MM:SS格式作答
例如:2023-01-01_10:01:01 (答案无需输入UTC +8)
Tips: Please answer the question in UTC +8 timezone and use format YYYY-MM-DD_HH:MM:SS to answer. Example: 2023-01-01_10:01:01

找不到

64. [单选题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据 ' CallHistory(ios).storedata '，哪份表格显示了通话记录?
According to ' CallHistory(ios).storedata ',which table(s) containting the data of call record? (2分)
A.ZCALLBPROPERTIES
B.ZCALLRECORD
C.Z_2REMOTEPARTICIPANTHANDLES
D.Z_METADATA
E.Z_MODELCACHE
F.Z_PRIMARYKEY

B

65. [填空题]参考' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据 ' com.apple.sharingd.plist '，这部手机的隔空投送的身份标识号(AirDrop ID)是什么?
Accoding to ' com.apple.sharingd.plist ', What is AirDrop ID of the mobile phone?
提示:请以阿拉伯数字与小写字母作答
Tips: Please answer in arabic numbers and lowercase letters. (3分)

2abd0940fbdc

66. [填空题]参考 ' IOS ' 文件夹回答以下题目

With reference to ' IOS ' folder to answer below question
根据 ' Accounts3.sqlite '，这部手机的苹果使用者账号 (Apple ID) 是什么?
According to ' Accounts3.sqlite ', what is the Apple ID of this mobile phone?
提示:请以电邮格式作答(例:jack2023@hotmail.com)
Please answer in email format (Example: jasck2023@hotmail.com) (2分)

foratcd2023@gmail.com

67. [单选题]题目内容请看题目描述。（67） (1分)

A.08
B.13
C.16
D.17
哪一行代码的是负责更新在GitHub使用中的 .journal 文件的更新历史记录 ?

Which line of code in the script is responsible for updating GitHub with the updated history of the .journal file?
line 1 git config --global user.name "mikesezto"
line 2 git config --global user.email "smike@general.org"
line 3  
line 4 cd which-truth
line 5 rm.journal
line 6 
line 7 git add.journal
line 8 git commit -m "Remove sensitive data"
line 9 git push
line 10 
line 11 git clone --mirror http://github.com/smike/which-truth
line 12 
line 13 java -jar bfg.jar --delete-files.journal which-truth
line 14 cd which-truth
line 15 git reflog expire --expire=now --all
line 16 git gc --prune=now --aggressive
line 17 git push --force

git push 是把本地仓库代码更新远程仓库里面

D

68. [单选题]题目内容请看题目描述。（68） (1分)

A.2
B.7
C.8
D.9
下列哪一行AWS S3 Bucket授权策略中的设置有问题?

Which line of setting in the following AWS bucket policy statement is in question?
line 1 {
line 2   "Version": "2020-11-12",
line 3   "Statement": [
line 4       {
line 5         "Sid": "PublicReadGetObject",
line 6         "Effect": "Allow",
line 7         "Principal": "*",
line 8         "Action": "s3:GetObject",
line 9         "Resource": "arn:aws:s3:::company-sensitive-14dnid23nfief/*"
line 10     }
line 11   ]
line 12 }

在第7行的"Principal"字段中，使用了通配符"*"来表示所有主体都被授权。这意味着任何人都可以执行s3:GetObject操作。这可能会导致存储桶的公开读取权限，可能存在安全风险。

https://docs.aws.amazon.com/AmazonS3/latest/userguide/security_iam_service-with-iam.html#security_iam_service-with-iam-resource-based-policies

B

69. [单选题]以下哪项是多重身份验证 (MFA) 的示例

Which of the following is an example of multi-factor authentication (MFA)?
(1分)
A.PIN 码和软件令牌 PIN and software token
B.指纹和视网膜扫描 fingerprint and retinal scan
C.用户名和密码username and password
D.一次性短信代码和硬件令牌one-time SMS code and a hardware token

https://aws.amazon.com/cn/what-is/mfa/

MFA 需要两种独立的身份验证形式, BCD 都是同种形式.

A

70. [单选题]题目内容请看题目描述。（70） (2分)

A.User Name 用户的名称
B.User Source 用户的来源
C.Attacker Name 攻击者的名称
D.Attacker Source 攻击者的来源

AWS用家在户口网络进行设定，而这些设定会记录用户或第三者的活动。第 11 行代码中的设定可以找到哪些用户或第三者的活动信息？
An AWS user is setting up his AWS account. Those setting will record the activities of the user or third party. What user or third party information could be found in line 11 of code in the script ?

line 1  sudo yum install python-pip -y
line 2  sudo pip install opencanary 
line 3
line 4  sudo opencanaryd --copyconfig
line 5
line 6  opencanaryd --start
line 7
line 8
line 9  sudo yun install jq -y
line 10
line 11  jq -r .src_host /var/tmp/opencanary.log | grep -V ^$ | sort | uniq > -/sources.txt
line 12  jq -r .logdata.USERNAME /var/tmp/opencanary.log | grep -V null | sort | uniq > -/usernames.txt
line 13  jq -r .logdata.PASSWORD /var/tmp/opencanary.log | grep -V null | sort | uniq > -/passwords.txt

OpenCanary 是一个开源的入侵检测系统.

jq 是处理 json 的, 使用 jq 解析日志中的 src_host 字段然后过滤掉空行, 排序并清除掉重复项写入 sources.txt.

src_host 是攻击者的 ip.

D

71. [单选题]AWS用户设置了一个VPC，IP地址范围为10.0.0.0-10.0.0.24。 下列哪个 IP 地址用于 DNS ?

An AWS user sets a VPC with IP address space of 10.0.0.0-10.0.0.24，Which of the following IP address is used for DNS?
(2分)
A.10.0.0.0
B.10.0.0.1
C.10.0.0.2
D.10.0.0.3

私有托管区只接受来自 VPC DNS 服务器的 DNS 查询.

VPC DNS 服务器的 IP 地址是在 VPC IPv4 网络范围 + 2 的基础上保留的 IP 地址.

开启 DNS 解析后, 您可以将 VPC DNS 服务器用作执行 DNS 解析的解析器.

C

72. [单选题]以下哪种类型的云服务用于操作系统和网络 ?

Which of the following type of Cloud service is used for operating systems and network?
(1分)
A.软件即服务Software as a Service
B.平台即服务Platform as a Service
C.基础架构即服务 Infrasture as a Service
D.数据即服务 Data as a Service

https://aws.amazon.com/cn/what-is/iaas/

C

73. [单选题]以下哪项是Bastionhost的特点？

What is the feature of a bastionhost?
(2分)
A.包含敏感信息 Contains sensitive information
B.无法访问内部系统 No access to internal systems
C.限制暴露的服务 Limits exposed services
D.没有连接到互联网 No connection to the internet

堡垒机, 是外部网络与内部网络连接的工具.

C

74. [单选题]在Linux系统中，哪个命令可以用于创建文件系统？

In Linux system, which command can be used to create file system ?
(1分)
A.mount /dev/sda3 /mnt/usb
B.mkfs-ext4 /dev/sda2
C.mkfs-ext3 /sys/sda1
D.pvcreate /dev/sda
E.genfstab -U -p /mnt

• mount 挂载文件系统.
• C 的路径有问题, 磁盘挂载在 /dev 下.
• pvcreate 创建物理卷.
• genfstab 生成一个包含文件系统信息的配置文件

B

75. [单选题]题目内容请看题目描述。（75） (2分)

A.link -s testing.txt shotcut-testing.txt
B.ln -s shotcut.txt testing.txt
C.ln testing.txt shotcut-testing.txt
D.ln -s testing.txt shotcut-testing.txt
E.ln shotcut.txt testing.txt
‘Link’实际上是指向LINUX系统中另一个文件或文件夹的指标。以下哪个命令可以产生下面的结果:
A link is actually a pointer to another file or folder in the Linux system. Which of the following command can generate below result?

> ls -ilas
> |total 0
> |9731253 0 drwxr-xr-x 1 user users 4096 Jul 14 13:31 .
> |1725961 0 drwxr-xr-x 1 user users 4096 Jul 14 13:29 ..
> |90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 testing.txt
> |90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 shotcut-testing.txt

ln 创建硬连接, 第一个参数是原文件, 第二个是硬连接文件.

可以看到 testing.txt 和 shotcut-testing.txt 的 node 相同, 均为 90371467, 可以判断两个文件硬链接.

软连接 ls 显示是这样的

76. [单选题]以下哪个命令用于在Linux系统中创建分区？

Which of the following command is used to create partitions in the Linux system?
(1分)
A.gdisk /dev/sde
B.mke2fs /dev/sdb1 -t ext4
C.mount /dev/sdc1 /mnt/fs_home
D.fdisk -lu
E.lvcreate -l +200 /dev/vg00/log/vol-00

• A 使用GPT类型创建分区
• B 用于在现有的分区上创建新的 ext4 文件系统, 而不是创建分区
• C 挂载一个已存在的分区到文件系统上的特定挂载点, 而不是创建分区
• D fdisk 可以创建分区, 但 -lu 是列出分区
• E 这个命令用于在逻辑卷管理(LVM)环境中创建逻辑卷, 不是用于创建分区

A

77. [单选题]一个系统管理员要扩展运行在LVM系统中的服务器存储。以下哪个命令可以用于扩展LVM中的逻辑卷？

A system administrator wants to expand the server storage running in LVM system. Which command can be used to expand the logical volume in LVM?
(1分)
A.lvdisplay /dev/vg02/vol-01
B.lvcreate -n /dev/vg02 -l 200
C.lvextend -n /dev/vg02 -l +200
D.lvscan -l +200 /dev/vg02/vol-01
E.lvresize -l +200 /dev/vg02/vol-01

• A. lvdisplay /dev/vg02/vol-01 - 这个命令用于显示有关逻辑卷的详细信息, 而不是用于扩展它.
• B. lvcreate -n /dev/vg02 -l 200 - 这个命令用于创建新的逻辑卷, 而不是扩展已存在的逻辑卷.
• C. lvextend -n /dev/vg02 -l +200 - lvextend 命令用于扩展逻辑卷的大小, 但这里的命令语法不正确. 正确的格式应该是 lvextend -l +200 /dev/vg02/vol-01.
• D. lvscan -l +200 /dev/vg02/vol-01 - lvscan 命令用于扫描并显示所有逻辑卷, 不用于扩展逻辑卷.
• E. lvresize -l +200 /dev/vg02/vol-01 - lvresize 命令可以用来调整逻辑卷的大小, 这包括扩展和缩小逻辑卷. 这个命令可以用于扩展逻辑卷.

E

78. [单选题]题目内容请看题目描述。（78） (2分)

A.RAID 0
B.RAID 1
C.RAID 1+0
D.RAID 0+1
E.这个代码不起作用 (No effect)
一个系统管理员编写了一个bash代码来构建一个RAID系统，如下所示，将要实现什么类型的RAID？
A system administrator has written a bash code to build a RAID system as shown below. What type of RAID is going to be implemented?

| #!/bin/bash
| hd1=/dev/sda1
| hd2=/dev/sdb1
| hd3=/dev/sdc1
| hd4=/dev/sdd1
| mdadm --build /dev/md1 --level=1 --raid-devices=2 $hd1 $hd2
| mdadm --build /dev/md2 --level=1 --raid-devices=2 $hd3 $hd4
| mdadm --build /dev/md3 --level=0 --raid-devices=2 /dev/md2 /dev/md1

代码定义了四个硬盘分区变量:

hd1, hd2, hd3, 和 hd4, 分别对应 /dev/sda1, /dev/sdb1, /dev/sdc1, 和 /dev/sdd1

接着, 使用 mdadm 命令创建了 2 个 RAID 1 阵列:

第一个 RAID 1 阵列 /dev/md1 包括 hd1 和 hd2(即 /dev/sda1 和 /dev/sdb1).

第二个 RAID 1 阵列 /dev/md2 包括 hd3 和 hd4(即 /dev/sdc1 和 /dev/sdd1).

RAID 1 是镜像, 意味着数据在 2 个硬盘上是完全复制的, 提供了数据冗余.

最后, 代码使用 mdadm 创建了一个 RAID 0 阵列 /dev/md3, 它包括了之前创建的两个 RAID 1 阵列(/dev/md1 和 /dev/md2)作为其设备.

RAID 0 是条带化, 它将数据分散在两个或多个磁盘上, 但不提供冗余或容错能力.

C

79. [单选题]题目内容请看题目描述。(79) (3分)

A.systemctl kill bluetooth.service
B.systemctl disable bluetooth.service
C.systemctl down bluetooth.service
D.systemctl stop bluetooth.service
E.systemctl rm bluetooth.service
以下是运行在LINUX服务器中的服务清单。以下哪个命令可以关闭“bluetooth.service”服务？
The following is a list of service running on a Linux server. Which command can be used to turn off the Bluetooth service?

|● vm-production-xabonline.com
| State: running
| Jobs: 0 queued
| Failed: 0 units
| Since: Fri 2023-05-19 08:37:06 UTC; 2 months 11 days ago
| CGroup:
| ├─init.scope
| │ └─ 1 /sbin/init
| ├─system.slice
| │ ├─bluetooth.service
| │ │ └─ 737 /usr/lib/bluetooth/bluetoothd
| │ ├─dbus.service
| │ ├─docker.service
| │ │ └─ 853 /usr/bin/dockerd -H fd://
| │ ├─libvirtd.service
| │ │ └─ 2975 /usr/bin/libvirtd --timeout 120
| │ ├─polkit.service
| │ └─virtlogd.service
| │ └─ 3176 /usr/bin/virtlogd
| └─user.slice
| └─user-1000.slice

常识

D

80. [单选题]题目内容请看题目描述。(80) (1分)

A.30 8 * 1-5 * /usr/bin/systemctl start httpd.service 及 06 18 * 1-5 * /usr/bin/systemctl stop httpd.service
B.30 8 * * 1-5 /usr/bin/systemctl start httpd.service 及 06 18 * * 1-5 /usr/bin/systemctl stop httpd.service
C.30 8 1-5 * */usr/bin/systemctl start httpd.service 及 06 18 1-5 * */usr/bin/systemctl stop httpd.service
D.30 8 * * * /usr/bin/systemctl start httpd.service 及 06 18 * * * /usr/bin/systemctl stop httpd.service
E.以上都不是
cron服务在LINUX系统中充当作业调度程序。它实际上是在cron表（crontab）中指定的命令行列表。现在准备启动和关闭一个Web服务器（httpd.service），如下所示：
The Cron service acts as a job scheduler in the Linux system. It is actually a list of commands specified in the cron table (crontab). Now, the plan is to start and stop a web server (httpd.service) as below
上午8时30分（启动）- 下午6时06分（关闭）；周一至周五
AM 0830 (start) - PM 0606 (Closed) ; Monday to Friday
以下哪个crontab设置适用于这种情况？
Which of the following crontab setting can be used in this situation ?

5 个 * 分别代表分钟, 小时, 日, 月, 周.

B

81. [单选题]以下哪个Linux命令可以显示目录中的所有文件，包括隐藏文件？

Which of the following Linux command is able to show all files in a directory, including hidden file?
(1分)
A.ls -ls
B.ls -asl
C.ls -lAs | wc
D.ls -als | grep ssh
E.None

B

82. [单选题]如果您想要检查Linux系统上可用的剩余磁盘空间量，您会使用以下哪个命令？

If you want to check the amount of free disk space available on a Linux System, you will use which of the following command?
(1分)
A.df -vh
B.df -sh
C.dl -vh
D.dd -sh
E.dt -vh

A

83. [单选题]Dockerfile是一个文本文档，用于在Docker架构中生成以下哪个组件？

Dockerfile is a text document that aims to produce which of the following component in docker architecture?
(1分)
A.docker engine
B.image
C.container
D.volumes
E.docker network

B

84. [单选题]在Linux系统中，运行中程序的进程并位于内存区域，可以通过检查文件/proc/[pid]/maps来显示这些内存区域。以下哪个不是Linux系统中的内存区？

In Linux system, process is an instance of a running program located in several memory regions that can be revealed by inspecting file /proc/[pid]/maps. Which of the following is not the memory region working in Linux system?
(1分)
A.[heap]
B.[stack]
C.[paging]
D.[vvar]
E.[vdso]

C

85. [单选题] 以下命令中，哪个命令可以对"export-logs"输出进行排序?

Which of the following command can be used to sort the results of export-logs? (1分)

A.export-logs<sort
B.export-logs>sort
C.export-logs&sort
D.export-logs|sort
E.export-logs<>sort

D

86. [多选题]哪些文件会影响Linux主机的名称解析功能？(多选题)

Which files will affect the name resolution function of a Linux host?
(1分)
A./etc/resolv.conf
B./etc/hosts
C./etc/default/names
D./etc/nsswitch.conf
E./etc/inet/hosts

• /etc/resolv.conf - 包含用于域名解析的 DNS 服务器配置.
• /etc/hosts - 用于本地主机名到 IP 地址的静态映射.
• /etc/nsswitch.conf - 定义系统在进行名称解析时要使用的名称服务(Name Service Switch)的配置.
• 另外 2 个文件 linux 中并没有

ABD

87. [单选题]哪个系统文件包含了一般的端口、关联的服务和协议？

Which file include the well known ports, associated services and protocol?
(1分)
A./etc/services
B./etc/sysconfig/network-scripts
C./etc/services.conf
D./etc/inet/hosts
E.Noneofthechoices

/etc/services 包含了一般的端口、关联的服务和协议信息.

A

88. [填空题]题目内容请看题目描述。（88） (1分)

参考' Windows 10 ' 文件夹回答以下题目
With reference to ' Windows 10 ' folder to answer below question
在 Windows 10 中 \Users\qqqqq\Downloads，视频文件(mixkit-two-women-laying-together-925-medium.mp4)，在MFT中分成多少个Data Cluster 储存？
n Windows 10, the video file "mixkit-two-women-laying-together-925-medium.mp4" located at \Users\qqqqq\Downloads is stored in the Master File Table (MFT) using a series of data clusters. The exact number of data clusters used to store the file in the MFT is?
提示: 请以阿拉伯数字作答
Tips: Please answer in arabic numbers

5

89. [单选题]题目内容请看题目描述。（89） (1分)

A.2023/07/10 18:31:32
B.2023/07/10 18:31:01
C.2023/07/10 19:31:22
D.2023/07/11 19:31:22
参考' Windows 10 ' 文件夹回答以下题目
With reference to ' Windows 10 ' folder to answer below question
在 Windows 10 中 \Users\qqqqq\Downloads\ mixkit-two-woman-laying-together-925-medium.mp4 的last Access 时间是多少?
In Windows 10, what is the last Access time of the file ' mixkit-two-woman-laying-together-925-medium.mp4 ' located in ' \Users\qqqqq\Downloads ' ?

A

90. [填空题]题目内容请看题目描述。（90） (1分)

参考' Windows 7 ' 文件夹回答以下题目
With reference to ' Windows 7 ' folder to answer below question
在 Windows 7 中 \Users\Allen\Desktop，有1个MP3 文件 (例:unlock-me-149058.mp3)，用户使用什么程序打开该MP3 文件?
In Windows 7, there is 1 MP3 file (unlock-me-149058.mp3) saved under the path ' \Users\Allen\Desktop. What program did the user use to open the mp3 file.
提示:请以小写字母作答
Tips: Please answer in lowercase letters.

potplayer有播放过的历史记录，感觉mp3应该都是同一个软件打开的

potplayer

91. [单选题]题目内容请看题目描述。（91） (1分)

A.Local Machine Zone
B.Internet Zone
C.Restricted Zone
D.Trust Site Zone
参考' Windows 7 ' 文件夹回答以下题目
With reference to ' Windows 7 ' folder to answer below question
在 Windows 7 中 ' \Users\Allen\Desktop '有1个MP3 文件 (unlock-me-149058.mp3)，该文件的Zone identiflier为'3'。上述'3'字代表哪一个security Zone ?
In Windows 7, there is one MP3 file (unlock-me-149058.mp3) saved under the path ' \Users\Allen\Desktop. The zone identiflier of above file is '3'. What security zone does '3' represent?

流文件

Zone.Identifier 文件是一种特定于 Windows 的机制,用于存储有关文件的来源或“区域”的信息

In Windows, the general mapping of Zone Identifier values is as follows:

• 0: Local computer
• 1: Local intranet
• 2: Trusted sites
• 3: Internet
• 4: Restricted sites

B

92. [单选题]题目内容请看题目描述。（92） (1分)

A.www.Pixbay.com
B.free-mp3-download.net/
C.https://mp3juices.nu
D.mygomp3.com
参考' Windows 7 ' 文件夹回答以下题目
With reference to ' Windows 7 ' folder to answer below question
在 Windows 7 中 \Users\Allen\Desktop有1个MP3 文件 (unlock-me-149058.mp3)，该文件从哪个网站下载? In Windows 7, there is a MP3 file (unlock-me-149058.mp3) saved under the path ' \Users\Allen\Desktop. Which website was used to download the file?

A

93. [单选题]参考' Windows 7 ' 文件夹回答以下题目

With reference to ' Windows 7 ' folder to answer below question
在 Windows 7 中 \Users\Allen\Downloads 内有mp3文件 (miracle.mp3), 更改名称时间?
In Windows 7, there is a MP3 file named "miracle.mp3 saved under the path ' \Users\Allen\Downloads." When was the file's name changed? (2分)
A.2023-07-13 02:55:20
B.2023-07-15 10:55:20
C.2023-07-12 10:58:04
D.2023-07-13 10:55:20

D

94. [填空题]题目内容请看题目描述。（94） (1分)

参考' Windows 7 ' 文件夹回答以下题目
With reference to ' Windows 7 ' folder to answer below question
在 Windows 7 中 \Users\Allen\Downloads 内有mp3文件 (miracle.mp3), mp3文件更改名称前的名称是什么?
In Windows 7, there is an MP3 file named "miracle.mp3 saved under the path ' \Users\Allen\Downloads." What was the name of the MP3 file before it was renamed?
提示: 请以与记录相同的名称与文件格式作答
Tips: Please answer the exact name and file extension of the file

同上图

a-small-miracle-132333.mp3

95. [单选题]参考' Windows 7 ' 文件夹回答以下题目

With reference to ' Windows 7 ' folder to answer below question
在 Windows 7中有多少个文件曾被potplayer 播放?
In Windows 7, how many files have been played by potplayer? (1分)
A.7
B.8
C.9
D.10

96. [填空题]题目内容请看题目描述。（96） (1分)

参考' Windows 7 ' 文件夹回答以下题目
With reference to ' Windows 7 ' folder to answer below question
在 Windows 7中, potplayer最后播放的文件名?
In Windows 7, what is the name of the file name of last file played by PotPlayer?
提示: 请以与记录相同的名称(包括小写字母、阿拉伯数字与符号)与文件格式作答
Tips: Please answer the exact name (including lowercase letters, arabic numbers and symbols) and file extension of the file

思路1：

点开看

思路2：

注：检材原始数据被我破坏了，但理论上是这么做题

unlock-me-149058.mp3

97. [单选题]题目内容请看题目描述。（97） (3分)

A.nc -l 4444 >mem126.lime.gz
B.Insmod lime.ko “pathtcp:4444 format=lime digest=sha256 compress=1”
C.scp -I ~/DFIRSciAWTest.pem lime.ko ec2-duckman@3.137.169.127:~/scp -I ~/DFIRSciAWTest.pem /usr/bin/nc ec2-duckman@3.137.169.127:~/
D.ssh duckman@<target_server_ip> "sudo dd if=/dev/mem | gzip -1 -" > memory_dump.gz

事件应急小组 ( IR team)正在处理一起网络事件。 调查显示，目标服务器是一个 EC2 Linux 实例，与该事件有关。
该团队打算获取Linux系统的内存（使用SHA256）。 与该事件关联的 AWS 账户以用户名“duckman”注册。 为了促进内存获取过程，该团队建立了专用的“取证服务器”。 并使用“LiME”通过网络获取内存。
以下哪一个指令是设定取证服务器以作取得内存内容的初步步骤?
The incident response team was handling a cyber incident. The investigation revealed that the target server, an EC2 Linux instance, was implicated in the incident.
The team intends to obtain the memory of the Linux system (with SHA256). The AWS account associated with the incident is registered under the username "duckman." To facilitate the memory acquisition process, the team has established a dedicated "forensic server." and use “LiME” to acquire memory via network.
Which of the following command is the early step to config the “forensic server” for the memory acquisition?

• A nc 监听 4444 端口, 然后将接收到的包存入 mem126.lime.gz.
• B insmod 是 Linux 系统中用于将内核模块插入内核的命令, 这里插入了 LiME 内核模块, 后面的值是传递给 LiME 模块. 通过 TCP 连接传输内存数据, 使用 LiME 格式进行获取, 同时进行 SHA-256 散列摘要和压缩.
• C 将 lime.ko 与 nc 通过私钥 DFIRSciAWTest.pem, 以 scp 方式传入服务器.
• D ssh 连上去然后用 dd 读取内存数据并压缩至文件 memory_dump.gz.

题目问设定取证服务器以作取得内存内容的初步步骤, A 与 B 分别使用了 nc 与 lime.ko, 而C是先传入该文件, 这应该就是初步步骤.

C

98. [单选题]题目内容请看题目描述。（98） (3分)

A.SELECT c.customer_name, c.destination, datetime(d.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hkFROM cus cINNER JOIN date d ON c.destination = d.Destination WHERE c.destination = 'Moscow'

B.SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hkFROM cusINNER JOIN date ON customer_id = date.id WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

C.SELECT cus.customer_name, cus.destination, date.arrival_timestampFROM cusINNER JOIN date ON cus.destination = date.destination；WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow'

D.SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hkFROM cusINNER JOIN date ON cus.destination = date.Destination WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

基于两个 SQLite 数据库文件“cus_202308102034.json”和“date_202308101120.json”。
请编译一个 SQLite 脚本找出谁前往目的地“莫斯科".
包括

• 所有客户的姓名、
• 目的地、
• “arrival_timestamp_HK”[将时间戳转换为本地时间并将该列命名为“local_time”]。
  Based on the two SQLite Database Files “cus_202308102034.json” and "date_202308101120.json".
  please compile an SQLite statement to find out who traveled to the destination “Moscow”, with all customers name, destination, “arrival_timestamp_HK” [convert the timestamp to localtime and name the column as “local_time”].

B两表连接时 customer_id 不对, 应是 cus.customer_id.

C没有转换时间戳.

A 与 D 的区别是, D 加了一个 date.arrival_timestamp_HK IS NOT NULL

D

99. [填空题]写一个Powershell的脚本以提取正在连接到Window 11计算机的可移动设备的记录。就每一个装置记录，提取相关的数据如装置名称、制造商、装置详情、硬件编号。及后用 “Write-Host” 指令题示数据。

write a PowerShell script to retrieve all removable device records connected to a Windows 11 desktop, for each device record, extracts relevant information such as the device name, manufacturer, description, and hardware ID. Then, use the “Write-Host” cmdlet to displays such information.
(2分)

$removableDevices = Get-PnpDevice | Where-Object { $_.Class -eq "DiskDrive" }

foreach ($device in $removableDevices) {
    $deviceDetails = Get-PnpDeviceProperty -InstanceId $device.InstanceId
    $deviceName = $device.Name
    $manufacturer = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_Manufacturer" }).Data
    $description = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_DeviceDesc" }).Data
    $hardwareId = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_HardwareIds" }).Data

    Write-Host "Device Name: $deviceName"
    Write-Host "Manufacturer: $manufacturer"
    Write-Host "Description: $description"
    Write-Host "Hardware ID: $hardwareId"
    Write-Host "-----------------------------"
}

gpt 写的, 和标准答案差不多

100. [填空题]题目内容请看题目描述。（100） (3分)

以下 PowerShell 脚本用于从 Windows Server 2012 R2 获取具有管理员权限的所有使用者活动。

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    ID = 4688
    Level = 0
} | Where-Object {+B86
    $_.Properties[?].Value -match 'S-1-5-21-\d+-500'
} | Select-Object -Property TimeCreated, Message

$_.Properties[?]中的参数是什么？
如果事件的第 9 个属性与内建的 Administrator 账户的安全标识符(SID:S-1-5-21--500)匹配, 则确保只选择与管理员活动相关的事件.

说了这么多，第九个属性，所以参数就是8啊