2023年美亚(备赛)

Android.bin

1.李大辉所用手机移动运营商公司的名称?

运营商DUCK

2.李大辉的手机安装了什么即时通讯软件?

两个都有但是whatsapp用的更多
A.WhatsApp

3.李大辉的手机安装了什么反追踪软件?

这题依旧不会看着人家的wp但是和官方的答案不一样
也没有确定的答案这里就不写了

4.李大辉的手机是什么时间成功登入 WhatsApp?

短信里面可以找

5.李大辉登入 WhatsApp 时的认证短码是什么?

一样的

6.李大辉到美丽好化妆品公司的入职时间是何时?

找文档文件发现

7.李大辉曾于什么时间使用了图像编辑软件?

名字和时间不匹配

所以是2022-10-11

Meiya_VPN

8.这个访问服务器使用了哪个端口?

943

9.User1 账户最近连接到这个访问服务器时使用的 IP 地址是多少?

这里要看连接一般需要去看日志文件

10.哪些文件可以找出这个访问服务器的 Ubuntu 版本?

profile文件没有找到相应的文件只有一些长的像的也不是
console没有文件只有文件夹

11.哪些文件有助于分辨这是一个存储服务器?¶

auth.log是用户的登录日志

如果是存储服务器，会有很多用户通过 Samba、NFS、FTP 等协议访问时的认证记录，有助于判断它是存储服务器。

sys.log是系统日志

如果里面出现存储相关服务（如 smbd、nfsd）的启动、RAID 状态等，有助于判断。

bash_history是记录用户在系统上执行命令的历史

如果有存储配置命令（如 mkfs、mount、zfs、exportfs），可推测是存储服务器

这题因为题目并未明确要求说是这个检材的所以选择ABC

12.这个访问服务器所在时区是哪个时区?

openvpn日志打开后

-0700就是UTC-7

13.这个访问服务器的 openvpn 帐户密码是多少?

打开浏览器里面保存的密码有两个

去日志里面看一下

这里能看见服务器IP变了
所以是上面那个

TLfAg6l6dssc

14. 在这个访问服务器中, User1 账户之间的连接所使用的加密算法是什么?

看日志文件可以看出

AES-128-GCM这个是一个备选另外一个才是对的

网络题目.pcapng

15.给出正在进行 Nmap 扫描的计算机互联网协议地址?

这里看不懂他啥意思
着翻译有毒，正常的翻译应该是Nmap 扫描的来源 IP 是什么

这里其实在开头就可以看出来了

192.168.186.132

16.有多少个 Nmap 扫描正在同时进行?

每一次 ICMP_Echo_Req 到 ICMP_Echo_Reply 是一个扫描进程的开始

这里可以明显看出来有两次

17.当计算机正在扫描 8.8.8.8, Nmap 相关的指令是什么?

这里多是TCP协议

TCP 连接扫描(-sT 选项)通常在进行主机发现时会使用 ICMP Echo 请求, 然后在确定主机在线后, 通过 TCP 连接进行端口扫描.

18.当计算机正在扫描 45.33.32.156, Nmap 相关的指令是什么?

UDP 扫描(-sU选项)通常在进行主机发现时会使用 ICMP Echo 请求, 然后在确定主机在线后, 通过 UDP 连接进行端口扫描.

理论题

19.国强被指派设定一个 DHCP 服务器, 该服务器需借出最后 100 个的 IP 地址, 以下哪个 IP 地址会是被借出的 IP 地址?

A. 10.1.4.255

B. 10.1.4.100

C. 10.1.4.254

D. 10.1.4.1

20.以下那个协议是属于 TCP/IP 协议?¶

A. i & iii

B. ii & iv

C. 所有皆是 (All answers belong to TCP/IP protocol)

D. 所有皆否(All answers don’t belong to TCP/IP protocol)

源自维基百科

21.浩贤为一间公司的网络管理员, 他需要把一个路由器作出以下设定

1) 允许 192.168.26.3 连上互联网 2) 允许 192.168.26.2 作 UDP 连接

现在浩贤把路由器作以下设定:-

    access-list 119 deny udp any any
    access-list 121 permit udp host 192.168.26.2 any
    access-list 120 deny tcp any any
    access-list 122 permit tcp host 192.168.26.3 eq www any
    access-list 123 permit tcp any eq ftp any

志伟是浩贤的主管, 他发现浩贤的设定错误, 浩贤应作怎样的更正?

A. 'access-list 123 permit tcp any eq ftp any' 更正为 'access-list 123 permit udp any eq ftp any '

B. 'access-list 122 permit tcp host 192.168.26.3 eq www any' 更正为 'access-list 122 permit udp host 192.168.26.3 eq www any'

C. 删除 'access-list 120 deny tcp any any' 与 'access-list 119 deny udp any any'

D. 删除 'access-list 123 permit tcp any eq ftp any'

分析一下这个ACL

ACL（访问控制列表）配置要遵循的原则首先ACL里面的编号要连续的
不能存在条约或者插入119到121这种是不合理的
这里再来读一下每一条规则的内容
119拒绝所有UDP连接
121允许192.168.26.2的UDP
120拒绝所有TCP连接
122允许192.168.26.3访问www
123允许所有连接FTP

就这样捋一下可以看出是直接断网了的
将119和120删除，他拒绝了所有的UDP和TCP连接

22.根据以下ping指令的结果, 你会估计 192.168.186.132 是哪一个操作系统¶

Ping 192.168.186.132 (使用 32 字节的数据):

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

回复自 192.168.186.132: 字节=32 时间<1ms TTL=64

192.168.186.132 的 Ping 统计资料:

封包: 已传送 = 4, 已收到 = 4, 已遗失 = 0 (0% 遗失),

大约的来回时间 (毫秒):

最小值 = 0ms, 最大值 = 0ms, 平均 = 0ms

A. Linux

B. Windows XP

C. Windows 7

D. iOS 12.4 (Cisco Routers)

TTL 值是每个操作系统设置的默认值, 用来决定数据包在网络中传递的最大跳数. 不同的操作系统有不同的默认 TTL 值

23.当使用nmap扫描目标后, Nmap 内出现以下信息 "Note: Host seems down. If it is really up, but blocking our ping probes" (主机似乎关机. 如果它是开启的, 它正在阻挡 ping 探测.) 应用哪一个指令找出开放的端口?¶

A. nmap -sT

B. nmap -sN

C. nmap -sX

D. nmap -Pn

nmap会默认先用ping探活，如果ping不通就直接停止后续操作——除非加上参数-Pn，即不进行ping探活就直接进行扫描
所以这里使用namp -Pn

24.以下哪一个Nmap指令可以减低被侦测的可能性.¶

A. nmap -sT -O -T5

B. nmap -sT -O -T0

C. nmap sU

D. nmap -A --host-timeout 99-T1

这里选择-T0因为这个是最慢的扫描
-T5是极限速度
-timeout 99主机超时99秒这个就是最大扫描时长

25. Apple 计算机的硬盘可以使用以下分区方案¶

A. Apple Partition Map

B. GUID Partition Table

C. Master Boot Record

D. All of the above

Mac OS.img

26.Mac OS.img 文件中可以找到多少个符号链接?¶

A. 0

B. 1

C. 2

D. 3

27.在 Mac OS.img 档中使用了哪种分区方案?¶

A. Apple Partition Map

B. GUID Partition Table

C. Master Boot Record

D. HFS+

x-way打开看

28.Mac OS.img 档的文件系统的正确描述是什么?¶

A. HFS+(已启用日志记录)

B. HFS+(已启用区分大小写)

C. HFS+(已启用日志记录和区分大小写)

D. APFS(已启用区分大小写)

29.从文件 Car.rtfd 中删除了哪个文件?

这个文件在文件夹里面没有所以是这个

30.请提供 Mac OS.img 映像文件被 fsck 命令检查的具体时间.

fsck 是个检查和修复文件系统错误的命令, 这个过程会对文件系统的一些元数据进行更改, 这些更改可能包括更新文件系统的某些时间戳, 例如最后检查时间或最后修改时间, 而最开始被更改的分区时间, 应该为 fsck 命令检查的具体时间(需要校正时区).

这里再找一下mac os系统的时间格林尼治标准时 (UTC+0)

换算一下就是2023/07/13 08:24:35

31.在 .img 档中删除了多少个文件?¶

A. 1

B. 2

C. 3

D. 4

.Trashes 是回收站, 里面有 3 个被删掉的文件, 结合上面根据版本记录删掉了 yeah.jpg, 一共是 4 个.

Window Artifacts.E01

32.总共登入过该计算机多少次?

33. 计算机的操作系统是在哪一个时区?¶

A. UTC +4

B. UTC +8

C. UTC -8

D. UTC -4

34.该计算机的操作系统于何时安装?

A. 2023-07-13 19:18:14

B. 2023-07-13 11:18:14

C. 2023-07-13 03:18:14

D. 2023-07-12 19:18:14

35.哪(几)个程序会于操作系统启动时自动执行?

A. Avast

B. Steam

C. OneDrive

D. QQ

36.该计算机内安装了以下哪一个程序?

A. QQ

B. WPS Office

C. Opera

D. Kaspersky

37.计算机内的 OneDrive 程序版本是什么?

38.计算机有一个正在连接的网络接口, 该接口连接 DHCP 服务器的 IP 地址是多少?

39.该计算机何时连接过一只U盘?

A. 2023-07-13 11:48:26

B. 2023-07-13 03:48:29

C. 2023-07-12 19:48:29

D. 2023-07-13 11:48:29

40.Elvis Chui 将哪几个文本文件放在回收站中?

A. $+D10I76A74P.txt

B. Holiday schedule 2023-07-16.txt

C. Holiday schedule 2023-07-13.txt

D. Minute on 2023-07-01.txt

E. Minute on 2023-07-10.txt

41.Elvis Chui 在什么时间删除了第一个文本文件?

A. 2023-07-13 11:50:15

B. 2023-07-13 03:49:45

C. 2023-07-13 03:50:15

D. 2023-07-13 11:49:45

42.Elvis Chui 删除的第一个文本文件的文件名是什么?

43.Elvis Chui 删除的第一个文本文件在什么时间创建?

A. 2023-07-13_11:42:39

B. 2023-07-13_11:50:49

C. 2023-07-13_11:49:45

D. 2023-07-13_11:45:22

44.Elvis Chui 计划于2023年7月15日20点5分有什么活动?

45.该计算机执行 STEAM.EXE 总共多少次?

46.一个名为 Account 的数据库表拥有 5 个列, 以下哪一个指令会产生错误讯息?

A. SELECT * from Account WHERE name=‘Alex’ OR ‘1’=1

B. SELECT * FROM Account WHERE name=‘Bill’ UNION SELECT NULL, NULL, NULL, NULL

C. SELECT * from Account WHERE name=‘Candy’ ORDER BY 6

D. SELECT name FROM sys.tables

47.当客户端收到一个页面请求的 HTTP 状态代码为 304 时, 以下哪种情况最有可能发生?

A. 页面将显示错误

B. 页面将从浏览器缓存中加载

C. 浏览器将显示“访问被拒绝”

D. 服务器将复位向客户端到另一个资源

48.在 HTML 注入攻击中, 以下哪种情况最有可能出现?

A. <form action="http://1.2.3.4/login.htm">Password:<input type="password" name="pword"> </form>

B. <embed src="http://demo.com/demo.swf"> </embed>

C. <script>alert(‘Correct’)</script>

D. <?php include(“inc/" .$_GET[‘file’]；?>

不知道，东西太多不会

49.如何预防 HTML 注入攻击?

A. 密钥管理

B. 同源策略执行

C. 会话验证

D. 输入过滤

50.同源策略在浏览器内存中提供 Web 应用程序安全的目的是什么?

A. 防止客户端访问恶意网站

B. 禁止 Web 会话运行外部脚本

C. 控制来自不同服务器的代码之间的交互

D. 阻止浏览器运行危险或有害的脚本

这题读选项可以知道是选C但是因为不知道是什么还是算不会

51.编写 Nmap 命令以显示以下结果.

`Starting Nmap 7.94 (https://nmap.org) at 2023-07-11 18:26 中国标准时间

点击查看代码

`Starting Nmap 7.94 (https://nmap.org) at 2023-07-11 18:26 中国标准时间
Nmap scan report for www.baidu.com (220.181.38.149)
Host is up (0.044s latency).
Other addresses for www.baidu.com (not scanned): 220.181.38.150

Not shown: 998 filtered tcp ports (no-response)
PORT          STATE            SERVICE
80/tcp           open                http
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/
|_/homepage/  /cpro /
443/tcp     open             https
|  http-robots.txt: 10 disallowed entries
|  /baidu /s? /ulink? /link? /home/news/data/  /bh /shifen/
|_/homepage/  /cpro /

Nmap done: 1 IP address (1 host up) scanned in 6.01 seconds`

Nmap scan report for www.baidu.com (220.181.38.149)
Host is up (0.044s latency).
Other addresses for www.baidu.com (not scanned): 220.181.38.150

Not shown: 998 filtered tcp ports (no-response)
PORT STATE SERVICE
80/tcp open http
| http-robots.txt: 10 disallowed entries
| /baidu /s? /ulink? /link? /home/news/data/ /bh /shifen/
|/homepage/ /cpro /
443/tcp open https
| http-robots.txt: 10 disallowed entries
| /baidu /s? /ulink? /link? /home/news/data/ /bh /shifen/
|/homepage/ /cpro /

Nmap done: 1 IP address (1 host up) scanned in 6.01 seconds`

nmap --script http-robots.txt www.baidu.com

52.除了使用 Nmap, 还有其他方法可以验证上述结果, 其中一种方法是使用 Web 浏览器浏览 URL, 编写 URL 以显示上述结果.

www.baidu.com/robots.txt

IOS

53.根据 com.apple.ios.StoreKitUIService.plist, 这部电话是什么型号?

A. SAMSUNG S23

B. iPhone X

C. iPhone XR

D. iPhone XS

E. iPhone 13

hardwareModel是硬件模型

型号不同的硬件模型不同

54.根据 com.apple.ios.StoreKitUIService.plist, 上述电话的文件系统是什么?

A. FAT32

B. NTFS

C. HFS+

D. APFS

E. EXT4

iOS >= 10.3, 文件系统都是 APFS

55.根据 ChatStorage.sqlite, 哪些对话已锁定?

A. 447380449879@.whatsapp.net

B. 79096209701@.whatsapp.net

C. 923109725619@.whatsapp.net

D. 85256026169@.whatsapp.net

E. status@broadcast

这题根据答案来看只能通过flags的数量来确定是哪些被锁定了

但也是算不会

56.根据 ChatStorage.sqlite, 有多少段录音对话?

这里audio告诉我们是音频文件但是mpeg是mp3这个类型的格式
而opus是音频文件的格式多用于语音

所以是下面这个

右下角

57.Apple Cocoa Core Data timestamp 是由什么时间开始?

A. 2001年1月1日

B. 1970年1月1日

C. 2006年1月1日

D. 1960年1月1日

58.根据 Photos.sqlite 数据库中, 有多少段视频可能涉及 WhatsApp?

cloudmaster里涉及

59.根据 Photos.sqlite 数据库中, 下列哪个选项对 IMG_0008.HEIC 的描述是错的?

A. 由第三方软件拍摄

B. 经过修改

C. 由后镜拍摄

D. 用 ISO200 拍摄

E. 没有储存经纬度

存储了经纬度

找到Z_PK

用这个去查其它东西

这里看不懂英文的就很痛苦

ZEXTENDEDATTRIBUTES这个表是扩展属性

进去查

并且HEIC是苹果原相机拍照的格式

所以这里按理说是ADE
官方看不懂

60.根据 sms.db 的资料, 全局唯一标识符(GUID) DD31C26F-1D72-DE0F-431E-EF98F104402D 显示的信息是什么?

61.根据 com.burbn.instagram.plist 及 com.facebook.Facebook.plist 手机安装了实时通讯软件 Facebook 及 Instagram 的那个版本?

62.根据 ChatStorage.sqlite, 用户数据 Peter Chow (85262012141)在什么日期和时间(以UTC +8时区)曾经通过实时通讯软件送出一个信息(内容为: I am already home)?

第二个就是时间用工具转换一下

63.根据影片 IMG_0687.MOV 的原数据, 找出影片拍摄时间

找不到

64.根据 CallHistory.storedata, 哪份表格显示了通话记录?

A. ZCALLBPROPERTIES

B. ZCALLRECORD

C. Z_2REMOTEPARTICIPANTHANDLES

D. Z_METADATA

E. Z_MODELCACHE

F. Z_PRIMARYKEY

65.根据 com.apple.sharingd.plist, 这部手机的隔空投送的身份标识号(AirDrop ID)是什么?

66.根据 Accounts3.sqlite, 这部手机的苹果使用者账号 (Apple ID)是什么?

67.哪一行代码的是负责更新在 GitHub 使用中的 .journal 文件的更新历史记录?

line 1 git config --global user.name "mikesezto"
line 2 git config --global user.email "smike@general.org"
line 3
line 4 cd which-truth
line 5 rm .journal
line 6
line 7 git add .journal
line 8 git commit -m "Remove sensitive data"
line 9 git push
line 10
line 11 git clone --mirror http://github.com/smike/which-truth
line 12
line 13 java -jar bfg.jar --delete-files .journal which-truth
line 14 cd which-truth
line 15 git reflog expire --expire=now --all
line 16 git gc --prune=now --aggressive
line 17 git push --force

A. 08

B. 13

C. 16

D. 17

iu4y8zcU6rZjOht

commit 提交更改. 在 commit 的时候就会在 .git 目录中生成文件版本更新记录.

68.下列哪一行 AWS S3 Bucket 授权策略中的设置有问题?

line 1 {
line 2 "Version": "2020-11-12",
line 3 "Statement": [
line 4 {
line 5 "Sid": "PublicReadGetObject",
line 6 "Effect": "Allow",
line 7 "Principal": "",
line 8 "Action": "s3:GetObject",
line 9 "Resource": "arn:aws:s3:::company-sensitive-14dnid23nfief/"
line 10 }
line 11 ]
line 12 }

A. 2

B. 7

C. 8

D. 9

"Principal": "*",
将访问权限设置为对所有用户开放, 权限设置显然有问题

69.以下哪项是多重身份验证(MFA)的示例

A. PIN 码和软件令牌

B. 指纹和视网膜扫描

C. 用户名和密码

D. 一次性短信代码和硬件令牌

选A

70.AWS 用家在户口网络进行设定, 而这些设定会记录用户或第三者的活动. 第 11 行代码中的设定可以找到哪些用户或第三者的活动信息?

这道题的中文描述更是抽象. 按照英文 "An AWS user is setting up his AWS account. Those setting will record the activities of the user or third party. What user or third party information could be found in line 11 of code in the script?" 可以翻译为 "一位 AWS 用户正在设定他的账户. 在脚本的第 11 行代码中, 可以找到哪些用户或第三方的信息?".

line 1 sudo yum install python-pip -y
line 2 sudo pip install opencanary
line 3
line 4 sudo opencanaryd --copyconfig
line 5
line 6 opencanaryd --start
line 7
line 8
line 9 sudo yun install jq -y
line 10
line 11 jq -r .src_host /var/tmp/opencanary.log | grep -V ^$ | sort | uniq > -/sources.txt
line 12 jq -r .logdata.USERNAME /var/tmp/opencanary.log | grep -V null | sort | uniq > -/usernames.txt
line 13 jq -r .logdata.PASSWORD /var/tmp/opencanary.log | grep -V null | sort | uniq > -/passwords.txt

A. User Name 用户的名称

B. User Source 用户的来源

C. Attacker Name 攻击者的名称

D. Attacker Source 攻击者的来源

所以是D

71.AWS 用户设置了一个 VPC, IP 地址范围为 10.0.0.0-10.0.0.24. 下列哪个 IP 地址用于 DNS?

A. 10.0.0.0

B. 10.0.0.1

C. 10.0.0.2

D. 10.0.0.3

VPC中特殊IP使用

72.以下哪种类型的云服务用于操作系统和网络?

A. 软件即服务

B. 平台即服务

C. 基础架构即服务

D. 数据即服务

73.以下哪项是 Bastionhost 的特点?

A. 包含敏感信息

B. 无法访问内部系统

C. 限制暴露的服务

D. 没有连接到互联网

堡垒机, 是外部网络与内部网络连接的工具.

74.在 Linux 系统中, 哪个命令可以用于创建文件系统?

A. mount /dev/sda3 /mnt/usb

B. mkfs-ext4 /dev/sda2

C. mkfs-ext3 /sys/sda1

D. pvcreate /dev/sda

E. genfstab -U -p /mnt

这个网站可以看命令https://www.linuxcool.com/

eyr6CQqDJKhVcTO

75.Link 实际上是指向 Linux 系统中另一个文件或文件夹的指标. 以下哪个命令可以产生下面的结果:

ls -ilas
|total 0
|9731253 0 drwxr-xr-x 1 user users 4096 Jul 14 13:31 .
|1725961 0 drwxr-xr-x 1 user users 4096 Jul 14 13:29 ..
|90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 testing.txt
|90371467 0 -rw-r--r-- 2 user users 90 Jul 14 13:30 shotcut-testing.txt

A. link -s testing.txt shotcut-testing.txt

B. ln -s shotcut.txt testing.txt

C. ln testing.txt shotcut-testing.txt

D. ln -s testing.txt shotcut-testing.txt

E. ln shotcut.txt testing.txt

ln 创建硬连接, 第一个参数是原文件, 第二个是硬连接文件.

76.以下哪个命令用于在 Linux 系统中创建分区?

A. gdisk /dev/sde

B. mke2fs /dev/sdb1 -t ext4

C. mount /dev/sdc1 /mnt/fs_home

D. fdisk -lu

E. lvcreate -l +200 /dev/vg00/log/vol-00

77.一个系统管理员要扩展运行在 LVM 系统中的服务器存储. 以下哪个命令可以用于扩展 LVM 中的逻辑卷?

A. lvdisplay /dev/vg02/vol-01

B. lvcreate -n /dev/vg02 -l 200

C. lvextend -n /dev/vg02 -l +200

D. lvscan -l +200 /dev/vg02/vol-01

E. lvresize -l +200 /dev/vg02/vol-01

78.一个系统管理员编写了一个 bash 代码来构建一个 RAID 系统, 如下所示, 将要实现什么类型的 RAID?

!/bin/bash

hd1=/dev/sda1
hd2=/dev/sdb1
hd3=/dev/sdc1
hd4=/dev/sdd1
mdadm --build /dev/md1 --level=1 --raid-devices=2 $hd1 $hd2
mdadm --build /dev/md2 --level=1 --raid-devices=2 $hd3 $hd4
mdadm --build /dev/md3 --level=0 --raid-devices=2 /dev/md2 /dev/md1

A. RAID 0

B. RAID 1

C. RAID 1+0

D. RAID 0+1

E. 这个代码不起作用

所以这里是先创建两个raid1然后再创建一个条带化的raid0
所以最后叫raid1+0

79.以下是运行在 Linux 服务器中的服务清单. 以下哪个命令可以关闭 bluetooth.service 服务?

A. systemctl kill bluetooth.service

B. systemctl disable bluetooth.service

C. systemctl down bluetooth.service

D. systemctl stop bluetooth.service

E. systemctl rm bluetooth.service

80.cron 服务在 Linux 系统中充当作业调度程序. 它实际上是在 cron 表(crontab)中指定的命令行列表. 现在准备启动和关闭一个 Web 服务器(httpd.service), 上午 8 时 30 分(启动) - 下午 6 时 06 分(关闭);周一至周五. 以下哪个 crontab 设置适用于这种情况?

A. 30 8 * 1-5 * /usr/bin/systemctl start httpd.service 及 06 18 * 1-5 * /usr/bin/systemctl stop httpd.service

B. 30 8 * * 1-5 /usr/bin/systemctl start httpd.service 及 06 18 * * 1-5 /usr/bin/systemctl stop httpd.service

C. 30 8 1-5 * */usr/bin/systemctl start httpd.service 及 06 18 1-5 * */usr/bin/systemctl stop httpd.service

D. 30 8 * * * /usr/bin/systemctl start httpd.service 及 06 18 * * * /usr/bin/systemctl stop httpd.service

E. 以上都不是

crontab 的时间格式
分钟小时日月星期

5 个 * 分别代表分钟, 小时, 日, 月, 周.

81.以下哪个 Linux 命令可以显示目录中的所有文件, 包括隐藏文件?

A. ls -ls

B. ls -asl

C. ls -lAs | wc

D. ls -als | grep ssh

E. None

82. 如果您想要检查 Linux 系统上可用的剩余磁盘空间量, 您会使用以下哪个命令?

A. df -vh

B. df -sh

C. dl -vh

D. dd -sh

E. dt -vh

83.Dockerfile 是一个文本文档, 用于在 Docker 架构中生成以下哪个组件?

A. docker engine

B. image

C. container

D. volumes

E. docker network

84.在 Linux 系统中, 运行中程序的进程并位于内存区域, 可以通过检查文件 /proc/[pid]/maps 来显示这些内存区域. 以下哪个不是 Linux 系统中的内存区?

A. [heap]

B. [stack]

C. [paging]

D. [vvar]

E. [vdso]

85.以下命令中, 哪个命令可以对 export-logs 输出进行排序?

A. export-logs<sort

B. export-logs>sort

C. export-logs&sort

D. export-logs|sort

E. export-logs<>sort

86.哪些文件会影响 Linux 主机的名称解析功能?

A. /etc/resolv.conf

B. /etc/hosts

C. /etc/default/names

D. /etc/nsswitch.conf

E. /etc/inet/hosts

87.哪个系统文件包含了一般的端口、关联的服务和协议?

A. /etc/services

B. /etc/sysconfig/network-scripts

C. /etc/services.conf

D. /etc/inet/hosts

E. Noneofthechoices

Windows 10

88.\Users\qqqqq\Downloads, 视频文件(mixkit-two-women-laying-together-925-medium.mp4), 在 MFT 中分成多少个 Data Cluster 储存?

89.Users\qqqqq\Downloads\mixkit-two-woman-laying-together-925-medium.mp4 的 last Access 时间是多少?

A. 2023/07/10 18:31:32

B. 2023/07/10 18:31:01

C. 2023/07/10 19:31:22

D. 2023/07/11 19:31:22

90.\Users\Allen\Desktop 有 1 个 MP3 文件, 用户使用什么程序打开该 MP3 文件?

91.\Users\Allen\Desktop有 1 个 MP3 文件, 该文件的 Zone Identiflier 为 3. 上述 3 字代表哪一个 security Zone?

A. Local Machine Zone

B. Internet Zone

C. Restricted Zone

D. Trust Site Zone

所以是internet

92.\Users\Allen\Desktop 有 1 个 MP3 文件, 该文件从哪个网站下载?

A. www.Pixbay.com

B. free-mp3-download.net/

C. https://mp3juices.nu

D. mygomp3.com

93.\Users\Allen\Downloads 内有 mp3 文件 miracle.mp3, 更改名称时间?

A. 2023-07-13 02:55:20

B. 2023-07-15 10:55:20

C. 2023-07-12 10:58:04

D. 2023-07-13 10:55:20

94.\Users\Allen\Downloads 内有 mp3 文件 miracle.mp3, mp3 文件更改名称前的名称是什么?

95. 有多少个文件曾被 potplayer 播放?

A. 7

B. 8

C. 9

D. 10

应该是8个有一个我自己点的

96.potplayer 最后播放的文件名?

这题感觉很奇怪，我不明白

97.事件应急小组正在处理一起网络事件. 调查显示, 目标服务器是一个 EC2 Linux 实例, 与该事件有关.

该团队打算获取Linux系统的内存(使用 SHA256 校验).

与该事件关联的 AWS 账户以用户名 duckman 注册.

为了促进内存获取过程, 该团队建立了专用的取证服务器, 并使用 LiME 通过网络获取内存.

以下哪一个指令是设定取证服务器以作取得内存内容的初步步骤?

A. nc -l 4444 >mem126.lime.gz

B. insmod lime.ko “pathtcp:4444 format=lime digest=sha256 compress=1”

C. scp -I ~/DFIRSciAWTest.pem lime.ko ec2-duckman@3.137.169.127:~/scp -I ~/DFIRSciAWTest.pem /usr/bin/nc ec2-duckman@3.137.169.127:~/

D. ssh duckman@<target_server_ip> "sudo dd if=/dev/mem | gzip -1 -" > memory_dump.gz

98.基于两个 SQLite 数据库文件 cus_202308102034.json 和 date_202308101120.json.

请编写一个 SQLite 脚本找出谁前往目的地莫斯科.

包括所有客户的姓名, 目的地, arrival_timestamp_HK(将时间戳转换为本地时间并将该列命名为 local_time).

A. SELECT c.customer_name, c.destination, datetime(d.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus c INNER JOIN date d ON c.destination = d.Destination WHERE c.destination = 'Moscow'

B. SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus INNER JOIN date ON customer_id = date.id WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

C. SELECT cus.customer_name, cus.destination, date.arrival_timestampFROM cus INNER JOIN date ON cus.destination = date.destination WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow'

D. SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk FROM cus INNER JOIN date ON cus.destination = date.Destination WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

SELECT c.customer_name, c.destination, datetime(d.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk
FROM cus c
INNER JOIN date d ON c.destination = d.Destination
WHERE c.destination = 'Moscow'

SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk
FROM cus
INNER JOIN date ON customer_id = date.id
WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

两表连接时 customer_id 不对, 应是 cus.customer_id.

SELECT cus.customer_name, cus.destination, date.arrival_timestamp
FROM cus
INNER JOIN date ON cus.destination = date.destination；
WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow'

没有转换时间戳.

SELECT cus.customer_name, cus.destination, datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime') AS arrival_time_hk
FROM cus
INNER JOIN date ON cus.destination = date.Destination
WHERE cus.destination = 'Moscow' AND date.Destination = 'Moscow' AND date.arrival_timestamp_HK IS NOT NULL AND datetime(date.arrival_timestamp_HK, 'unixepoch', 'localtime')

这题不理解，问AI是选择A大佬又觉着A和D都行，着实不明白

99.写一个 Powershell 的脚本以提取正在连接到 Windows 11 计算机的可移动设备的记录. 就每一个装置记录, 提取相关的数据如装置名称、制造商、装置详情、硬件编号. 及后用 Write-Host 指令题示数据.

这里直接贴的答案的

$removableDevices = Get-PnpDevice | Where-Object { $_.Class -eq "DiskDrive" }

foreach ($device in $removableDevices) {
$deviceDetails = Get-PnpDeviceProperty -InstanceId $device.InstanceId
$deviceName = $device.Name
$manufacturer = ($deviceDetails | Where-Object { $.Key -eq "DEVPKEY_Device_Manufacturer" }).Data
$description = ($deviceDetails | Where-Object { $.Key -eq "DEVPKEY_Device_DeviceDesc" }).Data
$hardwareId = ($deviceDetails | Where-Object { $_.Key -eq "DEVPKEY_Device_HardwareIds" }).Data

Write-Host "Device Name: $deviceName"
Write-Host "Manufacturer: $manufacturer"
Write-Host "Description: $description"
Write-Host "Hardware ID: $hardwareId"
Write-Host "-----------------------------"

}

不会写

以下 PowerShell 脚本用于从 Windows Server 2012 R2 获取具有管理员权限的所有使用者活动.

Get-WinEvent -FilterHashtable @{
LogName = 'Security'
ID = 4688
Level = 0
} | Where-Object { +B86
$_.Properties[?].Value -match 'S-1-5-21-\d+-500'
} | Select-Object -Property TimeCreated, Message

使用 Where-Object 命令来进一步过滤事件.

事件的属性 $_.Properties[?] 中的参数是什么?

如果事件的第 9 个属性与内建的 Administrator 账户的安全标识符(SID:S-1-5-21--500)匹配, 则确保只选择与管理员活动相关的事件.

这里说属性，属性的和索引一个道理

所以下标是8

posted @ 2025-11-07 00:56 crook666 阅读(16) 评论(0) 收藏举报

刷新页面返回顶部