电子取证初学wp

今天在did平台上看看今年还有哪套题没刷的，突然看到个电子取证初学的检材，想着新一届的学弟学妹马上来了，还是做一下吧

计算机取证

1.请找出操作系统主机名。

WIN-49I0SNRJAMF

直接查看系统信息即可

2.请给出源磁盘的SHA256哈希值。

4547A61A11064DF47B272A4803788597F9A5E9AC0F11A93ABE58C8B8588956CB

计算磁盘哈希即可

3.请找出操作系统中安装的Android模拟器名称和安装日期。

夜神模拟器2021年05月03日

查看安装软件一眼可以看到夜神模拟器以及安装时间

4.请找出使用Bitlocker加密的虚拟磁盘文件。

my.vhd/my1.vhd

在我的文档目录下看到了两个vhd，而且还带了bitlocker密钥

5.请找出操作系统安装日期。

2021-05-03 18:44:28

系统信息中可以看到

6.请找出操作系统最后登录的用户。

poiuy

查看登录情况，对时间进行排序

7.请找出操作系统中安装的浏览器最后浏览过的网站域名。

passport.baidu.com

既然是安装的浏览器，那就是Chrome了

查看一下历史记录，排序一下时间

8.请找出操作系统中安装的浏览器名称的对应的安装日期。

A.360浏览器2021-05-03 20:16:43

B.Edge浏览器2021-05-03 20:26:44

C.谷歌浏览器2021-05-03 20:16:44

D.搜狗极速浏览器2021-06-03 20:16:44

C

由上题可知，安装的浏览器为谷歌浏览器，查看一下安装程序

9.请找出操作系统版本号。

6.1

查看系统信息即可

10.请找出操作系统设置的时区名称。

UTC+0

由上图可知

11.请找出操作系统中安装的浏览器“自动填充”中保存的网站密码信息。

https://www.baidu.com/+test+test@test2021.com

查看一下浏览器的登录信息

12.请找出用户“poiuy”的SID。

S-1-5-21-435394657-638363951-1066549375-1000

查看用户信息即可

13.请给出源磁盘的大小（字节）。

32212254720

查看一下证据文件

扇区数X扇区大小

14.请找出各分区文件系统类型。

ntfs

磁盘摘要可以看到

15.请找出曾经连接到该系统的U盘的品牌、序列号、最后插拔日期。

SanDisk+4C530001310423109141+2021-05-04

查看USB设备信息

16.请找出回收站中的文件的名称。

nox_setup_v7.0.0.6_full.exe+新建文本文档1.txt+测试.rtf

查看回收站文件

17.请找出使用Bitlocker加密的虚拟磁盘文件恢复密钥文件名是什么。

BitLocker 恢复密钥 666E6292-906B-4A9B-9167-4DB146123BAD.txt

分析出来一个文件

18.请找出用户“poiuy”的登录密码。

09876543

用户信息中可以看到

内存取证

这里使用lovelymenV3，V2开源了，可以用V2

感谢马处手把手指导！！！

01 请给出计算机内存创建北京时间？

2023-06-21 01:02:27

一进页面就可以看到

02 请给出计算机内用户yang88的开机密码？

3w.qax.com

查看用户的密码哈希值

cmd5反查一下

cmd5要花钱，找了个免费网站：https://hashes.com/zh/decrypt/hash

或者使用火眼内存取证工具，直接能看到密码

03 提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？

2023-06-21 01:01:25

查看一下注册表，然后转换一下时间即可

04 请给出用户yang88的LMHASH值？

aad3b435b51404eeaad3b435b51404ee

见第二题

05 请给出用户yang88访问过文件“提现记录.xlsx”的北京时间？

2023-06-21 00:29:54

在注册表中翻最近文档，可以看到

但是这个又有点问题，答案应该是这个

WPS RecentFiles\Sequence 的数据值是每个文件各自的 Unix 秒时间。对目标值 1687278594 进行换算：

TZ=UTC date -r 1687278594 '+%Y-%m-%d %H:%M:%S %Z'
TZ=Asia/Shanghai date -r 1687278594 '+%Y-%m-%d %H:%M:%S %Z (%z)'

结果：

2023-06-20 16:29:54 UTC
2023-06-21 00:29:54 CST (+0800)

06 请给出“VeraCrypt”最后一次执行的北京时间？ [答案格式：2000-01-11 00:00:00]

2023-06-21 00:47:41

进程中直接搜索VeraCrypt

07 分析内存镜像，请给出用户在“2023-06-20 16:56:57 UTC+0”访问过“维斯塔斯”后台多少 次？[答案格式:10]

2

查看浏览器记录

08 请给出用户最后一次访问chrome浏览器的进程PID？ [答案格式：1234]

3780

解析可看马处的文章

https://mp.weixin.qq.com/s/8OMsOiv0IN0x_W3tOfH2hw