2017年第三届美亚杯电子取证-个人赛WP

最新推荐文章于 2024-04-26 23:01:27 发布
最新推荐文章于 2024-04-26 23:01:27 发布
阅读量2.3k 收藏 30
点赞数 3
文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/m0_64444909/article/details/126771337
版权
本文详细讲述了调查者如何通过分析Gary的电脑镜像，追踪其非法活动轨迹，涉及MD5哈希值计算、硬盘分区定位、系统时间戳查找、用户身份识别、软件安装记录等技术手段，揭示了一个赌博、恐怖主义相关行为的调查过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

案件背景

Gary是一位经常用手提电脑的人，而且热爱足球运动，常常看足球网站。他于2007年9月开始想赚快钱，思想变得偏激，并关注一些违法的事。于是Gary就想着赌博，查阅军事资料，了解恐怖袭击的新闻报道。另外他开始上网寻找有关如何购买枪械、刀等武器的资料，还寻找如何制造假网站，但最后均无收获。

检材

.e01镜像
打开方式：新建案例-磁盘镜像-添加镜像

工具软件

取证大师
CFF explorer
notepad++
winXP（32位）

感悟：查找一定要全面细致，不能过早的下结论，尤其是一些简单题，拼的就是耐心，细心；上下题目之间的联系非常紧密，如果上一题做不出来，可以往下接着做，会有意想不到的惊喜。

题目：

1：求镜像的MD5哈希值

在这里插入图片描述

证据文件->选中镜像->摘要->查看md5值在这里插入图片描述

2：求硬盘分区

在这里插入图片描述

在这里插入图片描述

3：开始逻辑区块地址（LBA）

要注意的是，在镜像生成之时，D盘才是真的操作系统分区

在这里插入图片描述在这里插入图片描述在这里插入图片描述

内存物理地址的单位是字节（Byte）而一个逻辑区块占用512位，所以要将这个值除以512；
结合磁盘内容，找到D盘的物理位置105,906,176 因为现今计算机上所谓一个逻辑区块通常占512位105,906,176/512=206，848

4：硬盘操作系统分区的大小

在这里插入图片描述
在这里插入图片描述

48.7310241024*1024=52,323,439,083.52

5：$MFT的物理起始偏移位置

在这里插入图片描述
在这里插入图片描述

正常情况MFT以元文件的形式存储在相应磁盘分区的根目录中，但是是隐藏的。FMP可以直接访问到该文件。

FMP证据文件 ->展开镜像 ->选中分区2_本地磁盘[D] ->选中$MFT ->摘要查看物理扇区位置

在这里插入图片描述

6：操作系统的安装日期

在这里插入图片描述

熟悉Windows系统结构的师傅可以知道这个文件位于 %windir%\System32\config下，如果不知道（比如说我）也可以在取证大师的取证结果 -> 系统痕迹 -> 系统信息 -> 安装时间里找到信息。

在这里插入图片描述

此处除了常识性的“-8”之外，遇到时区问题可以在此处验证调整在这里插入图片描述

7：SID

在这里插入图片描述

SID为用户标识 （Security Identifiers）标识用户、组和计算机帐户的唯一的号码。

在这里插入图片描述

8：做法同上

在这里插入图片描述

9：操作系统

在这里插入图片描述

取证结果 -> 系统痕迹 -> 系统信息 -> 产品名称

在这里插入图片描述

10：查看默认浏览器

在这里插入图片描述

11：辨别URL

在这里插入图片描述

通过实时搜索进行查找

在这里插入图片描述

12：登入名称

在这里插入图片描述

结合上一题，在上网记录里找到了答案

在这里插入图片描述

13：邮箱

在这里插入图片描述

取证结果->邮件解析

在这里插入图片描述

14：USB使用痕迹

在这里插入图片描述

取证结果->USB设备使用痕迹

在这里插入图片描述

15.

在这里插入图片描述

紧接着上题思路

在这里插入图片描述

16：最后关机时间

在这里插入图片描述

取证结果->系统痕迹->系统开关机时间

在这里插入图片描述

系统开关机时间里边找到了最晚开机时间，但是没有发现关机时间;

在这里插入图片描述

判断关机异常，显示直接关闭了电源，这里需要到系统信息里查找

在这里插入图片描述

根据东八区-8

17：电脑名称

在这里插入图片描述
在这里插入图片描述

18：邮箱账号

在这里插入图片描述

在这里插入图片描述

19：邮件记录

在这里插入图片描述
在这里插入图片描述

20.

在这里插入图片描述

发现这个邮箱发送的时间很杂乱，不方便查看，所以对邮箱进行实时搜索，遍历了附件记录和邮件记录，发现了最早的发送时间（查找一定要全面细致，不能过早的下结论，尤其是时间问题）在这里插入图片描述

21.

在这里插入图片描述
在这里插入图片描述

22.

在这里插入图片描述

实时搜索

下方栏地址点击预览即可看到图片

在这里插入图片描述

23：导出附件，查看MD5

在这里插入图片描述

选中右键->导出->通过notepad+ 或者hex工具即可查看md5值

在这里插入图片描述

24.

在这里插入图片描述
在这里插入图片描述

25：连接WIFI

在这里插入图片描述

取证结果->密码/秘钥检索

在这里插入图片描述

26：全局唯一识别元（Globally Unique Identifier, GUID）

在这里插入图片描述

用于指示产品的唯一性安装。在许多流行软件应用程序（例如 Web 浏览器和媒体播放器）中，都使用 GUID 网络GUID、网卡GUID

在这里插入图片描述

27：IP地址

在这里插入图片描述

取证结果->网络配置->网络连接

DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）通常被应用在大型的局域网络环境中，主要作用是集中地管理、分配IP地址，使网络环境中的主机动态的获得IP地址、Gateway地址、DNS服务器地址等信息，并能够提升地址的使用率

在这里插入图片描述

28：查看URL

在这里插入图片描述
在这里插入图片描述在这里插入图片描述

29：简单信息分析

在这里插入图片描述
在这里插入图片描述

30：识别常用软件

在这里插入图片描述

取证结果->系统痕迹->安装软件->其他软件

在这里插入图片描述

由于E盘在证据文件中显示为全是未分配束，所以显然E盘就是被VeraCrypt加密过的磁盘了，这里其实不需要解密该分区。

31：同23题

在这里插入图片描述

继续在收件箱中查找Eric与Gary的通信内容，在附件内容中发现了iCloud有关照片，可以导出这份邮件的三份图片附件，导出文件并用同样的方法校验MD5值即可。

在这里插入图片描述
在这里插入图片描述

32：同23题在这里插入图片描述

33：计算机系统时区

在这里插入图片描述
在这里插入图片描述

34：简单信息分析

在这里插入图片描述

实时搜索【2017-10-27】发现用户痕迹中，最近访问的文档

在这里插入图片描述

继续实时搜索【Screenshot】在预览中发现网站地址

在这里插入图片描述

35：简单信息分析

在这里插入图片描述

根据经验常识，笔记本电脑的下载路径默认在C:\Users\用户名\Downloads

考虑题目说的是Gary的笔记本电脑，因此需要先在证据文件中找到Gary的文件夹

证据文件->本地磁盘D->Users->Gary->Downloads

在这里插入图片描述

如果想要在证据文件中进行文件搜索，需要先输入查找的文件名->然后再点击总文件夹->紧接着查看过滤结果在这里插入图片描述

36：同19题

在这里插入图片描述

取证结果->邮件解析->收件箱

在这里插入图片描述

根据19题中实时搜索的收件人信息进行查找

在这里插入图片描述

37：同36题

在这里插入图片描述

38：同36题

在这里插入图片描述

39：查看上网痕迹

在这里插入图片描述

通过实时搜索云盘网址

在这里插入图片描述

40：同39题

在这里插入图片描述

取证结果 -> 实时搜索-> FireFox -> 历史记录，以时间为关键字正序排序

在这里插入图片描述

41：查看下载方式

在这里插入图片描述

既然都知道是用FireFox浏览器访问私人网盘了，那么Gary必然要下载什么东西对吧。

取证结果 -> 上网记录 -> FireFox -> 下载记录，发现有三张图片被下载到了E:\2017-10-30，与题目吻合，应该就是枪械图片，得出答案。

在这里插入图片描述

42：查看下载时间

在这里插入图片描述

invoice是“发票”一词的英文，通过继续在收件箱中查找Eric与Gary的通信内容，可以判断出这个木马压缩包是Eric通过邮件的方式伪装成发票文件发送给Gray的（黑吃黑啊）

取证结果 -> 实时搜索(invoice.zip)-> 上网记录 -> FireFox -> 下载记录

在这里插入图片描述

43：最后存取日期/时间

在这里插入图片描述

取证结果 -> 实时搜索(invoice.exe) -> 文件分析 ->找到符合路径的文件 -> 查看最后访问时间

在这里插入图片描述

44：文件伪装

在这里插入图片描述

可以把该文件拉进32位系统，发现ico图标被人为替换成pdf的图片，这就是所谓伪装……

在这里插入图片描述

45：最后执行日期/时间

在这里插入图片描述

怀疑invoice木马程序把自己执行信息拷贝到了D盘tmp目录下，所以要找tmp目录下invoice.exe的访问时间

在这里插入图片描述在这里插入图片描述

46：加密文件类型

在这里插入图片描述

47：执行次数

在这里插入图片描述

实时搜索->用户痕迹->最近访问记录->最近程序访问记录

在这里插入图片描述

48：查看由什么程序编写

在这里插入图片描述

在查找【invoice.exe】无果后，exe本质上是压缩包，关键词查找【invoice】，发现invoice.zip在这里插入图片描述

导出文件后发现python中间式文件

在这里插入图片描述

49：查找调用的动态连结函式库

在这里插入图片描述

动态连结函式库（dll）涉及逆向知识，要用到一个CFF Explorer VIII的工具在这里插入图片描述

50.同43题在这里插入图片描述

51：文件之间的关系

在这里插入图片描述

invoice木马程序把自己执行信息拷贝到了D盘tmp目录下

52：查看上网痕迹

在这里插入图片描述

这里逆向思维，通过实时搜索，除了C选项，其他都没有相关结果

53：复杂信息分析

在这里插入图片描述

这两道题貌似要通过那个勒索网址来找线索，但是比赛结束之后这个网站应该就没有人维护了（也可能比赛时也没人维护）。

上题的勒索网站打开失败，所以我们想办法用其他途径找线索，考虑到Gary反侦察能力较弱，像洋葱浏览器这样的软件都是直接放在桌面的，文件的命名什么的也非常坦诚。所以我们试着在他的系统桌面（D:\Users\Gary\Desktop）上找找，结果真的发现一张screen.png，可以打开。在这里插入图片描述在这里插入图片描述

54：复杂信息分析

在这里插入图片描述

55：复杂信息分析

在这里插入图片描述

从这题可以看出，上下题目之间的联系非常紧密，如果上一题做不出来，可以往下接着做，会有意想不到的惊喜。

2017第三届美亚杯全国电子数据取证大赛个人赛write up
weixin_42744595的博客
01-02 3610
2017美亚杯全国电子数据取证大赛个人赛write up
2020年第六届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-26 7393
2020年第六届 美亚杯电子取证 团体赛 wp一、案情简介二、检材三、题目ZelloXenoBob 张伟华Bob的桌上计算机Bob iphoneSamsung S2Bob iMACCole 冯启礼Cole桌上计算机Cole笔记本计算机Cole笔记本的随机存取记忆体Cole的PICole NASCole手机Daniel 罗俊杰Daniel的桌上计算机Daniel的MacBookDaniel的iPhone 一、案情简介 你的电子数据取证调查结果发现一个国际黑客组织牵涉这宗案件。经深入调查后，调查队伍相信该黑客组
2017年第三届 美亚杯电子取证 个人赛题解
algae
04-24 8935
CPPU名侦社2020寒假作业，记录一下自己做的过程。 在这个案例里嫌疑人反侦察意识较弱，题目也不难，很适合大家做（做法不唯一，仅供参考）。 做完这些题目不需要太深的计算机知识，但是取证大师肯定是用得更加熟练了。 以后取证比赛的题目考察的内容会越来越深的，所以还是要好好学习各种基础知识和相关软件设备的使用~ —————————————————————————————— 案件背景： Gar...
2017美亚杯--个人赛
最新发布
2202_75317918的博客
04-26 903
43.Gary的笔记本电脑，还存有一个感染了电脑病毒的程序文件，名为User/Gary/Downloads/invoice/dist/invoice.exe。45上述的User/Gary/Downloads/invoice/dist/invoice.exe文件，最后执行日期/时间(Last Accessed Data/Time) 是什么?22、用户Gary还曾经收过一封来自邮箱帐号 ics_user@mail.com的邮件，附加了两张与咖啡豆有关的相片，下列哪个是此封邮件的发送日期和时间?
17年第三届美亚杯电子取证个人赛WP（新手小白练习）
kaylee7fan的博客
07-27 1018
17年第三届美亚杯电子取证个人赛WP（新手小白练习）
2017年美亚杯资格赛 个人赛 writeup
ShenZ的博客
11-19 615
1111
美亚杯全国2018第四届电子数据取证竞赛-个人赛
05-02
美亚杯全国2018第四届电子数据取证竞赛-个人赛 电子取证竞赛是测试电子取证专业人员的技能和技术的竞赛，本竞赛旨在提高电子取证技术的应用和普及。 本竞赛包括了多个题目，涵盖了电子取证的多个方面，包括MD5...
2019年第五届 美亚杯电子取证 团体赛 wp
ShenZ的博客
01-13 1864
2019年第五届 美亚杯电子取证 团体赛 wp 案情 路由器 Win1.E01 Win3.E01 L:\Group_Competition\Hacker_Linux\Linux1 MacBookAir.00001 手机镜像 blk0_mmcblk0.bin backup.ab Group_Competition\Hacker_RAID Group_Competition\Hacker_PCAP
2020第六届美亚杯全国电子数据取证大赛个人赛wp
dazaogege的博客
10-27 2664
2020第六届美亚杯全国电子数据取证大赛个人赛wp
2017第三届美亚杯全国电子数据取证大赛个人赛wp
dazaogege的博客
09-26 1323
2017第三届美亚杯全国电子数据取证大赛个人赛wp
2018年美亚杯电子数据取证大赛-资格赛wp
weixin_44770698的博客
10-17 1万+
2018年美亚杯电子数据取证大赛-资格赛
2020美亚杯个人赛头脑风暴
人若有志,就不会在半坡停止。
11-18 5030
个人赛 ## 案情介绍： 2020年9月，数名信用卡持有人向警方报案，指他们的信用卡被不知名人士在一家本地网上商店购买手机。订单大部分来自海外的网络地址，但有一宗订单来自本地。警方经调查后发现该本地网络地址的注册地址。上门后在该处发现陈慧贤，她否认与案件有关。 警方在现场检获一部笔记本计算机、一部手提电话及一个外置储存装置。在场的初步应变小队在检取证物前，曾为现场环境及证物拍照。另外, 调查队伍亦由网络供货商及网上商店取得了一些与案有关的资料。现在你被委派处理这宗案件, 请由以下的资料分析陈慧贤在本案中有否
19美亚杯团队电子取证（Linux部分）
孤勇傻兔的博客
11-09 359
选C 选B 选E，直接对照终端记录 选B 仿真 选C 选E 选B，从取证结果跳转源文件 选C，四月那个选项没有就按选项有的来 选E，出现两个就可以选E了，但是还是都找一下 这题我确实找不出来，我想到去搜索monodevelop等看看相关文件的创建日期，但是也无果，希望有做出来的的朋友，能告知我一下，非常感谢。 选A，搜索agent.exe，从命令历史得知 ...
19美亚 团队赛（完整版）
muxin2068的博客
04-05 1810
A:ShortcutB:HistoryC:TempD:RecentE:Desktop。
2019美亚杯个人赛叨叨解题过程
热门推荐
wx1111_的博客
04-06 1万+
用弘连的时候就看到了熟悉的证据嵌套识别，也就是说有手机备份，然后学习了一下方法，跳转源代码，然后把文件导出来，放回去分析，但是不知道为什么弘连上下下来不完整，就去取证大师里面找手机备份，阴差阳错直接看到了APPLE然后就找到了那个源文件，从取证大师里面下下来就完整了，放回去又碰到了问题，弘连根本分析不出什么东西来，结果弄了一晚上重启一下弘连就搞定了。看来取证大师里面下载的也是不完整的！看一个博主说要预览该图片源文件，直接导出手机备份，在备份里找图片，要不然哈希是错误的，所以说如果要哈希值，要这么做哦~
2019第五届美亚杯全国电子数据取证大赛团队赛wp
dazaogege的博客
10-16 3534
2019第五届美亚杯全国电子数据取证大赛团队赛wp
2020美亚杯团体赛刷题 部分题解（1-27、73-124）
7ruth0hn的博客
11-08 5923
文章目录写在前面解题结语参考资料 写在前面 美亚杯还是挺考验分工协作的，自己做了zello和xeno的两个Server，还有Cole的设备。记录一下解题思路。 同时由于美亚杯的题目局部的顺序是打乱的，所以会有题目不连贯、难度骤降骤升、逻辑前果后因的情况。 取证工具： 取证大师V6.1.80018RTM、弘连火眼证据分析软件v4.14.0.33748、弘连火眼仿真取证V4.1.1.2972、VMware Workstation 解题 1.Zello服务器的哈希值（SHA256）是甚么？ 30B856EEE51
BUUCTF题目Reverse & Pwn部分wp（持续更新）
苦行僧的妖孽日常
09-18 3341
BUUCTF题目Rverse & Pwn部分的writeup（持续更新）
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值