2022DIDCTF
2022DIDCTF介质与手机1、请计算计算机的磁盘SHA256值
2、记录计算机名与开机用户名（格式：计算机名-开机用户名）
3、记录计算机操作系统的具体Build版本号
4、计算机中后缀名是jpg的缩略图数量为
5、计算机系统桌面管理应用相关的记录事件ID为6、记录当前计算机操作系统使用的文件系统格式
7、默认打开图片的应用是 WPS图片
2345图片
Windows图片
Edge
8、记录计算机Foxmail软件的安装时间
9、记录计算机于2020年7月29日最后一次运行navicat时间
10、嫌疑人曾用远程工具连接过__台服务器回收站有一个
11、查找计算机中有关手机应用的痕迹，记录APP文件所在路径,无需输入盘符（例：/Program/apk/999.jpg）
12、查找嫌疑人电脑上网站源码最可能的来源 网页下载
蓝牙传递
邮箱获得
13、接上题，通过对源码分析，判断源码中有关数据库连接信息配置文件名为
14、记录手机自动连接过的WIFI名称
15、分析手机数据，请判断微博发送的验证码的短信是否已读，若已读，请写出读取时间连接数 ...
2022暑假取证学习
2022暑假取证学习背景资料有嫌疑人在使用Windows系统，取证人员对该系统进行了硬盘镜像。通过自己的工具软件对档案袋中的镜像文件进行提取、分析、逆向、恢复、破解、查找等，在线完成填空、简答。比赛材料记录 比赛的计算机镜像资料镜像名为“windows7disk.E01”
1、请找出操作系统主机名。
2、请给出源磁盘的SHA256哈希值。
3、请找出操作系统中安装的Android模拟器名称和安装日期。格式：模拟器名时间 例子：雷电模拟器2022年06月23日
4、请找出使用Bitlocker加密的虚拟磁盘文件。 格式：1.txt/2.txt
5、请找出操作系统安装日期。 格式:2022-01-04 12:47:43
6、请找出操作系统最后登录的用户。
7、请找出操作系统中安装的浏览器最后浏览过的网站域名8、请找出操作系统中安装的浏览器名称的对应的安装日期。360浏览器2021-05-03 20:16:43
Edge浏览器2021-05-03 20:26:44
谷歌浏览器2021-05-03 20:16:44
搜狗极速浏览器2021-06-03 20:16:44
9、请找出操 ...
手机取证
手机取证彩信/短信取证通常情况下安卓设备的短信/彩信数据都储存在以下文件夹中：
1/data/data/com.android.providers.telephony/databases/mmssms.db
苹果备份短信位置通常都在
1HomeDomain/Library/SMS/sms.db
OPPO备份1/Basic/sms/sms.db
SAMSUNG设备1/data/data/com.sec.android.provider.logsprovider/databases/logs.db
Android消息 - Bugle_dbBugle_db 是 Android 消息应用内部使用的数据库。这个数据库主要用来存储和管理消息数据，包括短信、彩信以及 RCS（富通信服务）消息等。
1/data/data/com.google.android.apps.messaging/databases/bugle_db
Android数据存储Android应用可以在内部存储中创建和保存私有文件。
内部存储的路径通常类似于：/data/data/<packa ...
比武练习题
比武练习题一、请检查窝点中的手机检材，回答以下问题1、该OPPO手机的IMEI是：A. 860370043989014,860370049389006
B. 860370049389014,860370049389006
C. 860370049389014,860370043989006
D. 860370049839014,860370049839006
在Manifest文件中只找到一个
在备份文件中找到全部
这个只有盘古石软件能解析
2、该涉案人所使用的的微信ID和关联的手机号是：A. wxid_rn6kc87f1mb354 16521330311
B. wxid_rn5mjxpw1mb922 17721103461
C. wxid_wi8nf67f1lmd54 15528880561
D. wxid_kshn457f1lm123 15847880501
3、 涉案团伙的最后线下犯罪窝点地址是：A. 闵行区古美西路86弄44号
B. 田林路1036号科技绿洲三期16号楼101室
C. 上海市合川路科技绿洲3期5-3号楼
D. 闵行区合川路255 ...
取证流量包分析——Nmap 流量包分析
取证流量包分析——Nmap 流量包分析通过tcp contains "nmap"可以发现流量中发现很多Nmap关键字，确定是Nmap流量分析题。
常用的Nmap扫描端口的命令示例：
TCP SYN 扫描（也称为半开放扫描）：这是Nmap默认的扫描方式，发送TCP SYN包来探测端口是否开放。
1nmap -sS target_ip
TCP Connect 扫描：这种扫描方式通过建立完整的TCP连接来检测端口是否开放，速度较慢但更可靠。
1nmap -sT target_ip
UDP 扫描：用于扫描UDP端口，因为UDP协议不像TCP那样有建立连接的握手过程，所以扫描更具挑战性。
1nmap -sU target_ip
ICMP扫描：用执行“Ping扫描”
1nmap -sn target_ip_range
NULL扫描：利用 TCP 包的空标志位来扫描
1nmap -sN target_ip
FIN扫描：发送一个没有设置 SYN、ACK、RST 标志位，只有 FIN（结束）标志位的 TCP 包进行扫描
1nmap -sF target_ip
Xmas ...
2022首届盘古石电子数据取证比武题
2022首届盘古石电子数据取证比武题第一部分：取证基础能力1. windows系统版本:[答案格式:windows11][计算机取证][★☆☆☆☆]该计算机镜像存在BitLocker加密分区
通过取证大师找到恢复密钥串进行BitLocker分区恢复
查找系统版本
2. 这个系统的安装时间 UTC+8:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★☆☆☆☆]
3.最后一次正常关机时间:[答案格式:2000-01-01 00:00:00 UTC+8][计算机取证][★☆☆☆☆]
4. 本地连接的DHCP的ip地址:[答案格式:127.0.0.1][计算机取证][★☆☆☆☆]
5. 计算机有几个分区:[答案格式:1][计算机取证][★☆☆☆☆] 6. 计算机bitlocker的盘符是什么:[答案格式:A][计算机取证][★☆☆☆☆]
7. bitlocker加密分区里有几个文件:[答案格式:1][计算机取证][★★☆☆☆]
8. 利用加密分区里带的密码字典解密文档文件，找到一个flag:[答案格式:flag{}][计算机取证][★★★☆☆]
9 ...
2020长安杯电子数据取证
2020长安杯电子数据取证案情简介 接群众举报，网站“www.kkzjc.com”可能涉嫌非法交易，警方调取了该网站的云服务器镜像（检材1.DD），请对检材1进行分析，获取证据，并根据线索解锁更多检材，深入挖掘出更多与案件有关的信息。
题目第一部分*****1.检材1的操作系统版本是（D）
A. CentOS release 6.5 (Final)
B. Ubuntu 16.04.3 LTS
C. Debian GNU/Linux 7.8 (wheezy)
D. CentOS Linux release 7.6.1810 (Core)
*****2.检材1中，操作系统的内核版本是（3.10.0）（答案格式：“1.2.34”数字和半角符号）
*****3.检材1中磁盘包含一个LVM逻辑卷，该 LVM 开始的逻辑区块地址（LBA）是（2099200）（答案格式：“12345678”纯数字）
*****4.检材 1 中网站“www.kkzjc.com”对应的 Web 服务对外开放的端口是（31000）（答案格式：“123456” 纯数字）利用火眼仿真，将服务器仿真起来
...
关于我
浙江省大二学生一枚，纯纯小白一枚，喜欢吃饭、睡觉，家人们给个免费的关注，蟹蟹辣！😋