附件给了一个镜像

​

第一道题：运维人员误删除了一个重要的word文件，请通过数据恢复手段恢复该文件，文件内容

这种找被删除的文件，可以用自动取证工具：如AXIOM,取证大师，火眼，盘古石。

但是只有AXIOM可破解的， 虽然没其他的好，但是也够用，网上有教程。

​

以下是AXIOM取证的过程：

​

打开这个exe

​

之后会弹出这个 要稍等片刻(挺久的)

新建一个案例

随便填写一个编号 和文件路径 并转至证据来源

一般都是window 除非题目有提示是别的系统

之后加载镜像

之后选择镜像 一直点下一步

现在镜像已经载入 继续点处理详情 可以进行取证

点到这里的时候 程序会白屏 可能会出现鼠标转圈圈的情况 不要慌 是在开始分析了 不要乱点导致程序崩溃。

之后会出现另一个exe AXIOMExamine.exe

一般去看

通过使用痕迹来找到一个文档 用预览功能可以看见答案

​

​

第二道题：服务器网站遭到了黑客攻击，但服务器的web日志文件被存放在了加密驱动器中，请解密获得该日志并将黑客ip作为答案提交。

这道题的重点是如何找到web日志

但是我们在文件系统中找不到任何的文件，这是因为被加密了 所以分析不出文件。

我们可以尝试用各种工具去挂载

verycrypt

尝试挂载

但是需要密码

我们可以通过另一个工具

PasswareKitForensic

去梭哈一下

但是没发现密码

DiskGenius

打不开

R-STUIO

FTK:

选择镜像文件 选择Block Device/Writable

之后Mout挂载

挂载后在本地E盘就可以看见文件

在这些目录中 我们重点看log 和内存.7z log是因为题目说看历史日志 且大小很大 内存.7z 就涉及到内存取证了

用010打开log

看不出文件头 没什么端倪，通过题目 我们可以大胆猜测 这个就是被加密的驱动 那改如何解密呢？

我们就要去看内存.7z

解压后是raw的镜像

我们可以用volatility来做

volatility有vol2 和vol3 两个版本 分别是用python2 python3来运行

在进行内存取证的时候将vol2和vol3进行结合使用，vol2能弥补3插件不足，3能弥补2的速度慢，但在做题的过程中，一般都是以vol2为主

python2 vol.py -f shuzi.raw imageinfo

通过imageinfo来确认这个镜像对应的win版本

可以知道是Win7SP1X64(其实大部分也是这个)

python2 vol.py -f shuzi.raw --profile=Win7SP1x64 pslist

之后来看进程

存在TrueCrypt.exe PID是628

TrueCrypt是一个文件加密的exe，我们的log文件就是被这个exe所加密的

python2 vol.py -f shuzi.raw --profile=Win7SP1x64 memdump -p 628 -D ./

利用memdump插件 将这个TrueCrypt.exe在内存中的数据导出来

之后生成文件

之后使用

Elcomsoft Forensic Disk Decryptor（efdd）

将被加密的log放上面 还有628.dmp内存数据放下面

Next后开始跑

之后在628.dmp中寻找到key data 来对log进行解密

将key保存

然后选择挂载

在本地就出现了个G盘

里面的内容就是log被解密后的内容

答案即