数证杯

计算机

1

1.[填空题]对计算机镜像进行分析，计算该镜像中ESP分区的SM3值后8位为?(答案格式:大写字母与数字组合，如:D23DDF44)(2分)

在案件中，ESP分区只有这个fat32的，点计算哈希选择SM3就可以了。

2

2.[填空题]对计算机镜像进行分析，该操作系统超管账户最后一次注销时间为?(时区为UTC+08:00)(答案格式如:1970-01-01 00:00:00)(2分)

在取证软件中查看登录信息，找到最后一次登出时间。

3

3.[填空题]对计算机镜像进行分析，该操作系统超管账户有记录的登录次数为?(填写数字，答案格式如:1234)(2分)

查看登录信息，登录成功的有24次，都是超管账户administrator。

4

4.[填空题]对计算机镜像进行分析，该操作系统设置的账户密码最长存留期为多少天?(填写数字，答案格式如:1234)(2分)

仿真之后在本地组策略编辑器里面：安全设置，账户策略，密码策略可以看到密码最长使用期限。

5

5.[填空题]对计算机镜像进行分析，该操作系统安装的数据擦除软件的版本为?(答案格式:1.23)(2分)

取证里面找到叫Eraser的，查一下就是数据擦除软件。

6

6.[填空题]对计算机镜像进行分析，该操作系统接入过一名称为"Realtek UsB Disk autorun UsB Device”的USB设备，其接入时分配的盘符为?(答案格式:A:)(2分)

查看USB连接记录，盘符为E:

7

7.[填空题】对计算机镜像进行分析，该操作系统无线网卡分配的默认网关地址为?(答案格式:127.0.0.1)(2分)

查看网络连接中，无线网卡的默认网关。

8

8.[填空题]对计算机镜像进行分析，该操作系统配置的连接NAS共享文件夹的IP地址为?(答案格式:127.0.0.1)(2分)

在网络位置中有NAS的连接ip地址。

9

9.[填空题】对计算机镜像进行分析，写出“吵群技巧.txt”文件SM3值的后8位?(大写字母与数字组合，如:D23DDF44)(2分)

仿真之后，在文档有一个xip，里面有这个txt，拿出来用弘连自带的计算工具算SM3值。

10

10.[填空题]对计算机镜像进行分析，该操作系统通过SSH连接工具连接CCTalk测试环境的SSH端口为?(填写数字，答案格式如:1234)(2分)

在Xshell记录里面有CCtalk的连接记录，端口为12849。

11

11.[填空题]对计算机镜像进行分析，该操作系统通过SSH连接工具连接的CCTalk境外服务器是哪个运营商的?
(填写汉字，答案格式:阿里云)(2分)

仿真之后，回收站里面有一个CCTalk，打开会弹出这个ip，ip查询可以查出这是亚马逊云的。

12

12.[填空题】对计算机镜像进行分析，获取机主保存在本机的U盾序号的后4位数字为?(填写数字，答案格式如:1234)(2分)

在取证里面图片可以找到一个叫U盾.jpeg的图片，是一个图片隐写，jpg文件尾后面有一个rar，提取出来又是一张图片，里面有U盾的序号。

13

13.[填空题】对计算机镜像进行分析，机主存储的某篇新闻报道“小程序搅动资源争夺战”的发表年份为?(答案格式:2024)(2分)

可以找到这篇新闻，是北京商报的，发表年份是2019年。

14

14.[填空题]对计算机镜像进行分析，该操作系统访问“环球商贸”的|P地址为?(答案格式:127.0.0.1)(2分)

在Edge里面有浏览记录，有这个ip

15

15.[填空题]对计算机镜像进行分析,“环球商贸”服务器配置的登录密码为?(答案按照实际填写，字母存在大小写)(2分)

在finalshell的这个文件夹有记录，两个json文件，里面有加密后的密码，在网上找解密脚本跑一下就能得到密码。

解密脚本链接：一键找回FinalShell已经保存的密码_finalshell密码解密-CSDN博客

json里面有加密后的密码：

16

16.[填空题]对计算机镜像进行分析,PC-server配置的登录密码为?(答案按照实际填写，字母存在大小写)(2分)

和上题一样

17

17.[填空题]对计算机镜像进行分析，机主搭建的宝塔面板的安全入口为?(答案格式:/abc123)(2分)

在Edge的浏览记录里面有，这个c38b336a就是宝塔设置的安全入口，可以去网上查。

21

21.[填空题】对计算机镜像进行分析，机主搭建的宝塔面板中Mysql环境的root密码为?(按实际值填写)(4分)

这个可以在Navicat的记录里面看到，PC-Server DB的记录。

22

22.[填空题]对计算机镜像进行分析，机主搭建的宝塔面板中Mysq|环境连接的端口号为?(填写数字，答案格式如:1234)(2分)

这个和上一题一样的地方。

23

23.[填空题]接上题,"卡号分组”表所在的数据库名为?(答案按照实际填写，字母全小写)(4分)

也是在Navicat最近的连接中可以看到卡号分组，有它的数据库名称。

25

25.[填空题]对U盘镜像进行分析，其镜像中共有几个分区?(填写数字，答案格式如:1234)(2分)

用FTK挂载可以看到有两个分区。