萌新第一次做取证题。之前试过团队赛的题目，结果被虐麻了，就回来做资格赛来找手感。
wp是边做题边写的，错误的地方会用删除线修正并用斜体字进行注释。
1.Victor的笔记本电脑己成功取证并制作成法证映像档 (Forensic Image)，下列哪个是其MD5哈希值? (2分)E
自带的就有
2.根据法证映像档 (Forensic Image)，确定原笔记本内有多少个硬盘分区? (2分)BC
系统保留可以忽略
草，原来系统保留也算一个硬盘分区吗？可我用弘连起的虚拟机只有C和D盘，简直太离谱了。果然打美亚杯还得用美亚自家的东西
3.你能找到硬盘操作系统分区内的开始逻辑区块地址（LBA）? (答案格式: 扇区, Sector) (2分)D
差点就把第一个当成系统分区了。。。。
4 你能找到硬盘操作系统分区的物理大少吗 (字节byte)? (2分)BE
同上图
物理大小=扇区数*512。这里疏忽了，很不应该。
5 操作系统分区的文件系统是哪种? (2分)C
同上图
6 操作系统分区，每个簇(Cluster)包含几个扇区(sectors)? (2分)D
首先获得簇的信息
根据硬盘大小可以推测扇区大小为512B（要是4k一个簇一个扇区就太离谱了），所以8个
后来查了一下，可以直接看BPB表
7 在操作系统分区内，$MFT的物理起始扇区位置(Starting physical sector)是什么? (2分)D
BPB里面直接找到MFT的簇起始位置，加上基地址算一下就好了
8 请找出系统文件“SOFTWARE＂，请问操作系统的安装日期是? （答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM UTC） (2分)A
UTC换算-8一下就好了
但是对不上答案……取证软件的问题？
无所谓，直接查信息jiu就可以了
9 用户“victor＂的唯一标识符(SID)是什么?（答案格式：RID） (2分)A
10 用户“Lily＂的唯一标识符(SID)是什么?（答案格式：RID） (2分)C
11 Victor上一次更改系统登入密码是? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM +8） (2分)E
这里需要注意一下时区，答案已经是本地时间了
12 Lily上一次更改系统登入密码是? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM +8） (2分)D
13 Victor 总共登录系统多少次? (2分)D
14 以下哪个帐号已经被禁用? (2分)A
其实仿真出来的系统里面本来就看不到administrator
15 以下哪个帐系统权限最低? (2分)ED
全是管理员
不能靠这个查看用户来确定用户权限……要么看用户组，要么换取证大师（）
16 以下哪个帐号曾经远端登录系统? (2分)E
说实话心都凉了半截。。。
日志和注册表里面也没有remote链接的记录
谁都有可能的话，也就是谁都可以不是。没办法，只能蒙一个了。
事后想想其实查看完日志和注册表都没有线索，已经可以说明远程没开了。不过这里有更直接的查看远程连接的方式
17 硬盘操作系统的版本? (2分)D
18 操作系统的最新服务包(Service Pack)版本号是什么? (2分)A
19 下列哪个是victor的默认打印机? (2分)B
20 在2018-10-31 08:29:32 +8时间, 账号simon曾经使用以下哪个文件? (2分)C
21 接上题，开启上述文件的程序是? (2分)E
22 以下哪个是victor的默认网页浏览器? (2分)D
虽然按逻辑上没有人会把IE当默认浏览器，但是刷题还是得走个流程的
(另提一句，我的CPU开始锁频了)
23 victor的回收站里面有一张地图，以下哪个是这张地图原来的文件名? (2分)A
24 接上题，上述地图原来的储存路径是? (2分)C
25 找出一个名为"request for quotation.lnk"的档案，并指出该LNK文件的目标路径? (2分)C
这里我感觉题目有点问题……姑且先存个底
26 接上题，上述文件上一次开启的时间是? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM:SS +8） (2分)CD
我还以为说的是快捷方式的打开时间
27 接上题，"request for quotation.lnk"的元数据(metadata)记录了以下哪个网卡的物理地址(mac address)? (2分)D
28 系统账号victor使用以下哪个电子邮件发送/接收的程序? (2分)C
29 系统经哪个IP地址，登录互联网？ (2分)AD
真是裂开……不知道是不是弘连仿真起来的问题，网络配置什么全都没了，ipconfig出来的还是我本机的地址（NET模式）。下次还是手动起一个好了。现在是真没办法，已经没时间了。
| 29 | 系统经哪个IP地址，登录互联网？ (2分) | |
|---|---|---|
| A. | 10.0.4.1 | |
| B. | 10.0.4.128 | |
| C. | 192.168.72.2 | |
| D. | 192.168.72.128 | |
| E. | 192.168.72.233 |
但事实上我们可以从答案上想办法。因为访问互联网肯定是要经过路由的，所以同网段下的CDE肯定排除。剩下两个10自然选择路由器A。
这边我有两个错误：1.不认真看完网络配置信息。2.先入为主地认为所谓经过IP一定是经过路由器。其实也可以是本机地址
30 在该操作系统中，曾经连接数个USB移动储存装置 (U盘)，下列那个是该系统连接过的USB移动储存装置 ? (2分)D
31 在操作系统中，上述U盘曾被指派以下哪个磁盘分区代号(Drive Letter) ? (2分)C
逻辑上讲D盘后面就是E盘，但因为不能排除有其他设备接入过，所以姑且还是找了一下，果然有猫腻
32 该操作系统中，下列哪个是最后的关机时间? （答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC） (2分)BE
弘连取出来的数据和答案误差3秒，应该没问题吧。。。
这两个地方看到的数据原来是不一样的吗？
33 该操作系统中，下列哪个是计算机的主机名? (2分)D
34 接上题，设定为上述计算机主机名前是什么名称? (2分)C
35 接上题，上述计算机主机名设定时间是? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM:SS +8） (2分)E
没啥办法呢……只能翻时间线了。最接近应该就是了
后来才知道可以直接看事件ID来看改名时间
36 在该操作系统中，下列哪个是用户victor日常使用的电邮账号? (2分)A
37 victor 上一次更改上述电邮账号密码是什么时候? （答案格式 －“本地时间＂：YYYY-MM-DD） (2分)A
38 victor什么时候收到勒索电邮? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM +8） (2分)D
39 以下哪个是发出勒索邮件的的IP地址? (2分)
邮件来自cheerful.com，但因为是五年前的题目了，所以这个域名早就换人了，IP也没得找……
说白了就是没办法
40 勒索邮件的附件解压后有一个病毒文件，这个文件的MD5哈希值是? (2分)B
41 上述的病毒文件什么时间被系统执行? （答案格式 －“本地时间＂：YYYY-MM-DD HH:MM +8） (2分)C
42 这个病毒是否会在重新开机后自动运行?如会，它是通过下列哪个程序执行? (2分)D
沙箱跑一下，该有的都有了。
也可以手动逆向，但程序本身有反调试和加密，感觉不是很好弄。
43 病毒文件被执行后有以下哪个文件被生成? (2分)C
44 接上题，上述文件有什么功能? (2分)B
45 以下哪个是系统安装的第三方输入法软件? (2分)A
46 操作系统是跟哪一个时间服务器自动同步? (2分)C
47 法证人员于2018-11-02 下午6时25分到场，之后对系统作以下哪项取证? (2分)CE
这方面题目没有啥经验啊……很大程度上得靠时间线了
emmmm，后面都找到dmp文件了，却忘了回来改答案
48 法证人员到场后，以下哪个软件曾经在系统里运行过? (2分)B
49 接上题，所抓取的资料被储存为以下哪个文件? (2分)D
50 接上题，上述档案储存到以下哪个分区? (2分)C
总结
感觉还是很有意思的，学到了不少东西。
但下次做美亚的题目我一定要换成取证大师（残念）