2023年全国网络安全行业职业技能大赛 电子数据取证分析师-初赛B卷（14日）-Writeup

鱼影安全：

在这里插入图片描述

项目介绍：

简介：
电子数据取证分析师项目需要选手对各类电子数据的现场及在线提取固定，如不同的存储介质、智能终端、服务器及数据库、物联网和工程控制系统等，恢复基于物理修复或数据特征等的电子数据，并进行分析。项目旨在测评参赛选手在电子数据的提取、固定、恢复、分析等一系列理论知识和技术技能。
任务描述：
本项目需要运用不同的电子数据取证技术，任务有以下部分:

  1. 电子数据提取与固定
  2. 电子数据恢复
  3. 电子数据分析

第一部分：电子数据提取与固定（30%）

总体要求：根据提供的检材，完成指定电子数据提取

在这里插入图片描述

任务 1:检材 1.tar 上的任务

1.提取手机机主的wifi 配置文件，并以此文件名作为 flag 提交。(全小写)(3 分)

定位源文件，看到是备份文件读取的数据库，应该是数据库的名称吧。

在这里插入图片描述

2.提取手机机主出差时连接过的酒店 wifi，并以此 wifi 名称作为 fag 提交。(全小写)(3 分）

连接酒店房间 2208 号 而且地点是宿州（13 号的检材）换了问法

在这里插入图片描述
在这里插入图片描述

room-2208

3.提取手机机主在 2022-03-28 11:55:19 修改过的文件，并以此文件的 MD5 值作为 flag提交。(7分)

在这里插入图片描述

正确答案：72207E3A056930F90889050F4EE2E217

4.提取手机机主在 2022-02-09 11:31:19 访问过的网页历史，并以此网页标题作为 fag 提交。(7分)

在这里插入图片描述

网页搜索_宿州天气

任务 2:检材 2.e01 上的任务

1.提取检材中 2014年11月 30 日，14:38:26 创建的文件，以该文件大小字节数作为 flag提交。(去除字节数中的逗号)(4 分)

发现桌面下有个账目.xls 时间和题目一样导出看大小即可。

在这里插入图片描述
在这里插入图片描述

26112

2.提取检材委托要求(旧).doc文件，还原实际文件类型，并以实际文件类型扩展名作为flag 提交。

在这里插入图片描述

PDF

第二部分:电子数据恢复(30%)

任务 3:检材 3.e01 上的任务

某企业员工误删除了企业重要文件，请通过技术手段进行恢复。

1.恢复房屋建筑和市政项目的招标文件夹下面的文件，计算文件总字节数大小，并以此作为 fag 提交。(去除字节数中的逗号)(13 分)

分别导出第一个是市政招标文件，第二个压缩包里面是标准勘察招标文件
密钥：086658-418891-155375-390841-544676-540496-020537-075108 解密磁盘 7
思路：发现有之前被删除恢复的，根据题目要求计算总字节那就是压缩包的字节

在这里插入图片描述
在这里插入图片描述

212290

2.恢复浙江省重点建设工程文件，以文件第一页的工程内容作为 flag 提交。(11分)

在这里插入图片描述

在这里插入图片描述

浙江省重点建设工程

3. 恢复被以 xxx.txt(xxx为数字)为命名的文件，以删除的 txt 文件数量作为 flag 提交。(6分)

Unicode 文档-发现 16 个被删除

在这里插入图片描述

FLAG：16

第三部分:电子数据分析(40%)

任务 4:检材 2.e01 上的任务

某公司在一离职员工疑似存在违法行为，但获取证据时发现文件已损坏，请通过技术手段进行恢复。

1.修复可能记录该员工违法行为的文件，以该文件创建内容的时间作为 flag 提交(格式样例:2022/12/812:59)。(3分)

思路：
导出安卓和苹果分析，通过聊天记录可以看到兰亭集序，这算违法行为？？
然后又发现个东西.txt 解密发现身份信息之类的 难道要把￥转到海外？？
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

2.恢复被删除的文档，检査该文档是否含有“2012.3.12”内容，以该文件名作为 flag 提交(全小写)。(5 分)

在这里插入图片描述

在这里插入图片描述

日期

3.恢复被删除的文档，检査该文档是否含有“2011/3/13”内容，以该文件名作为 flag 提交(全小写)。(7分)

做到这找到了两个都是礼金记录说明没找错
在这里插入图片描述

在这里插入图片描述

041340

4.修复损坏的图片，提交图片中的银行卡号，以此作为 fag 提交(去除空格)。(7 分)

导出桌面的银行卡图片，foremost 分离一下 看到银行卡

在这里插入图片描述
在这里插入图片描述

4838178888888888

任务 5:检材 4.rar 上的任务

某企业发现其内部某离职员工曾违规使用公司手机，请通过技术手段进行分析。

1.分析检材，找出该手机最后登录的Apple lD，并以此作为 flag 提交。(全小写)(3 分)

在这里插入图片描述

FLAG：wangxx200041@icloud.com

2.分析检材，找出电话号码为18906004456的联系人，并以此作为 flag 提交。(5 分)

在这里插入图片描述

FLAG：张沾

3.分析检材，找出最后一次收到的验证码，并以此作为 flag 提交。(3 分)

火眼-基本信息-短信 2022-8.26 22 点最后一次收到验证码

在这里插入图片描述

FLAG：331408

4.分析检材，找出 2022年8月30日11:47:27访问的网站IP地址。(7 分)

历史记录看到 这个时间没有但是这个区间是 39.102.205.172

在这里插入图片描述

FLAG：39.102.205.172

需要环境可以私信博客，行业赛培训可以联系！

Logo
天工造物局

北京人形旗下天工造物具身智能开源社区，聚焦具身天工与慧思开物两大平台

更多推荐

deck.gl TripsLayer 出租车轨迹动画示例实战：从示例运行到着色器原理

TripsLayer 是 deck.gl 中用于渲染**随时间流动的轨迹动画**（如出租车行程、物流路径、迁徙路线）的核心图层。本文以仓库中的最小独立示例 [examples/website/trips](https://link.gitcode.com/i/1442af8f442f4cff39ff546e050fceb5) 为骨架，带你完成从安装依赖、启动应用、理解曼哈顿出租车数据格式，到深入

avatar 天工造物局

Foundry Anvil 中 eth_simulateV1 的 Blob 交易与 Blob Gas 字段规范化：原理、实现与测试验证

本篇技术指南以 [anvil-simulate-blob-transactions.md](https://link.gitcode.com/i/3d2ebe227262de169335eb290af80da8) 这条 changelog 条目为起点，深入剖析 Foundry Anvil 对 `eth_simulateV1` RPC 返回结果中 blob（EIP-4844）交易与 blob gas

avatar 天工造物局

LMCache CLI 实战：用 `lmcache kvcache clear` 管理运行中服务的 KV Cache 状态

本文是一份针对 LMCache 官方 CLI 命令 `lmcache kvcache` 的完整技术指南。该命令用于在**运行中的 LMCache 服务（MP HTTP server）**上管理 KV cache 状态，当前提供 `clear` 子命令，用于清空 L1（CPU 内存）层中缓存的全部 KV 数据。读完本文，你将掌握该命令的完整参数体系、退出码语义、终端/JSON/静默三种输出模式，并能

avatar 天工造物局