24美亚杯（David电脑部分）

终于到最后一个部分david的电脑取证了，废话不多说，直接开始。

81. [ 单选题 ] 到⽬前为⽌ , 你已经获得了 BitLocker 密钥以解密 D 盤，通过对 David 笔记本电脑 D 盤的分析，并发现了⼀些重要信息。你现在将继续调查未加密的 C 盤｡参考 David_Laptop_64GB.e01 ，分区格式 (Partition) 是？ (2 分 ) A. MBR B. GPT C. APM D. 以上皆⾮

“分区类型”（Partition Type）是指磁盘的分区表方案（Partition Table Scheme），也就是操作系统用来描述磁盘上如何划分扇区、如何组织分区结构的底层规范。，记录着磁盘怎么分区、每个分区的起始位置和⼤⼩、哪个分区能启动系统。操作系统靠它才能识别和使⽤硬盘。没有它，磁盘就是⼀堆⽆意义的⼆进制数据。

MBR ： 1983 年的⽼标准，只能管理不超过 2TB 的硬盘，最多分 4 个主分区，启动信息存在磁盘最开头，容易被覆盖或损坏，⽼电脑和旧 U 盘还在⽤。

GPT ：现代新标准，⽀持 2TB 以上的⼤硬盘，最多能分 128 个分区，⽽且在磁盘开头和结尾各存⼀份分区表备份，坏了⼀份还有救，可靠性⾼。 2015 年后预装 Win10/11 的电脑⼏乎全是 GPT ，配合 UEFI 启动。

APM ：苹果 PowerPC 时代的古董格式， 2006 年苹果转向 Intel 后就淘汰了，取证中极少遇到。

82. [ 单选题 ] 参考 David_Laptop_64GB.e01 ，該 e01 成功提取的⽇期和时间是？ (2 分 ) A. 2024-09-05 15:55:28 B. 2024-09-02 11:52:31 C. 2024-09-03 14:37:28 D. 2024-09-03 12:16:49

Xways中右键证据项，点属性就能看到，同样也能看到上一题问的GPT分区

83. [ 填空题 ] 参考 David_Laptop_64GB.e01 ，最后登录的⽤⼾是谁？ ( 答案格式 : ⼤写英⽂字⺟ , ⼩写英⽂字⺟和空格混合组成 , 例如 :Tom Hanks) (2 分 )

最直接的方法就是去注册表中找LastLoggedOnUser，注册表的位置在Windows\System32\config\SOFTWARE，双击这个sofrware再找SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI就能找到

还有一种方法是在同样的文件夹中找SAM ⽂件

我们导出这个文件，用Registry Explorer这个工具打开

注意到

相信大家在用新电脑的时候都会填写这个吧，以防我们在忘记密码之后找回。那能不能把这个镜像变成应该电脑的形式，因为这样我们知道用户名，知道找回密码，我们不就能登录到里面了吗？

答案是可以的，流程：https://yunpan.plus/t/955-1-1

84. [ 单选题 ] 参考 David_Laptop_64GB.e01 ，⽤⼾配置的时区是？ (2 分 ) A. Australian Central Time B. China Standard Time C. New Zealand Standard Time D. Nepal Time

85. [ 单选题 ] 参考 David_Laptop_64GB.e01 ， David 的笔记本电脑曾經连接了多少个设备？ (2 分 ) A. 1 B. 2 C. 3 D. 4

这个又要在哪里找呢？答案还是在system中

我们来看看system中都存放了什么：

借用别人的图

86. [ 填空题 ] 参考 David_Laptop_64GB.e01 ， David 的笔记本电脑上的 Firefox 浏览器安装了哪些扩展⼯具？ ( 答案格式 : 请以⼤寫英⽂字⺟作答，⽆须留空⽩位 ) (2 分 )

C:\Users\David Tenth\AppData\Roaming\Mozilla\Firefox\Profiles\olucne5h.default-release\ extensions.json 我们看看这个文件

之后，找文件中"active": true：这代表该扩展是当前启用状态（如果是 false 则是被禁用的）。
"location": "app-profile"：这是最重要的筛选条件。它代表该扩展是用户自己手动安装的。如果显示 "app-global" 或 "app-system"，则是 Firefox 浏览器自带的默认扩展（不需要报）。
"id"：扩展的唯一标识符（例如 webextension@metamask.io）。
"name" 或 "defaultLocale"：扩展的显示名称（例如 MetaMask）。
"installDate" 和 "updateDate"：扩展的安装时间和更新时间（格式为毫秒时间戳，需转换）。

还有一种方法，上面提到了用虚拟机打卡这个镜像文件，前面又发现了重置密码的问题，这样我们就可以从david的视角真实的去看看有什么插件：

87. [ 单选题 ] 参考 David_Laptop_64GB.e01 ，根据⽤⼾配置⽂件中的 .lnk ⽂件，最后访问的⽂件名称是？ (2 分 ) A. 下載 B. export-token C. RAM_Capture_DaviD D. 本機磁碟 (E) (2)

要找到这个文件首先要知道这样一个知识：要找到最后一次访问的文件，需要重点分析用户配置目录下的 Recent 文件夹。Windows 系统会为每一个被访问的文件或文件夹自动生成一个 .lnk 快捷方式，这个文件里包含了被访问文件的路径、名称和时间戳信息。

以我自己的电脑为例：win+r然后输入recent就能找到这个文件夹了。

既然知道了这个知识，可以在虚拟机中复刻这个操作，也可以直接在xways中找到这个文件夹

这里有两个文件，到底是哪一个呢？我做了一个测试：点开一张电脑截图，然后去recent中看看是什么情况

现在就显而易见了吧，recent中会同时显示文件和文件对应的文件夹

题目中的这个下载很明显是一个文件夹。所以答案是另一个

88. [ 单选题 ] 参考 David_Laptop_64GB.e01,David 的笔记本电脑曾經连接了多少个不同的 Wi-Fi? (2 分 ) A. 1 B. 2 C. 3 D. 4

89. [ 填空题 ] 承上题 , 该 WiFi ⽹络的名称 (SSID) 是 ? (2 分 )

之前在做手机取证的时候做过，回忆一下

电脑取证会不会有不同呢？电脑取证中wifi信息存放在注册表中，config文件夹是专门存放注册表的

然后再工具中搜索networklist

90. [ 单选题 ] 参考 David_Laptop_64GB.e01 ，该电脑的 Windows 操作系统的安装⽇期是什么？ (2 分 ) A. 2024-07-31 09:55:37 UTC+8 B. 2024-08-01 13:10:15 UTC+8 C. 2024-07-31 10:18:26 UTC+8 D. 2024-08-01 14:43:55 UTC+8

还是在software注册表中，搜索InstallDate

时间戳转换一下。

91. [ 单选题 ] 通过对 David 笔记本电脑的电⼦数据取证和痕迹分析，你了解到 David 是⼀名加密货币专家。 ( 假设虚拟货币 International Digital Forensics Coin (IDFC) ⾯值是每 1 个 IDFC 等于 1 港元， IDFC 代币地址 : 0x56E7A6dd8aA1c78ba77944C94c43054978E89b7b ，区块链 : Binance Smart Chain) 下列哪个⽹站能够找到区块链 Binance Smart Chain 的交易记录？ (1 分 ) A. binance.com B. bscscan.com C. etherscan.io D. blockchain.com

有网站，肯定要搜索浏览历史之类的信息。考虑到前面让我们找的是firefox的插件，而且插件和货币相关，所以先到firefox浏览器中找。places.sqlite是firefox的数据库，可以看到浏览历史。

总共就这些记录，除了下载meta插件的就是这个bscscan了

应该就是这个了。

除了这个方法之外，还可以用虚拟机找，更快更直观。

92. [ 单选题 ] 参考 Emma_Mobile.zip 中的微信聊天记录分析， Emma ⽤什么⽅法盜取 David 的 IDFC ？ (1 分 ) A. Emma 经 Clara 盗取了 David 虚拟货币钱包的私匙 (Private Key) B. Emma 经 Clara 盗取了 David 虚拟货币钱包的公匙 (Public Key) C. Emma 经 Clara 盗取了 David 虚拟货币钱包的回复匙 (Recovery seed) D. Emma 盗取了 David 电话

93. [ 单选题 ] 根据 David,Emma 及 Clara 的微信对话， David 在什么⽇期时间发现 IDFC 被盗？ (1 分 ) A. 2024-8-22 18:06 B. 2024-8-28 09:14 C. 2024-8-28 09:57 D. 2024-8-29 15:52

94. [ 单选题 ] 参考 Emma_Mobile.zip 中的微信对话分析， Emma 为什么盜取 David 的 IDFC ？ (1 分 ) A. Emma 为了买名贵⼿表 B. Emma 为了赌钱 C. Emma 为了炒卖虚拟货币 D. Emma 为了还财务公司的⽋债

这几道题翻看前面的证据检查目录就行了。

95. [ 单选题 ] 参考 David_Laptop_64GB.e01 及 David ， Emma 及 Clara 的微信对话，分析 IDFC 的交易记录， Emma 盜取了 David 虚拟货币钱包内哪个地址的 IDFC? (2 分 ) A. 0x10a4f01b80203591ccee76081a4489ae1cd1281c B. 0x152c90200be61a540875f2a752c328bd19dbfb87 C. 0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220 D. 0x70544880875fe907cee383873ca58da23378caa5

我直接搜索idfc但是貌似没有有用的信息。

后来才知道，idfc是是虚拟货币钱包的地址标签或备注名，所以直接搜的话肯定找不到结果。

吐槽环节让我们看看伟大的ds是怎么回答我的问题的吧

****

那要怎么找呢？

虚拟机的recent文件中有一个csv数据表，我们不妨直接打开看看里面有什么。我用虚拟机打开文件后，双击发现没有反应，我猜测是内容被拖到别的盘里了。

于是我想打开d盘，但是发现有密码，这个密码应该是之前u盘取证中逆向exe获得的，由于我还没做，所以去网上找了密码。

David发现钱被偷的时间是2024-8-28 09:14换算一下时区减去8小时，再根据就时间戳定位

96. [ 单选题 ] 根据 David ， Emma 及 Clara 的微信对话及 IDFC 的交易记录作分析， Emma 总共盗取了 David 多少 IDFC ？ (2 分 ) A. 90,000 IDFC B. 170,000 IDFC C. 9,300,000 IDFC D. 9,390,000 IDFC

有了上面的csv相信也不难

97. [ 多选题 ] 根据 Emma 及 Clara 的微信对话，下列哪些地址是由相同的恢复短语 (Recovery Seed) 所⽣成？ (3 分 ) A. 0x10a4f01b80203591ccee76081a4489ae1cd1281c B. 0x152c90200be61a540875f2a752c328bd19dbfb87 C. 0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220 D. 0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

在算之前，要先知道助记词是什么？助记词（Mnemonic Phrase），通常也叫做“种子短语”或“恢复短语”，是加密货币钱包（如 MetaMask、Trust Wallet 等）生成的一组12个、15个、18个或24个英文单词，相当于私钥的备份。而且通过一定的排序，在通过转化才能确定idfc。这就意味着如果知道了正确的排序就能转账了。

那怎么计算呢？可以通过Mnemonic Code Converter计算

要先拿一个问ai是什么类型的货币

匹配一下即可

98. [单选题] 根据IDFC的交易记录作分析，总共有多少次IDFC交易流⼊地址0x10a4f01b80203591ccee76081a4489ae1cd1281c？(1分)A. 0B. 1C. 2D. 3

直接去cxv中看一下

99. [ 单选题 ] 参考 David_Laptop_64GB.e01 ，在 David 计算机的 D 盘内有⼀张图⽚，根据图⽚上的信息，找出 David 另⼀个虚拟货币钱包的恢复短语 (2)(Recovery Seed) ，下列哪⼀个单词是在此恢复短语 (2)(Recovery Seed) 内？ (3 分 ) A. fall B. bread C. brain D. dove

这个我也没找到，看了看别人的wp发现居然在内存镜像中？？？？？why

借用师兄的wp：

100. [ 多选题 ] 承上题 , 参考 David_Laptop_64GB.e01 ，在 IDFC 的交易记录中，下列哪些地址由上述恢复短语 (2)(Recovery Seed) 所⽣成？ (2 分 ) A. 0xb2e3dbea311511ec5bda3e85e061f15366f888a6 B. 0xe90ad3f80e39e83b533eef3ed23c641ec51089c6 C. 0x90f73497E4446f6Cf9881213C32D6af66d799fE5 D. 0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

最后一题，做出第97题后就没有难度了，跟97题一个步骤，不多赘述了。

终于吧24美亚杯的所有题目都做完了，不对好像逆向还没有。这是我做的第一道取证题目，像我在第一篇说的我不指望成为取证高手，但想多学一些知识。通过着一道题，我确实学到了很多。美亚杯是我学习取证的起点。