24美亚杯（usb取证除逆向）

63. [ 单选题 ] 在取证中，你发现 D 盘被 BitLocker 加密。 U 盘上可能有⼀些线索，你对 U 盘进⾏了取证。参考 David_USB_8GB.e01 ， David 的 U 盘⽂件系统的格式？ (2 分 ) A. NTFS B. FAT32 C. exFAT D. ReFS

放到xways中右边直接显示了

U盘的文件系统格式是什么呢？ai大人的回答：

64. [ 单选题 ] 参考 David_USB_8GB.e01 ， David 的 U 盘⽂件系统中，每簇 (Cluster) 定义了多少字节 (Byte) ？ (2 分 ) A. 128 B. 256 C. 512 D. 1024

还是直接告诉我们了

65. [ 单选题 ] 参考 David_USB_8GB.e01 ， David 的 U 盘中有多少个已删除的⽂件？ (2 分 ) A. 1 B. 2 C. 3 D. 4

应该就这一个吧

66. [ 单选题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除的⽂件的运⾏列表 (Run List) 的运⾏偏移量 (Run Offset) 数量是多少 ? (2 分 ) A. 16 B. 32 C. 64 D. 128

Datarun offset:64就是我们要找的答案

67. [ 单选题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除⽂件的第⼀个运⾏的⼗六进制值 ( 低端字节序 Little-Endian) 是多少 ? (3 分 ) A. 0x4C3F0DB522 B. 0x4C3F0D22B5 C. 0x224C3F0DB5 D. 0x3F4C0DB522

回答问题之前，先要了解这个问题在问什么，什么是删除文件的第一个运行的十六进制值（低端字节）？

在理解这个之前，要先知道在文件写入系统的时候，它内部的数据并不是写在一起的，即不是写好的是分散的。那我们怎么看到的是一个完整的文件呢？这是因为文件在写入的时候，按照mft目录文件的一个记录，把分散在磁盘中各个地方的数据按照顺序拼凑起来，变成我们看到的一个完整的文件，这个记录是Run List（数据运行列表）

已删除的文件实际上并没有正真的被删除，它的具体内容还留在电脑中，只不过索引等被去除了。这也是为什么被删除的文件能被xways等取证工具解析出来的原因。这个被删除的文件在解析的时候跟其他文件一样，都通过run list把散落的数据拼凑起来，从而解析得到了可以看到的文件。Mft文件类似于一个数据库，管理这个存储系统中各个文件的内容大小等内容。

回到题目上，题目问的是已删除文件在物理磁盘上的第一个存储块的位置信息。被删除的文件并没有真正被抹除，其数据依然留在物理磁盘上，只是MFT中的索引被清除了。取证工具通过读取残留的MFT记录，解析出 $DATA 属性中的 Run List（数据运行列表），该列表记录了文件数据的物理偏移量（起始簇号）和长度。解析这个十六进制值的目的，就是让系统（取证工具）能够精准定位到磁盘上的原始数据块，从而将这些分散的碎片按顺序读取出来，还原成完整的文件。

那改怎么找呢？其实找到datarun就行了。Datarun是什么呢？datarun可以理解成runlist里的某一行，runlist的内容就是几行datarun相连的结果。

Datarun在上一题的图中已经显示出来了，而且就只有这一个datarun，所以说，这道题也就迎刃而解了。要注意的是题目问的是小端，还要把数据反过来。

所以答案是A

68. [ 填空题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除的⽂件的实际⼤⼩ ( 单位 : 字节 Byte) 是多少 ? 答案格式 : 只需使⽤阿拉伯数字回答 (2 分 )

终于有一道我能看懂题目的题了wuwuwuw

69. [ 填空题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除⽂件的第⼀个运⾏偏移量 (Run Offset) 是多少 ? ( 答案格式 : 只需使⽤阿拉伯数字回答 ) (2 分 )

跟第66题很像，66题问的是运⾏偏移量 (Run Offset) 数量这一题问的是第⼀个运⾏偏移量 (Run Offset)

肯定也要在mft中找。第一个运行偏移量就是这个文件的第一块数据，在物理磁盘上距离“起点”隔了多少个簇（Cluster）。

解题的关键还在这句话中：[0x158] DataRun:22B50D3F4C000000

22表示长度字段占2字节，偏移字段占2字节。

那么B50D就是长度，3F4C就是偏移字段

这个mftbrowser已经帮我们算好了。

这道题就做出来了，但是我还是有些没懂这个偏移量到底什么意思呢？

这个偏移量相当于是存储位置的地址，它告诉了你这个文件存储的地方离上一个文件有多远。它不是绝对地址，因为它是根据上一个文件末尾来看的，而不是根据0这个起点来看的，如果根据0，那么存储这个信息的空间就会比较大。

那么这题问的东西和前面那题文档东西有什么区别呢？之前问的相当于是告诉我们位置信息距离runlist的开始起点有多远，而这个则是在屋里层面上距离起点有多远。

70. [ 单选题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除的⽂件的第⼀个运⾏的簇运⾏⻓度 (Run Length) 是多少 ? (2 分 ) A. 2408 B. 3509 C. 3128 D. 4021

簇运行长度（Run Length），简单来说就是：这块连续的数据一共占用了多少个簇（Cluster）。

图中的3509就是答案。

让我们来重新全面的梳理一下这些取证软件是怎么解析文件的。因为这个u盘是NTFS存储形式，所以解析的时候要看MFT文件。之后找到该MFT记录中的$DATA属性（类型标志为0x80）。如果数据太大无法直接存在MFT里，系统会标记为“非驻留（Non-Resident）”，如果很小，则是“驻留（Resident）”，数据直接存在MFT里（此时不需要Run List）。之后，根据非驻留的$DATA属性头中，读取偏移量0x20处的DataRun Offset找到文件中的runlist，也就是一个个datarun拼成的数据。每一条datarun中又告诉取证软件这些信息的开头存放在哪里，存放用了多少位置。接着，取证工具就去这写地方读取具体的数据，最后结合mft中的其他信息解析出文件。

好复杂。

71. [ 单选题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除⽂件的图像⽂件像素值 (Pixel) 是多少 ? (2 分 A. 1000 x 2000 B. 2000 x 3000 C. 3000 x 4000 D. 4000 x 5000

72. [ 单选题 ] 承上题 , 参考 David_USB_8GB.e01, 已删除图像⽂件是⽤哪个品牌和型号的⼿机拍摄 ? (2 分 ) A. SAMSUNG SM-A425 B. SAMSUNG SM-A4580 C. SAMSUNG SM-A4260 D. SAMSUNG SM-A5G

像之前那样导出后看属性也ok

接下来到逆向部分：<:

73. [ 填空题 ] 在 U 盘中 , 你还发现了⼀个 exe ⽂件 , 但它被锁定 , 可能需要进⾏反编译以便进⼀步检查。参考 David_USB_8GB.e01, 使⽤ x64dbg 的字符串搜索 (String Search) 功能 , 在 Bitlocker.exe 中查找哪个字符串最有可能与显⽰的登录状态有关 ? (1 分 )

Emmm没壳

丢到ida看看，shift+f12看看这个exe文件里的字符串

应该是login successful吧

74. [单选题] 承上題,当找到控制登录成功的逻辑代码时,如何修改汇编代码(Assembly Code)来绕过检查,达到任意输入，都成功登录的效果? (2分)

。。。。。。。。。。。。。。

做不下去了，完全不会捏

可能是之前接触到的逆向都是比较简单的类型，我这种逆向还不怎么会，我打算先继续做后面的内容跳过这道逆向