这是别人写的计算机取证(单机取证)分析指南这个教程这个教程主要讲单机取证的一些思路和指南，主要针对比赛而出的教程有需要参加相关比赛的可以好好看看学习一下。

简介

计算机取证 (Computer forensics 也称为计算机取证科学）是数字取证科学的⼀个分⽀，涉及在计算机和数字存储介质中发现的证据。

计算机取证的⽬标是以合法的⽅式检查数字媒体，⽬的是识别、保存、恢复、分析和呈现有关数字信息的事实和观点，在国内⼜叫做计算机单机取证

在实际⽣活中尽管计算机取证通常与各种计算机犯罪的调查有关，但计算机取证也可⽤于⺠事诉讼。

在美国来⾃计算机取证调查的证据通常遵循与其他数字证据相同的准则和做法，它已被⽤于许多备受瞩⽬的案件中，并在美国和欧洲法院系统中被认为是可靠的

.E01 ⽂件扩展名

属于磁盘映像⽂件类别 references：

DD 镜像和 E01 镜像的主要区别

E01 ⽂件扩展名代表 EnCase 软件使⽤的 EnCase 映像⽂件格式。

该⽂件⽤于存储数字证据，包括卷映像，磁盘映像，内存和逻辑⽂件。 Encase 创建了⼤⼩为 640 MB 的多个 E01 ⽂件，⽤于存储获取的数字数据。

该⽂件格式最显着的特征之⼀是，对于每个新的 E01 ⽂件，⽂件的扩展名将为创建的每个新⽂件

⽽更改。

由于 EnCase 最初是以 Expert Witness 的名义引⼊的， E01 ⽂件通常可以被称为 Expert

Witness ⽂件。

如何打开和查看 E01 ⽂件扩展名？

E01 只能使⽤ Encase 软件打开⽂件。

鉴于信息安全管理与评估赛项–计算机单机取证特别说明

计算机取证(单机取证)分析指南插图

常⽤⼯具

leadlife

Autopsy ⭐ references：

Autopsy 使⽤⼿法中⽂指南

简介

AutopsyForensic Browser 是数字取证⼯具 TheSleuthKit（TSK）的图形界⾯，⼀个⽤来分析磁盘映像和恢复⽂件的开源取证⼯具。提供在磁盘映像中进⾏字符串提取，恢复⽂件，时间轴分析，chrome，firefox 等浏览历史分析，关键字搜索和邮件分析等功能。

⼯作流程

记录 Autopsy 的⼯作过程，为后⾯⼯具使⽤做好铺垫，逻辑清晰才好继续⼯作

创建案例：案例是⼀个或多个数据源的容器。在分析数据之前，必须先创建⼀个。
添加数据源：将⼀个或多个数据源添加到案例中。数据源包括磁盘映像和本地⽂件。
使⽤摄取模块进⾏分析：添加数据源后，摄取模块将在后台运⾏以分析数据。结果实时发布到界

⾯，并在必要时提供警报。⽰例摄取模块包括哈希计算和查找，关键字搜索以及 Web ⼯件提取。

可以开发第三⽅模块并将其添加到管道中。

⼿动分析：⽤⼾浏览界⾯，⽂件内容和摄取模块结果以识别证据。可以标记有趣的项⽬，以便以后进⾏报告和分析。
报告⽣成：⽤⼾根据选定的标签或结果启动最终报告。

实战提升

BelkaCTF #1 Insider Threat

.E01 计算机单机取证

使⽤ autopsy 4.2 version 操作

leadlife

实战 1 [easy]

题⽬描述

原⽂：

1 What is the full name of the laptop owner? Format: First Name Last Name.

译⽂：笔记本电脑所者的全名是什么？

我们将通过以下步骤，简单地记录一下Autopsy框架的使用过程，这个操作十分简单。

第一步：以管理员权限运行Autopsy，这是为了避免因为权限问题造成的分析遗漏。运行之后会出现一个界面，我们选择“新建实例”(New Case)。

题⽬分析

通过分析数字证据，简单使⽤ Autopsy 得到 Windows 普通⽤⼾即可 (通常不包含 system ⽤⼾ administrator ⽤⼾，以及 domain ⽤⼾组的⽤⼾)

注意这是国外的题⽬，需要提供名字以及姓⽒，所以按照国外的名字规律，我们需要⼆次分析(国内的题⽬则⽆需如此繁琐)

计算机取证(单机取证)分析指南插图1

2.我们可以随意命名实例以及文件夹的保存位置。也是说，在创建实例或文件夹时，我们可以自由选择它们的名称，并且可以选择将它们保存在计算机的任意位置。

leadlife

计算机取证(单机取证)分析指南插图2

计算机取证(单机取证)分析指南插图3

：

创

建

完实

例

化

，

引

⼊

数

据

：

计算机取证(单机取证)分析指南插图4

第

⼆

项

选

择

选

择

Disk Image or VM File

：

计算机取证(单机取证)分析指南插图5

选

择

引

⼊

数

据

源

，

点

击

Browse

，

引

⼊

SUSPECT.E01

计算机取证(单机取证)分析指南插图6

leadlife

计算机取证(单机取证)分析指南插图7

leadlife

后

续

⼀

键

下⼀

步

即

可

，

当

进

⼊

读

条

时

，

切

记

不

要

取

消

。

计算机取证(单机取证)分析指南插图8

：

结

束

引

⼊

后

我

们

得

到初

步

分

析

结

果

，

详

细

的

分

析

结

果

还

需

要

等

待

右

下

⻆

的

读

条

完

成

计算机取证(单机取证)分析指南插图9

leadlife

好的，我们开始解题，题⽬要求我们得到 Windows 的⽤⼾ SID，简直是送分

点

击

右

侧

的

OS Account

节

点

，

我

们

即

可

得

到

答

案

的

第

⼀

部

分

：

使

⽤

者

的

名

字

anit

计算机取证(单机取证)分析指南插图10

继

续

来

到

ysis Results

节

点

中

的

Web Account Type

即

可

通

过

得

到

使

⽤

者

全

名

计算机取证(单机取证)分析指南插图11

答

案

：

Anit Ghosh

1 现在让我们验证他们⼯作的公司。公司办公室的完整地址是什么？完整的地址⾏，包括。国家的名字。

题⽬分析

题⽬要求我们得到公司的完整地址⾏，国家名字，我们可以通过如下思路获得对应信息：

实

战

2 [easy]

题

⽬

描

述

原

⽂

：

译

⽂

：

Now

let

‘s verify the company they’

working

What

the

full

address

company

‘s office? Full address line incl. country name.

leadlife

检查电⼦邮件内容

检查 Windows 中 Active Directory 域

转到同名站点并查找办公室的实际地址 (线下⽐赛⼀般没⽹，所以只是⼀种思路)

解题过程

来

到

Data Artifacts

节

点

的

Email Messages

节

点

即

可

得

到

结

果

计算机取证(单机取证)分析指南插图12

点

击

Default

进

⼊

后

，

我

们

另

存

为

数

据

为

CSV

⽅

便

我

们

查

看

发现第⼀封邮件是传给 anit 的，同时我们得到了 anit 的邮箱后缀 (企业邮箱)

计算机取证(单机取证)分析指南插图13

打开该站点，来到版权以及联系处我们即可获得结果：

计算机取证(单机取证)分析指南插图14

leadlife

计算机取证(单机取证)分析指南插图15

实战 3 [easy]

题⽬描述

原⽂：

1 On November 16th security department got a signal of unauthorized attempts to obtain company’s trade secrets. When did the suspect first show interest in those?

译⽂：

⽉

⽇

，

安

全

部

⻔

收

到

未

经

授

权

试

图

获

取

公

司

商

业

机

密

的

信

号

。

嫌

疑

⼈什么

时

候

第

⼀

次

对

这

些

表

现

出

兴

趣

？

题⽬分析

我们需要考虑，什么传输通道会泄露公司机密？最容易也最简单的⽅式是通过⽹络 (email)

解题过程

还是⼀样，继续打开我们第三题另存为的 CVS ⽂件，观察其中的⽂件内容：来到第 29 ⾏，得到时间：

计算机取证(单机取证)分析指南插图16

实战 4 [easy]

题⽬描述

leadlife

原⽂：

What

employees

should

asked

questions

about

unauthorized

requests

from

the

suspect?

译⽂：

关

于

嫌

疑

⼈

未

经

授

权

的

请

求

，

应

该询

问

哪

名员

⼯

？

题⽬分析

这个题⽬没什么意义，纯粹读英⽂阅读理解，感兴趣可以⾃⼰去分析，观察传输数据即可

解题过程

答案：John Finney、Noelle Johnson、Rachel Corbin

实战 5

嫌

疑

⼈

获

得

的

产

品

⽂

档

的

SHA256

哈

希

值

是

多

少

？

题⽬分析

我们需要关注⽂档信息，以及传输通道，获得相关产品⽂档，从⽽得到 hash

解题过程

题

⽬

描

述

原

⽂

：

译

⽂

：

What

the

SHA256

hash

the

product

documentation

obtained

the

suspect?

leadlife

⾸

先

应

当

关

注

Data Artifacts

节

点

中

的

来到 Data Artifacts 节点中的 Web Downloads 分⽀，得到仅有的 3 个 URL，其中 2

个压缩包需要我们注意。

右击第 2 个特别⻓的⾏，进⼊对应⽬录：

计算机取证(单机取证)分析指南插图24

leadlife

计算机取证(单机取证)分析指南插图25

来到⽬录后将其全部保存在本地然后分析：

计算机取证(单机取证)分析指南插图26

解压后发现 README ⽂档，打开后发现的确为产品⽂档，确认答案 URL

计算机取证(单机取证)分析指南插图27

答案：http://git.pm.internal/GBringley/xraicommend/archive/761263a55b8cfed4bcb8f87cbbb 68beaf2ec2423.tar.gz

实战 7

题⽬描述

原⽂：

1 What e-mail address did the suspect’s backdoor code send reports to?

计算机取证(单机取证)分析指南插图28

leadlife

译⽂：

嫌

疑

⼈

的

后

⻔

代

码

将

报

告

发

送

到

哪

个

电

⼦

邮

件

地址

？

题⽬分析

注意电⼦邮件信息

注意 HTTP 传输信息

注意后⻔关键字

bash

IP 地址

端⼝

也可能编码传输(base64、base32 最为常⻅)，注意 base64 等编码关键字

解题过程

leadlife

来

到

右

上

⻆

，

检

索

全

局

关

键

字

base64 -d

计算机取证(单机取证)分析指南插图29

发现可以操作，观察路径可以发现 git 的⾝影，或许这次 git 的备份是后⻔的关键点。

观察其内容，我们将之解码：

计算机取证(单机取证)分析指南插图30 计算机取证(单机取证)分析指南插图31

得到邮箱答案：alert872802737@protonmail.com

实战 8 – 分析 hiberfil.sys

references： https://diverto.github.io/2019/11/05/Extracting-Passwords-from-hiberfiland-memdumps

https://medium.com/@denizxk/how-to-extract-and-yze-windows-hi bernation-file-7be1cc761788

题⽬描述

原⽂：

What is the SHA256 hash of the file exfiltrated?
What happened by the scenario: The suspect archived the obtained source code, documentation and instructions with his crypto wallet into a password protected 7z-archive, logged into WhatsApp Web in Incognito mode, uploaded the archive to anonfiles.com file hosting, sent the link to their counterparty, closed the lid of the laptop, the laptop went into hibernation —in this state we acquired the disk image.

leadlife

译⽂：