试题
|   1  |   Gary的笔记本电脑已成功取证并制作成镜像 (Forensic Image),下列哪个是其MD5哈希值。  | |
|   A.  |   0CFB3A0BB016165F1BDEB87EE9F710C9  | |
|   B.  |   5F1BDEB87EE9F710C90CFB3A0BB01616  | |
|   C.  |   A0BB016160CFB3A0BB0161661670CFB3  | |
|   D.  |   16160CFB3A0BB016166A0BB016166167  | |
|   E.  |   FB3A0BB016165 B016166 A0DF7FJE2EJ0  | 
|   2  |   根据此镜像 (Forensic Image),里面有多少个硬盘分区?  | |
|   A.  |   1  | |
|   B.  |   2  | |
|   C.  |   3  | |
|   D.  |   4  | |
|   E.  |   5  | 
|   3  |   你能找到硬盘操作系统分区内的开始逻辑区块地址(LBA)?  | |
|   A.  |   0  | |
|   B.  |   512  | |
|   C.  |   2,048  | |
|   D.  |   206848  | |
|   E.  |   102,402,047  | 
|   4  |   你能找到硬盘操作系统分区的大小吗 (字节byte)?  | |
|   A.  |   48.7  | |
|   B.  |   102,195,200  | |
|   C.  |   140,232,703  | |
|   D.  |   19,369,295,872  | |
|   E.  |   52,323,942,400  | 
|   5  |   在包含操作系统的分区内,$MFT的物理起始偏移位置是什么?  | |
|   A.  |   3328  | |
|   B.  |   4170040  | |
|   C.  |   6026176  | |
|   D.  |   6291456  | |
|   E.  |   16949352  | 
|   6  |   请找出系统文件“SOFTWARE",请问操作系统的安装日期是? (答案格式 -“世界协调时间":YYYY-MM-DD HH:MM UTC)  | |
|   A.  |   2017-09-14 02:10 UTC  | |
|   B.  |   2017-09-14 02:11 UTC  | |
|   C.  |   2017-09-14 02:12 UTC  | |
|   D.  |   2017-09-14 02:13 UTC  | |
|   E.  |   2017-09-14 02:14 UTC  | 
|   7  |   用户“Gary"的SID是什么?  | |
|   A.  |   1000  | |
|   B.  |   1001  | |
|   C.  |   1002  | |
|   D.  |   1005  | |
|   E.  |   1007  | 
|   8  |   用户“彼得"的SID是什么?  | |
|   A.  |   1000  | |
|   B.  |   1001  | |
|   C.  |   1002  | |
|   D.  |   1005  | |
|   E.  |   1007  | 
|   9  |   硬盘的操作系统是什么?  | |
|   A.  |   Windows 7  | |
|   B.  |   Windows 8  | |
|   C.  |   Windows 10  | |
|   D.  |   Linux Red Hat 7.1  | |
|   E.  |   MAC OS X  | 
|   10  |   哪个是Windows的默认浏览器?  | |
|   A.  |   Microsoft Internet Explorer  | |
|   B.  |   Google Chrome  | |
|   C.  |   Mozilla Firefox  | |
|   D.  |   Opera  | |
|   E.  |   QQ 浏览器  | 
|   11  |   用户 “Gary"曾经浏览过一些非法博彩网站,下列哪项URL符合?  | |
|   a.  |   www.10086.com  | |
|   b.  |   www.188bet.com  | |
|   c.  |   www.hv5858.com  | |
|   d.  |   www.12377.cn  | |
|   e.  |   www.88.bettingwell.com  | |
|   f.  |   www.aaakk.org  | |
|   A.  |   只有(a) & (b)  | |
|   B.  |   (a), (b), (d) & (f)  | |
|   C.  |   (b), (c), (d) & (f)  | |
|   D.  |   (b), (c), (e) & (f)  | |
|   E.  |   以上皆是  | 
|   12  |   用户Gary曾经登入上述非法博彩网站,下列哪个是其登入名称?  | |
|   A.  |   ggchey68  | |
|   B.  |   gany-cher88  | |
|   C.  |   galy_chen88  | |
|   D.  |   garychen1688  | |
|   E.  |   garychen88  | 
|   13  |   在所有用户中,用于电子邮件发送/接收的程序名称是什么?  | |
|   A.  |   新浪邮箱  | |
|   B.  |   网易163  | |
|   C.  |   阿里邮箱  | |
|   D.  |   Foxmail  | |
|   E.  |   Mozilla Mail – ThunderBird  | 
|   16  |   该Windows系统中,下列哪个是最后的关机时间?  | |
|   A.  |   2017-10-31 4:52:54 UTC  | |
|   B.  |   2017-10-31 4:53:54 UTC  | |
|   C.  |   2017-10-31 4:54:54 UTC  | |
|   D.  |   2017-10-31 4:55:54 UTC  | |
|   E.  |   2017-10-31 4:56:54 UTC  | 
|   17  |   该Windows系统中,下列哪个是电脑名称?  | |
|   A.  |   GARYPC  | |
|   B.  |   GARY-PC  | |
|   C.  |   GARY_PC  | |
|   D.  |   GARY  | |
|   E.  |   GARY-NB  | 
|   18  |   在该Windows系统中,下列哪个是用户Gary日常使用的邮箱帐号?  | |
|   A.  |   ics_user@mail.com  | |
|   B.  |   ics_user@gmail.com  | |
|   C.  |   gary@mail.com  | |
|   D.  |   gary_chen@mail.com  | |
|   E.  |   gary_chen@gmail.com  | 
|   21  |   在该Windows系统中,用户Gary还曾经收过两封来自邮箱帐号 eric_wang99@outlook.com邮件,标题为“学习制作网站”,下列哪个是第二封电邮的发送日期和时间?  | |
|   A.  |   2017-09-25 17:07:15  | |
|   B.  |   2017-10-17 14:35:45  | |
|   C.  |   2017-10-17 18:24:02  | |
|   D.  |   2017-10-18 18:30:45  | |
|   E.  |   2017-10-18 19:38:05  | 
|   22  |   用户Gary还曾经收过一封来自邮箱帐号 ics_user@mail.com 的邮件,附加了两张与咖啡豆有关的相片,下列哪个是此封邮件的发送日期和时间?  | |
|   A.  |   2017-09-25 17:07:15  | |
|   B.  |   2017-10-17 14:35:45  | |
|   C.  |   2017-10-17 18:24:02  | |
|   D.  |   2017-10-26 19:17:08  | |
|   E.  |   2017-10-26 19:24:57  | 
|   25  |   Gary经常使用笔记本电脑浏览互联网,他的笔记本电脑上曾经连接过多少WIFI热点?  | |
|   A.  |   1  | |
|   B.  |   2  | |
|   C.  |   3  | |
|   D.  |   4  | |
|   E.  |   5  | 
|   27  |   有关Gary的笔记本电脑,下列哪项是其最后分派得到的IP地址?  | |
|   A.  |   192.168.0.1  | |
|   B.  |   192.168.10.4  | |
|   C.  |   192.168.20.6  | |
|   D.  |   192.168.30.3  | |
|   E.  |   192.168.40.5  | 
|   29  |   Eric 售卖iCloud 网站给Gary 的价钱是多少?  | |
|   A.  |   $500  | |
|   B.  |   $800  | |
|   C.  |   $1000  | |
|   D.  |   $1400  | |
|   E.  |   $1500  | 
|   30  |   Gary 经常将非法文件存储到该笔记本电脑的加密分区中,下列哪一个为该加密软件?  | |
|   A.  |   TrueCrypt  | |
|   B.  |   VeraCrypt  | |
|   C.  |   Bitlocker  | |
|   D.  |   LUKS  | |
|   E.  |   PGP WDE  | 
|   34  |   在上述加密磁区内,存有一个名为”2017-10-27”的文件夹,内有三张枪械的图片,该三张图片是来自哪个网站?  | |
|   A.  |   http://gunsdtk58tolcrre.onion  | |
|   B.  |   http://gunsjmzh2btr7lpy.onion  | |
|   C.  |   thegunstorelasvegas.com  | |
|   D.  |   cabelas.com  | |
|   E.  |   hyattgunstore.com  | 
|   35  |   Gary的笔记本电脑曾经下载过多少张有关恐怖组织的图片?  | |
|   A.  |   1  | |
|   B.  |   2  | |
|   C.  |   3  | |
|   D.  |   4  | |
|   E.  |   5  | 
|   36  |   根据Gary与Eric邮件的内容,Eric曾经提供Gary一个私有云盘,下列哪项是该邮件提供的资料?  | |
|   A.  |   动物图  | |
|   B.  |   枪的结构图  | |
|   C.  |   博彩图  | |
|   D.  |   博彩文件  | |
|   E.  | 
|   37  |   下列哪项是上述私有云盘的网址?  | |
|   A.  |   http://mantech.mooo.cn  | |
|   B.  | ||
|   C.  |   http://mooo.com  | |
|   D.  |   http://mantech.com  | |
|   E.  |   http://23.54.45.113  | 
|   38  |   下列哪项是上述私有云盘网址的连接端口?  | |
|   A.  |   TCP 80  | |
|   B.  |   TCP 8080  | |
|   C.  |   UDP 80  | |
|   D.  |   TCP 8000  | |
|   E.  |   TCP 443  | 
|   39  |   下列哪项是Gary第一次浏览该私有云盘网址时,所使用的浏览器?  | |
|   A.  |   Microsoft Explorer  | |
|   B.  |   Google Chrome  | |
|   C.  |   Mozilla Firefox  | |
|   D.  |   Opera  | |
|   E.  |   QQ 浏览器  | 
|   40  |   下列哪项是Gary第一次浏览该私有云盘网址的日期和时间?  | |
|   A.  |   2017-10-29 12:42:09  | |
|   B.  |   2017-10-30 12:42:09  | |
|   C.  |   2017-10-31 12:42:09  | |
|   D.  |   2017-10-30 10:42:09  | |
|   E.  |   2017-10-30 11:42:09  | 
|   41  |   在上述加密磁区内,存有一个名为”2017-10-30”的文件夹,里面有三张与枪械结构有关的图片,该三张图片是从哪个方法/软件下载?  | |
|   A.  |   邮件  | |
|   B.  |   Firefox  | |
|   C.  |   Chrome  | |
|   D.  |   USB thumb drive  | |
|   E.  |   ftp  | 
|   42  |   Gary的笔记本电脑,曾经下载过一个感染了电脑病毒的文件,名为invoice.zip。该病毒程序文件是什么时候下载?  | |
|   A.  |   2017-10-31 12:26:20  | |
|   B.  |   2017-10-31 12:50:34  | |
|   C.  |   2017-10-31 12:29:55  | |
|   D.  |   2017-10-31 10:52:10  | |
|   E.  |   2017-10-31 12:18:54  | 
|   44  |   上述invoice.exe文件伪装成什么格式的软件?  | |
|   A.  |   | |
|   B.  |   jpg  | |
|   C.  |   psd  | |
|   D.  |   Docx  | |
|   E.  |   Doc  | 
|   46  |   事实上,Gary的笔记本电脑被电脑病毒感染了,部份文件被加密,当中包括下列哪种文件类型?  | |
|   a.  |   exe  | |
|   b.  |   gif  | |
|   c.  |   jpg  | |
|   d.  |   psd  | |
|   e.  |   Docx  | |
|   f.  |   Doc  | |
|   A.  |   只有(a) & (b)  | |
|   B.  |   (a), (b), (d) & (f)  | |
|   C.  |   (b), (c), (d) & (f)  | |
|   D.  |   (b), (c), (e) & (f)  | |
|   E.  |   以上皆是  | 
|   47  |   上述\User\Gary\Downloads\invoice\dist\invoice.exe文件共执行多少?  | |
|   A.  |   1  | |
|   B.  |   2  | |
|   C.  |   3  | |
|   D.  |   4  | |
|   E.  |   5  | 
|   48  |   上述\User\Gary\Downloads\invoice\dist\invoice.exe文件是由什么程序编写?  | |
|   A.  |   LISP  | |
|   B.  |   C++  | |
|   C.  |   Visual Basic  | |
|   D.  |   Python  | |
|   E.  |   Java  | 
|   49  |   上述\User\Gary\Downloads\invoice\dist\invoice.exe文件,执行时会呼叫下列哪个动态连结函式库(Dynamic Linked Library)  | |
|   A.  |   KERNEL32.DLL  | |
|   B.  |   USER32.DLL  | |
|   C.  |   SHELL32.DLL  | |
|   D.  |   NTDLL.DLL  | |
|   E.  |   SYSTEM32.DLL  | 
|   51  |   上述两个文件\User\Gary\Downloads\invoice\dist\invoice.exe和 \tmp\invoice.exe是什么关系?  | |
|   A.  |   前者是后者的复本  | |
|   B.  |   后者是前者的复本  | |
|   C.  |   两者MD5不相同  | |
|   D.  |   两者元数据(Metadata)相同  | |
|   E.  |   两者无关系  | 
|   52  |   根据勒索讯息的显示,勒索网址是什么?  | |
|   A.  |   http://223.17.250.208:6000/C&C/  | |
|   B.  |   http://223.17.250.208/C&C/  | |
|   C.  |   http://223.17.250.208:6060/C&C/  | |
|   D.  |   http://223.17.250.208:80/C&C/  | |
|   E.  |   http://223.17.250.208:8080/C&C/  | 
|   53  |   根据勒索讯息的显示,勒索金额是多少钱?  | |
|   A.  |   $1,000  | |
|   B.  |   $10,000  | |
|   C.  |   $20,000  | |
|   D.  |   $50,000  | |
|   E.  |   $100,000  | 
|   55  |   执法机关曾在现场对Gary的电脑进行电子法证检验,期间曾撷取与勒索软件相关的屏幕影像,并储存为png格式。下列哪项是其储存位置?  | |
|   A.  |   \Users\彼得\Downloads\  | |
|   B.  |   \Users\彼得\Desktop\  | |
|   C.  |   \Users\Gary\Downloads\  | |
|   D.  |   \Users\Gary\Desktop\  | |
|   E.  |   \Users\Gary\Documents  | 
Keys point 分高下
|   经法证工具分析后发现Gary的笔记本电脑有三个分区硬盘,所有敏感文件均储存在一个加密磁区,而其加密匙放在下列哪个位置?  | ||
|   A.  |   \Windows\  | |
|   B.  |   \Users\  | |
|   C.  |   \Users\Gary\Desktop  | |
|   D.  |   \Users\Gary\Documents  | |
|   E.  |   \  | |
答案解析
1、
|   A.  |   0CFB3A0BB016165F1BDEB87EE9F710C9  | 

2、
|   C.  |   3  | 

3、内存物理地址的单位是字节(Byte),而一个逻辑区块占用512字节,所以要将这个值除以512=206848
|   D.  |   206848  | 

4、48.73*1073741824为52323439083.52
|   E.  |   52,323,942,400  | 

5、应为6498304
|   D.  |   6291456  | 

6、北京是东八区,领先UTC时间八个小时,所以减掉后得出答案
|   B.  |   2017-09-14 02:11 UTC  | 
![]()
7、
|   A.  |   1000  | 
8、
|   B.  |   1001  | 

9、
|   A.  |   Windows 7  | 
![]()
10、
|   A.  |   Microsoft Internet Explorer  | 

11、首先排除正常的10086和12377网站,然后搜索每个网站
|   D.  |   (b), (c), (e) & (f)  | 




12、将每个选项搜索,得到garychen88
|   E.  |   garychen88  | 
![]()
13、
|   E.  |   Mozilla Mail – ThunderBird  | 

14、
|   C.  |   Samsung Portable SSD USB Device  | 
![]()
15、
|   E.  |   General UDisk USB Device  | 

16、
|   A.  |   2017-10-31 4:52:54 UTC  | 

17、
|   B.  |   GARY-PC  | 
![]()
18、
|   D.  |   gary_chen@mail.com  | 

19、
|   C.  |   2017-10-17 18:24:02  | 

20、
|   D.  |   2017-10-18 18:30:45  | 
21、
|   E.  |   2017-10-18 19:38:05  | 

22、
|   D.  |   2017-10-26 19:17:08  | 

23、
|   B.  |   17f9c6bcca44d128f7ed6769a6920278  | 

24
|   E.  |   2017-10-18 19:38:05  | 

25、
|   D.  |   4  | 

![]()
![]()
![]()
26、取证结果 -> 密码/密钥检索 -> 无线账号
|   E.  |   {AF0778E8-6C4F-41C6-84B2-CB14490CF29E}  | 

27、取证结果 -> 系统痕迹 -> 网络配置 -> 网络连接 找到DHCPIP地址一栏有D选项的IP地址
|   D.  |   192.168.30.3  | 

28、找到Eric发的邮件,根据提升打开附件的网页截图,找出暗网的url
|   B.  |   http://gunsjmzh2btr7lpy.onion  | 

29、继续在收件箱中查找Eric与Gary的通信内容,在一封标题为“发票”的邮件中找到了疑似信息。
|   C.  |   $1000  | 

30、
|   B.  |   VeraCrypt  | 

31、在收件箱中查找Eric与Gary的通信内容,在一Re:学习制作网站的邮件中找到了疑似信息。可以导出这份邮件的三份图片附件
|   A.  |   c9fbfaf3c45492c40feb83a83217f146  | 

32、做法同上
|   E.  |   4c57a45b8da5ea01e5eb7d875f94a7b8  | 

34
|   B.  |   http://gunsjmzh2btr7lpy.onion  | 

35、下载这种图片一般都是用浏览器下载,所以在取证结果 -> 上网记录 -> 下载记录 里找线索
|   B.  |   2  | 
![]()
36、一个邮件包含三题答案
|   B.  |   枪的结构图  | 
37、
|   B.  |   http://mantech.mooo.com  | 
38、
|   D.  |   TCP 8000  | 

39、把地址http://mantech.mooo.com:8000拉进FMP实时搜索,在“上网记录”一栏找到FireFox浏览器的最新访问信息。
|   C.  |   Mozilla Firefox  | 

40、取证结果 -> 上网记录 -> FireFox -> 历史记录,以时间为关键字正序排序。得出嫌疑人第一次访问该私有网盘网址的准确时间。
|   B.  |   2017-10-30 12:42:09  | 

41、取证结果 -> 上网记录 -> FireFox -> 下载记录,发现有三张图片被下载到了E:\2017-10-30,与题目吻合
|   B.  |   Firefox  | 

42、将关键字“invoice.zip”实时搜索,找到对应的文件,查看文件创建时间,得出答案。
|   E.  |   2017-10-31 12:18:54  | 
![]()
43、将关键字“invoice.exe”实时搜索。题目要求我们得到的是文件最后存取日期,考虑到.exe文件一般不会被写,所以这个日期应该是最后的访问时间,在文件摘要中可以得到这一信息。
|   A.  |   2017-10-31 12:26:27  | 

44、
|   A.  |   | 
45、为tmp目录下invoice.exe的访问时间。
|   B.  |   2017-10-31 12:50:34  | 
![]()
46、
|   D.  |   (b), (c), (e) & (f)  | 
47、将关键字“invoice.exe”实时搜索,然后在 用户痕迹 -> 最近程序访问记录 里面发现该程序被运行了五次。
|   E.  |   5  | 
![]()
48、导出invoice.zip之后,发现里面有pyc文件
|   D.  |   Python  | 

49、该题逆向动态调试可得
|   A.  |   KERNEL32.DLL  | 
50、见43题
|   B.  |   2017-10-31 12:50:34  | 
51、tmp为打开时生产的临时文件
|   B.  |   后者是前者的复本  | 
52、选项的网址拉进FMP实时搜索,发现C选项对应的网址是嫌疑人用火狐浏览器访问过的。
|   C.  |   http://223.17.250.208:6060/C&C/  | 

53、在系统桌面上找找,结果发现一张screen.png,得到三题答案。
|   B.  |   $10,000  | 
54、
|   D.  |   1KcjhpknwGWh5QYgPx6hYGuzbZpewgBszh  | 
55、
|   D.  |   \Users\Gary\Desktop\  | 



















