一波取证题

Get-the-key.txt

这是一道磁盘取证
磁盘取证的第1步是确定磁盘的类型

磁盘类型是ext2,然后通过fdisk -l可查看磁盘中的卷信息,大小,偏移量等。

然后就行挂载，可以先创建一个目录，然后mount -o loop 文件名 路径


然后去那个文件夹看一下可以发现有很多压缩包，搜一下key.txt

然后file一下这个二进制文件，看看具体是什么文件

解压gzip gunzip<1

其实这道题binwalk分解掉然后查一下也能成功。

mount 命令

记一道磁盘取证 [安洵杯 2020]王牌特工

给了一个findme的不知名文件，用虚拟机file看一下是什么文件

是一个磁盘文件，挂载一波

然后可以看到里面有个不知名文件和一个txt，看下txt

这是提示要用veracrypt，用这个key加载一下会得到一个假的flag。
这里就有新知识点了，很有可能是有文件被删掉了所以才没加载出来的，恢复文件的工具extundelete，直接打就能安装
然后看一下有哪些文件被删除了、



然后恢复出来

然后进到RECOVERED_FILES这个文件夹里，strings一下那个文件（虽然看不到）

最后那串base一下就是正确的key，然后拿去加载就行了

标签：一波,取证,文件,一下,然后,key,磁盘,txt
来源： https://www.cnblogs.com/fengyuxuan/p/16499999.html