琉璃幻彩 Hexo https://fightergodnemo.github.io/ All rights reserved 2026, 琉璃幻彩 No System Is Safe 琉璃幻彩的博客 2026-04-04T00:06:00.000Z 琉璃幻彩 前言

检材下载

下载链接：https://pan.baidu.com/s/1W3dvZatl0CNjWaUiNrzyfg?pwd=5p6c

哈希值：无

挂载/解压密码：无

一、计算机取证

1.请找出操作系统主机名。
2.请给出源磁盘的SHA256哈希值。
3.请找出操作系统中安装的Android模拟器名称和安装日期。（格式：雷电模拟器2025年06月26日）
4.请找出使用Bitlocker加密的虚拟磁盘文件。

二、内存取证

1.请给出计算机内存创建北京时间？ [答案格式：2000-01-11 00:00:00]

2.请给出计算机内用户yang88的开机密码？ [答案格式：abc.123]

]]> https://fightergodnemo.github.io/2026/04/04/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/%E5%8F%96%E8%AF%81write-up/%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81%E5%88%9D%E5%AD%A6/ 2026-04-03T23:34:37.093Z 前言

检材下载

下载链接：前言

案情介绍
总剧情：2024年4月13日周六，杭城网警支队在工作中发现线索，线索称4月13日上午10时有一名为“飞天五子棋教”的非法社会组织蛊惑其信徒前往滨湖商圈海平路与安延路十字路口中心进行自焚，以获得超越自然的神力。网警支队立刻编报上报市局，引起市局高度重视，经过周密布控，当场抓获“飞天五子棋教“前来自焚教徒一名，市局立案侦查，将” 飞天五子棋教“定性为邪教组织。
第一部分-剧情：在前来自焚教徒身上搜出一部手机，手机在抓捕过程中损坏，在其住处搜得关机的笔记本电脑一部，连接其上的u盘一只。对上述检材予以扣押，并进行取证。回答以下问题。
第二部分-剧情：经过对电子物证的分析，侦查人员锁定了为邪教提供服务的云服务提供商。该提供商为辖区外的一家互联网科技公司。为避免造成更恶劣影响，侦查人员于4月13日下午15时前往该公司服务器机房提取电子证据。该公司实际控制人为海公牛，女，35岁，徽省人，身份证号xxxxxx。在侦查人员到达现场时，海母牛迅速将所有服务器断电，拒不配合警方工作。经审讯，海公牛提供了机房所有其掌握的信息，具体信息见《海母牛公司机房IP地址规划表》。侦查人员将三台服务器予以扣押，并进行取证。回答以下问题。
第三部分-剧情：对海公牛与闻早起的社会关系进行分析，发现其二者与”飞天五子棋教“某干部联系密切，该干部的微信备注为”玉王直“，经落地后发现该人具体位置，且即将出国，侦查人员遂立即前往其住处，在其住处对其抓捕，遭遇其强烈抵抗。在其住处搜出手机3只，其中2只在其抗拒抓捕中被其破坏自燃，扣押完整手机一只，扣押电脑一台，其上贴有密码标签，在抓捕中其中一张部分被撕毁。U盘2只，其中一只连接在电脑上，另一只在其口袋中。对上述检材予以扣押，并进行取证。回答以下问题。
第四部分剧情：综合分析检材，发现教徒发展表格等信息，请对检材内容综合分析，回答以下部分问题。
检材下载
下载链接：https://pan.baidu.com/s/1ec5FPJqOIZf3-7EW8T5g7Q?pwd=ddmb哈希值：093A4ABB9025B83C428CE1676EE3D951
挂载/解压密码：奋进新征程，建功新时代！

第一部分-介质取证

1.教徒“闻早起”所使用的笔记本电脑使用何种加密程式？

A.BitLocker
B.VeraCrypt
C.国密
D.Cryptomator
E.系统自带加密程序
F.无法得出


火眼都分析不出来。比赛检材有很多设备图片，应该是需要仿真，然后根据一些线索（比如密码），来挂载解密。而不是像以前一样分析。

正确答案：VeraCrypt

2.教徒“闻早起”所使用的笔记本电脑中安装了一款还原软件，其版本号为？

进行虚拟机创建。

3.教徒“闻早起”所使用的笔记本电脑中登录的微信内部id为？

]]> https://fightergodnemo.github.io/2026/04/03/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/%E5%8F%96%E8%AF%81write-up/%E5%B9%B3%E8%88%AA%E6%9D%AF/2024%E5%B9%B3%E8%88%AA%E6%9D%AF/ 2026-04-03T14:03:35.316Z 前言

案情介绍
总剧情：2024年4月13日周六，杭城网警支队在工作中发现线索，线索称4月13日上午10时]]>

2024平航杯 2026-04-10T13:35:00.000Z 琉璃幻彩 记录一下我的帝国时代四科研笔记。

]]> https://fightergodnemo.github.io/2026/04/01/%E6%B8%B8%E6%88%8FGame/%E5%B8%9D%E5%9B%BD%E6%97%B6%E4%BB%A3%E5%9B%9B%E7%A7%91%E7%A0%94%E7%AC%94%E8%AE%B0/ 2026-04-01T04:36:49.263Z 记录一下我的帝国时代四科研笔记。

]]> 帝国时代四科研笔记 2026-04-10T13:35:00.000Z 琉璃幻彩 题型

选择题

停机时间与系统可用性

IP地址块转子网掩码





672

二进制和十进制的转换


672

BGP（边界网关协议）

高频：约出现24 次

  1. 边界网关协议（Border Gateway Protocol），是外部而不是内部网关协议(是不同自治系统(AS)的路由器之间使用的协议)。
    一个 BGP 发言人使用 TCP（不是 UDP）与其他自治系统的 BGP发言人交换路由信息。
  2. BGP 协议交换路由信息的节点数是以自治系统数为单位的，BGP 交换路由信息的节点数不小于自治系统数。
  3. BGP 采用路由向量协议，而RIP采用距离向量协议。
  4. BGP 发言人通过 update 而不是 noticfication 分组通知相邻系统，使用 update 分组更新路由时，一个报文只能增加一条路由。
  5. open 分组用来与相邻的另一个 BGP 发言人建立关系，两个BGP 发言人需要周期性地（不是不定期）交换 keepalive 分组来确认双方的相邻关系。
  6. BGP 路由选择协议执行中使用的四个分组为打开(open)、更新(update)、保活(keepalive)和通知(notification)分组。

集线器

高频 21 次

  1. 工作在物理层，连接到一个集线器的所有结点共享/属于（不是独立）一个冲突域。
  2. 每次只有一个结点能够发送数据，而其他的结点都处于接收数据的状态（多个节点可以同时接受数据帧，但不能同时发送）。连接到集线器的节点发送数据时，该节点将执行 CSMA/CD（不是 CA） 介质访问控制方法。
  3. 在网络链路中串接一个集线器可以监听该链路中的数据包。
  4. 集线器不是基于MAC 地址/网卡地址/IP 地址完成数据转发（基于 MAC 地址的是网桥或交换机等），而是信源结点利用一对发送线将数据通过集线器内部的总线广播出去。
  5. 集线器使用双绞线连接工作站。
  6. 使用 Sniffer 在网络设备的一个端口上能够捕捉到与之属于同一 VLAN 的不同端口的所有通信流量的设备是集线器。

OSPF 协议

高频 21 次

  1. OSPF（开放式最短路径优先，Open Shortest Path First） 是内部网关协议的一种，采用最短路径算法，使用分布式链路状态协议。
  2. 对于规模很大的网络，OSPF 通过划分区域来提高路由更新收敛速度。每个区域有一个32 位的区域标识符，区域内路由器不超过 200 个。
  3. 一个 OSPF 区域内每个路由器的链路状态数据库包含着 本区域(不是全网) 的拓扑结构信息，不知道其他区域的网络拓扑。
  4. 链路状态“度量”主要指费用、距离、延时、带宽等，没有路径。
  5. 当链路状态发生变化时用洪泛法向 所有(不是相邻) 路由器发送此信息。
  6. 链路状态数据库中保存的是全网的拓扑结构图，而非一个完整的路由表，也不是只保存下一跳路由器的数据。
  7. 为确保链路状态数据库一致，OSPF 每隔一段时间（不确定）刷新一次数据库中的链路状态。

攻击

必考 30 次

  1. SYN：同步序列编号（Synchronize Sequence Numbers）。是TCP/IP建立连接时使用的握手信号。在客户机和服务器之间建立正常的TCP网络连接时，客户机首先发出一个SYN消息，服务器使用SYN+ACK应答表示接收到了这个消息，最后客户机再以ACK消息响应。这样在客户机和服务器之间才能建立起可靠的TCP连接，数据才可以在客户机和服务器之间传递。SYN Flooding 攻击：使用无效的 IP 地址，利用 TCP 连接的三次握手过程，使得受害主机处于开放会话的请求之中，直至连接超时。在此期间，受害主机将会连续接受这种会话请求,最终因耗尽资源而停止响应。
  2. DDos 攻击（Distributed Denial of Service）：利用攻破的多个系统发送大量请求去集中攻击其他目标，受害设备因为无法处理而拒绝服务。
  3. SQL 注入攻击：属于利用系统漏洞，基于网络的入侵防护系统和基于主机入侵防护系统都难以阻断。防火墙（基于网络的防护系统）无法阻断这种攻击。
  4. Land 攻击：向某个设备发送数据包，并将数据包的源 IP 地址和目的地址都设置成攻击目标的地址。
  5. 协议欺骗攻击：通过伪造某台主机的 IP 地址窃取特权的攻击。有以下几种：（1）IP 欺骗攻击。（2）ARP 欺骗攻击。（3）DNS 欺骗攻击。（4）源路由欺骗攻击。
  6. DNS 欺骗攻击：攻击者采用某种欺骗手段，使用户查询服务器进行域名解析时获得一个错误的 IP 地址，从而可将用户引导到错误的 Internet 站点。
  7. IP 欺骗攻击：通过伪造某台主机的 IP 地址骗取特权，进而进行攻击的技术。
  8. Cookie 篡改攻击：通过对 Cookie 的篡改可以实现非法访问目标站点，基于网络的入侵防护系统无法阻断。
  9. Smurf 攻击：攻击者冒充受害主机的 IP 地址，向一个大的网络发送 echo request 的定向广播包，此网络的许多主机都做出回应，受害主机会收到大龄的 echo reply 消息。基于网络的入侵防护系统可以阻断 Smurf 攻击。
  10. 基于网络的防护系统无法阻断 Cookie 篡改、DNS 欺骗、SQL注入。
  11. 基于网络的入侵防护系统和基于主机入侵防护系统都难以阻断的是跨站脚本攻击、SQL 注入攻击。

IPS（入侵防护系统）

中频 12 次

  1. 入侵防护系统(IPS)整合了防火墙技术和入侵检测技术，工作在 In-Line（内联）模式，具备嗅探功能。
  2. IPS 主要分为基于主机的 IPS(HIPS)、基于网络的 IPS(NIPS)和应用 IPS(AIPS)。
  3. HIPS 部署于受保护的主机系统中，可以监视内核的系统调用，阻挡攻击。
  4. NIPS 布置于网络出口处，一般串联于防火墙与路由器之间（串接在被保护的链路中）。NIPS 对攻击的误报（不是漏报） 会导致合法的通信被阻断。
  5. AIPS 一般部署在受保护的应用服务器前端。

RPR（弹性分组环）

高频 20 次

RPR是一种用于城域网（MAN）的新型第二层（数据链路层）环形拓扑结构，旨在提供高
效、公平、可扩展的数据传输服务。

  1. RPR 与 FDDI（光纤分布式数据接口） 一样使用双环结构。
  2. RPR 环中每一个节点都执行 SRP（Spatial Reuse Protocol，空间重用协议） 公平算法（不是 DPT、MPLS）。
  3. 传统的 FDDI 环，当源结点向目的节点成功发送一个数据帧之后，这个数据帧由源结点从环中回收。但 RPR 环，这个数据帧由目的结点从环中回收（RPR通过“目的结点收回数据帧”的机制提高带宽利用率，避免数据帧在环中无限循环）。
  4. RPR 环限制数据帧只在源节点和目的节点之间的光纤段上传输。
  5. RPR 采用自愈环设计思路，能在 50ms（不是 30ms）时间内隔离故障结点和光纤段。
  6. RPR 可以对不同的业务数据分配不同的优先级，是一种用于直接在光纤上高效传输 IP 分组的传输技术。
  7. 两个 RPR 结点间的裸光纤最大长度可达 100 公里。
  8. RPR 的 外环（顺时针） 和 内环（逆时针） 都可以用 统计复用 的方法传输分组和控制分组（不是频分复用FDM，即Frequency Division Multiplexing）。

路由器技术

中频 15 次

  1. 路由器的包转发能力与端口数量、端口速率、包长度和包类型有关。（没有端口类型）
  2. 高性能路由器一般采用采用可交换式的结构，传统的核心路由器采用共字背板的结构。
  3. 丢包率是衡量路由器超负荷工作时的性能指标之一。(“路由表容量”不是)
  4. 吞吐量（包转发能力）是指路由器的包转发能力，包括端口吞吐量与整机吞吐量。背板能力决定路由器吞吐量。（不是吞吐量决定了路由器的背板能力）
  5. 突发处理能力是以最小帧间隔发送数据包而不引起丢失的最大发送速率来衡量的，不单单是以最小帧间隔值来衡量的。
  6. 语音视频业务对延时抖动要求较高。
  7. 路由器的服务质量主要表现在队列管理机制、端口硬件队列管理和支持的 QoS（Quality of Service）协议类型上。(不是包转发效率)
  8. 路由器通过路由表来决定包转发路径。
  9. 路由器的队列管理机制是指路由器的队列调度算法和拥塞管理机制。

    MTBR是平均维修时间

城域网

高频 25 次

  1. 宽带城域网保证服务质量 QoS（Quality of Service） 要求的技术有：1. RSVP资源预留协议 （Resource Reservation Protocol ）；Diffserv区分服务 （Differentiated Service） ；MPLS多协议标签交换 (Multiprotocol Label Switching)。

  2. 网络服务质量表现在延时、抖动、吞吐量与丢包率。

  3. 宽带城域网以 TCP/IP 路由协议为基础。能够为用户提供带宽保证，实现流量工程。

  4. 可以利用 NAT 技术解决 IP 地址资源不足的问题。

  5. 利用传统的电信网络进行网络管理称为“带内”，而利用 IP网络及协议进行网络管理的则称为“带外”。对汇聚层及其以上设备采取带外管理，而对汇聚层以下采用带内管理。

  6. 宽带城域网带外网络管理是指利用网络管理协议 SNMP 建立网络管理系统。

  7. 网络业务包括 Internet 接入业务、内容提供业务、视频与多媒体业务、数据专线业务、语音业务等。

  8. 设计一个宽带城域网将涉及“三个平台一个出口”，即网络平台、业务平台、管理平台和城市宽带出口。

  9. 核心交换层的基本功能：①核心交换层将多个汇聚层连接起来，为汇聚层的网络提供高速分组转发，为整个城市提供一个高速、安全与具有 QoS保障能力的数据传输环境。②核心交换层实现与主干网络的互联，提供城市的宽带 IP出口。③核心交换层提供宽带城域网的用户访问 Internet 所需要的路由访问。

  10. 汇聚层的基本功能是：①汇接接入层的用户流量，进行数据分组传输的汇聚、转发与交换。②根据接入层的用户流量，进行本地路由、过滤、流量均衡、QoS 优先级管理，以及安全控制、IP 地址转换、流量整行等处理。③根据处理结果把用户流量转发到核心交换层或在本地进行路由处理。

    1. 以光纤为传输介质，以TCP/IP协议为基础。45-150 Mbps。50km-100km。

  12. 早期首选技术光纤环网，典型产品是 FDDI（光纤分布式数据接口） 100mbps。

接入技术

高频26 次

  1. 光纤传输系统的中继距离可达 100km 以上。
  2. Cable Modem（电缆调制解调器） 利用 频分复用（FDM） 的方法将信道分为上行信道和下行信道，把用户计算机与有线电视同轴电缆连接起来。Cable Modem 的传输速率可以达到 10～36Mbps。
  3. ADSL （Asymmetric Digital Subscriber Line，非对称数字用户线）使用一对铜双绞线，具有非对称技术特性，下行速率远高于上行速率，以适应大多数用户“下载多、上传少”的需求。上行：64640 Kbps，下行：500Kbps7Mbps。
  4. 宽带接入技术主要有：数字用户线 xDSL 技术、光纤同轴电缆混合网 HFC 技术、光纤接入技术、无线接入技术与局域网接入技术。（没有 SDH）
  5. 无线接入技术主要有：WLAN、WiMAX、WiFi、WMAN 和 Ad hoc 等。
  6. APON（宽带无源光网络，ATM+PON）、DWDM、EPON 是光纤接入技术。
  7. “三网融合”中的三网是指计算机网络、电信通信网和广播电视网。
  8. HFC 接入方式采用共享式的传输方式，HFC 网上的用户越多，每个用户实际可用的带宽就越窄（非独享）。HFC通过Cable Modem连接用户计算机和有线电视同轴电缆。
  9. 按 IEEE 802.16 标准建立的无线网络，基站之间采用全双工、宽带通信方式工作。10~66 GHz波段频率
  10. 将传输速率提高到 54Mbps 的是 802.11a 和 802.11g，802.11b 将传输速度提高到 11Mbps。
  11. 远距离（WMAN、WIMAX）无线宽带接入网采用 802.16（134mbps）标准。IEEE 802.15 标准专门从事 WPAN（无线个人局域网） 标准化工作，是适用于短程无线通信的标准。
  12. 光纤工作速率等级ITU标准：OC-1 51.84 Mbit/s OC-X 51.84×X Mbit/s

蓝牙

低频9 次

  1. 工作频段在 2.402GHz~2.480GHz 的 ISM 频段。
  2. 同步信道速率 64kbps。
  3. 跳频速率为 1600 次/秒，频点数是 79 个频点/MHz。
  4. 非对称的异步信道速率为 723.2kbps/57.6kbps，对称的异步信道速率为 433.9kbps（全双工）。
  5. 发射功率为 0dBm（1mW） 时，覆盖 1～10 米，20dBm（100mW） 时覆盖 100 米。
  6. 信道间隔为 1MHz。
  7. 标称数据速率是 1Mbps。
  8. 话音编码方式为 CVSD 或对数 PCM。

布线

必考34 次

  1. 双绞线可以避免电磁干扰。
  2. 嵌入式插座用来连接双绞线。（不是连接楼层配线架）
  3. 多介质插座用来连接铜缆和光纤，满足用户“光纤到桌面”的需求。
  4. 建筑群子系统可以是多种布线方式的任意组合。（“一般用双绞线连接”错）
  5. STP(屏蔽式) 比 UTP (非屏蔽式) 成本高、复杂，但抗干扰能力强、辐射小。
  6. 作为水平布线系统电缆时，UTP 电缆长度通常应在 90 米以内。
  7. 管理子系统设置在楼层配线间内，提供与其他子系统连接的手段。
  8. 对于高速率终端可采用光纤直接到桌面的方案。
  9. 适配器用于连接不同信号的数模转换或数据速率转换装置。
  10. 在建筑群布线子系统所采用的铺设方式中，能够对线缆保护最有利的方式是地下管道布线（管道内布线），较好的是巷道布线，最不利的是直埋布线。
  11. ISO/IEC 18011 不是综合布线系统的标准。
  12. 综合布线采用在管理子系统中更改、增加、交换、扩展线缆的方式来改变线缆路由。
  13. 干线线缆铺设经常采用点对点结合和分支结合两种方式。

服务器技术

中频11 次

  1. 热插拔功能允许用户在不切断电源的情况下更换硬盘、板卡、电源等（不能更换主板、主背板）。
  2. 集群（Cluster）技术中，如果一台主机出现故障，不会影响正常服务，但会影响系统性能。
  3. 磁盘性能表现在存储容量和 I/O 速度。
  4. 服务器总体性能取决于 CPU 数量、CPU 主频、系统内存、网络速度。（只写 CPU 数量错）
  5. RAID 技术可以提高磁盘存储容量但是不能提高容错能力。
  6. 采用 RISC 结构处理器的服务器通常使用 UNIX 系统（不是 Windows、Android）。
  7. NUMA（非一致内存访问） 技术将对称多处理器（SMP） 和 集群（Cluster） 技术结合起来。
  8. 对称多处理技术（SMP） 可以在多 CPU 结构的服务器中均衡负载。
  9. 通常用 MTBF 度量可靠性，用 MTBR 度量可维护性，系统可用性：MTBF/(MTBF+MTBR)。路由器可用性可用 MTBF 描述。

DNS 服务器

中频19 次

  1. 动态更新允许客户机在发生更改时动态更新其资源记录。
  2. DNS 服务器中的根服务器被自动加入系统中，不需管理员手工配置。
  3. 主机记录的生存时间（TTL） 指该记录被客户端查询到、放在缓存中的持续时间。
  4. DNS 服务器配置的主要参数：正向查找域、反向查找域、资源记录、转发器。
  5. 转发器是网络上的 DNS 服务器（不是路由器），用于外域名的 DNS 查询。
  6. 反向查找区域用于将 IP 地址解析为域名，可手工增加主机的指针记录。
  7. 正向查找区域用于将域名解析为 IP 地址，正向查找区域自动增加主机的指针记录。
  8. DNS 服务器的 IP 地址不是由 DHCP 动态分配，应设置为静态固定地址。
  9. DNS 服务器常用资源记录：主机地址、邮件交换器、别名（没有 FTP 服务器记录）。别名记录用于将别名映射到标准 DNS 域名。
  10. 缺省情况下，Windows 2003 系统中未安装 DNS 服务。
  11. DNS 服务器按层次分为 根 DNS 服务器、顶级域（TLD）服务器、权威 DNS 服务器。
  12. 命令：ipconfig 显示当前 TCP/IP 网络配置；netstat 显示本机与远程计算机的基于 TCP/IP 的 NetBIOS 统计及连接信息；pathping 将报文发送到所经过的所有路由器并统计；route 显示或修改本地 IP 路由表；nslookup 测试正向与反向查找区域；ping 测试正向查找区域。

WWW 服务器

高频20 次

  1. Web 站点可以配置静态和动态 IP 地址。
  2. 建立 Web 站点时必须为该站点指定一个主目录（不一定在本地服务器），也可以是虚拟的子目录。
  3. 访问 Web 站点时不一定需要设置默认文档；设置了默认页面访问时会直接打开 default.html 等。若未设置默认文档，访问站点需提供首页文件名。
  4. 访问 Web 站点可使用站点域名或 IP 地址。
  5. 性能选项包括影响带宽使用的属性、客户端 Web 连接数量（不包括超时时间）。带宽限制选项限制可用带宽；连接选项可设置客户端 Web 连接数量。
  6. 主目录选项卡可配置主目录读取/写入等权限，并设置网页文件路径。
  7. 目录安全选项卡可配置身份验证和访问控制、IP 地址和域名限制、安全通信（不可配置主目录访问权限）。
  8. 网站选项包括网站标识、连接限制、连接超时时间、日志记录及格式；网站连接超时指 HTTP 连接保持时间。带宽选项能限制可用带宽。
  9. 作为网络标识的有 IP 地址、非 TCP 端口号、主机头、网站描述（没有主目录）。
  10. Windows 2003 添加操作系统组件 IIS 即可实现 Web 服务，建立 Web 站点前必须安装。
  11. Web 站点可以动态获取 IP 地址；一台服务器上可构建多个网站。
  12. 缺省情况下 Windows 2003 系统没有安装 DNS 服务。

FTP 服务器

高频25 次

  1. 初始状态下没有设置管理员密码，可直接进入 Serv-U 管理程序。
  2. FTP 服务器缺省（默认）端口号为 21，也可选择其他端口号。
  3. FTP 服务器可以使用动态 IP 地址，服务器 IP 地址可配置为空（代表全部 IP 地址，空不是 0.0.0.0）。
  4. 服务器可构建多个由 IP 地址和端口号识别的虚拟服务器（域），不是只依靠 IP 地址。
  5. 添加 “anonymous” 系统自动判定为匿名用户（不是创建新域时自动添加）。
  6. 服务器最大用户数指服务器允许同时在线的最大用户数量。
  7. 用户上传下载选项要求 FTP 客户端下载信息的同时也要上传文件（不是配置上传下载速率）。
  8. 服务器选项不提供 “IP 访问选项”；用户常规选项不包含 “用户主目录”。
  9. 配置域存储位置时，小的域用 INI 文件存储，大的域用注册表存储。
  10. 配置服务器域名时，可使用域名或其他描述（不必是合格域名）。
  11. 需要管理员权限才能在 Serv-U FTP 服务器中注册用户（用户不可自行注册）。
  12. 域创建完成后需添加用户才能访问；用户包括匿名和命名用户。匿名用户名必须为 “anonymous”，且不会要求输入密码。
  13. Serv-U 中限制用户名上传信息占用存储空间的选项是用户配额。
  14. 服务器可构建多个由 IP 地址和端口号识别的虚拟服务器。
  15. 服务器最大上传或下载速度指整个服务器占用的带宽。
  16. 选择拦截 FTP BOUNCE 和 FXP 后，不允许在两个 FTP 服务器间传输文件。
  17. 对用户数大于 500 的域，存放在注册表中可提供更高性能。
  18. 访问 FTP 服务器除了专用客户端（如 CuteFTP），还可用浏览器。
  19. 检查匿名用户密码选项指匿名用户登录需用电子邮件地址作为密码。

邮件（Winmail 邮件服务器）

必考30 次

  1. Winmail 邮件服务器支持基于 Web 方式的访问和管理，安装前需先装 IIS。
  2. Winmail 允许用户自行注册新邮箱（输入邮箱名、密码等），域名固定不可自行设置；Winmail 用户不可以使用 Outlook 自行注册。
  3. 在 Winmail 快速设置向导中创建新用户时，输入用户名、域名及用户密码（不是系统邮箱密码、管理员密码），可选择是否允许客户注册新邮箱。
  4. 建立邮件路由时，需在 DNS 服务器中建立该邮件服务器主机记录和邮件交换器记录（缺一不可）。
  5. 发送邮件用 SMTP，接收/读取邮件用 POP3 或 IMAP；浏览器查看邮件会用 HTTP；CMIP 不属于电子邮件协议。
  6. 邮件交换器记录只能在服务器上配置，不能通过浏览器配置。
  7. 管理工具包括系统设置、域名设置、用户和组设置、系统状态和系统日志等（不包含邮件管理）。
  8. 在 域名设置中可增加/删除域，用于构建虚拟邮件服务器；域名设置可设置是否允许自行注册新用户。
  9. 系统设置包括 SMTP 设置、邮件过滤、更改管理员密码（没有域名设置）。
  10. 使用 Outlook 等客户端软件只能访问 Winmail 邮件服务器，不能管理 Winmail 邮件服务器。

STP生成树协议

中频15 次

  1. IEEE 制定的最早 STP 标准是 IEEE 802.1D。IEEE 802.1d 是当前流行的 STP 标准，透明网桥标准 STP 定义在 IEEE 802.1d 标准中。
  2. 交换机之间传递 BPDU，有两种类型：配置 BPDU（不超过/小于 35 字节）和拓扑变化通知 BPDU（不超过/小于 4 字节）。
  3. STP 默认每 2 秒发送一次 BPDU，拓扑变化时也发送新的 BPDU。
  4. 阻塞端口仍是激活端口，但只能接收 BPDU。
  5. 生成树协议是二层链路管理协议。
  6. STP 运行在交换机和网桥设备上（不是路由器），通过计算建立稳定的树状结构网络。
  7. Bridge ID 用 8 个字节表示，由 2 字节优先级值和 6 字节交换机 MAC 地址组成。优先级增值量 4096，范围 0-61440，默认 32768。
  8. Bridge ID 值最小的成为根网桥/根交换机。

IEEE

必考31 次

  1. IEEE 802.11 的三个物理层定义包括两个扩频技术（FHSS、DSSS）和一个红外传播规范。
  2. 802.11 无线传输频道定义在 2.4GHz ISM 频段，传输速率 1Mbps 和 2Mbps。
  3. IEEE 802.11 在 MAC 子层引入 RTS/CTS 选项。
  4. 802.11 定义两种设备：无线结点和无线接入点。
  5. 无线接入点 AP 作用是提供无线与有线网络之间的桥接。
  6. IEEE 802.11 运作模式分为点对点模式和基本模式。
  7. 点对点模式指无线网卡之间通信方式，最多允许 256 台 PC 连接。
  8. 基本模式指无线网络扩展或无线/有线并存时的通信方式，接入点负责频段管理及漫游等工作，一个接入点最多连接 1024 台 PC。
  9. 802.11b 最大容量 33Mbps，传输速率 11Mbps；802.11a 和 802.11g 传输速率 54Mbps。
  10. IEEE 802.11b 使用开放的 2.4GHz 频段，无需申请即可使用。
  11. IEEE 802.1d 是当前最流行的 STP 标准。
  12. 802.11 标准重点在局域网范围的移动结点通信；802.16 标准重点在建筑物之间数据通信；802.16a 增加非视距和无线网格网支持，用于固定结点接入。
  13. IEEE 802.11 运行在 2.4GHz ISM，最大速率 1~2Mbps。
  14. IEEE 802.11b 运行在 2.4GHz ISM，最大速率 11Mbps，最大容量 33Mbps。
  15. IEEE 802.11a 运行在 5GHz UNII，最大速率 54Mbps，最大容量 432Mbps。
  16. IEEE 802.11g 运行在 2.4GHz ISM，最大速率 54Mbps，实际吞吐量 28~31Mbps，最大容量 162Mbps。

VLAN 标识的描述

中频15 次

  1. VLAN 工作在 OSI 第二层（数据链路层），不是网络层；VLAN 之间通信必须通过路由器。
  2. VLAN 以交换式网络为基础。
  3. 建立不给定名字的 VLAN，系统自动按缺省 VLAN 名（VLAN00xxx）建立，xxx 是 VLAN ID。
  4. IEEE 802.1Q 标准规定用于标识 VLAN 的 VLAN ID 用 12 bit 表示。
  5. 每个 VLAN 都是一个独立的逻辑网络、单一广播域。
  6. 按每个连接到交换机设备的 MAC 地址定义 VLAN 成员是动态 VLAN。
  7. VLAN 的划分不受用户物理位置和物理网段限制，也不受交换机区段限制。
  8. VLAN ID 标准范围 1~1005，扩展范围 1025~4096。
  9. 标准范围内可用于 Ethernet 的 VLAN ID 为 2~1000。
  10. VLAN 使用一个 VLAN 名（VLAN name） 和 VLAN 号（VLAN ID） 标识。VLAN 名用 1~32 个字符表示，可为字母和数字。
  11. ID 为 1 的 VLAN 是系统默认 VLAN，通常用于设备管理，不能删除（无法执行 no vlan 1）。2~1000 用于 Ethernet VLANs，1002~1005 预留给 FDDI 和 Token Ring VLANs，1025~4094 为扩展 VLAN ID，其他为保留。

DHCP 服务器

中频22 次

（1）作用域

  1. 作用域是用于网络的可能 IP 地址的完整连续范围，并不负责 IP 地址分配。定义了作用域并应用排除范围之后，必须激活才可为客户机分配地址，剩余的地址在作用域内形成可用的地址池。
  2. DHCP 服务器可为多个网段分配 IP 地址；如果有多个网段 IP 地址，则需要配置多个作用域、地址池。
  3. 在 DHCP 服务器中新建作用域时，在租约期限中不可调整的时间单位是周。
  4. 作用域配置信息有作用域 IP 地址范围、作用域名称、保留、排除。（无 DHCP 服务器地址）
  5. 新建作用域时，必须输入的信息是起始 IP 地址和结束 IP 地址。

（2）排除
6. 排除是 DHCP 服务器不分配的 IP 地址。
7. 排除范围是作用域内从 DHCP 服务中排除的有限 IP 地址序列。添加排除的 IP 地址范围，只需输入起始 IP 地址和结束 IP 地址；如果想排除一个单独的 IP 地址，只需要输入起始 IP 地址即可（结束 IP 地址省略）。添加排除时不需要获取客户机的 MAC 地址信息。（添加保留时需要）

（3）租约
8. 租约是客户机可使用指派的 IP 地址期间 DHCP 服务器指定的时间长度。（不能控制用户上网时间）租约期限决定租约何时期满，以及客户端需要向服务器对它进行更新的频率。

（4）保留
9. 使用保留创建通过 DHCP 服务器的永久地址租约指派，客户端可以释放该租约。保留地址可以使用作用域地址范围中的任何 IP 地址（包括被排出的 IP 地址序列）。保留确保了子网上指定的硬件设备始终可使用相同的 IP 地址。
10. 新建保留时，需输入保留名称、IP 地址、MAC 地址、描述和支持类型等项目。（无子网掩码）

（5）续约
11. 续约：默认的地址租约期限为 8 天，租约到期前客户端需要续订，续订由客户端软件自动完成。地址租约期限的最小可调整单位是分钟。
12. 客户机与 DHCP 服务器在同一网段时，采用收到 DHCP 发现消息的子网所处的网段分配 IP 地址。不在同一网段时，选择转发 DHCP 发现消息的中继所在的子网网段（需修改该消息中的相关字段）。收到非中继转发的 DHCP 发现消息时，会选择收到该消息的子网所处的网段分配 IP 地址。（不是任选）

网络总体设计

交换机计算


不是1024！因为这里指的是速率而非容量。

NET地址转换

IPv6地址整容


路由地址聚合


路由汇聚大题


-2减去的是全零和全一（这俩不能用）。
672

RIP表格


综合布线系统




交换机表




三种交换模式




网络故障查找




综合题

一、填表题

二、特殊题型

VLAN配置




2.

配置ip route


校园网


不加单位！





1.





三、DHCP分析题




这个转换后去标点。





四、Sniffer或Wireshark题

Sniffer抓包分析


主机上的网关：找断层后的第一个ip

完成是7

设备与子网划分



tracert 探测数据包传输路径


Wireshark抓包分析




三选一。

应用题

一、填表部分

方法

应用

二、划分子网部分

方法

应用

三、其他部分

方法

应用

真题练习


2.

3.

4.
5.

]]> https://fightergodnemo.github.io/2026/03/25/%E5%8D%9A%E8%A7%88%E7%9F%A5%E8%AF%86/NCRE%E4%B8%89%E7%BA%A7%E7%BD%91%E7%BB%9C%E6%8A%80%E6%9C%AF%E5%AD%A6%E4%B9%A0%E7%AC%94%E8%AE%B0/ 2026-03-25T04:52:49.113Z 题型

Web 1



Ctrl+U 查看源代码

base64解码

Web 2

]]> https://fightergodnemo.github.io/2026/03/19/Capture_The_Flag_%E5%A4%BA%E6%97%97%E8%B5%9B/%E5%A4%BA%E6%97%97%E8%B5%9BWrite-up/CTFshow/Web/ 2026-03-19T07:15:07.404Z Web 1

Pwn 1

359
nc连接即可。

pwn 2

379
checksec一下，发现：

Arch:i386-32-little

说明程序的架构是 32 位的小端 架构。小端是指数据的低位字节存储在内存的低地址处

RELRO:Partial RELRO

RELRO（Relocation Read-Only）是一种保护机制，用于防止 延迟绑定攻击。
Partial RELRO 表示只有部分重定位表（如 .got 段）被设置为只读，而 .got.plt 段仍可写。这意味着攻击者仍有一定机会利用重定位相关的漏洞，但防护比 No RELRO 强。

Stack

  • 表示程序 没有开启栈金丝雀（Stack Canary）保护。栈金丝雀是一种用于检测栈溢出的机制，在函数调用时会在栈上特定位置放置一个随机值（“金丝雀”），函数返回前检查该值是否被篡改。没有此保护的话，攻击者可以更轻易地进行栈溢出攻击，覆盖返回地址等关键数据。

NX

  • NX（No-eXecute，不可执行）保护已开启。这意味着内存的某些区域（通常是栈、堆等数据区域）被标记为不可执行，即使攻击者向这些区域注入了可执行代码，程序也无法执行这些代码。这限制了诸如注入 shellcode 这类攻击方式，但可以通过 ret2text（返回程序自身代码段中的有用指令）等方式绕过。

PIE

  • PIE（Position-Independent Executable，地址无关可执行文件）未开启。程序加载时的基地址是固定的。这对漏洞利用很有利，因为程序中函数、字符串等的地址是固定的，攻击者可以直接使用这些固定地址来构造攻击载荷，而无需动态计算地址偏移。

Stripped:No

表示程序 没有被剥离（Stripped）符号表。符号表中包含了函数名、变量名等调试信息。没有被剥离符号表的话，攻击者可以很方便地通过工具（如 objdump、gdb 等）查看程序中的函数、变量等信息，有助于分析程序结构和寻找漏洞利用点。

Pwn 35

主机cmder看：

或者把pwn文件拖进虚拟机加上可执行权限，使用checksec命令查看文件的信息。

1.cd “/home/nemo/桌面/CTFshow Pwn”

2.chmod +x pwn35

3.ls (即 list directory contents，列出目前工作目录所含的文件及子目录)

  1. pwn checksec pwn35

发现是32位的，并且RELRO 与 NX保护开启。

放入ida-32位

ssh ctfshow@pwn.challenge.ctf.show -p28217

]]> https://fightergodnemo.github.io/2026/03/19/Capture_The_Flag_%E5%A4%BA%E6%97%97%E8%B5%9B/%E5%A4%BA%E6%97%97%E8%B5%9BWrite-up/CTFshow/Pwn/ 2026-03-19T07:06:50.078Z Pwn 1

1.linux-basic-command

流量/日志分析

获取2015年访问请求 排名前五的ip地址 格式：flag{ip1,ip2,ip3,ip4,ip5}

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94/ 2026-03-15T05:28:28.000Z 1.linux-basic-command 应急响应 2026-03-21T02:04:00.000Z 琉璃幻彩 弘连工具

链接: https://pan.baidu.com/s/1ZdYm74LqqLKtxEV_8BrXWg 提取码: bpjm

–来自百度网盘超级会员v4的分享

（一）工具链接：https://pan.baidu.com/s/1uNe-HxdRG_bKByYDJlX41g，提取码：0714；

（二）公开赛事检材：https://kdocs.cn/l/ceK160ZwKrAe；

（三）Forensics-Wiki取证工具包链接：https://pan.baidu.com/s/18kHMsXfeL9VitXr2yRBMBw?pwd=wiki。

工具分类解析

一、 磁盘镜像与证据管理

这类工具用于获取、挂载和管理原始证据。

工具名称主要用途
Arsenal Image Mounter将磁盘镜像文件（如.E01, .dd）挂载为Windows虚拟磁盘，便于只读访问。
UFS Explorer Professional Recovery功能强大的数据恢复和镜像挂载工具，支持复杂RAID重组。
Mount Image Pro另一款专业的镜像文件挂载工具。
流火镜像大师国产的镜像挂载与仿真工具。
X-Ways Forensics顶级的综合磁盘取证平台，以速度快、资源占用低著称。

二、 移动设备取证

专门用于从手机等移动设备中提取和分析数据。

工具名称主要用途
UFED (Cellebrite)全球顶尖的手机物理取证工具，能破解锁屏、深度提取数据。
iBackup Viewer Pro专门用于解析和查看苹果iTunes备份文件的内容。
forensic_for_phonebak_0224likely 某专用于手机备份取证的脚本或工具。
Honglian (弘连)国产的综合取证分析平台，功能类似火眼。

三、 密码恢复与破解

用于破解加密文件、系统密码或网络服务。

工具名称主要用途
HYDRA网络服务在线密码爆破工具（如SSH, FTP, HTTP登录）。
Kon-Boot绕过Windows/macOS系统登录密码，无需修改密码即可进入系统。
foxmail密码查看恢复或查看Foxmail邮件客户端中保存的账户密码。
RDS_2024likely 是 R-Studio
网络版，强大的数据恢复工具，也用于破解简单密码。

四、 文件与数据恢复

用于恢复被删除的文件或修复损坏的文件。

工具名称主要用途
Exce’recovery3 / 乱码修复专门用于修复损坏的Microsoft Excel文件。
Fatbeanslikely 是 FinalData
，经典的数据恢复软件。
相机DAT视频文件数据恢复专门恢复特定格式（如监控摄像头）的视频文件。
恢复大师永恒之蓝专修版针对特定病毒（如永恒之蓝勒索病毒）的文件修复工具。

五、 数据库与文件分析

用于深入分析特定类型的文件。

工具名称主要用途
SQLite Expert Professional专门用于查看、编辑和分析SQLite数据库文件（常见于手机App）。
Navicat Premium强大的数据库管理工具，支持多种数据库（MySQL, SQLite等）。
NTFS Log Tracker分析NTFS文件系统的日志（$LogFile），追踪文件操作历史。
FileLocator Pro强大的文件内容搜索工具，可快速在全盘搜索关键词。

六、 网络与流量分析

用于分析网络行为和通信内容。

工具名称主要用途
fiddler-everywhereWeb调试代理工具，捕获和分析HTTP/HTTPS流量。
CTF-NetA-V2.6.4likely 是一个网络分析或流量包解析的CTF专用工具。
pa_script-masterlikely 是用于网络取证或分析的Python脚本集合。

七、 逆向工程与专项工具

用于分析程序、破解或进行专项检查。

工具名称主要用途
CFF Explorer强大的PE文件（Windows可执行文件）编辑器，用于逆向分析。
010 Editor二进制文件编辑器，通过模板解析文件结构。
HV与vmware冲突脚本解决Hyper-V和VMware虚拟机软件冲突的脚本。
本地沙箱用于在隔离环境中安全地运行和分析可疑程序。
取证工具包一个集成了多种常用取证小工具的便携包。

八、 系统与辅助工具

提供系统维护和辅助功能。

工具名称主要用途
Virtual Forensic Computing证据仿真工具，可直接启动嫌疑人的磁盘镜像。
雷电模拟器安卓模拟器，用于运行和测试安卓应用。
图吧工具箱 / 吾爱专用工具箱集成了大量硬件检测、系统维护和实用小工具的合集。
qBittorrentBT种子下载工具，用于分享或获取大型文件（如工具、镜像）。
sd-webui-akiStable Diffusion WebUI 的整合包，用于AI绘图，可能与生成验证码等有关。

九、 AI智能分析

工具名称主要用途
苍穹AI模型用于智能语义分析、数据关联和行为画像的AI引擎。

总结与应用场景

这个工具集覆盖了从数据提取、数据恢复、密码破解、日志分析、网络取证到AI智能关联的完整取证链条。

结合你之前的题目，这个工具集能让你：

  1. 用 Arsenal/X-Ways 加载磁盘镜像。
  2. 用 UFED/iBackup 提取手机数据。
  3. 用 SQLite Expert/Navicat 分析App数据库。
  4. 用 HYDRA/Kon-Boot 破解加密保护。
  5. 用 FileLocator 进行全局关键词搜索。
  6. 用 苍穹AI 进行智能行为分析。
  7. 用 Virtual Forensic Computing 仿真运行证据系统。

这完全是一个专业数字 forensic 实验室的装备水平。

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/ 2026-03-15T05:28:28.000Z 弘连工具

链接: https://pan.baidu.com/s/1ZdYm74LqqLKtxEV_8BrXWg 提取码: bpjm <]]>

Forensic解题妙具 2026-03-19T06:47:00.000Z 琉璃幻彩 在雷电模拟器中使用MT管理器对APK数据进行替换并仿真原应用的使用，需结合ADB工具、文件管理及模块化操作。以下是具体步骤：

一、环境准备

  1. 开启雷电模拟器调试模式
    • 进入模拟器设置 → 高级设置 → 启用“开启调试模式”。
    • 通过ADB连接模拟器：
1
2
3
4
5
6
7
Bash

编辑


1adb connect 127.0.0.1:5555  # 默认端口5555，多开实例端口为5555+index*2（如第二实例为5557）
2adb devices  # 确认设备连接
  1. 安装必要工具
    • MT管理器：从官网下载安装，用于文件管理及反编译。
    • Magisk（可选）：用于模块化替换（如需系统级修改）。

二、APK数据替换流程

1. 替换APK文件（基础方法）

  • 步骤：
    1. 将目标APK拖入雷电模拟器的“共享文件夹”（模拟器右侧栏→更多→共享文件夹）。
    2. 打开MT管理器，进入共享文件夹，长按APK选择“安装”。
    3. 若需修改APK内容：
      • 反编译APK：在MT中长按APK→“功能”→“APK反编译”。
      • 编辑资源文件（如assets、res目录）或代码（smali文件）。
      • 保存并自动签名，重新安装。

2. 替换应用数据（高级仿真）

  • 场景：需修改游戏资源（如《FGO》立绘）或应用配置。
  • 步骤：
    1. 定位应用数据目录：
      • 路径格式：/data/data/<包名>/（如/data/data/com.bilibili.fatego/）。
      • 在MT管理器中启用“Root浏览”模式，手动导航至该路径。
    2. 替换资源文件：
      • 下载替换文件（如.chara立绘文件、TargetListEmulator.json）。
      • 复制到共享文件夹，通过MT粘贴至应用数据目录（如/data/data/com.bilibili.fatego/files/Mod/）。
    3. 权限修复：
1
2
3
4
5
6
7
Bash

编辑


1adb shell chmod 660 /data/data/com.pkg/files/Mod/*  # 修复文件权限
2adb shell chown u0_a89:u0_a89 /data/data/com.pkg/files/Mod/  # 修复属主

三、仿真原应用的关键操作

  1. 签名一致性
    • 若APK被加固（如360加固），需先脱壳再反编译：
      • 删除META-INF目录下的原始签名文件（CERT.RSA等）。
      • 使用jarsigner重新签名：
1
2
3
4
5
6
Bash

编辑


1jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore yourKeystore.keystore app.apk yourKeyName
  1. 模块化扩展（可选）
    • 安装Zygisk模块（如zygisk_Plugin_FGOAssetReplace.zip）实现资源动态替换：
      • Magisk模块→从本地安装→选择模块ZIP。
      • 重启模拟器生效。

四、注意事项

  1. 操作安全
    • 修改前备份原文件（如adb pull /data/data/com.pkg/ ./backup/）。
    • 确保应用关闭后再替换数据，避免数据库损坏。
  2. 兼容性
    • 雷电模拟器v9/v10需检查共享文件夹路径（mnt/shared）。
    • 多实例需匹配端口（如adb -s 127.0.0.1:5557）。

五、常见问题

  • 提示“more than one device”：指定端口执行命令：
1
2
3
4
5
6
Bash

编辑


1.\adb -s 127.0.0.1:5555 install -r --abi arm64-v8a D:\FateGO.apk
  • 文件访问被拒：在MT中启用“Root浏览”并检查模拟器是否开启Root权限。

通过以上步骤，可实现APK数据的精准替换与仿真运行。若涉及复杂逆向（如反编译Smali代码），建议结合MT管理器的“Dex编辑器”功能直接修改字节码。

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/MT%E7%AE%A1%E7%90%86%E5%99%A8%E6%9B%BF%E6%8D%A2APK%E6%95%B0%E6%8D%AE/ 2026-03-15T05:28:28.000Z 在雷电模拟器中使用MT管理器对APK数据进行替换并仿真原应用的使用，需结合ADB工具、文件管理及模块化操作。以下是具体步骤：

一、基础使用步骤

  1. 启动工具
    打开 Dcode 应用程序，主界面会显示多种时间戳格式选项（如 Unix 时间戳、Windows 文件时间、OLE 自动化时间等）。
  2. 输入时间戳
    在输入框中粘贴或手动输入需要转换的时间戳值（支持数字、十六进制等格式）。
  3. 选择格式与时区
    • 格式识别：根据时间戳来源选择对应格式（例如：
      • Unix 时间戳（如 1721232000）
      • Windows 文件时间（如 01d98acaa7aa2a55）
      • OLE 自动化时间（如 25569.5））。
    • 时区设置：点击“时区”选项，选择目标时区（如 Asia/Shanghai），工具会自动将 UTC 时间转换为本地时间。
  4. 执行转换
    点击 “Decode” 按钮，工具会立即显示转换结果，包括标准日期时间、星期几及时间戳类型说明。

⚙️ 二、高级功能应用

  1. 十六进制大端格式转换
    • 针对 Windows 注册表中的 hex(b) 格式（如 hex(b):55,2a,aa,a7,ca,8a,d9,01）：
      • 手动删除非数字字符并反转字节顺序，得到 01d98acaa7aa2a55 ；
      • 在 Dcode 中选择 “Windows 文件时间” 格式，输入该值并转换。
  2. 批量处理
    支持一次性粘贴多行时间戳（每行一个值），工具会逐行解析并输出结果列表。
  3. 时间戳生成
    输入标准日期时间（如 2025-11-22 08:00:00），选择目标格式（如 Unix 时间戳），可反向生成对应时间戳。

🛠️ 三、典型场景示例

  1. Windows 注册表分析
    • 提取 RegDiagTrack.txt 中的 LastSuccessfulUploadTime 值（如 hex(b):7a,96,6c,2b,cb,8a,d9,01） ；
    • 转换为 01d98acb2b6c967a 后，选择 “Windows 文件时间” 格式，得到 2025-11-22 07:38:17 UTC（即当前时间）。
  2. 安卓取证
    • 从 SQLite 数据库导出的时间戳 1284138059052（毫秒级 Unix 时间戳）；
    • 在 Dcode 中选择 “Unix 时间戳”，输入值后自动转换为 2025-11-22 07:38:17 UTC。

💡 四、注意事项

  1. 格式匹配
    若转换结果异常，需检查时间戳格式是否选择正确（例如将十六进制误选为 Unix 时间戳）。
  2. 时区影响
    所有时间戳默认按 UTC 解析，需手动设置时区以获得本地时间（如北京时间需选 UTC+8）。
]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/Dcode%E6%97%B6%E9%97%B4%E6%88%B3%E8%BD%AC%E6%8D%A2/ 2026-03-15T05:28:28.000Z 一、基础使用步骤
  1. 启动工具
    打开 Dcode 应用程序，主]]>
Dcode时间戳转换 2026-03-19T06:43:41.344Z 琉璃幻彩 好的，hashcat 是世界上最强大、最流行的密码恢复工具，被誉为 “密码破解界的王者”。它支持GPU加速，能极大地提升破解速度。

它的核心工作流程是：你给它一个密码的哈希值，它帮你猜出原始的明文密码。

下面是一个从入门到实战的完整使用指南。

一、 核心概念与准备

1. 什么是哈希？

哈希是一种单向加密算法，能把任意长度的数据（如密码）变成固定长度的字符串（哈希值）。

  • 例如，password 的 MD5 哈希值是 5f4dcc3b5aa765d61d8327deb882cf99
  • hashcat的任务：通过计算，反向找出 5f4dcc3b5aa765d61d8327deb882cf99 原来就是 password。

2. 安装与基本命令

Hashcat 是一个命令行工具。在Windows下，你打开其所在文件夹，在地址栏输入 cmd 然后回车，即可在当前目录打开命令提示符。

基本命令格式如下：

bash

hashcat -m <哈希类型> -a <攻击模式> <哈希值或哈希文件> <字典或掩码>

二、 实战破解流程

步骤1：识别哈希类型

这是最关键的第一步。你必须告诉 hashcat 你正在破解的是什么哈希。

  • 方法：使用 hashcat --help 查看所有支持的哈希类型及其对应的 -m 代码。
  • 常见类型：
    • -m 0: MD5
    • -m 1000: NTLM (Windows 系统密码)
    • -m 1800: sha512crypt ($6$, Linux 影子文件)

示例：如果你从Windows系统中提取出了哈希 aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0，你需要使用 -m 1000 (NTLM)。

步骤2：选择攻击模式 (**-a**)

hashcat 有多种“猜密码”的策略：

攻击模式命令参数说明适用场景
字典攻击-a 0使用一个密码字典文件，逐个尝试。最常用，用现成的密码库去撞。
组合攻击-a 1将两个字典中的词组合起来（如 admin123
）。		知道密码可能由两部分组成时。
掩码攻击-a 3按照你设定的规则（如 Abc!123
）来猜。		知道密码的大致格式（如8位，以大写字母开头）。
混合攻击-a 6
/ -a 7		字典 + 掩码（如 password2024
）。		非常强大，结合了字典和规则。

对于初学者，从字典攻击 (**-a 0**) 开始。

步骤3：准备你的“武器”

哈希值文件** ****hashes.txt**：
创建一个文本文件（如 hashes.txt），将你要破解的哈希值放进去，每行一个。

  1. text
1
2
5f4dcc3b5aa765d61d8327deb882cf99
e10adc3949ba59abbe56e057f20f883e

密码字典** ****wordlist.txt**：
这是一个包含成千上万常用密码的文本文件。你可以在网上下载著名的字典，如 **rockyou.txt**、**weakpass_2a** 等。自己创建一个简单的字典文件内容如下：

  1. text
1
2
3
4
5
123456
password
admin
qwerty
letmein

步骤4：开始破解！

假设你已准备好：

  • 哈希文件：hashes.txt
  • 字典文件：rockyou.txt
  • 哈希类型：MD5 (-m 0)
  • 攻击模式：字典攻击 (-a 0)

在cmd中执行命令：

bash

hashcat -m 0 -a 0 hashes.txt rockyou.txt

  • -m 0： 指定哈希类型为 MD5。
  • -a 0： 指定攻击模式为字典攻击。
  • hashes.txt： 包含目标哈希值的文件。
  • rockyou.txt： 你的密码字典文件。

按下回车后，hashcat 会开始疯狂工作，屏幕上会显示当前的破解状态、速度和解密的密码。

三、 高级技巧与常用参数

为了让破解更高效，你可以添加一些参数：

参数作用示例
--force忽略一些警告（如驱动问题）。hashcat -m 0 ... --force
-O优化，启用优化内核，提升速度。hashcat -m 0 -O ...
-w 3设置工作负载，3
是“重度”，让GPU满负荷运行。		hashcat -m 0 -w 3 ...
--show破解完成后，用此命令查看结果。hashcat --show hashes.txt
-o将破解出的密码保存到指定文件。hashcat ... -o cracked_passwords.txt

一个完整的、高效的命令示例：

bash

hashcat -m 1000 -a 0 -O -w 3 hashes.txt rockyou.txt -o cracked_passwords.txt

四、 总结：hashcat 核心工作流

  1. 识别哈希：确定哈希类型，找到对应的 -m 值。
  2. 准备文件：创建包含目标哈希的 hashes.txt 文件，准备强大的密码字典。
  3. 选择模式：根据情况选择攻击模式（首选 -a 0 字典攻击）。
  4. 执行命令：在命令行中输入完整的 hashcat 命令。
  5. 查看结果：使用 --show 参数或查看输出文件获取破解出的密码。在 Ubuntu 中使用 Hashcat 破解加盐哈希是标准操作，但比破解普通哈希要多一些注意事项。下面我为你提供完整的流程和指导。

加盐哈希破解的核心概念

加盐 就是在密码哈希之前，在密码前面或后面添加一个随机字符串（盐值）。

  • 目的：防止彩虹表攻击，确保即使两个用户密码相同，其哈希值也不同。
  • 格式：通常存储为 $hash$salt 或 salt$hash 等形式。

步骤 1：识别哈希类型

这是最关键的一步！你需要知道：

  1. 哈希算法（如 MD5, SHA1, SHA256, SHA512 等）
  2. 盐值的位置和格式
  3. 对应的 Hashcat 模式代码

常见加盐哈希格式示例：

哈希格式示例Hashcat 模式代码
MD5($pass.$salt)5f4dcc3b5aa765d61d8327deb882cf99:123410
MD5($salt.$pass)12345f4dcc3b5aa765d61d8327deb882cf9920
SHA1($pass.$salt)5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8:admin110
SHA1($salt.$pass)admin5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8120
SHA256($pass.$salt)5e884898da28047151d0e56f8dc629...:salt1231410
SHA256($salt.$pass)salt1235e884898da28047151d0e56f8dc629...1420
Linux shadow ($id$salt$hash
)		$6$salt$hash1800
(SHA512)

步骤 2：准备 Hashcat 和文件

安装 Hashcat

bash

1
2
sudo apt update
sudo apt install hashcat hashcat-utils

准备你的文件

创建哈希文件 (hashes_with_salt.txt)：
每行一个哈希，格式为 hash:salt 或根据具体格式要求

  1. text
1
2
5f4dcc3b5aa765d61d8327deb882cf99:1234
5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8:admin

准备密码字典 (wordlist.txt)：

  1. bash
1
2
3
4
# 可以使用系统字典或自己创建
cat /usr/share/wordlists/rockyou.txt > wordlist.txt
# 或者创建自定义字典
echo -e "password\n123456\nadmin\nletmein" > wordlist.txt

步骤 3：运行 Hashcat 破解

基本命令语法：

bash

hashcat -m <模式代码> -a <攻击模式> <哈希文件> <字典或掩码>

实战示例：

示例 1：破解 MD5($pass.$salt) - 模式 10

bash

1
2
3
4
5
# 使用字典攻击
hashcat -m 10 -a 0 hashes_with_salt.txt wordlist.txt

# 使用掩码攻击（假设知道密码是6位数字）
hashcat -m 10 -a 3 hashes_with_salt.txt ?d?d?d?d?d?d

示例 2：破解 SHA1($salt.$pass) - 模式 120

bash

hashcat -m 120 -a 0 hashes_with_salt.txt wordlist.txt

示例 3：破解 Linux Shadow 密码（/etc/shadow） - 模式 1800

bash

1
2
# 提取shadow文件中的哈希行，如：$6$salt$hash
hashcat -m 1800 -a 0 shadow_hashes.txt wordlist.txt

步骤 4：高级技巧和优化

1. 使用规则增强字典攻击

bash

hashcat -m 10 -a 0 hashes_with_salt.txt wordlist.txt -r /usr/share/hashcat/rules/best64.rule

2. 组合攻击（字典+掩码）

bash

1
2
# 在字典中每个密码后面添加2位数字
hashcat -m 10 -a 1 hashes_with_salt.txt wordlist.txt ?d?d

3. 使用 GPU 优化

bash

1
2
3
4
5
# 强制使用GPU（通常默认启用）
hashcat -m 10 -a 0 -D 2 hashes_with_salt.txt wordlist.txt

# 查看GPU状态
hashcat -I

4. 恢复会话和显示结果

bash

1
2
3
4
5
# 如果中断，可以恢复会话
hashcat --session mysession --restore

# 显示破解结果
hashcat -m 10 --show hashes_with_salt.txt

完整实战演示

假设我们有文件 my_hashes.txt：

text

1
2
5f4dcc3b5aa765d61d8327deb882cf99:1234
5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8:admin

步骤：

  1. 识别哈希：第一个是 MD5($pass.$salt)，第二个是 SHA1($pass.$salt)

准备字典：

  1. bashecho -e “password\nadmin\n123456\nletmein” > my_wordlist.txt

运行破解：

  1. bash
1
2
3
4
5
6
7
8
9
# 先破解MD5
hashcat -m 10 -a 0 my_hashes.txt my_wordlist.txt

# 显示结果
hashcat -m 10 --show my_hashes.txt

# 然后破解SHA1  
hashcat -m 110 -a 0 my_hashes.txt my_wordlist.txt
hashcat -m 110 --show my_hashes.txt

D:

cd D:\CaptureTheFlag\CTFTool\hashcat-7.1.2

hashcat -m 0 -a 0 C:\Users\glj07\Desktop\hash.txt D:\Forensic\ForensicTool\Decrypt\rockyou\rockyou.txt -d 1 -O

1
hashcat -m 0 --show C:\Users\glj07\Desktop\hash.txt

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/Hashcat/ 2026-03-15T05:28:28.000Z 好的，hashcat 是世界上最强大、最流行的密码恢复工具，被誉为 “密码破解界的王者”。它支持GPU加速，能极大地提升破解速度。

它的核心工作流程是：你给它一个密码的哈希值，它帮你猜]]>

Hashcat 2026-03-19T06:43:41.344Z 琉璃幻彩 

- **qwen2.5:3b**（通义千问3B版本）    * **优势**：模型较小，推理速度快，内存占用低。对中文支持非常好（由阿里开发），适合处理中文任务。对于一般的问答、文本分析等任务，如果对质量要求不是极高，这个模型可以快速给出结果。    * **劣势**：由于参数较少，在复杂推理、逻辑性要求高的任务上可能表现不如更大模型。- **deepseek-r1:14b**（深度求索14B版本）    * **优势**：参数规模较大，具有更强的理解和推理能力，尤其在数学、代码、逻辑推理等方面表现突出。对中英文支持都很好。    * **劣势**：需要更多的内存和显存，推理速度较慢。- **gemma3:12b**（谷歌Gemma 12B版本）    * **优势**：由谷歌开发，基于Gemini技术，在英文任务上表现优秀，同时也在多语言任务上有不错的表现。在代码生成、数学推理和常识推理方面有较好的能力。

实战选择指南：什么情况用什么模型

1. 选择 【qwen2.5:3b】的情况 - “快速响应与日常任务”

使用时机：

  • 初步证据筛查：需要快速扫描大量文本，找出初步线索。
  • 实时交互对话：当你需要与AI进行多轮、快速的问答时。
  • 资源紧张时：同时运行多个大型程序，电脑内存/显存压力大。
  • 处理简单查询：如格式转换、基础信息提取、简单摘要。

举例：

“从这段聊天记录里快速找出所有提到‘转账’的句子。”
“把这份日志里所有的时间戳提取出来，整理成表格。”
“用一句话概括这篇文档的核心内容。”

2. 选择 【deepseek-r1:14b】的情况 - “复杂分析与专业任务”

使用时机：

  • 深度逻辑推理：需要理解复杂案情、推断作案手法或动机。
  • 代码分析与逆向：分析恶意软件代码、解密算法或复杂脚本。
  • 数学计算与统计：处理加密数据、进行概率分析或数据统计。
  • 综合性报告撰写：需要结构严谨、逻辑清晰的长篇分析报告。

举例：

“分析这个网络攻击的完整攻击链，推断攻击者的下一步可能行动。”
“解释这段加密算法的原理，并给出破解思路。”
“根据这些财务数据，找出异常交易并分析其模式。”

3. 选择 【gemma2:9b】的情况 - “平衡性能与创意任务”

使用时机：

  • 需要兼顾速度与质量：当任务比简单查询复杂，但又不需要deepseek那样的深度时。
  • 创意性任务：生成调查假设、模拟嫌疑人心理画像、构思调查方向。
  • 多语言任务：处理混合中英文的检材内容。
  • 作为备选：当deepseek负载过高或响应太慢时的优质替代。

举例：

“基于目前的线索，生成三个可能的调查方向。”
“为这份证据清单创建一个分类体系。”
“将这段中文技术文档的关键部分翻译成英文摘要。”

高级策略与工作流建议

“侦察→分析→验证”三级工作流

对于重要任务，可以采用组合拳：

  1. 第一波：qwen2.5:3b 快速侦察
    • 用qwen快速处理原始数据，提取关键信息和初步模式。
    • 目标：快速了解全局，缩小焦点。
  2. 第二波：deepseek-r1:14b 深度分析
    • 将qwen提炼出的关键信息交给deepseek进行深度推理和复杂分析。
    • 目标：获得深度洞察和专业结论。
  3. 第三波：gemma2:9b 交叉验证
    • 用gemma对deepseek的结论进行二次验证或提供不同角度的解读。
    • 目标：确保结论的稳健性。

硬件资源监控策略

  • 开任务管理器，实时监控GPU显存使用情况。
  • 规则：选择模型时，确保其所需显存 < 可用显存的80%。
  • 如果显存告急：立即降级到更小的模型（如从deepseek降到gemma或qwen）。

给你的具体操作指令

在你的Ollama中，使用以下命令调用不同模型：

bash

1
2
3
4
5
6
7
8
# 快速任务 - 使用 qwen
ollama run qwen2.5:3b "快速总结这份文档的要点：[文档内容]"

# 深度分析 - 使用 deepseek  
ollama run deepseek-r1:14b "详细分析这个攻击代码的工作原理：[代码片段]"

# 平衡任务 - 使用 gemma
ollama run gemma2:9b "为这些证据创建一个调查时间线：[证据列表]"

总结：你的AI特遣队

把这三个模型想象成你的专属调查团队：

  • qwen2.5:3b 是你的现场侦察员 - 反应最快，负责初步排查。
  • deepseek-r1:14b 是你的首席分析师 - 能力最强，攻坚复杂问题。
  • gemma2:9b 是你的全能特工 - 平衡性好，什么任务都能胜任。

cd C:\Users\glj07\AppData\Local\Programs\Ollama

ollama serve

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/Ollama/ 2026-03-15T05:28:28.000Z 1. 使用 pyenv（推荐）
1
2
# Windows (通过 WSL 或 git bash)
git clone https://github.com/pyenv/pyenv.git ~/.pyenv

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# 查看可安装的版本
pyenv install --list

# 安装特定版本
pyenv install 3.8.0

# 查看已安装的版本
pyenv versions

# 全局切换版本
pyenv global 3.9.7

# 为特定项目切换版本
pyenv local 3.11.2

# 查看当前使用的版本
pyenv version

安装经常超时。

1
2
3
set PYTHON_BUILD_MIRROR_URL=https://mirrors.tuna.tsinghua.edu.cn/python/
set PYTHON_BUILD_MIRROR_URL_SKIP_CHECKSUM=1
pyenv install 3.8.0
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
# 使用pyenv切换到3.8.0
pyenv shell 3.8.0

# 创建虚拟环境
python -m venv myenv_38

# 激活虚拟环境
myenv_38\Scripts\activate

# 现在使用的就是3.8.0，完全独立
python --version
pip list

# 停用虚拟环境
deactivate

2. 使用 conda（适合数据科学）

1
2
3
4
5
6
7
8
9
10
11
# 创建新环境并指定Python版本
conda create -n myenv python=3.8

# 激活环境
conda activate myenv

# 查看所有环境
conda env list

# 在当前环境中更改Python版本
conda install python=3.9

3. 使用 venv（Python内置）

1
2
3
4
5
6
7
8
9
# 创建虚拟环境（使用系统默认Python）
python -m venv myenv

# 激活环境
# Windows
myenv\Scripts\activate

# 停用环境
deactivate
]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/Python%E5%88%87%E6%8D%A2%E6%89%80%E7%94%A8%E7%89%88%E6%9C%AC/ 2026-03-15T05:28:28.000Z 1. 使用 pyenv（推荐）
foremost 是一个基于文件头、尾和内部数据结构的数据恢复工具，常用于从磁盘镜像或文件中提取隐藏/嵌入的文件。

基本语法

bash

foremost -i 输入文件 -o 输出目录 [选项]

常用参数

参数说明
-i 文件指定输入文件
-o 目录指定输出目录
-t 类型指定要提取的文件类型
-c 配置文件使用自定义配置文件
-v详细模式
-q快速模式
-Q安静模式
-a写入所有文件头

常用示例

1. 基本使用

bash

1
2
3
4
5
# 从磁盘镜像中提取所有支持的文件类型
foremost -i disk.img -o output_dir

# 从单个文件中提取嵌入文件
foremost -i suspicious.jpg -o extracted_files

2. 指定特定文件类型

bash

1
2
3
4
5
# 只提取JPEG和PDF文件
foremost -t jpg,pdf -i 输入文件 -o 输出目录

# 提取所有图片类型
foremost -t jpg,gif,png -i 文件 -o 输出

3. 查看支持的文件类型

bash

1
2
# 查看foremost支持提取的所有文件类型
foremost -h

支持的类型包括：jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc, zip, rar, html, cpp 等。

4. 使用自定义配置文件

bash

foremost -c /etc/foremost.conf -i 输入文件 -o 输出目录

实际案例演示

案例1：从图片中提取隐藏文件

bash

1
2
3
4
5
6
7
# 分析可疑图片文件
file suspicious_image.jpg
foremost -i suspicious_image.jpg -o extracted_content

# 查看提取结果
ls -la extracted_content/
cat extracted_contents/audit.txt  # 查看处理日志

案例2：从内存转储中提取文件

bash

1
2
# 从内存转储中提取可执行文件和文档
foremost -t exe,doc,pdf -i memory.dmp -o memory_extracted

案例3：完整分析磁盘镜像

bash

1
2
3
4
5
# 提取磁盘镜像中的所有可能文件
foremost -i suspect_disk.img -o forensic_output

# 只关注办公文档和图片
foremost -t doc,pdf,jpg,png -i suspect_disk.img -o docs_and_images

输出结构

运行后，输出目录通常包含：

text

1
2
3
4
5
6
输出目录/
├── audit.txt      # 处理日志和统计信息
├── jpg/           # 提取的JPEG文件
├── png/           # 提取的PNG文件  
├── pdf/           # 提取的PDF文件
└── ...            # 其他文件类型目录

高级用法

创建自定义文件类型

编辑 /etc/foremost.conf 或创建自定义配置文件：

bash

1
2
3
# 自定义文件类型配置
myfile  y   200000  \x47\x49\x46\x38  \x00\x3b
        扩展名  最大大小   文件头签名       文件尾签名

递归提取

bash

1
2
# 如果需要递归处理，可以结合find使用
find . -type f -exec foremost -i {} -o extracted_{} \;

注意事项

  1. 文件权限：需要读写权限来创建输出目录
  2. 磁盘空间：确保有足够的磁盘空间存放提取的文件
  3. 时间消耗：大文件处理可能需要较长时间
  4. 误报：可能会提取出一些损坏或不完整的文件

与其他工具配合

bash

1
2
3
# 先用binwalk分析，再用foremost提取
binwalk -e 可疑文件
foremost -i 可疑文件 -o foremost_output

foremost 是数字取证和CTF比赛中非常实用的工具，特别擅长从各种容器文件中恢复已知格式的文件。

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/foremost%E4%BD%BF%E7%94%A8%E6%8C%87%E5%8D%97/ 2026-03-15T05:28:28.000Z foremost 是一个基于文件头、尾和内部数据结构的数据恢复工具，常用于从磁盘镜像或文件中提取隐藏/嵌入的文件。

工具名称主要功能简介Binwalk固件/文件分析提取核心工具。用于分析、逆向工程固件镜像，识别并提取内嵌的文件和代码。Foremost文件雕刻基于文件头尾（文件签名）从原始磁盘镜像或文件中恢复已删除的文件。Sleuth Kit磁盘取证分析命令行套件，用于分析磁盘镜像、恢复文件、分析文件系统元数据。Autopsy磁盘取证分析Sleuth Kit 的图形化界面，非常强大，是开源取证平台的标杆。Guymager磁盘镜像采集轻量、快速、开源的磁盘镜像制作工具，用于创建物理磁盘的 DD 或 E01 格式镜像。Bulk Extractor信息提取快速从镜像中扫描并提取大量信息（如电子邮件、URL、信用卡号、电话号码等）。strings字符串提取系统自带，从二进制文件中提取可读字符串，是初步分析的必备步骤。

二、按类别详细推荐

1. 磁盘镜像与采集

工具安装命令用途
Guymagersudo apt install guymager创建 DD/EWF(E01) 格式镜像，图形化，速度快。
dcflddsudo apt install dcfldddd
的增强版，提供哈希校验和进度显示。
FTK Imager(需从 AccessData 官网下载 .deb
包)		经典的闭源工具，Linux 版可用，业界标准。

2. 文件系统与磁盘分析

工具安装命令用途
The Sleuth Kit (+ Autopsy)sudo apt install sleuthkit autopsy分析文件系统、时间线分析、文件恢复。
X-Ways Forensics(Windows 软件，需 Wine)顶级闭源工具，功能极其强大，可在 Linux 下通过 Wine 运行。

3. 文件雕刻与恢复

工具安装命令用途
Foremostsudo apt install foremost经典的文件雕刻工具。
Scalpelsudo apt install scalpelForemost 的继承者，性能更好，配置文件更灵活。
TestDisk/PhotoRecsudo apt install testdiskPhotoRec 尤其强大，能恢复多种格式的已删除文件。

4. 内存取证

工具安装命令用途
Volatilitysudo apt install volatility内存取证事实上的标准。分析内存转储，提取进程、网络连接、密码哈希等。
Volatility 3(需从 GitHub 下载)Volatility 的下一代版本，性能和分析能力更强。

5. 网络取证

工具安装命令用途
Wireshark/TSharksudo apt install wireshark著名的网络协议分析器，用于分析 pcap 文件。
Xplicosudo apt install xplico从 pcap 流量中提取应用数据（如 HTTP 图片、邮件、VoIP 通话）。

6. 移动设备与数据库取证

工具安装命令用途
DB Browser for SQLitesudo apt install sqlitebrowser查看和分析 SQLite 数据库文件（大量应用使用）。
libimobiledevicesudo apt install libimobiledevice-utils用于与 iOS 设备通信，获取基本信息。

7. 恶意软件分析

工具安装命令用途
YARAsudo apt install yara模式匹配工具，用于识别和分类恶意软件。
ClamAVsudo apt install clamav开源反病毒引擎，可用于初步扫描。
Radare2sudo apt install radare2强大的开源逆向工程框架。
Ghidra(需从 NSA 官网下载)美国国安局发布的强大逆向工程工具，可与 IDA Pro 媲美。

8. 图片与多媒体分析

工具安装命令用途
ExifToolsudo apt install libimage-exiftool-perl读取、写入和编辑多种文件的元信息（如 JPEG 的 GPS 坐标）。
Aftershot / GIMPsudo apt install gimp查看和分析图片文件。
]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/linux%E5%B7%A5%E5%85%B7/ 2026-03-15T05:28:28.000Z 工具名称 主要功能 简介 Binwalk 固件]]> linux工具 2026-03-19T06:43:41.345Z 琉璃幻彩 1. 提取与 BitLocker 相关的进程信息

BitLocker 的核心功能由 BDETL（BitLocker Drive Encryption Tool）和 WinDefend 等服务实现。通过分析这些进程的状态，可以了解 BitLocker 是否正在运行或是否已加载加密密钥。

1
vol.py -f memory.dmp --profile=Win7SP1x64 pslist

上述命令会列出所有运行中的进程。如果发现 BDETL.exe 或其他与 BitLocker 相关的进程，则说明系统可能启用了 BitLocker[^1]。

2. 检查内核模块和驱动程序

BitLocker 的功能依赖于内核驱动程序 FveVol.sys 和 FeAuthentic.sys。使用以下命令可以检查这些驱动程序是否已加载：

1
vol.py -f memory.dmp --profile=Win7SP1x64 modscan

如果输出中包含 FveVol.sys 或 FeAuthentic.sys，则表明 BitLocker 正在使用中[^3]。

3. 提取注册表键值

BitLocker 的配置信息通常存储在 Windows 注册表中。Volatility 提供了 hivelist 和 printkey 模块来提取注册表信息。以下命令可以帮助找到与 BitLocker 相关的配置：

1
2
vol.py -f memory.dmp --profile=Win7SP1x64 hivelist
vol.py -f memory.dmp --profile=Win7SP1x64 printkey -K "\SYSTEM\CurrentControlSet\Services\FveSvc"

\SYSTEM\CurrentControlSet\Services\FveSvc 是 BitLocker 驱动器加密服务的注册表路径。通过查看该路径下的键值，可以了解 BitLocker 的启用状态和其他配置信息[^1]。

4. 查找恢复密钥

如果系统启用了 BitLocker，并且用户曾经访问过恢复密钥，那么恢复密钥可能会临时存储在内存中。可以尝试使用 strings 或 yara 模块搜索内存中的字符串模式：

1
vol.py -f memory.dmp --profile=Win7SP1x64 strings | grep "Recovery Password"

或者编写自定义的 YARA 规则来匹配恢复密钥的格式。例如，恢复密钥通常是 48 位数字，分为 8 组，每组 6 位数字[^2]。

5. 分析加密卷的挂载状态

BitLocker 加密卷的挂载状态可以通过分析 FveVolume 数据结构来确定。虽然 Volatility 没有内置的模块直接解析 FveVolume，但可以通过以下步骤进行手动分析：

  • 使用 vadinfo 模块查找与加密相关的虚拟地址描述符（VAD）。
  • 结合 dumpfiles 模块提取潜在的加密卷文件。
1
2
vol.py -f memory.dmp --profile=Win7SP1x64 vadinfo
vol.py -f memory.dmp --profile=Win7SP1x64 dumpfiles -Q <vad_address>
]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/Volatility3/ 2026-03-15T05:28:28.000Z 1. 提取与 B]]> Volatility3 2026-03-19T06:43:41.347Z 琉璃幻彩 ZipCenOp.jar

java -jar ZipCenOp.jar r lm.zip

文件格式签名（File Signature 或 Magic Number）是文件开头的特定字节序列，用于标识文件的类型。以下是一些常见文件格式的签名（十六进制表示）：

  1. 压缩文件

ZIP: 50 4B 03 04 (PK..)

RAR: 52 61 72 21 (Rar!)

7z: 37 7A BC AF 27 1C (7z¼¯’)

GZIP: 1F 8B

TAR: 75 73 74 61 72 (ustar)

  1. 图片文件

JPEG/JPG: FF D8 FF E0 或 FF D8 FF E1

PNG: 89 50 4E 47 0D 0A 1A 0A (‰PNG….)

GIF: 47 49 46 38 (GIF8)

BMP: 42 4D (BM)

WebP: 52 49 46 46 (RIFF) + 57 45 42 50 (WEBP)

TIFF: 49 49 2A 00 (小端) 或 4D 4D 00 2A (大端)

  1. 文档文件

PDF: 25 50 44 46 (%PDF)

Microsoft Office (DOCX/XLSX/PPTX): 50 4B 03 04 (本质是ZIP格式)

Word (DOC): D0 CF 11 E0 (ÐÏ.à)

Excel (XLS): D0 CF 11 E0 (ÐÏ.à)

PowerPoint (PPT): D0 CF 11 E0 (ÐÏ.à)

  1. 可执行文件

Windows PE (EXE/DLL): 4D 5A (MZ)

Linux ELF: 7F 45 4C 46 (ELF)

Mach-O (macOS): FE ED FA CE 或 CF FA ED FE

  1. 音频/视频文件

MP3: 49 44 33 (ID3) 或 FF FB

WAV: 52 49 46 46 (RIFF) + 57 41 56 45 (WAVE)

AVI: 52 49 46 46 (RIFF) + 41 56 49 20 (AVI )

MP4: 00 00 00 20 66 74 79 70 (….ftyp)

FLV: 46 4C 56 01 (FLV.)

  1. 数据库文件

SQLite: 53 51 4C 69 74 65 (SQLite)

MySQL Dump: 2D 2D 20 4D 79 53 51 4C (– MySQL)

  1. 其他常见格式

HTML: 3C 21 44 4F 43 54 59 50 45 (<!DOCTYPE)

XML: 3C 3F 78 6D 6C (<?xml)

JSON: 7B ({) 或 5B ([)

ISO (光盘镜像): 43 44 30 30 31 (CD001)

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E8%A7%A3%E9%A2%98%E5%A6%99%E5%85%B7/%E8%87%AA%E5%8A%A8%E4%BF%AE%E5%A4%8Dzip%E4%BC%AA%E5%8A%A0%E5%AF%86/ 2026-03-15T05:28:28.000Z ZipCenOp.jar

java -jar ZipCenOp.jar r lm.zip

文件格式签名（File Signature 或 Magic Number）是文件开头的特定字节序列，用于标识文件的类型。以下是一些常见文件格式的签名（十六进]]>

自动修复zip伪加密 2026-03-15T08:49:56.462Z 琉璃幻彩 Cache（缓存）是一个用于存储临时数据的高速存储层，其目的是为了更快地服务未来的请求。

缓存的核心是利用了计算机科学中两个重要的局部性原理：

  1. 时间局部性： 如果一个数据被访问过，那么它在不久的将来很可能再次被访问。
  2. 空间局部性： 如果一个数据被访问过，那么它附近的数据也很可能很快被访问。

**

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E7%9F%A5%E8%AF%86/Cache%EF%BC%88%E7%BC%93%E5%AD%98%EF%BC%89/ 2026-03-15T05:28:28.000Z Cache（缓存）是一个用于存储临时数据的高速存储层，其目的是为了更快地服务未来的请求。

缓存的核心是利用了计算机科学中两个重要的局部性原理：

  1. 时间局部性： 如果一个]]>
Cache（缓存） 2026-03-19T06:43:41.339Z 琉璃幻彩 https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E7%9F%A5%E8%AF%86/MT%E7%AE%A1%E7%90%86%E5%99%A8%E6%9B%BF%E6%8D%A2%E5%8C%85%E6%95%B0%E6%8D%AE/ 2026-03-15T05:28:28.000Z MT管理器替换包数据 2026-03-15T08:49:56.445Z 琉璃幻彩 Slowhttptest是依赖HTTP协议的慢速攻击DoS攻击工具，设计的基本原理是服务器在请求完全接收后才会进行处理，如果客户端的发送速度缓慢或者发送不完整，服务端为其保留连接资源池占用，大量此类请求并发将导致DoS。

]]> https://fightergodnemo.github.io/2026/03/15/Forensic_%E7%94%B5%E5%AD%90%E5%8F%96%E8%AF%81/Forensic%E7%9F%A5%E8%AF%86/Slowhttptest/ 2026-03-15T05:28:28.000Z Slowhttptest是依赖HTTP协议的慢速攻击DoS攻击工具，设计的基本原理是服务器在请求完全接收后才会进行处理，如果客户端的发送速度缓慢或者发送不完整，服务端]]> Slowhttptest 2026-03-18T01:42:00.000Z