1.硬盘镜像获取工具:dd dd是Linux/UNIX 下的一个非常有用的命令,作用是用指定大小的块拷贝一个文件,并在拷贝的同时进行指定的转换. 1.1 本地取数据 查看磁盘及分区 # fdisk -l 获取整个磁盘镜像文件 # dd if=需要拷贝的磁盘 of=/存储目录/镜像文件 (确保存储目录有足够的空间) 1.2 远程取硬盘数据· 克隆硬盘或分区的操作,不应在已经mount的的系统上进行,采取远程取的办法这样可以避免破坏现场. NC远程传输文件 从受害机器A拷贝文件到取证机器B.需要先在

FTK Imager制作镜像详细介绍 以DD镜像制造为例,详细介绍了FTK Imager创建镜像的过程,记得大学的时候学习这些没什么教程,找到的资料也是语焉不详,故在此啰嗦一番---[suy] 一.磁盘镜像制作步骤 (一)选择源证据类型 1.路径:文件(F)->创建磁盘映像(C)->选择源->物理驱动器(P) (二)选择需要做的磁盘 (三)选择镜像类型 (四)填写案件信息(可选) (五)设置镜像参数! 1.镜像保存位置.镜像名 2.是否分卷!!!默认分卷不分卷 3.加密设置(可选) 4.

星河滚烫,人生有理想! ​ ---[suy999] DD.E01系统镜像动态仿真 (一)使用到的软件 1.FTK Imager (v4.5.0.3) 2.VMware Workstation 15 Pro (v15.5.2) (二)FTK Imager 挂载镜像 1.选择 Imager Mounting 2.选择系统镜像挂载*"注意一"!!! (三)VMware新建虚拟机 1.新建虚拟机 2.固件类型*"注意二"!!! 3.处理器.内存及其它配置 4.磁盘类型选择&

在线靶场: https://www.mozhe.cn 背景介绍 某运维人员发现服务器最近被一个IP连接过SSH,请找到连接服务器SSH的IP. 实训目标 1.了解Linux备份方式: 2.了解AccessData FTK Imager使用方法: 3.掌握如何查看Linux日志: 解题方向 根据备份文件进行分析,找到IP地址,验证. 启动靶场,跳转桃链接回去下载备份的文件 下载解压之后,格式为ssh.img的格式 打开kail linux 进行挂载: ╰─ losetup -f -P ssh1.i

简介: 在学习autopsy之前,我们先学习如何将犯罪嫌疑人的磁盘保存为一个证据镜像.我们使用的将磁盘保存为证据镜像的工具为AccessData FTK imager,你可以自行搜索下载. AccessData FTK imager的使用: FTK imager已经安装好了,现在我们模拟将本地C盘保存为镜像,以供后面使用autopsy进行分析取证. 第一步,创建一个磁盘镜像: 第二步,选择需要镜像的内容,这里我选择逻辑驱动器,根据自己实际情况而定: 第三步,指定镜像保存的格式,dd为原始文件E0

1.RAW格式虚拟磁盘 linux下可以直接挂载raw格式的虚拟磁盘镜像文件. 例如,这里先用dd命令创建一个文件,然后将其格式化为ext4格式(只有一个分区),然后挂载到/mnt目录. 下面的raw.img磁盘镜像文件就一个分区,所以没有使用offset=来指定偏移.如果有多个分区,则可以通过指定偏移来挂载.具体的可以查阅mount命令的相关参数信息. > dd if=/dev/zero of=raw.img bs=1M count=512 记录了512+0 的读入 记录了512+0 的写出

来源:Unit 5: Windows Acquisition 5.1 Windows Acquisition Windows Memory Acquisition and Analysis 调查人员检查物理内存内容,以检测恶意进程.威胁和内存驻留恶意软件,以恢复密码和获取密钥. 伏笔:rootkit,root代表最高权限,kit表示软件.合起来,最高权限的软件.如果存在恶意rootkit,利用它可以运行指令将进程与一些显示进程列表接口的函数切断关联隐藏起来,你在任务管理器里看不见.这东西的危害,

Windows Server镜像仿真.vmdk镜像仿真 时间过得真快呀!--[suy999] Windows Server镜像仿真.vmdk镜像仿真 一.qemu-img镜像转换工具 (一)raw.qcow2等镜像装换为vmdk 1.RAW镜像转换命令 二.VMware新建虚拟机 1.新建虚拟机 2.固件类型->"BIOS"*"注意一"!!! 3.处理器.内存及其它配置 4.磁盘类型->"IDE"*"注意二"!!!

来自俄罗斯的取证大厂Belkasoft,旗下的主力产品Belkasoft Evidence Center有不错的评价,除了BEC之外,咱们Yuri老兄也是佛心来着的,提供了一个免费内存镜像工具RamCapture给同好们享用. 它有32bit及64bit版本,无须安装,直接运行即可.但须以系统管理者权限运行.默认会将内存镜像储存在RamCapture相同路径之下.且会很贴心地以当天日期设定文件名,后缀名默认为.mem． 有意思的是,在完成镜像后,还会打个小广告,如下图红色底线所示. 好工具不嫌多

We could find some important clue in Restore Point because "System Protection" of volume C is enabled in Windows default settings. Lots of data in "My Documents", "Desktop", and "Favorotes". Further more lots of Win

摘录自:<IOS取证实战> Andrew Hoog著 viaForensics公司,今年已经募集到1600万创业基金 2007-2011年初,AT&T是在美国唯一为iphone提供服务的运营商.AT&T将sim卡和iphone绑定.用其他公司的sim会被锁定 2011年2月,verizon也为iphone4提供网络服务(CDMA网络).iphone的使用被强制在这2个运营商之间.解锁应运而生. iphone分级工具难度依次排列, 微码读取-最难 芯片拆解--直接将内存芯片拆卸读

The latest Windows 10 will be more and more popular in the very near future. Now let's take a look if we could conduct a live forensic on Win10 by using LiveView 0.8 RC1. 1.The OS version of suspect's laptop is Windows 10. After acquiring we got the

Some said Live View could only boot up images acquired from 32bit OS evidence. I have to say that it's not true. Ok, the best way to prove it is let the evidence speak for themselves~ 1. Boot up Windows 7 64bit evidence 2. Live View boot up Linux 64b

Last week my friend brought me an evidence file duplicated from a Linux server, which distribution is CentOS 5.0 and the i18n is zh-tw. She wanna know whether there is any malware on this Linux server or not. OK. Let's get to work. I add this evidenc

Someone ask me how to image a CD/DVD ROM and generate hash value in the same time. A small tool called "dcfldd" could achieve this goal. Compared to dd, dcfldd allows for more than one output file, supports simultaneous multiple checksum calcula

  Redis简介 Redis是基于内存,也可以基于磁盘持久化nosql数据库,使用c语言开发. 数据存储结构:key-value 安装环境准备 Redis使用c语言开发,需要使用gcc编译程序进行编译. 1) 安装gcc a) 从磁盘镜像中进行安装:(重启Linux服务器需要重新挂载磁盘镜像) b) 使用yum命令直接从mine.repo文件中本地URL下载 c) 挂载命令:mount /dev/cdrom /mnt d) 安装命令:yum -y install gcc 2) 安装上传文件插件

本文主要介绍在 MacOS 上使用 qemu 搭建 Linux Kernel 的开发环境.(在开始之前需要注意的是,本文中的 Linux 开发环境是一个远程服务器,而 qemu 被安装在本地的 MacOS 上.通常并不需要这样折腾,直接将 qemu 安装在 Linux 中更加方便,而且 qemu 是可以 -nographic 无图形界面运行的.) 1. 为什么需要 qemu? qemu 是一个硬件虚拟化程序( hypervisor that performs hardware virtualiz

也就是说,当我拿着U盘启动盘,从你电脑里面拷贝了注册表的几个文件,大部分数据就已经到我手中了.一起来感受一下吧. 来源:Unit 6: Windows File Systems and Registry 6.1 Windows File Systems and Registry Windows Registry 使用工具:Access Data Registry Viewer的演示版(demo version) 查看注册表hives, SAM, System, 和ntuser.net文件 注册表

市场分析:计算机取证,就是应急响应.而应急响应的市场在于黑产的攻击频率.在当今的社会里,更多的人为了钱铤而走险的比比皆是,这个市场随着比特币,大数据,物联网的来临,规模将更加的庞大与有组织性.这将导致,安全岗位迫在眼前.他们攻击的越凶越复杂,我们的收入就越多,当然自身需要的技术也就要求越高,对整个团队的依赖也就越多. 后面连续的几个干货将重点围绕windows系统感受取证技术.您将看见,双系统(linux和windows)中的细节落实.每一个消费心理会导致不一样的策划行为判断.同理,每一个技术细

When it comes to booting up evidence files acquired from target disk, you got two options. One is VFC and the other is Live View. Both of them could create snapshots out of images such as EWF(E01). So forensic examiners could conduct a live forensic