简介: 在学习autopsy之前,我们先学习如何将犯罪嫌疑人的磁盘保存为一个证据镜像.我们使用的将磁盘保存为证据镜像的工具为AccessData FTK imager,你可以自行搜索下载. AccessData FTK imager的使用: FTK imager已经安装好了,现在我们模拟将本地C盘保存为镜像,以供后面使用autopsy进行分析取证. 第一步,创建一个磁盘镜像: 第二步,选择需要镜像的内容,这里我选择逻辑驱动器,根据自己实际情况而定: 第三步,指定镜像保存的格式,dd为原始文件E0

介绍: 在开始使用autopsy之前,我们先对autopsy进行性能优化.如果还没有安装autopsy,请点击连接https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.17.0/autopsy-4.17.0-64bit.msi进行下载安装. 打开autopsy之后会弹出以下窗口,我们先关闭该窗口. 修改进程数,我的电脑为8核心的,所以将进程数修改为8.

站在巨人的肩头才会看见更远的世界,这是一篇来自技术牛人的神总结,运用多年实战经验总结的CTF取证方法,全面细致,通俗易懂,掌握了这个技能定会让你在CTF路上少走很多弯路,不看真的会后悔! 本篇文章大约6千字,阅读时间需20分钟,希望大家耐心看完! 取证 在CTF(Capture The Flag,中文一般译作夺旗赛,在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式)中,取证的挑战可能包括文件格式分析,隐写术,内存转储分析或网络数据包捕获分析等.检查和处理静态数据文件,而不是可

Maltego是一个取证和数据挖掘应用程序. 它能够查询各种公共数据源,并以图形方式描绘人员,公司,网站和文档等实体之间的关系. Maltego也是一个开源智能,但不是开源软件. Helix The Sleuth Kit(以前称为TSK)是基于UNIX的命令行 文件和卷系统 取证分析工具的集合. 文件系统工具允许您以非侵入式的方式检查可疑计算机的文件系统. 由于工具不依赖于操作系统来处理文件系统,因此删除和隐藏的内容被显示出来. 可以使用称为“验尸(Autopsy )”的工具的图形界面 EnCa

磁盘镜像分析工具Autopsy   Autopsy是Kali Linux预安装的一款磁盘镜像分析工具.该工具可以对磁盘镜像的卷和文件系统进行分析,支持Unix和Windows系统.Autopsy是一个命令行工具,但提供基于浏览器的图形界面.用户使用该工具,可以很轻松浏览镜像中的目录和文件,甚至是已删除的文件.同时,该工具提供强大的分析功能,允许用户直接分析磁盘块,关键字搜索,文件分类过滤.针对数字取证,该工具提供镜像完整性验证.文件MD5比对.文件操作时间表.报告生成功能.

volatility(win64) 1.下载 volatility 下载地址:(我下载的版本2.6,并把名字稍微改了一下) Release Downloads | Volatility Foundation windows版 2.使用 1.查看基本信息 查看镜像的基本信息,使用的时候可以将这个软件和需要取证的镜像放到一起 例如: 打开终端,输入命令, ./volatility -f memory.img imageinfo 可以看到各种信息,标出的几个是比较重要的 2.查看进程 ./volati

(一)树状数组的概念 如果给定一个数组,要你求里面所有数的和,一般都会想到累加.但是当那个数组很大的时候,累加就显得太耗时了,时间复杂度为O(n),并且采用累加的方法还有一个局限,那就是,当修改掉数组中的元素后,仍然要你求数组中某段元素的和,就显得麻烦了.所以我们就要用到树状数组,他的时间复杂度为O(lgn),相比之下就快得多.下面就讲一下什么是树状数组: 一般讲到树状数组都会少不了下面这个图: 下面来分析一下上面那个图看能得出什么规律: 据图可知:c1=a1,c2=a1+a2,c3=a3,c4

最近的计分赛,记得自己的都只是过了两题.遇到了两次map,自己在寒假看了一点的map,只知道在字符串匹配的时候可以用的到.但是自己对map的使用还是不够熟练使用,这回在第一次和第二次的计分赛中都遇到可以用map快速写出的AC题目.而且代码精简. map是一种二叉树的数据存储结构.map内部自建一颗红黑树(一种非严格意义上的平衡二叉树),这颗树具有对数据自动排序的功能,所以在map内部所有的数据都是有序的.      map的特点:  1.存储Key-value对                 

hello,大家好! 今天我给大家你们带来摩托罗拉 XT615 开机无限卡屏重启的取证与分析, 手机开机后卡屏,一直停留下面这画面,无限重启! 接下来,经过我们工程师的分析,图上报错必定由于机身程序太多内存太小造成 , 故决定采用我们的取证机来稳定系统... 以便获得镜像,获得重要数据! 最后,成功获得了顾客想要的数据. 我是drWonder: 网址:https://shop110840885.taobao.com/ 欢迎来电! 谢谢

大家好!欢迎今天再次来到我dr.wonde的博客, 今天我给大家带来一款三星镜面古董机SGH-E848的取证展示! 三星SGH-E848是一款非常漂亮的镜面手机,2008年出厂.. 上面黄色是97号数据线,由于屏幕损坏,只能在关机状态下提取数据, 使用专用97号数据线连接专业取证机, 最后得到结论,, 最后我们非常欣喜看到,恢复了439条被删SMS消息,201多条联系人,及的150条删除通话记录等等!,数据恢复成功! 这恢复结果令人振奋的,我们非常满意.这再次证明了专业取证设备的强大,没有他就没

C语言经典例题100 来源 http://www.fishc.com 适合初学者 ----------------------------------------------------------------------------- [程序1] 题目:由(1.2.3.4)4个数字,能组成多少个互不相同且无重复数字的三位数?都是多少? 1.程序分析:可填在百位.十位.个位的数字都是1.2.3.4.组成所有的排列后再去掉不满足条件的排列. 2.程序源代码: main() { int i,j,k;

转载文章请注明出处 1. 关于Apple Watch 苹果公司在2015年3月正式发布了智能手表Apple Watch,包括Apple Watch.Apple Watch Sport以及Apple Watch Edition三种版本. 图 1 Apple Watch的三个版本 Apple Watch采用Apple S1处理器,内置512MB RAM和8GB Flash存储,通过Wi-Fi和蓝牙与iPhone进行同步,与其同步的iPhone必须使用iOS 8.2及以上版本. 2. Apple Wa

Apple于今天正式发布了iOS 8推送升级 大概琢磨了一下: 1. 可以确定,iOS 7中存在的File relay等所谓后门服务已经被修正,目前Oxygen和我们采用这种服务提取的功能将不再适用于iOS 8. 2. iOS 8中的iMessage支持发送语音消息,默认情况下用户如果不选择保留,语音消息将在首次听取后的两分钟自动删除,鉴于iOS的用户基数,这种自带的“阅后即焚”对于取证人员来讲绝对不是一个好消息. 3. 本地权限进行了一些调整,对于涉及用户隐私的鉴权信息,部分不再存储,同样,b

在被爆出“后门”事件后,苹果似乎已经开始了自己的行动,在最新发布的iOS 8 Beta5版本中,iOS取证专家Zdziarski提及的众多后台服务中的packet sniffer服务已经被禁用,体现出苹果公司在安全和用户隐私方面的重视. 我们甚至可以猜测,在今秋即将推出的iOS 8中,苹果很可能会封堵此次“后门”事件所涉及的诸如com.apple.mobile.file_relay等具备极高取证价值的服务. ©

Stoer-Wagner算法基本思想:如果能求出图中某两个顶点之间的最小割,更新答案后合并这两个顶点继续求最小割,到最后就得到答案. 算法步骤: ------------------------------------------------------------------------------------------------------------------------- (1)首先初始化,设最小割ans = INF                                

倍增求LCA: father[i][j]表示节点i往上跳2^j次后的节点 可以转移为 father[i][j]=father[father[i][j-1]][j-1] 整体思路: 先比较两个点的深度,如果深度不同,先让深的点往上跳,浅的先不动,等两个点深度一样时,if 相同 直接返回,if 不同 进行下一步:如果不同,两个点一起跳,j从大到小枚举(其实并不大),如果两个点都跳这么多后,得到的点相等,两个点都不动(因为有可能正好是LCA也有可能在LCA上方),知道得到的点不同,就可以跳上来,然后不

转自:http://blog.csdn.net/hengjie2009/article/details/7540135 acm常见算法及例题  初期:一.基本算法:     (1)枚举. (poj1753,poj2965)     (2)贪心(poj1328,poj2109,poj2586)     (3)递归和分治法.     (4)递推.     (5)构造法.(poj3295)     (6)模拟法.(poj1068,poj2632,poj1573,poj2993,poj2996)二.图算

大家好!欢迎来到我dr.wonde博士的微博! 这是dr.wonde的第一篇微博,不足之处,还请见谅. 今天dr.wonde给你们带来不可能的数据恢复任务之三星非智能机古董机GT-E1088C 的恢复工作! 今天我们的主角 上取证设备获得内存文件xxxbin, 加载到PA,最后我们看到,恢复了删除的34条短信以及15条联系人... 数据恢复成功... 最后,我要说一定要使用取证机进行手机的恢复工作,用普通电脑和软件是办法一辈子也做不出来. 各位说是不是. 好了,我是Dr.wonde 我的淘宝地址

从事计算机取证的应该都听说过MIP(Mount Image Pro).VFC仿真和Recover My Files,上述三个应用比较广泛的软件都是GetData公司的产品.GetData现在也推出了自己的计算机取证软件Forensic Explorer. 详细信息可以参考: http://www.forensicexplorer.com/ 从价格来看,的确不贵,一套Forensic Explorer(含MIP v5)带一年SMS收费$949,增加一年SMS $299,价格堪称良心,具体功能还有待

LINE又有新动作了,这回默认即启用了端点加密功能,强调确保传输过程的安全,且让我们来看看如何对付新版的LINE. 有启用Letter Sealing就会在昵称前多个锁头的图像. 这手机据犯嫌供称,落网前有刻意删除所有LINE的聊天对话,…废话不多说,咱们取出数据库来看看里头有些什么吧~ 提醒各位,除了数据库文件本身之外,后缀名wal或shm也不可轻忽,简而言之它们就是所谓的交易日志.结果诸位猜猜如何,删掉的聊天内容还是好好地躺在数据库之中,这下子可狠狠打脸了LINE. 古有云:”有一法,必有一