星河滚烫,人生有理想! ​ ---[suy999] DD.E01系统镜像动态仿真 (一)使用到的软件 1.FTK Imager (v4.5.0.3) 2.VMware Workstation 15 Pro (v15.5.2) (二)FTK Imager 挂载镜像 1.选择 Imager Mounting 2.选择系统镜像挂载*"注意一"!!! (三)VMware新建虚拟机 1.新建虚拟机 2.固件类型*"注意二"!!! 3.处理器.内存及其它配置 4.磁盘类型选择&

1.硬盘镜像获取工具:dd dd是Linux/UNIX 下的一个非常有用的命令,作用是用指定大小的块拷贝一个文件,并在拷贝的同时进行指定的转换. 1.1 本地取数据 查看磁盘及分区 # fdisk -l 获取整个磁盘镜像文件 # dd if=需要拷贝的磁盘 of=/存储目录/镜像文件 (确保存储目录有足够的空间) 1.2 远程取硬盘数据· 克隆硬盘或分区的操作,不应在已经mount的的系统上进行,采取远程取的办法这样可以避免破坏现场. NC远程传输文件 从受害机器A拷贝文件到取证机器B.需要先在

FTK Imager制作镜像详细介绍 以DD镜像制造为例,详细介绍了FTK Imager创建镜像的过程,记得大学的时候学习这些没什么教程,找到的资料也是语焉不详,故在此啰嗦一番---[suy] 一.磁盘镜像制作步骤 (一)选择源证据类型 1.路径:文件(F)->创建磁盘映像(C)->选择源->物理驱动器(P) (二)选择需要做的磁盘 (三)选择镜像类型 (四)填写案件信息(可选) (五)设置镜像参数! 1.镜像保存位置.镜像名 2.是否分卷!!!默认分卷不分卷 3.加密设置(可选) 4.

来自俄罗斯的取证大厂Belkasoft,旗下的主力产品Belkasoft Evidence Center有不错的评价,除了BEC之外,咱们Yuri老兄也是佛心来着的,提供了一个免费内存镜像工具RamCapture给同好们享用. 它有32bit及64bit版本,无须安装,直接运行即可.但须以系统管理者权限运行.默认会将内存镜像储存在RamCapture相同路径之下.且会很贴心地以当天日期设定文件名,后缀名默认为.mem． 有意思的是,在完成镜像后,还会打个小广告,如下图红色底线所示. 好工具不嫌多

来源:Unit 5: Windows Acquisition 5.1 Windows Acquisition Windows Memory Acquisition and Analysis 调查人员检查物理内存内容,以检测恶意进程.威胁和内存驻留恶意软件,以恢复密码和获取密钥. 伏笔:rootkit,root代表最高权限,kit表示软件.合起来,最高权限的软件.如果存在恶意rootkit,利用它可以运行指令将进程与一些显示进程列表接口的函数切断关联隐藏起来,你在任务管理器里看不见.这东西的危害,

简介: 在学习autopsy之前,我们先学习如何将犯罪嫌疑人的磁盘保存为一个证据镜像.我们使用的将磁盘保存为证据镜像的工具为AccessData FTK imager,你可以自行搜索下载. AccessData FTK imager的使用: FTK imager已经安装好了,现在我们模拟将本地C盘保存为镜像,以供后面使用autopsy进行分析取证. 第一步,创建一个磁盘镜像: 第二步,选择需要镜像的内容,这里我选择逻辑驱动器,根据自己实际情况而定: 第三步,指定镜像保存的格式,dd为原始文件E0

Windows Server镜像仿真.vmdk镜像仿真 时间过得真快呀!--[suy999] Windows Server镜像仿真.vmdk镜像仿真 一.qemu-img镜像转换工具 (一)raw.qcow2等镜像装换为vmdk 1.RAW镜像转换命令 二.VMware新建虚拟机 1.新建虚拟机 2.固件类型->"BIOS"*"注意一"!!! 3.处理器.内存及其它配置 4.磁盘类型->"IDE"*"注意二"!!!

We could find some important clue in Restore Point because "System Protection" of volume C is enabled in Windows default settings. Lots of data in "My Documents", "Desktop", and "Favorotes". Further more lots of Win

The latest Windows 10 will be more and more popular in the very near future. Now let's take a look if we could conduct a live forensic on Win10 by using LiveView 0.8 RC1. 1.The OS version of suspect's laptop is Windows 10. After acquiring we got the

Some said Live View could only boot up images acquired from 32bit OS evidence. I have to say that it's not true. Ok, the best way to prove it is let the evidence speak for themselves~ 1. Boot up Windows 7 64bit evidence 2. Live View boot up Linux 64b

Last week my friend brought me an evidence file duplicated from a Linux server, which distribution is CentOS 5.0 and the i18n is zh-tw. She wanna know whether there is any malware on this Linux server or not. OK. Let's get to work. I add this evidenc

Someone ask me how to image a CD/DVD ROM and generate hash value in the same time. A small tool called "dcfldd" could achieve this goal. Compared to dd, dcfldd allows for more than one output file, supports simultaneous multiple checksum calcula

在线靶场: https://www.mozhe.cn 背景介绍 某运维人员发现服务器最近被一个IP连接过SSH,请找到连接服务器SSH的IP. 实训目标 1.了解Linux备份方式: 2.了解AccessData FTK Imager使用方法: 3.掌握如何查看Linux日志: 解题方向 根据备份文件进行分析,找到IP地址,验证. 启动靶场,跳转桃链接回去下载备份的文件 下载解压之后,格式为ssh.img的格式 打开kail linux 进行挂载: ╰─ losetup -f -P ssh1.i

也就是说,当我拿着U盘启动盘,从你电脑里面拷贝了注册表的几个文件,大部分数据就已经到我手中了.一起来感受一下吧. 来源:Unit 6: Windows File Systems and Registry 6.1 Windows File Systems and Registry Windows Registry 使用工具:Access Data Registry Viewer的演示版(demo version) 查看注册表hives, SAM, System, 和ntuser.net文件 注册表

市场分析:计算机取证,就是应急响应.而应急响应的市场在于黑产的攻击频率.在当今的社会里,更多的人为了钱铤而走险的比比皆是,这个市场随着比特币,大数据,物联网的来临,规模将更加的庞大与有组织性.这将导致,安全岗位迫在眼前.他们攻击的越凶越复杂,我们的收入就越多,当然自身需要的技术也就要求越高,对整个团队的依赖也就越多. 后面连续的几个干货将重点围绕windows系统感受取证技术.您将看见,双系统(linux和windows)中的细节落实.每一个消费心理会导致不一样的策划行为判断.同理,每一个技术细

When it comes to booting up evidence files acquired from target disk, you got two options. One is VFC and the other is Live View. Both of them could create snapshots out of images such as EWF(E01). So forensic examiners could conduct a live forensic

A friend of mine she asked me how to check all timestamps of a file on an NTFS volume. She did not have EnCase or FTK in hand. So I gave her FTK Imager and  showed her the creation time, access time and modified time of a file. All she need to do is

提前在windows7下给Archlinux预留一个分区,大小最好在20G以上(根据自己硬盘情况分配). 第一步,安装前的准备 从arch官网下载最新的ISO文件archlinux-2015.07.01-dual.iso(包含X86和X64双版本),地址 https://www.archlinux.org/download/ 使用Win32 Disk Imager 将镜像文件写入U盘(注意U盘文件会被全部删除),用U盘作为启动盘. 建议读者先阅读:https://wiki.archlinux.o

前段时间,我的用的双系统windows8.1 + fedora 21 workstation,使用grub2引导fedora和windows8.1的启动.由于一些原因,导致我的windows8.1无法正常的使用,我决定换回windows7 + fedora21的方案. 重装windows7后,windows会很傻比的把linux的bootloader抹杀掉,换成自己的引导方案,这样我开机后默认只有一个windows7系统.我由于想使用我的fedora了,决定使用U盘刻录一下fedora21的Li

1,镜像地址 http://www.raspberrypi.org/downloads/ 2,Windows下刷写工具 Win32 Disk Imager 3,安装wiringPi库 (这里在连网状态下使用git工具) 1)安装GIT工具:  $ sudo apt-get install git-core * 如果在这个过程中出现错误,尝试更新软件,例如输入以下指令: $ sudo apt-get update $ sudo apt-get upgrade   2)通过GIT获得wiringPi