星河滚烫,人生有理想! ​ ---[suy999] DD.E01系统镜像动态仿真 (一)使用到的软件 1.FTK Imager (v4.5.0.3) 2.VMware Workstation 15 Pro (v15.5.2) (二)FTK Imager 挂载镜像 1.选择 Imager Mounting 2.选择系统镜像挂载*"注意一"!!! (三)VMware新建虚拟机 1.新建虚拟机 2.固件类型*"注意二"!!! 3.处理器.内存及其它配置 4.磁盘类型选择&

1.硬盘镜像获取工具:dd dd是Linux/UNIX 下的一个非常有用的命令,作用是用指定大小的块拷贝一个文件,并在拷贝的同时进行指定的转换. 1.1 本地取数据 查看磁盘及分区 # fdisk -l 获取整个磁盘镜像文件 # dd if=需要拷贝的磁盘 of=/存储目录/镜像文件 (确保存储目录有足够的空间) 1.2 远程取硬盘数据· 克隆硬盘或分区的操作,不应在已经mount的的系统上进行,采取远程取的办法这样可以避免破坏现场. NC远程传输文件 从受害机器A拷贝文件到取证机器B.需要先在

FTK Imager制作镜像详细介绍 以DD镜像制造为例,详细介绍了FTK Imager创建镜像的过程,记得大学的时候学习这些没什么教程,找到的资料也是语焉不详,故在此啰嗦一番---[suy] 一.磁盘镜像制作步骤 (一)选择源证据类型 1.路径:文件(F)->创建磁盘映像(C)->选择源->物理驱动器(P) (二)选择需要做的磁盘 (三)选择镜像类型 (四)填写案件信息(可选) (五)设置镜像参数! 1.镜像保存位置.镜像名 2.是否分卷!!!默认分卷不分卷 3.加密设置(可选) 4.

Windows Server镜像仿真.vmdk镜像仿真 时间过得真快呀!--[suy999] Windows Server镜像仿真.vmdk镜像仿真 一.qemu-img镜像转换工具 (一)raw.qcow2等镜像装换为vmdk 1.RAW镜像转换命令 二.VMware新建虚拟机 1.新建虚拟机 2.固件类型->"BIOS"*"注意一"!!! 3.处理器.内存及其它配置 4.磁盘类型->"IDE"*"注意二"!!!

在线靶场: https://www.mozhe.cn 背景介绍 某运维人员发现服务器最近被一个IP连接过SSH,请找到连接服务器SSH的IP. 实训目标 1.了解Linux备份方式: 2.了解AccessData FTK Imager使用方法: 3.掌握如何查看Linux日志: 解题方向 根据备份文件进行分析,找到IP地址,验证. 启动靶场,跳转桃链接回去下载备份的文件 下载解压之后,格式为ssh.img的格式 打开kail linux 进行挂载: ╰─ losetup -f -P ssh1.i

来自俄罗斯的取证大厂Belkasoft,旗下的主力产品Belkasoft Evidence Center有不错的评价,除了BEC之外,咱们Yuri老兄也是佛心来着的,提供了一个免费内存镜像工具RamCapture给同好们享用. 它有32bit及64bit版本,无须安装,直接运行即可.但须以系统管理者权限运行.默认会将内存镜像储存在RamCapture相同路径之下.且会很贴心地以当天日期设定文件名,后缀名默认为.mem． 有意思的是,在完成镜像后,还会打个小广告,如下图红色底线所示. 好工具不嫌多

We could find some important clue in Restore Point because "System Protection" of volume C is enabled in Windows default settings. Lots of data in "My Documents", "Desktop", and "Favorotes". Further more lots of Win

The latest Windows 10 will be more and more popular in the very near future. Now let's take a look if we could conduct a live forensic on Win10 by using LiveView 0.8 RC1. 1.The OS version of suspect's laptop is Windows 10. After acquiring we got the

Some said Live View could only boot up images acquired from 32bit OS evidence. I have to say that it's not true. Ok, the best way to prove it is let the evidence speak for themselves~ 1. Boot up Windows 7 64bit evidence 2. Live View boot up Linux 64b

Last week my friend brought me an evidence file duplicated from a Linux server, which distribution is CentOS 5.0 and the i18n is zh-tw. She wanna know whether there is any malware on this Linux server or not. OK. Let's get to work. I add this evidenc

Someone ask me how to image a CD/DVD ROM and generate hash value in the same time. A small tool called "dcfldd" could achieve this goal. Compared to dd, dcfldd allows for more than one output file, supports simultaneous multiple checksum calcula

也就是说,当我拿着U盘启动盘,从你电脑里面拷贝了注册表的几个文件,大部分数据就已经到我手中了.一起来感受一下吧. 来源:Unit 6: Windows File Systems and Registry 6.1 Windows File Systems and Registry Windows Registry 使用工具:Access Data Registry Viewer的演示版(demo version) 查看注册表hives, SAM, System, 和ntuser.net文件 注册表

来源:Unit 5: Windows Acquisition 5.1 Windows Acquisition Windows Memory Acquisition and Analysis 调查人员检查物理内存内容,以检测恶意进程.威胁和内存驻留恶意软件,以恢复密码和获取密钥. 伏笔:rootkit,root代表最高权限,kit表示软件.合起来,最高权限的软件.如果存在恶意rootkit,利用它可以运行指令将进程与一些显示进程列表接口的函数切断关联隐藏起来,你在任务管理器里看不见.这东西的危害,

市场分析:计算机取证,就是应急响应.而应急响应的市场在于黑产的攻击频率.在当今的社会里,更多的人为了钱铤而走险的比比皆是,这个市场随着比特币,大数据,物联网的来临,规模将更加的庞大与有组织性.这将导致,安全岗位迫在眼前.他们攻击的越凶越复杂,我们的收入就越多,当然自身需要的技术也就要求越高,对整个团队的依赖也就越多. 后面连续的几个干货将重点围绕windows系统感受取证技术.您将看见,双系统(linux和windows)中的细节落实.每一个消费心理会导致不一样的策划行为判断.同理,每一个技术细

When it comes to booting up evidence files acquired from target disk, you got two options. One is VFC and the other is Live View. Both of them could create snapshots out of images such as EWF(E01). So forensic examiners could conduct a live forensic

A friend of mine she asked me how to check all timestamps of a file on an NTFS volume. She did not have EnCase or FTK in hand. So I gave her FTK Imager and  showed her the creation time, access time and modified time of a file. All she need to do is

简介: 在学习autopsy之前,我们先学习如何将犯罪嫌疑人的磁盘保存为一个证据镜像.我们使用的将磁盘保存为证据镜像的工具为AccessData FTK imager,你可以自行搜索下载. AccessData FTK imager的使用: FTK imager已经安装好了,现在我们模拟将本地C盘保存为镜像,以供后面使用autopsy进行分析取证. 第一步,创建一个磁盘镜像: 第二步,选择需要镜像的内容,这里我选择逻辑驱动器,根据自己实际情况而定: 第三步,指定镜像保存的格式,dd为原始文件E0

准备工作: 1. 安装virtual box 虚拟机,并安装虚拟机增强功能,并配制共享文件夹. 共享文件夹自动挂载后的路径为/media/sf_xxx文件夹,xxx为所起的文件名. 解决virtualbox没有权限访问共享文件夹: sudo adduser username vboxsf 2. 安装lubuntu,并配制终端显示字体为DejaVu Sans Mono lubuntu中的终端会有英文字母挤在一起的情况.配制终端显示字体后好看多了. 3. 安装ns2,并配制环境变量 参考:http:

今天需要在戴尔R410服务器上装64位的Linux,师兄给了个14.04的server 64位镜像.一开始打算用U盘安装,用软碟通烧写镜像之后,在服务器端设置从U盘启动,但是安装到一半出现了光盘无法挂载的现象,如图所示: 百度,Google了一下,确实也有不少人碰到了这个问题,并且几乎都是在安装server版本时碰到的,Desktop版本的用U盘安装没有这个问题. 总结了一下解决方法: 换一个烧录工具,或者用光盘刻录安装没有这个问题,烧写U盘的工具有Win32 Disk Imager,但需要把I

引言 图像视频处理等多媒体领域是FPGA应用的最主要的方面之一,边缘检测是图像处理和计算机视觉中的基本问题,所以也是最常用的,随着数据量的不断增加以及对实时性的要求,一般软件已经不能满足实际需要,这时,就需要专门的硬件来实现加速.本小节就实现一个简单的sobel边缘检测加速器,为了便于对比,我们还编写对应的软件算法. 1,基本思想与算法 Sobel检测法通过一个叫做卷积的过程来估计每个像素点每个方向上的导数值.把中心像素点和离它最近的八个像素点每个乘以一个系数后相加.该系数通常用一个 的卷积表(