CTF之misc杂项解题技巧总结（四）——SWF游戏和取证分析

四、swf游戏和取证分析

（一）.swf文件

（二）Windows取证基础

（三）内存取证

（四）磁盘取证

（五）ISO镜像光盘取证

文中涉及的所有工具在CTF部落中均有。

swf游戏和取证分析

（一）.swf文件

swf(shock wave flash)是Macromedia（现已被ADOBE公司收购）公司的动画设计软件Flash的专用格式，被广泛应用于网页设计、动画制作等领域，swf文件通常也被称为Flash文件。swf普及程度很高，现在超过99%的网络使用者都可以读取swf档案。这个档案格式由FutureWave创建，后来伴随着一个主要的目标受到Macromedia支援：创作小档案以播放动画。计划理念是可以在任何操作系统和浏览器中进行，并让网络较慢的人也能顺利浏览。swf 可以用Adobe Flash Player打开，浏览器必须安装[Adobe Flash Player](https://baike.baidu.com/item/Adobe Flash Player)插件。

回到顶部

取证分析

关于取证：

• 活取证：抓取文件的metadata、创建是时间线、命令历史、分析日志文件、哈希摘要、转存内存信息，使用未受感染的干净程序进行取证，U盘、网络、存储设备收集到的数据。

  在活取证中，可以使用内存dump工具，将被入侵的机器的内存保存下来，

• Windows环境下常用的工具是Dumpit。DumpIt 是一款绿色免安装的 windows 内存镜像取证工具。利用它我们可以轻松地将一个系统的完整内存镜像下来，并用于后续的调查取证工作，下载之后放到虚拟机中，双击之后输入y即可获取当前的状态的内存文件，

• Linux环境下常用的工具是lime(Linux Mem Extractor)，从intel硬件或虚拟机上抓取内存，

• 死取证：系统关机后制作硬盘镜像、分析镜像。

（二）Windows取证基础

1. .evtx日志取证

windows 日志取证主要包括三方面：Windorw 系统日志（由 windows 系统记录的日志），应用程序独自维护的日志，防火墙或入侵检测系统维护的日志。其中 Windows 操作系统维护三个相互独立的日志文件分别为：系统日志、应用程序日志和安全日志。日志文件位置：C:\Windows\System32\winevt\Logs\。登陆事件、策略更改、账户登陆、系统事件的成功失败，还有任何成功的入侵都将在安全日志中留下痕迹。

通过对Windows事件日志的取证分析，取证人员可以对操纵系统、应用程序、服务、设备等操作行为记录，通过关键的时间点进行回溯。

下表为Vista/Win7/Win8/Win10/Server2008/Server 2012及之后的版本

evtx文件是微软从 Windows NT 6.0(Windows Vista 和 Server 2008) 开始采用的一种全新的日志文件格式。在此之前的格式是 evt 。evtx由Windows事件查看器创建，包含Windows记录的事件列表，以专有的二进制XML格式保存。

.evtx文件可以在Windows事件查看器中打开，通过点击、筛选、查找等多种方式查看事件日志。

【注意】：

• Windows操作系统默认没有提供删除特定日志记录的功能，仅提供了删除所有日志的操作功能。也就意味着日志记录ID（EventRecordID）应该是连续的，默认的排序方式应该是从大到小往下排列。

• 默认情况下，当一个evtx文件的记录满了，日志服务会覆盖最开始的记录，从头开始写入新的记录。

5 种事件类型（级别）分为：

1. 信息（Information）：信息事件指应用程序、驱动程序或服务的成功操作的事件。

2. 警告（Warning）：警告事件指不是直接的、主要的，但是会导致将来问题发生的问题。例如，当磁盘空间不足或未找到打印机时，都会记录一个“警告”事件。

3. 错误（Error）：错误事件指用户应该知道的重要的问题。错误事件通常指功能和数据的丢失。例如，如果一个服务不能作为系统引导被加载，那么它会产生一个错误事件。

4. 成功审核（Success audit）：成功的审核安全访问尝试，主要是指安全性日志，这里记录着用户登录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录等事件，例如所有的成功登录系统都会被记录为“ 成功审核”事件。

5. 失败审核（Failure audit）：失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。

Windows 用 Event ID来标识事件的不同含义，以Security.evtx为例，一些常见的Event ID 如下

（1）evtx文件结构

\textcolorred.evtx=1∗\textcolorredfileheader（1个文件头）+n∗\textcolorredchunks（n个数据块）+\textcolorredtrailingemptyvalues（尾部填充空值）\textcolorred.evtx=1∗\textcolorredfileheader（1个文件头）+n∗\textcolorredchunks（n个数据块）+\textcolorredtrailingemptyvalues（尾部填充空值）

——file header

File Header（文件头）文件头长度为4KB（4096bytes），一个evtx只有一个文件头，其结构如下：

——Chunk

每个块的大小是 65536 bytes（64KB），可以有多个块，主要由三部分组成：

• chunk header 块头

• array of event records 事件记录组

• unused space 未使用的空间

chunk头长度为512bytes，其结构如下：

（2）.evtx日志隐藏

参考：闲聊Windows系统日志_Make-CSDN博客_windows系统日志

2. 注册表取证

注册表有5个根键（HKEY）：

• HKEY_CLASSES_ROOT：启动应用程序所需的全部信息，如扩展名，应用程序与文档之间的关系，驱动程序名，DDE和OLE信息，类ID编号和应用程序与文档的图标等。

• HKEY_CURRENT_USER：当前登录用户的配置信息，如环境变量，个人程序以及桌面设置等。

• HKEY_LOCAL_MACHINE：本地计算机的系统信息，如硬件和操作系统信息，安全数据和计算机专用的各类软件设置信息。

• HKEY_USERS：计算机的所有用户使用的配置数据，这些数据只有在用户登录系统时才能访问。

• HKEY_CURRENT_CONFIG：当前硬件的配置信息，其中的信息是从HKEY_LOCAL_MACHINE中映射出来的。

（1）关于启动项

HKLM\SOFTWARE\Microsoft\Windows\CurrentVevsion\Run

HKLM\SOFTWARE\Microsoft\Windows\CurrentVevsion\RunOnce

HKLM\SOFTWARE\Microsoft\Windows\CurrentVevsion\RunOnceEx

HKLM\SOFTWARE\Microsoft\Windows\CurrentVevsion\RunServices

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\Winlogon\Userinit

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\Winlogon\Shell

Userinit.exe 运行登录脚本、建立网络连接和启动shell。很多木马程序和流氓软件选择它作为启动项

Autoruns工具：查看系统启动项的工具

（2）关于用户与系统信息项

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\RegisteredOwner

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\Registeredorganizaion

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\ProductID

HKLM\SAM\SAM\Domains\Account\Users\Names

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\Winlogon

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\ProfileList

3. 系统进程

此类进程在系统中都会有固定的存放位置，假如在此存放位置之外发现此类程序，则有可能是病毒。据百度百科记载大多数此类文件都会存放在 C:\Windows\System32 不过根据自己亲自实验发现，在win 10 中每个此类文件的存放位置都会有四个，win 中自带有数字签名，此时只需要查看数字签名是否正常。而且据网上流传通过右键查看程序的版本信息是否存在也可以判断程序是否正常。并且大部分程序都会有自己固定的注册表信息，如果发现此时某程序对应的注册表信息不正确也极有可能是中毒情况。

（1）与其他应用程序相关进程

1. iexplore.exe
     描述： IE 浏览器进程，这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。
                                       中毒： 浏览器被劫持，任务管理器中多出进程：IEXPL0RE.EXE，注意，这里是数字“0”，不是字母“O”，或任务管理器查看有多个 iexplore.exe。

2. wmplayer.exe
     描述： Windows Media Player播放器的一部分，用于播放音频、视频文件。

3. spoolsv.exe
     描述： 是Print Spooler的进程，管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用，本地计算机上的打印将不可用。
                                       中毒： 多个相似名称进程，CPU 占用率高，文件位置不正确。

4. ctfmon.exe
     描述： 是有关输入法的一个可执行程序。它可以选择用户文字输入程序，和微软Office 语言条。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。它监视活动窗口，并为语音识别、书写识别、键盘、翻译和其他中文可选用户输入方法技术提供文本输入服务支持。
                                       中毒： 此进程占用资源太多

5. internat.exe
     描述： 多语言输入程序。
                                       中毒： 出现提示缺少 exe 文件问题的大部分原因是因该文件被木马病毒破坏导致系统程序找不到此文件，出现错误提示框，或程序无法运行，解决此问题只需找到专业的 exe 文件下载网站，下载该文件后，找到适合程序的文件版本，复制到相应目录。

6. conime.exe
     描述： 输入法编辑器相关程序。允许用户使用标准键盘就能输入复杂的字符与符号。

7. wuauclt.exe
     描述： 是Windows自动升级管理程序。该进程会不断在线检测更新。删除该进程将使计算机无法得到最新更新信息。
                                       中毒： 该病毒自动修改原先的 wuauclt.exe 为 wuauclt1.exe ，并建立新的 wuauclt.exe 。建议关闭 wuauclt.exe 进程，删除 wuauclt.exe 进程，然后把 wuauclt1.exe 更改为 wuauclt.exe 。

8. alg.exe
     描述： 它用于处理微软 Windows 网络连接共享和网络连接防火墙。
                                       中毒： 系统文件 ALG.EXE 出错，极有可能是盗号木马、流氓软件等恶意程序所导致，其感染相关文件并加载起来，一旦杀毒软件删除被感染的文件，就会导致相关组件缺失，游戏等常用软件运行不起来，通常会伴随下几种情况：
     - 桌面图标无法删除
     - 网络游戏打不开
     - 电脑无故蓝屏
     - 电脑没声音
     - 桌面无法显示
     - 主页被修改为网址导航

（2）图形化相关进程

1. csrss.exe
     描述： 是微软客户端、服务端运行时子系统，windows 的核心进程之一。管理 Windows 图形相关任务，对系统的正常运行非常重要。csrss是Client/Server Runtime Server Subsystem 的简称，即客户/服务器运行子系统，用以控制Windows图形相关子系统，必须一直运行。

2. explorer.exe
     描述： 是 Windows 文件资源管理器，它用于管理 Windows 图形界面，包括桌面和文件管理，删除该程序会导致 Windows 图形界面无法使用。
                                       中毒： 查看文件位置是否正常，查看版本信息和数字签名值。

3. dwm.exe
     描述： 桌面窗口管理器，跟桌面相关。它建立在WPF核心图形层组件基础之上。它的出现几乎改变了 Vista 中应用程序的屏幕象素显示方式。启用 DWM 后，提供的视觉效果有毛玻璃框架、3D窗口变换动画、窗口翻转和高分辨率支持 。其中最明显的特征有：任务栏窗口的实时缩略图；Alt+Tab 和 Win+Tab 组合键所看到的效果。

（3）登陆相关进程

1. smss.exe
     描述： 这是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的 Windows 登录程序 (winlogon.exe) ，Win32子系统（csrss.exe）线程和设定的系统变量作出反映。
                                       中毒： 查看文件位置是否正常，查看版本信息和数字签名值。

2. winlogon.exe
     描述： Windows 用户登陆程序，用于管理用户登录和退出。
                                       中毒： 正常的winlogon系统进程，其用户名为 “SYSTEM” 程序名为小写 winlogon.exe 。而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的 WINLOGON.exe。

3. lsass.exe
     描述： 它用于本地安全和登陆策略，随着系统启动而自动启动。它提供本地的安全授权服务，并且它会为使用 winlogon 服务的授权用户生成一个进程。这个进程是通过使用授权的包，如果授权是成功的，lsass 就会产生用户的进入令牌，令牌被使用启动初始的 shell 。其他的由用户初始化的进程会继承这个令牌的。
                                       中毒： 如果你的启动菜单（开始-运行-输入“msconfig”）里有个lsass.exe启动项，那就说明你中了LSASS.EXE木马病毒，中毒后，在进程里可以见到有两个相同的进程，分别是lsass.exe和LSASS.EXE，同时在windows下生成LSASS.EXE和exert.exe两个可执行文件，且在后台运行，LSASS.EXE管理exe类执行文件，exert.exe管理程序退出，还会在D盘根目录下产生和 autorun.inf两个文件，同时侵入注册表破坏系统文件关联。

——Windows 登录过程

SMSS.exe 会话管理进程是内核创建的第一个用户态进程，它启动后会创建 Windows 子系统服务进程 CSRSS 和 WinLogon 进程。WinLogon 会创建登录桌面以及服务系统管理进程 Servises ，在用户登录前，系统使用特殊帐户（NT AUTHORITY\SYSTEM （帐户域\帐户权限））先行登录处理 Servises。然后它会创建数个 svchost.exe子进程，而每个svchost.exe进程都会启动并运行一些基本的windows服务 。因为 CSRSS 和WinLogon 对系统来说缺一不可，因此 SMSS 创建这两个进程遇到问题时便采取紧急措施，不会正常启动。

Explorer 进程是由 UserInit 创建的，UserInit是由 WinLogon 进程创建的，在 Windows 去启动过程中，用户输入用户名和密码后，负责登陆的系统进程 WinLogon 将用户名和密码发送给负责安全认证的另一个系统进程 Lsass。Lsass 调用验证模块对用户名和密码进行验证，如果通过，则创建一个访问令牌对象。WinLogon 去启动 HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVevsion\Winlogon 的 Userinit 表键下指定的程序（默认为 userinit.exe） 。UseInit 进程执行登陆和初始化脚本，然后启动 Shell 表键中定义的 Shell 程序（默认即 Explorer.exe）。

所有这些过程都会被记录进系统内置的"安全"类型日志，可以通过事件查看器浏览。

（4）其他重要进程

1. svchost.exe
     描述： Windows 服务主进程，是通过动态链接库 (DLL) 运行的服务的通用进程名。许多服务通过注入到该程序中启动，所以会有多个该文件的进程。svchost 进程只作为服务宿主，它本身并不能实现任何功能，即它只能提供条件让其他服务在这里被启动。svchost通过系统服务在注册表中设置的参数找到某个服务的动态链接库。
                                       中毒： 查看文件位置是否正常，查看版本信息和数字签名值。

2. rundll32.exe
     描述： 用于在内存中运行DLL文件，它们会在应用程序中被使用。这个程序对你系统的正常运行是非常重要的。
                                       中毒： 查看文件位置是否正常，查看版本信息和数字签名值。

3. taskmgr.exe
     描述： 任务管理器。它显示系统中正在运行的进程。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。
                                       中毒： 多个相似名称进程，CPU 占用率高，文件位置不正确。

4. services.exe
     描述： 用于管理启动和停止服务。该进程也会处理在计算机启动和关机时运行的服务。
                                       中毒：多个相似名称进程，CPU 占用率高，文件位置不正确。

5. conhost.exe
     描述： 即命令行程序的宿主进程。win7 之前的宿主程序是由 csrss.exe 来完成的，所有命令行进程都使用 session 唯一的 csrss.exe 进程。而到了 win7 则改成每个命令行进程都有一个独立的 conhost 作为宿主了。

6. mdm.exe
     描述： Windows进程除错程序。用于使用可视化脚本工具对Internet Explorer除错。

中毒：木马病毒程序的惯用伎俩：伪装成与原进程相似的文件名；将原进程名改为其他进程，然后将病毒程序改为原进程进程名；而且中病毒时一般 cpu 的占用率会升高。

（三）内存取证

计算机的操作系统和应用使用主内存（RAM）来执行不同的任务。这种易失性内存包含大量关于运行应用、网络连接、内核模块、打开的文件以及几乎所有其他的内容信息，但这些信息每次计算机重启的时候都会被清除。

内存取证（Memory forensics）是一种从内存中找到和抽取这些有价值的信息的方式。

1.基础知识了解

.vmem文件表示虚拟内存文件，与pagefile.sys相同

.raw文件是内存取证工具Dumpit提取内存生成的内存转储文件

profile是特定操作系统版本以及硬件体系结构（x86,x64,ARM）中VTypes，共用体，对象类型的集合。除了这些组件以外，profile还包括元数据（操作系统的名称），内核版本以及编译号，系统调用信息，索引以及系统调用的名称，常量值（全局变量），在某些操作系统中能够在硬编码的地址处找到的全局变量 系统映射（关键全局变量和函数的地址，仅限Linux和Mac）

每个profile都有个一个唯一的名称,通常是由操作系统的名称，版本，服务包，系统结构等信息组成。

例如Win7SP1x64是64位的Windows 7 SP1系统配置文件的名称

2. Volatility环境配置

Volatility：是一款开源的，基于Python开发的内存取证工具集，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。Volatility支持对32位或64位Wnidows、Linux、Mac、Android操作系统的RAM数据进行提取与分析。

linux下运行 Volatility 命令的主要入口点是 vol.py 脚本，windows下是一个exe文件。

• windows中可以直接下载已经编译好的可执行文件，放入环境变量中命令行使用

• linux下也有对应的可执行文件，同时也可以下载源码自己手动配置。（如果需要用到一些插件，建议手动配置）

下面介绍如何在linux下源码配置并关联扩展插件。（Volatility 已经用 Python 3 重写了，但是本教程使用的是用 Python 2 写的原始的 Volatility 包）

1. 下载源码并安装

   git clone https://github.com/volatilityfoundation/volatility.git
python setup.py build
python setup.py install


2. python2环境下配置第三方库

   在进行安装时，部分模块可能会报错，这就需要到https://pypi.org/project/搜索相应版本的模块的源码，进行手动安装。

   每次安装完一个库就在python2环境里import测试一下是否安装成功

• Distorm3:反编译库

  pip2 install distorm3


• Yara:恶意软件分类工具

  这里有个坑，安装yara需要手动安装yara-1.7.7· PyPI，直接pip安装会报错

  入坑参考：AttributeError: /usr/lib/libyara.so: undefined symbol: lookup_rule · Issue #326 · VirusTotal/yara · GitHub

  cd yara-python
python setup.py build
sudo python setup.py install


• PyCrypto:加密工具集

  pip2 install pycrypto


• PIL:图片处理库

  pip2 install Pillow


• OpenPyxl:读写excel文件

  pip2 install openpyxl


• ujson:JSON解析

  pip2 install ujson


3. Volatility使用

其实使用volatility主要是使用它的内置插件来获取种种信息。

Volatility命令的通用格式如下

使用下面的命令可以看volatility所支持的所有插件，不带前缀的是windows的插件，带linux前缀的是linux的插件，带mac前缀的是mac的插件

一般在使用前看看目标内存转储文件的架构

Windows内存转储文件取证分析

参考：内存取证 | Yu'Blog (gitee.io)

对于Windows内存转储文件，插件使用及对应的说明如下。

Linux内存转储文件取证分析

直接参考

• 技术|使用开源工具进行 Linux 内存取证

• Volatility学习笔记一：使用手册

CTF常用命令总结

内存取证（volatility） - 云+社区 - 腾讯云 (tencent.com)

使用imageinfo插件来猜测dump文件的profile值

指定profile值，使用pslist去列举系统进程

查看控制台输入的历史命令

查看IE历史信息

查看截图

配合管道指令和搜索指令扫描特定类型的文件

导出某个进程的内存数据

获取系统密码（2种方法）

1. 使用 hashdump 将hash值提取打印出来

   volatility -f xxx --profile=xxx hashdump


   打印出的字符串含义满足如下关系（最后末尾的项是NT-HASH，是我们要破解的HASH值）

   用户名:RID:LM-HASH值:NT-HASH值


   把要破解的用户名所在行复制粘贴作为Single Hash，load到ophcrack然后crack

2. 用mimikatz扩展插件直接获取明文密码

   python vol.py -f xxx --profile=xxx mimikatz


查看缓存在内存的注册表

PS：注册表是Microsoft Windows中的一个重要的数据库，用于存储系统和应用程序的设置信息。

恢复被删除的文件，mftoutput.txt 里面包含内存里面的文件（文件路径，文件内容）

导出注册表资源

提取filescan的文件

4. Magnet AXIOM环境配置与使用

国外的一款图形化取证工具，功能类似于取证大师，内置volatility

参考：CTF必备取证神器 - 知乎 (zhihu.com)

下载链接：https://www.aliyundrive.com/s/EpRbevKEUi5

使用：打开Magnet AXIOM Process；点击新建案件；在证据来源标签页下选择源计算机、加载或获取、证据源，然后加载要分析的转储文件。切换到分析证据，选中要分析的源然后点击分析证据

分析过程中CPU占用比较大，时间也比较久

5. ophcrack配置与使用

参考：ophcrack的简单用法

Ophcrack是一款利用彩虹表来破解 Windows密码的工具。其次是两篇有关Ophcrack的技术文章：杜莉翻译的“安全高手的利器认识彩虹哈希表破解工具”

1. 下载便携版免安装ophcrack download | SourceForge.net

2. 下载彩虹表Ophcrack (sourceforge.io)（只能下XP free small、XP free small、Vista free）

3. 建立一个tables文件夹，把下载的彩虹表解压到该文件夹下，在ophcrack中点击Table，选中你下载的彩虹表对应的table，然后点击install，弹出文件夹选择框后选择解压出的彩虹表文件夹，可以看到标识变成绿色。

点开load

• Single Hash主要用于对单个Hash的破解，

• PWDUMP file是对获取的Pwdump文件进行破解，

• Encrypted SAM是对加密的sam文件进行破解

（四）磁盘取证

文件系统是一种用于向用户提供底层数据访问的机制。它将设备中的空间划分为特定大小的块（或者称为簇），一般每块512字节。数据存储在这些块中，大小被修正为占用整数个块。由文件系统软件来负责将这些块组织为文件和目录，并记录哪些块被分配给了哪个文件，以及哪些块没有被使用。不过，文件系统并不一定只在特定存储设备上出现。它是数据的组织者和提供者，至于它的底层，可以是磁盘，也可以是其它动态生成数据的设备（比如网络设备）。——维基百科

DOS / Microsoft Windows对几类文件系统（FAT12/FAT16 、FAT32/VFAT、FAT64/exFAT、NTFS）的支持情况如下

1. NTFS磁盘文件系统取证

磁盘文件系统是一种设计用来利用数据存储设备来保存计算机文件的文件系统，最常用的数据存储设备是磁盘驱动器，可以直接或者间接地连接到计算机上。例如：FAT、exFAT、NTFS、HFS、HFS+、ext2、ext3、ext4、ODS-5、btrfs、XFS、UFS、ZFS。——维基百科

题目：【2021强网杯】EzTime

NTFS 包含若干用于定义和组织文件系统的文件（内含对磁盘的管理数据）。

（1）$MFT文件

参考：NTFS文件系统文件记录分析 | 数据恢复迷 (dgxue.com)

MFT以文件记录来实现对文件的管理，每个文件记录都对应着不同的文件，大小固定为1KB，也就是占用两个扇区，而不管簇的大小是多少。如果一个文件有很多属性或是分散成很多碎片，就很可能需要多个文件记录。这时，存放其文件记录位置的第一个记录就称作“基本文件记录”。

文件记录在MFT中物理上是连续的，从0开始依次按顺序编号。

前16个文件记录总是元文件的记录，并且这16个文件记录的顺序是固定的（按照上表中的顺序）

$MFT=n×文件记录文件记录=文件记录头+属性列表$MFT=n×文件记录文件记录=文件记录头+属性列表

$MFT可以看作是一个结构体数组，结构体元素（即文件记录）的结构组成如下

——文件记录头

文件记录头是固定长度的

——属性列表

对于属性列表中的每个属性而言

属性=属性头+属性体属性=属性头+属性体

每个文件记录中都有多个属性，它们相对独立，有各自的类型和名称。属性头前4个字节区分属性的种类，主要有以下几种属性

（2）工具

• NTFS Log Tracker（导出为可视化的csv或者db文件）

• X-Ways Forensics（强大的综合性计算机取证工具）

2. 磁盘加密

BitLocker加密解密

题目：

• 【2021强网杯】Cipherman

在CTF中需要找BitLocker 恢复密钥来进行BitLocker解密，进而提取出磁盘里面的内容

Bitlocker可以对存储设备做硬件加密，防止设备丢失时，导致文件内容被别人破解查看

Bitlocker的解锁方式主要有三种：TPM、PIN、恢复密钥。

• TPM是在主板上的硬件芯片，可以存储各种证书密钥，不是所有电脑都有。

• PIN就是自己设置的一个解锁密码。

• 恢复密钥是一个最短48位的数字，可以被制作成密钥文件存储于U盘作为解密工具。

恢复密钥的获取方式（来自在 Windows 中查找 BitLocker 恢复密钥 (microsoft.com)）：

1. 在 Microsoft 帐户中： 在另一台设备上登录到 Microsoft 帐户以查找恢复密钥。如果你有一台支持自动设备加密的现代设备，则恢复密钥最有可能在你的 Microsoft 帐户中。有关详细信息，请参阅 Windows 中的设备加密。

   或者直接登录此处就可以获取

2. 在打印输出上： 在激活 BitLocker 时，可能打印了恢复密钥。在存放与你的计算机相关的重要文件的位置查找。

3. 在 U 盘上： 将 U 盘插入锁定的电脑，然后按照说明进行操作。如果你已在 U 盘上将密钥另存为文本文件，则使用另一台计算机阅读此文本文件。

4. 在 Azure Active Directory 帐户中： 如果设备曾使用工作或学校电子邮件帐户登录到组织，则恢复密钥可能存储在与Azure AD关联的组织帐户。你或许可以直接访问它，也可能需要联系系统管理员来访问恢复密钥。

5. 由系统管理员持有： 如果设备已连接到域， (工作或学校设备) ，请向系统管理员请求恢复密钥。

这种类型的题目通常结合内存取证，从内存中dump出恢复密钥，解密磁盘，挂载并取出加密磁盘中的flag

——如何解密磁盘文件：

• 用工具把磁盘挂载到Windows系统内之后会提示输入PIN码和恢复密钥

• 挂载到Linux系统可以参考How To Mount BitLocker-Encrypted Windows Partitions On Linux - Linux Uprising Blog

3. 磁盘挂载

参考：【电子取证：FTK Imager 篇】DD、E01系统镜像动态仿真__ftk挂载镜像

【方法一】FTK Imager挂载

FTK Imager工具 “可写”模式下挂载系统镜像为本地驱动器

【方法二】Linux的mount指令

Linux 系统中“一切皆文件”，所有文件都放置在以根目录为树根的树形目录结构中。在 linux 看来，任何硬件设备也都是文件，它们各有自己的一套文件系统（文件目录结构）。Linux中的根目录以外的文件要想被访问，需要将其“关联”到根目录下的某个目录来实现，这种关联操作就是“挂载”，这个目录就是”挂载点”，解除次关联关系的过程称之为“卸载”。不是根目录下任何一个目录都可以作为挂载点，由于挂载操作会使得原有目录中文件被隐藏，因此根目录以及系统原有目录都不要作为挂载点，会造成系统异常甚至崩溃，挂载点最好是新建的空目录。

mount  [−f  nrsvw]  [−t  系统类型]  [−o  options]  [其它选项]  device  dirmount  [−f  nrsvw]  [−t  系统类型]  [−o  options]  [其它选项]  device  dir

1. device：指明要挂载的设备；

• 设备文件：例如/dev/sda5

• 卷标：-L ‘LABEL’， 例如 -L 'MYDATA'

• UUID：-U ‘UUID’，例如 -U '0c50523c-43f1-45e7-85c0-a126711d406e'

• 伪文件系统名称：proc, sysfs, devtmpfs, configfs

【方法三】OSFMount / DiskGenius

• OSFMount

• DiskGenius

（四）ISO镜像光盘取证

1. ISO 9960文件结构

先理清一下ISO文件的结构（n和m是数目）

ISO=(1)\textcolorredSystemArea+(n)\textcolorredVolumeDescriptors+\textcolorredPathTable+(m)\textcolorredDirectoriesISO=(1)\textcolorredSystemArea+(n)\textcolorredVolumeDescriptors+\textcolorredPathTable+(m)\textcolorredDirectories

参考：

• ISO 9660 - OSDev Wiki

• ISO 9660 - 维基百科，自由的百科全书 (wikipedia.org)

ISO文件有很多数据类型，关于ISO文件的数据类型表可以参照附录部分

（1）系统区域（System Area）

前32 KB（0∼7FFFH0∼7FFFH）是ISO 9660 文件的系统区域，可用于任意数据。通常用于存储启动信息，以防 ISO 9660 文件系统不是存储在光学介质上，而是存储在类似硬盘的设备上，例如在 U 盘上。因此需要在该位置查找主启动记录（MBR，用于 BIOS）、GUID 分区表（GPT，用于 EFI）或 Apple 分区图 （APM）。

（2）卷描述符（Volume Descriptors）

先总结一下特点：

• 每个卷描述符都是2KB（800H个字节）大小

• 卷描述符以一个卷描述符类型码起始，类型码不同，作用也不同。

• 符合 ISO 9660 标准的光盘必须至少包含一个描述文件系统的主卷描述符和一个卷描述符集终止符，该终止符是标记描述符集末尾的卷描述符。

准备挂载 CD 时，您的第一个操作将是读取卷描述符（具体来说，您将查找主卷描述符）。

卷描述符有很多种，基本格式如下：

可以看出每个卷描述符因此是一个扇区（2 KB）长。

卷描述符类型码不同数值所代表的含义如下

下面一 一介绍几种几种常见的卷描述符。

引导记录卷描述符（The Boot Record）

第一种类型的卷描述符是"引导记录"。

描述符格式如下：

最常见的引导系统使用规范是El Torito。它将字节 71 到 74 记录为 El Torito Boot Catalog 的块地址的小端 32 位数字。此目录列出了可用的启动映像，这些映像用作启动系统的起点。

主卷描述符（The Primary Volume Descriptor）

这是一个冗长的描述符，但它包含一些非常有用的信息。

卷描述符集终结符（Volume Descriptor Set Terminator）

卷描述符集终结符当前未定义其卷描述符的7∼20477∼2047字节内容 。这意味着其只有类型代码 （255）、标准标识符 （'CD001'） 和描述符版本 号（0x01）。

（3）路径表（The Path Table）

路径表汇总了相关目录层次结构的目录结构。对于映像中的每个目录，路径表提供目录标识符、记录目录的范围的位置、与目录关联的任何扩展属性的长度以及其父目录路径表条目的索引。

路径表的位置可以在主卷描述符中找到。有两种表类型 - L 路径表（与 x86 相关）和 M 路径表。这两个表之间的唯一区别是 L 表中的多字节值是 LSB 优先的，而 M 表中的值是 MSB 优先的。

路径表条目的结构如下：

路径表按目录级别的升序排列，并在每个目录级别中按字母顺序排序。

（4）目录表（Directories）

在从 ISO 9660 CD 读取时的某个时刻，您将需要一个目录记录来查找文件，即使您最初通常使用路径表来查找目录也是如此。与路径表不同，每个目录表只有一个版本，多字节码采用双字节序格式。每个目录都将以 2 个特殊条目开头：一个空字符串，描述 "." 条目，字符串 "\1" 描述".."条目。目录记录的布局如下：

即使目录跨越多个扇区，也不允许目录条目跨越扇区边界（与路径表不同）。如果没有足够的空间来记录扇区末尾的整个目录条目，则该扇区将进行零填充，并使用下一个连续扇区。

上述一些字段需要解释。

日期/时间字段（Date/Time）

目录表的日期/时间格式与主卷描述符中使用的格式不同。目录表的日期/时间格式为：

这与包含 ASCII 编码十进制值的 PVD 形成鲜明对比，但这种格式可能为了节省大量条目的磁盘空间。

文件标识字段（File Flags）

另一个需要解释的字段是"文件标志"字段。这由一个位标志表示，如下所示：

文章来源于Em0s_Erit总结

CTF部落

高质量CTF社区，致力于国内网CTF比赛研究，每日分享行业最新资讯，交流解答各类技术问题。星球中可以获取各类CTF比赛信息、解题工具、技巧、书籍、各种资源，发布政府机关、企业、厂商网络安全招聘信息，及内类内推资格。所有发布的内容均精心挑选、成体系化，让你远离无用信息及零碎的知识点。

加入星球后获得：

• 各类CTF比赛信息、解题工具、技巧、书籍、靶场资源；

• CTF学习思维导图，0基础开启CTF之路；

• 遇到任何技术题都快速提问与讨论交流的思路；

• 组织队伍参与各类CTF比赛；

• 面试大厂心得及内推资格；

END