https://game.etao.net/w/index.php?action=history&feed=atom&title=%E7%A3%81%E7%9B%98%E5%86%85%E5%AD%98%E5%88%86%E6%9E%90 2026-05-06T07:51:34Z 本wiki上该页面的版本历史 MediaWiki 1.43.0 https://game.etao.net/w/index.php?title=%E7%A3%81%E7%9B%98%E5%86%85%E5%AD%98%E5%88%86%E6%9E%90&diff=266&oldid=prev 2023-07-03T06:00:51Z

<p>创建页面，内容为“{{Ctf_Wiki}} = 磁盘内存分析 = == 常用工具 == * EasyRecovery * MedAnalyze * FTK * [https://ctf-wiki.github.io/ctf-tools/misc/#_6 Elcomsoft Forensic Disk Decryptor] * Volatility == 磁盘 == 常见的磁盘分区格式有以下几种 &lt;ul&gt; &lt;li&gt;&lt;p&gt;Windows: FAT12 -&gt; FAT16 -&gt; FAT32 -&gt; NTFS&lt;/p&gt;&lt;/li&gt; &lt;li&gt;&lt;p&gt;Linux: EXT2 -&gt; EXT3 -&gt; EXT4&lt;/p&gt;&lt;/li&gt; &lt;li&gt;&lt;p&gt;FAT 主磁盘结构&lt;/p&gt; &lt;p&gt;[[File:./figure/forensic-filesys.jpg]]&lt;/p&gt;&lt;/li&gt; &lt;li&gt;&lt;p&gt;删除…”</p> <p><b>新页面</b></p><div>{{Ctf_Wiki}}<br /> = 磁盘内存分析 =<br /> <br /> == 常用工具 ==<br /> <br /> * EasyRecovery<br /> * MedAnalyze<br /> * FTK<br /> * [https://ctf-wiki.github.io/ctf-tools/misc/#_6 Elcomsoft Forensic Disk Decryptor]<br /> * Volatility<br /> <br /> == 磁盘 ==<br /> <br /> 常见的磁盘分区格式有以下几种<br /> <br /> &lt;ul&gt;<br /> &lt;li&gt;&lt;p&gt;Windows: FAT12 -&amp;gt; FAT16 -&amp;gt; FAT32 -&amp;gt; NTFS&lt;/p&gt;&lt;/li&gt;<br /> &lt;li&gt;&lt;p&gt;Linux: EXT2 -&amp;gt; EXT3 -&amp;gt; EXT4&lt;/p&gt;&lt;/li&gt;<br /> &lt;li&gt;&lt;p&gt;FAT 主磁盘结构&lt;/p&gt;<br /> &lt;p&gt;[[File:./figure/forensic-filesys.jpg]]&lt;/p&gt;&lt;/li&gt;<br /> &lt;li&gt;&lt;p&gt;删除文件：目录表中文件名第一字节 &lt;code&gt;e5&lt;/code&gt;。&lt;/p&gt;&lt;/li&gt;&lt;/ul&gt;<br /> <br /> &lt;span id=&quot;vmdk&quot;&gt;&lt;/span&gt;<br /> == VMDK ==<br /> <br /> VMDK 文件本质上是物理硬盘的虚拟版，也会存在跟物理硬盘的分区和扇区中类似的填充区域，我们可以利用这些填充区域来把我们需要隐藏的数据隐藏到里面去，这样可以避免隐藏的文件增加了 VMDK 文件的大小（如直接附加到文件后端），也可以避免由于 VMDK 文件大小的改变所带来的可能导致的虚拟机错误。而且 VMDK 文件一般比较大，适合用于隐藏大文件。<br /> <br /> == 内存 ==<br /> <br /> * 解析 Windows / Linux / Mac OS X 内存结构<br /> * 分析进程，内存数据<br /> * 根据题目提示寻找线索和思路，提取分析指定进程的特定内存数据<br /> <br /> == 题目 ==<br /> <br /> * Jarvis OJ - MISC - 取证 2<br /> <br /> == 参考 ==<br /> <br /> * [http://wooyun.jozxing.cc/static/drops/tips-12614.html 数据隐藏技术]</div>

127.0.0.1