磁盤內存分析

{{#tree:

• Introduction
  • CTF歷史
  • CTF競賽模式
  • CTF競賽內容
  • 線下攻防經驗
  • CGC超級挑戰賽
  • 學習資源
• Misc
  • 雜項簡介
  • 信息搜集技術
  • 編碼分析
    • 通信領域常用編碼
    • 計算機相關編碼
    • 現實世界常用編碼
  • 取證隱寫前置技術
  • 圖片分析
    • 圖片分析簡介
    • PNG
    • JPG
    • GIF
  • 音頻隱寫
  • 流量包分析
    • 流量包分析簡介
    • PCAP文件修復
    • 協議分析
      • WireShark
      • HTTP
      • HTTPS
      • FTP
      • DNS
      • WIFI
      • USB
    • 數據提取
  • 壓縮包分析
    • ZIP格式
    • RAR格式
  • 磁盤內存分析
• Crypto
  • 密碼學簡介
  • 基礎數學知識
  • 古典密碼
  • 流密碼
  • 塊加密
  • 非對稱加密
  • 哈希函數
  • 數字簽名
  • 攻擊思想總結
  • 證書格式
• Web
  • Web簡介
  • SQL注入
  • XSS跨站腳本攻擊
  • CSRF跨站請求偽造
  • SSRF服務端請求偽造
  • PHP代碼審計
• Assembly
  • x86_x64
  • MIPS
  • ARM
• Executable
  • ELF
• Reverse
  • 逆向工程簡介
    • 加密和編碼算法
    • 迷宮問題
    • 虛擬機分析
  • Linux逆向
  • Windows逆向
• Pwn
  • Linux Platform
  • Windows Platform
  • MacOS Platform
• Android
• ICS
  • ICS_CTF競賽
  • ICS_CTF發現
• Blockchain

}}

磁盤內存分析

常用工具

• EasyRecovery
• MedAnalyze
• FTK
• Elcomsoft Forensic Disk Decryptor
• Volatility

磁盤

常見的磁盤分區格式有以下幾種

• Windows: FAT12 -> FAT16 -> FAT32 -> NTFS

• Linux: EXT2 -> EXT3 -> EXT4

• FAT 主磁盤結構

  [[File:./figure/forensic-filesys.jpg]]

• 刪除文件：目錄表中文件名第一字節 e5。

VMDK

VMDK 文件本質上是物理硬盤的虛擬版，也會存在跟物理硬盤的分區和扇區中類似的填充區域，我們可以利用這些填充區域來把我們需要隱藏的數據隱藏到裏面去，這樣可以避免隱藏的文件增加了 VMDK 文件的大小（如直接附加到文件後端），也可以避免由於 VMDK 文件大小的改變所帶來的可能導致的虛擬機錯誤。而且 VMDK 文件一般比較大，適合用於隱藏大文件。

內存

• 解析 Windows / Linux / Mac OS X 內存結構
• 分析進程，內存數據
• 根據題目提示尋找線索和思路，提取分析指定進程的特定內存數據

題目

• Jarvis OJ - MISC - 取證 2

參考

• 數據隱藏技術