Digiforensics 电子取证入门

0x00 背景

密码：DigiForensics@Beginner2026!

0x01 WindowsBeginner

1.在用户桌面"工作资料"目录中，归档后的最终版本文件所在子目录完整路径是什么？

找过来

C:\Users\Administrator\Desktop\工作资料\已整理

2.工作资料目录下可直接识别出的一级子目录包括哪些？

A.图片

B.项目文档

C.临时资料

D.已整理

如上题图，abcd都有

3.回收站中可关联到原始文件名的普通删除文件数量是多少？

4.下列哪个被删除文件包含临时门禁密码？

A.会议纪要.txt

B.机房巡检记录.txt

C.值班安排.txt

D.最终方案.txt

选A

5.下列哪些文件可以从回收站记录中恢复到原始内容？

A.会议纪要.txt

B.机房巡检记录.txt

C.客户名单.txt

D.备忘录.txt

AB两个都能看到

6.会议纪要.txt 中记录的项目名称是什么？

第四题知，春晓项目

7.Edge 历史记录中最后访问的站点域名是什么？

work1.digiforensics.cn

8.下列哪个域名属于用户访问过的电商站点？

选AB

9.电商站内搜索记录中可确认的关键词有哪些？

A.机械键盘

B.U盘 64G

C.Windows 注册表

D.客户名单

10.USB 存储设备的卷标名称是什么？

DigiForensi

11.系统中新增的本地账户有哪些？

A.guest01

B.testuser

C.admin

D.administrator

12.新增账户中，存在桌面文件创建等交互登录痕迹的是哪个账户？

A.guest01

B.testuser

C.admin

D.administrator

0x02 LinuxBeginner

1.检材中新增的本地普通用户有哪些？

A.admin

B.ops

C.backup

D.tempuser

GECOS=admin，是建机管理员，**不是新增****，**只看到两个还有一个呢

阴！

历史命令里能看到

BCD

2.`ops` 用户家目录中用于记录值班信息的文本文件名是什么？

运维值班人都写着了，赤裸裸

duty.txt

3.在新增普通用户中，哪个用户未发现明显交互登录痕迹？

A.ops

B.backup

C.tempuser

D.admin

backup有的，admin有的

ops有

tempuser没搜到

4.SSH 服务的主配置文件路径是什么？

dfadmin历史cp sshd_config sshd_config.bak后sed修改

/etc/ssh/sshd_config

5.从服务状态、配置文件和日志综合判断，检材中重点启用过哪些网络服务？

A.ssh

B.nginx

C.mysql

D.redis

ssh有了，见上题

nginx也有

另外两个没打开过

6.SSH 服务存在开机自启动配置痕迹。

A.正确

B.错误

7.业务首页正文中记录的管理员账号是什么？

admin

8.Nginx 访问日志中可见哪些请求路径？

A./

B./portal/

C./portal/readme.txt

D./test404

ABCD

9.`/test404` 请求对应的 HTTP 状态码是什么？

A.200

B.301

C.404

D.500

如上题图，C

10.访问日志中存在对 `/portal/readme.txt` 的成功访问记录

A.正确

B.错误

如8，状态200，A

11.`/srv/uploads` 目录下的核心文件包括哪些？

A.notice.txt

B.account.txt

C.tools.tar.gz

D.backup.sh

ABC

12.`/srv/uploads/notice.txt` 中记录的签到码是多少？

7942

13.结合命令历史，读取 `account.txt` 前所在的工作目录是什么？

A./home/admin

B./srv/uploads

C./var/www/html/portal

D./opt/scripts

显而易见B

14.root 计划任务调用的脚本路径是什么？

定时任务的命令很明了

/opt/scripts/backup.sh

15.root 计划任务的执行时间是什么？

A.每天 01:15

B.每天 02:15

C.每周 02:15

D.每天 03:30

选B

16.SSH 配置修改发生在 SSH 服务重启之前。