盘古石2026刘洋pc

刘洋盘算机

1. 分析刘洋liuyang_pc.E01检材，提取磁盘镜像SHA1值的前6位？[答案格式：字母小写]

以下是错误内容，直接盘算.E01的哈希

精确的方法应该是在火眼中盘算源盘哈希

缘故起因如下：

2. 分析刘洋liuyang_pc.E01检材，盘算机体系Build版本为？[答案格式：19000]

3. 分析刘洋liuyang_pc.E01检材，盘算机末了一次正常关机的时间为？UTC +0[答案格式：2025-05-06-09:00:00]

但是标题问的是UTC +0
得再加上8小时
4. 分析刘洋liuyang_pc.E01检材，盘算机网卡的MAC地点为？[答案格式：00-0B-00-A0-00-00]

5. 分析刘洋liuyang_pc.E01检材，分析机主是从那里下载的typora？[答案格式：阿里云]

6. 分析刘洋liuyang_pc.E01检材，刘洋在2026-04-19 13:46:01（UTC +0）曾访问过百度云盘，请给云盘的打开暗码？[答案格式：11aa]

留意是UTC+0，以是我们要找21:46:01的信息

打开上面的网页

1.  https://pan.baidu.com/s/1EnFgUyZINuv5dsy_wPkxUQ?pwd=48gy#list/path=%2F

复制代码

48gy
7. 分析刘洋liuyang_pc.E01检材，请给出刘洋管理pve集群所用的端标语？[答案格式:8000]

8. 分析刘洋liuyang_pc.E01检材，请给出刘洋登录理财网站所利用的暗码？[答案格式:password]

9. 分析刘洋liuyang_pc.E01检材，请给出理财网站的IP地点？[答案格式:127.0.0.1]

网站不存在找不到ip
但是你知道host文件吗

1.  Hosts文件是一个本地的、没有扩展名的"电话本"系统文件。它的核心作用就是将网址（域名）和它对应的IP地址关联起来，并且在查询网络时拥有最高优先级。

复制代码

简单来说，储存域名和对应ip

10. 分析刘洋liuyang_pc.E01检材，请给出盘算机内Bitlocker加密分区规复密钥的前6位？[答案格式:6位数字]

Passware Kit Forensic 爆破

1.  560615-577522-342881-216865-242561-312356-584837-421597

复制代码

efdd爆破

 
11. 分析刘洋liuyang_pc.E01检材，找出VC加密容器的密钥文件，给出该密钥文件的绝对路径？[答案格式:\ABC\123\测试.txt]

12. 接上题，该VC加密容器的密钥文件的图像高度是多少像素？[答案格式：1345]

pc的屏幕中有一张图片

这个文件的height被高亮了，可以猜疑宽高修改
随波逐流嗦一下

 
13. 分析刘洋liuyang_pc.E01检材，请给出团队紧张信息加密生存的软件名？[答案格式：abc123]

挺好找的 1Password
14. 分析刘洋liuyang_pc.E01检材，该软件的保险库文件名为什么？[答案格式：abc.abc]

15. 分析刘洋liuyang_pc.E01检材，该软件的保险库文件打开暗码是什么？[答案格式：124@password]

真没想到还会在压缩包解释里藏东西，履历还是不敷吧

把liuyang.opvault导出，用passware爆破此中的"liuyang.opvault\default\profile.js"

爆破出来liuyang@6419
16. 分析刘洋liuyang_pc.E01检材，请给出用户刘洋的开机暗码？[答案格式：p@ssw0rd123]

17. 分析刘洋liuyang_pc.E01检材，请给出pve服务器的管理暗码？[答案格式：p@ssw0rd123]

刚开始看不到，点下编辑
vc挂载

md5加pim和密钥文件加pim挂出来的东西不一样

 
18. 分析刘洋liuyang_pc.E01检材，找出盘算机内的脚本加密工具，给出该加密工具的SHA1的前6位？[答案格式：字母小写]

联合上题找到的encrypt_tool.py脚本算出SHA1值为7860dc719e0bd9fddc2eafd6708ecf204d744ae7
19. 分析刘洋liuyang_pc.E01检材，该脚本加密工具在举行脚本加密时，末了一层是举行什么操纵？[答案格式:字符更换]

20. 分析刘洋liuyang_pc.E01检材，请解密该脚本加密工具加密的文件database.php.obf，给出该文件内的数据库暗码？[答案格式:p@ssw0rd123]

ai一把梭

1.  十六进制转换

复制代码

1.  pgscup@o26

复制代码

21. 分析刘洋liuyang_pc.E01检材，找出刘洋盘算机内的交易业务信息.rar，给出该文件的打开暗码？[答案格式：p@ssw0rd123]

1password中有掩码提示，直接爆破

1.  pgscup@9541

复制代码

22. 分析刘洋liuyang_pc.E01检材，找出刘洋盘算机内刘桂荣的身份证号码？[答案格式：510657199808071131]

答案未知
23. 分析刘洋ly-memdump.mem镜像，给出用户刘洋的NT哈希值？[答案格式：数字字母组合，字母小写]

1.  python vol.py -f A:\刘洋\ly-memdump.mem windows.hashdump.Hashdump

复制代码

24. 分析刘洋ly-memdump.mem镜像，给出1Password暗码管理器的数据库文件名？[答案格式：123ABc.abc]

1.  vol.py -f ly-memdump.mem windows.filescan.FileScan | grep -i "1password"

复制代码

1. python vol.py -f A:\刘洋\ly-memdump.mem windows.filescan.FileScan | Select-String -Pattern "1password"<br>或<br>python vol.py -f A:\刘洋\ly-memdump.mem windows.filescan.FileScan | findstr /i "1password"

复制代码

直接在ps中实验会有输出编码标题报错
办理方法：

1.  # 设置 Python 的 UTF-8 模式<br> $env:PYTHONUTF8 = "1"<br> python vol.py -f A:\刘洋\ly-memdump.mem windows.filescan.FileScan | Select-String -Pattern "1password"

复制代码

25. 分析刘洋ly-memdump.mem镜像，1Password在VeraCrypt启动后约多少分钟启动？[答案格式：123]

1.  python vol.py -f "A:\刘洋\ly-memdump.mem" -r csv windows.pslist.PsList | Tee-Object -FilePath processes.csv

复制代码

找隔断时间
 
末了提一句，内存还是找ai大概工具一把梭吧省时间，但也积累下Volatility用法说不定以后线下会用到呢