镜像取证

镜像文件取证

任务3：镜像文件取证证据编号在取证镜像中的文件名镜像中原文件Hash码（MD5，不区分大小写）evidence 1eg2kx.jpg85cdf73518b32a37f74c4bfa42d856a6evidence 2ZQOo2.zip9e69763ec7dac69e2c5b07a5955a5868evidence 3p3qQ4.jpga9a18aecec905a7742042461595b4b5cevidence 4nsOh2.pngf5b9ce3e485314c23c40a89d994b2dc8evidence 5RVlYt.zip3f67593f11669c72a36bad4d41a83a78evidence 6mkjRv.7ze610fcd2a0cd53d158e8ee4bb088100aevidence 7OR8iq.xml28ba933c31fd60f8c4461aed14a8c447evidence 88cFQj.py7fccfb1778b15fbc09deb6690afc776aevidence 9jMH7w.xlsx523c407180d54dde6eca700405599c8aevidence 1001d98.gifd708444963b79da344fd71e5c72f7f02FF D8 FF E1GPEG(jpg)89 50 4E 47PNG(png)47 49 46 38GIF(gif)49 49 2A 00TIFF(tif)42 4D C0 01Windows  Bitmap(bmp)50 4B 03 04ZIP Archive (zip)52 61 72 21RAR Archive (rar)38 42 50 53Adobe Photoshop (psd)7B 5C 72 74 66Rich Text Format (rtf)3C 3F 78 6D 6CXML(xml)68 74 6D 6C 3EHTML (html)25 50 44 46 2D 31 2EAdobe Acrobat (pdf)57 41 56 45Wave (wav)4D 3C 2B 1Apcap (pcap)52 49 46 46WEBP(webp)

1. 在auto中找到eg2kx.jpg，保存到本地

复制代码

1. 放到kali里查看下文件，发现里面有个压缩包

复制代码

1. 后缀修改.zip，打开压缩包

复制代码

1. certutil -hashfile filename md5
2. 使用cmd终端求出源文件hash码

复制代码

1. ZQOo2.jpg
2. 打开kali分析

复制代码

1. 修改成zip文件需要密码，拉到010修改参数

复制代码

1. p3qQ4.jpg
2. 打开就是图片没显示完全
3. HEX 十六进制
4. DEC 十进制
5. OCT 八进制
6. BIN 二进制
7. 00 00 02 80 代表宽度
8. 00 00 01 92 代表高度

复制代码

1. 将高度十进制修改成1000，十六进制就是03 E8

复制代码

1. nsOh2.png
2. 直接显示了

复制代码

1. RVlYt.zip
2. kali分析

复制代码

1. 另一张图片并没有什么
2. 用010打开发现两张图片中间含有base64解码
3. 搜索45 4E 44 是结尾16进制表示

复制代码

1. 或者使用kali解码

复制代码

1. mkjRv.7z
2. kali分析
3. 修改成mpeg文件
4. 使用audacity打开

复制代码

1. . ...- .. -.. . -. -.-. . -....
2. 在线解码

复制代码

1. OR8iq.xml
2. kali分析

复制代码

1. 拉到stegsolve查看

复制代码

1. 8cFQj.py
2. kali分析

复制代码

1. 拉到010 查看到末尾都是二进制，用python进行每8组为单位转换对应十进制
2. 发现结尾都是base32

复制代码

1. 进行在线转换，32->64->32->hex->32->64->32

复制代码

1. jMH7w.js
2. kali分析
3. 改成压缩包后打开xlsx表格，拉住界面标红

复制代码

1. 01d98.gif
2. kali分析

复制代码

1. Stegsolve.jar打开
2. 选择

复制代码