2024年美亚杯团体赛NAS解题思路（非官方）

112. [单选题] 除了以上John的所有设备之外,调查员还发现了一台NAS存储设备,并转交你进行分析｡ 参考 John_NAS_1.E01 和 John_NAS_2.E01,它是哪一种独立磁盘冗余阵列 (RAID)? (2分)

A. RAID 0

B. RAID 1

C. RAID 5

D. 以上皆不是

标记本题

（1）答案：A

（2）工具：取证大师

（3）知识点：RAID类别识别

（4）解析：

1. 新建案例

2.添加“NAS_1.E01”和“NAS_2.E01”镜像。

3.点击继续解析动态磁盘

4.取证策略选择“Linux”点击开始取证，此时也可到RAID类型为RAID0。

5.取证好后证据文件也可看到

1.使用取证大师加载

113. [判断题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,该NAS的容量有512GB (2分)

正确

错误

标记本题

（1）答案：错误

（2）工具：取证大师

（3）知识点：RAID重组之后容量基本信息查看

（4）解析：

（1）在证据文件-右键“扫描磁盘结构”

（2）成功识别

（3）可以看到重组后卷的大小为426.00GB

114. [单选题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,该NAS的可用空间有多少? (3分)

A. 512GB

B. 426GB

C. 417GB

D. 9.4GB

标记本题

（1）答案：C

（2）工具：取证大师、X-ways

（3）知识点：文件容量查看

（4）解析：

1.使用取证大师-右键将重组好后的卷组挂载为本地磁盘

2.再使用X-ways加载挂载到本地的“存储设备”

3.加载好后可查看可用空间

115. [判断题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,该NAS 的文件系统格式是EXT3 (2分)

正确

错误

标记本题

（1）答案：错误

（2）工具：取证大师

（3）知识点：文件系统识别

（4）解析：直接使用取证大师查看摘要

116. [单选题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,该NAS 的用户人数有多少个? (2分)

A. 1

B. 2

C. 3

D. 4

标记本题

（1）答案：B

（2）工具：取证大师

（3）知识点：shadow文件可查看系统用户信息

（4）解析：使用取证大师查看shadow文件内容

117. [单选题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,该 NAS 内有多少张圖片标示 'This is a Child PORN PHOTO' ? (2分)

A. 1

B. 2

C. 3

D. 4

标记本题

（1）答案：A

（2）工具：取证大师

（3）知识点：文件内容查看

（4）解析：重组后对图片内容进行查看，只有一张图片符合（注意大小写）

118. [填空题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,视频 ING_VID_8081695_10s.mp4 在什么时候放进 NAS 内? (答案格式:YYYY-MM-DD HH:MM:SS) (3分)

保存

标记本题

（1）答案：2024-08-08 10:59:40

（2）工具：取证大师

（3）知识点：文件基本属性查看

（4）解析：使用取证大师的搜索使用关键词“ING_VID_8081695_10s.mp4”进行过滤可得文件的最后修改时间。

119. [填空题] 参考 John_NAS_1.E01 和 John_NAS_2.E01,dcdb711a52a94fe9b6eb742a6919410D.mp4是在哪个网站下载的? (答案格式:www.abcd.com) (3分)

保存

标记本题

（1）答案：mp4.vjshi.com

（2）工具：取证大师

（3）知识点：文件基本属性查看

（4）解析：使用取证大师的搜索使用关键词“dcdb711a52a94fe9b6eb742a6919410D.mp4”在检材“John_desktop.e01”进行过滤可得其网址。