第四届黄河流域公安院校电子物证个人赛计算机取证（火眼）

? 2026第四届黄河流域公安院校电子物证个人赛 — 计算机取证火眼 Writeup

? 报告元数据

• 首席取证官：yagami
• 任务目录：/mnt/d/文档/hermes-work/第四届黄河流域计算机取证火眼/
• 生成时间：2026-08-12
• 生成模式：完整型取证交付 Writeup

?️ 工具链与环境底座

1. 算力与架构

2. 任务信息

• 考核范围：第四届黄河流域公安院校电子物证个人赛 — 计算机取证火眼方向（Q1-Q20）
• 案件编号：20260810211236X
• 检材类型：Windows计算机（3块磁盘E01镜像）
• 物理镜像：PC-disk1.E01（系统盘，60GB）、PC-disk2.E01（数据盘，phpstudy）、PC-disk3.E01（BitLocker分区盘）
• 取证平台：火眼电子数据取证软件（GoldenEyes）+ ges CLI
• 动态状态：Q1-Q20全部完成，19题VERIFIED L3 + Q12用户确认不需验证

? 考题最终答案汇总看板

⚔️ 深度取证与解题全链路复盘

? Q1 该计算机的系统盘原始磁盘MD5值是多少？（单选题）

• 标准答案：B (1442499db55b8c6f901dafe65a6fd70a)
• 状态等级：? 已验证 / L3
• 解题主线：使用ewfinfo命令直接读取PC-disk1.E01文件头中的MD5 Digest值，与选项B完全匹配。E01格式在文件头中存储了原始磁盘的哈希摘要，无需完整校验即可获取。
• ? 关键证据：
  • 检材: PC-disk1.E01（系统盘，60GB）
  • ewfinfo输出MD5: 1442499db55b8c6f901dafe65a6fd70a
  • 与选项B完全一致
• ?️ 核心命令：

ewfinfo "PC-disk1.E01" | grep -i md5
# → MD5: 1442499db55b8c6f901dafe65a6fd70a

• ? 控制台回显：

MD5: 1442499db55b8c6f901dafe65a6fd70a

• 验证闭环：ewfinfo直接读取E01头中的Digest hash，无需完整校验。L3级验证。

? Q2 该计算机的安装时间（UTC +8）是什么时候？（单选题）

• 标准答案：B (2026-02-14 14:24:25)
• 状态等级：? 已验证 / L3
• 解题主线：通过火眼解析的case记录，读取系统信息中的INSTALL_TIME字段获取Windows安装时间。
• ? 关键证据：
  • 数据来源: /case/1/基本信息/系统信息/data.csv
  • INSTALL_TIME = 2026-02-14 14:24:25 +0800 CST
  • 与选项B完全一致
• ?️ 核心命令：

ges read /case/1/基本信息/系统信息/data.csv --offset 0 --limit 10
# → INSTALL_TIME = 2026-02-14 14:24:25 +0800 CST

• ? 控制台回显：

INSTALL_TIME: 2026-02-14 14:24:25 +0800 CST

• 验证闭环：火眼case record直接提取，L3级验证。

? Q3 用户"Rhine"最近一次登录成功的时间是什么？（单选题）

• 标准答案：C (2026-06-29 16:16:29)
• 状态等级：? 已验证 / L3
• 解题主线：通过火眼解析的登录信息，读取登录成功记录的最后一行获取用户Rhine最近一次登录时间。
• ? 关键证据：
  • 数据来源: /case/1/基本信息/登录信息/登录成功/data.csv
  • 第41行（最后一条）: Rhine, 2026-06-29 16:16:29
  • 与选项C完全一致
• ?️ 核心命令：

ges read /case/1/基本信息/登录信息/登录成功/data.csv --offset 35 --limit 10
# → Rhine, 2026-06-29 16:16:29 (最后一条)

• ? 控制台回显：

Rhine, 2026-06-29 16:16:29

• 验证闭环：火眼case record直接提取，L3级验证。

? Q4 用户"Rhine"的密码NTLM哈希是多少？（答案格式：英文小写）

• 标准答案：44f9ea6a7743a8ea6f1956384c39887b
• 状态等级：? 已验证 / L3
• 解题主线：从火眼case record获取用户Rhine密码明文123qweasd，使用impacket从SAM+SYSTEM注册表hive提取NTLM哈希，并通过pycryptodome对密码进行MD4(UTF-16LE)计算交叉验证。
• ? 关键证据：
  • 数据来源: /case/1/基本信息/用户列表/data.csv → Rhine密码=123qweasd
  • impacket SAMHashes提取: Rhine:1001:44f9ea6a7743a8ea6f1956384c39887b
  • pycryptodome MD4(UTF-16LE)验证: 44f9ea6a7743a8ea6f1956384c39887b（完全匹配）
• ?️ 核心命令：

# impacket提取SAM哈希
from impacket.examples.secretsdump import LocalOperations, SAMHashes
boot_key = LocalOperations("SYSTEM.hive").getBootKey()
sam_hashes = SAMHashes("SAM.hive", boot_key)

# pycryptodome密码学验证
from Crypto.Hash import MD4
h = MD4.new()
h.update("123qweasd".encode("utf-16-le"))
print(h.hexdigest())
# → 44f9ea6a7743a8ea6f1956384c39887b

• ? 控制台回显：

Rhine:1001:44f9ea6a7743a8ea6f1956384c39887b
MD4验证: 44f9ea6a7743a8ea6f1956384c39887b

• 验证闭环：impacket SAMHashes提取 + pycryptodome MD4(UTF-16LE)密码学反向计算，双源交叉验证。L3级验证。

? Q5 接上题，请破解用户"Rhine"的密码NTLM哈希（提示：9位密码，前三位为123，后六位为小写英文），明文密码是多少？

• 标准答案：123qweasd
• 状态等级：? 已验证 / L3
• 解题主线：从火眼解析的用户列表data.csv中直接获取Rhine用户的密码明文123qweasd，通过MD4(UTF-16LE)计算与Q4的NTLM哈希完全匹配。
• ? 关键证据：
  • 数据来源: /case/1/基本信息/用户列表/data.csv
  • Rhine密码=123qweasd（9位，前三位123，后六位小写英文）
  • MD4(UTF-16LE("123qweasd")) = 44f9ea6a7743a8ea6f1956384c39887b（与Q4一致）
• ?️ 核心命令：