2019美亚杯--内存取证

51 分析何源的公司计算机内存镜像，何源的公司计算机操作系统以及硬件架构是什么？
A. Windows 7 x86
B. Windows 7 x64
C. Windows 8 x86
D. Windows 8 x64
E. Windows 10 x64

52 分析何源的公司计算机内存镜像，以下哪一个是进程“explorer.exe”的 PID?
A. 5098
B. 3484
C. 3048
D. 2236
E. 9875

53 分析何源的公司计算机内存镜像，以下哪一个是正确的用户 SID ？
A. HTC_admin : S-1-5-21-2316527938-3914680751-2175519146-1001
B. TMP_User : S-1-5-21-2316527938-3914680751-2175519146-1002
C. TMP : S-1-5-21-2316527938-3914680751-2175519146-1001
D. YuanHe : S-1-5-21-2316527938-3914680751-2175519146-1002
E. None

54 分析何源的公司计算机内存镜像，以下哪个远程地址与本地地址建立过 TCP 连接？
A. 10.165.12.130
B. 10.165.12.126
C. 10.165.10.125
D. 10.165.10.130
E. 10.165.10.131

发现只找的到A 

55 接上题，在上述 TCP 连接里，远程地址的端口号是多少？
A. 80
B. 443
C. 445
D. 22
E. 3389

56 分析何源的公司计算机内存镜像，注册表“\SystemRoot\System32\Config\SAM”在内存镜像中的虚拟地址
（Virtual Address）是多少？
A. Offset: 0x97b5e5d8
B. Offset: 0x9a5689c8
C. Offset: 0x8c6b49c8
D. Offset: 0x8bc1a1c0
E. Offset: 0x9bc1a1c0

57 分析何源的公司计算机内存镜像，用户“Yuan He”登入密码的 NTLM hash 是多少？
A. bf12857078039ff604bf8e1fb4308643
B. 31d6cfe0d16ae931b73c59d7e0c089c0
C. bf12857078039ff604bf8e1fb430a7d4
D. a53452d6cd5e2d72423cd3eac8b05607
E. 99e74d973f8f852432f6d5a59659ed88

58 分析何源的公司计算机内存镜像，盘符“E：”上的文件“Personal Information.xlsx”何时被访问过？
A. 2019-10-31 07:58:45
B. 2019-10-31 10:33:42
C. 2019-10-31 06:59:45
D. 2019-10-31 09:31:42
E. 2019-10-31 08:32:42

59 分析何源的公司计算机内存镜像，以下哪个是文件“Personal Information.xlsx”的正确路径？
A. Users\YuanHe\Desktop\Confidential\Personal Information.xlsx
B. Users\YuanHe\Desktop\Personal Information.xlsx
C. Users\TMP_User\Desktop\Confidential\Personal Information.xlsx
D. Users\TMP_User\Desktop\Personal Information.xlsx
E. Users\Administrator\Desktop\Confidential\Personal Information.xlsx

60 分析何源的公司计算机内存镜像，可以发现以下哪些文件夹曾被访问过？
1 …\Company_Files\Jonathan Norton
2 …\Company_Files\Stephen Chow
3 …\Company_Files\John Wick
4 …\ Company_Files\Logan Chen
5 …\Company_Files\Colleen Johnson
A 2,3,5
B 2,4,6
C 1,3,5
D 3,4,5
E 1,4,5

61 分析何源的公司计算机内存镜像，以下那一项有关这台计算机的资料是正确？
A. 这台计算机安装 Window 的时间是 2019-10-31 11:56:23 UTC + 0
B. 这台计算机的名称是 WIN-VUAL29E4P0K
C. 公开资料显示这台计算机 TCPIP 的最后更新时间是 2019-10-31 04:59:00 UTC + 0
D. A 及 C 都是正确
E. B 及 C 都是正确

62 分析何源的公司计算机内存镜像，以下那一项关于这台计算机连接 USB 装置的描述是正确？
A. 没有，因为透析资料找不到
B. 没有，因为内存容量没有取得完整的注册表资料
C. 有，而且装置的牌子应该是 HUAWEI
D. 有，而且装置的 GUID 是 4d36e967-e325-11ce-afc1-832210318
E. 有，而且装置的首次插入时间 HEX 值是 40 43 30 b9 b8 8f d5 01