取证-笔记

MISC

发布日期: 2022-01-08

查看内核版本

uname -r
uname -a
cat /proc/version

最后一次关机时间,开机，正常关机，登录，程序安装次数，程序的安装时间

解法二:

6006 最后一次正常关机

查看网站对应的域名

C:\Windows\System32\drivers\etc\hosts

微信id

LXM逻辑卷，找出lvm开始的逻辑区块地址（LBA）

fdisk -l

解法2：通过查找知道题目所说的分区是：FMP证据文件 -> 展开镜像 -> 选中分区2 -> 摘要 -> 查看物理位置：

但是这个内存物理地址的单位是字节（Byte），而一个逻辑区块占用512位，所以要将这个值除以512。
1074790400/512=2099200

LVM 逻辑卷分区内root 逻辑卷的文件系统是什么？物理大小是多少？

有反向代理，找www.kkzjc.com转发的后台网站所使用的IP地址

// 启动docker服务
systemctl start docker
//查看容器
docker ps
temp504_1634979777
// 进入容器
docker exec -it 容器id /bin/bash
// 查看历史记录
history

服务器ip

指的公网ip 所以不是ifconfig
通过
docker logs 容器id 查看

嫌疑人登录本服务器所使用的 IP 地址?使用此IP地址访问服务器docker（www.kkzjc.com）中的网站，求访问次数

last

地址为:192.168.99.222
ip访问docker次数

docker ps
docker logs 容器id
docker logs 容器id | grep 192.168.99.222 | wc -l

####
####
####
####
####
####

md5

certutil -hashfile ideaIU-2018.1.exe sha256  //SHA1 或SHA256

请找出该服务器的网站访问端口是什么？服务器共绑定对外开放的域名的个数?

cat/less 查看/etc/nginx/conf.d/www.kkzjc.com可知
```  
192.118.110.113-CAB2021
![image](/medias/000005.png)
![image](/medias/000004.png)

#### 该服务器中运行了 docker应用，在本地有多少 docker镜像？

docker ps
docker ps 命令中在PORTS里面显示了两个端口，前面0.0.0.0就是主机，也就是自己，而后面的转发端口就对应着docker服务器的端口



#### 在运行中的容器节点中，其中一台容器ID 为 15debb1824e6的容器节点，它运行了什么服务？（C）A. ftp B. ssh C. nginx D. smtp


#### 上题容器节点中，占用了主机的哪个端口？

#### 该服务器中网站运行在 docker 容器中，其中 web服务使用的是什么应用？

#### 上题所述运行 web 服务的容器节点，使用的镜像名称是什么？（格式 REPOSITORY：TAG） 

#### 上题所述容器节点占用的容器端口是什么？


#### app包名 向手机申请的权限
![](/medias/000013.png)
package="plus.H5B8E45D3"
![](/medias/000014.png)
#### 产看网卡配置-->静态ip
![](/medias/000015.png)

####
####
####
####
####

####
### 宝塔(panel) 使用

bt defaulet
bt

```