搜索

[24470] 2015-11-16_负暄闲语——取证一二事

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2015-11-16_负暄闲语——取证一二事 负 暄 闲 语   — —   取 证 一 二 事 u r i n x   L i n u x 中 国   2 0 1 5 - 1 1 - 1 6 这 是 一 篇 很 有 趣 的 侦 探 类 小 说 ， 从 十 五 年 前 的 古 老 计 算 机 中 解 谜 ， 作 者 在 文 字 把 控 和 技 术 细 节 上 掌 握 的 不 错 ， 虽 然 略 有 逻 辑 没 有 交 代 清 楚 的 地 方 ， 但 是 总 体 来 说 是 一 篇 佳 文 ， 值 得 看 看 — — 稍 长 而 味 道 隽 永 。 引 那 日 ， 我 拾 起 散 落 一 地 的 泛 黄 笔 记 ， 未 曾 想 到 会 从 一 个 尘 封 已 久 的 盒 子 里 翻 出 锈 迹 斑 斑 的 硬 盘 。 我 只 记 得 ， 当 时 ， 夕 阳 满 满 的 打 在 脸 颊 上 ， 而 眼 前 的 硬 盘 还 在 闪 闪 发 光 ， 似 乎 在 述 说 着 一 个 不 可 告 人 的 秘 密 。 连 上 旁 边 废 置 的 老 旧 电 脑 ， 硬 盘 转 动 的 声 音 吱 吱 作 响 ， 终 端 的 绿 色 光 点 在 不 急 不 慢 的 闪 烁 。 然 而 ， 里 面 空 无 一 物 ， 什 么 都 没 有 。 不 对 ， 我 好 像 发 现 了 什 么 . . . . . . C l u e   1 那 个 硬 盘 并 不 是 空 无 一 物 ， 至 少 我 看 到 了 一 个 名 为 的 隐 藏 文 件 ， 好 像 是 一 个 文 本 文 件 ， 打 开 一 看 ， 里 面 只 有 一 行 文 字 ： 什 么 软 盘 ？ 就 在 我 疑 惑 的 片 刻 ， 我 看 到 桌 子 右 下 角 掉 落 着 一 个 盖 满 厚 厚 灰 尘 的 方 形 软 盘 ， 应 该 就 是 它 了 。 缓 缓 的 拾 起 它 ， 吹 落 上 面 的 积 灰 ， 插 入 破 旧 的 电 脑 。 听 到 电 脑 读 取 软 盘 的 兹 兹 声 ， 心 里 默 默 窃 幸 ， 看 来 还 能 用 。 看 这 软 盘 的 古 老 程 度 ， 也 许 不 能 再 被 我 们 这 样 折 腾 了 ， 为 了 后 面 不 直 接 对 其 操 作 ， 先 创 建 一 个 镜 像 备 份 吧 ： 弹 出 软 盘 后 ， 记 录 下 镜 像 的 h a s h ， 便 开 始 挂 载 咯 ( 记 得 任 何 时 候 都 要 只 读 模 式 挂 载 ) ： 当 我 出 目 录 下 的 文 件 的 那 一 刻 ， 心 里 咯 噔 一 下 ， 时 间 仿 佛 停 滞 在 2 0 0 0 年 ， 这 么 多 年 间 ， 到 底 发 生 了 什 么 ？ . c l u e 1 1 .   軟 盤 中 ， 殘 留 著 妳 該 尋 找 的 下 個 條 件 1 .   r o o t @ t o o r : ~ #   m k d i r   e v i d   & &   c d   e v i d 2 .   r o o t @ t o o r : ~ / e v i d   #   d d   i f = / d e v / f d 0   o f = f l o p p y . d d   b s = 5 1 2 3 .   r o o t @ t o o r : ~ / e v i d   #   c h m o d   4 4 4   f l o p p y . d d 1 .   r o o t @ t o o r : ~ / e v i d   #   s h a 1 s u m   f l o p p y . d d   >   s h a . f l o p p y 2 .   r o o t @ t o o r : ~ / e v i d   #   m k d i r   / m n t / a n a l y s i s 3 .   r o o t @ t o o r : ~ / e v i d   #   m o u n t   - t   v f a t   - o   r o , n o e x e c , l o o p   f l o p p y . d d   / m n t / a n a l y s i s 4 .   r o o t @ t o o r : ~ / e v i d   #   c d   / m n t / a n a l y s i s 5 .   r o o t @ t o o r : / m n t / a n a l y s i s   # l s 1 .   r o o t @ t o o r : / m n t / a n a l y s i s   #   l s   - a l 2 .   t o t a l   1 1 8 3 .   d r w x r - - r - -   4   r o o t   r o o t   7 1 6 8   D e c   3 1   1 9 6 9   . 4 .   d r w x r - x r - x   1 3   r o o t   r o o t   4 0 9 6   D e c   2 1   1 4 : 2 0   . . 5 .   d r w x r - - r - -   3   r o o t   r o o t   5 1 2   S e p   2 3   2 0 0 0   D o c s
树 形 结 构 列 出 所 有 文 件 看 看 ： 里 面 好 像 没 有 我 感 兴 趣 的 线 索 。 例 行 公 事 ， 先 对 每 个 文 件 进 行 h a s h 并 保 存 到 文 件 中 。 以 便 以 后 检 查 文 件 是 否 有 改 动 ： 当 然 ， 每 个 文 件 的 文 件 类 型 信 息 也 保 存 一 份 ： 可 恶 ， 他 把 证 据 藏 在 了 哪 里 ？ 难 道 这 里 没 有 吗 ？ 不 行 ， 我 要 再 仔 细 找 找 。 那 就 对 整 个 镜 像 来 个 搜 索 吧 ， 先 把 下 面 的 关 键 字 保 存 到 一 个 文 件 里 。 6 .   d r w x r - - r - -   2   r o o t   r o o t   5 1 2   S e p   2 3   2 0 0 0   P i c s 7 .   - r w x r - - r - -   1   r o o t   r o o t   1 9 5 3 6   A u g   2 4   1 9 9 6   a r p . e x e 8 .   - r w x r - - r - -   1   r o o t   r o o t   3 7 5 2 0   A u g   2 4   1 9 9 6   f t p . e x e 9 .   - r - x r - - r - -   1   r o o t   r o o t   1 6 1 6 1   S e p   2 1   2 0 0 0   l o v e l e t t e r . v i r u s 1 0 .   - r w x r - - r - -   1   r o o t   r o o t   2 1 2 7 1   M a r   1 9   2 0 0 0   o u c h . d a t 1 1 .   - r w x r - - r - -   1   r o o t   r o o t   1 2 3 8 4   A u g   2   2 0 0 0   s n o o f . g z 1 .   r o o t @ t o o r : / m n t / a n a l y s i s   #   t r e e 2 .   | - -   D o c s 3 .   |         | - -   B e n c h m a r k s . x l s 4 .   |         | - -   C o m p u t e r _ B u i l d . x m l 5 .   |         | - -   L a w . d o c 6 .   |         | - -   P r i v a t e 7 .   |         ` - -   w h y   h a c k 8 .   | - -   P i c s 9 .   |         | - -   C 8 0 0 x 6 0 0 . j p g 1 0 .   |         | - -   S t o p p i e . g i f 1 1 .   |         | - -   b i k e 2 . j p g 1 2 .   |         | - -   b i k e 3 . j p g 1 3 .   |         | - -   m a t r i x s 3 . j p g 1 4 .   |         ` - -   m u l e w h e e l i e . g i f 1 5 .   | - -   a r p . e x e 1 6 .   | - -   f t p . e x e 1 7 .   | - -   l o v e l e t t e r . v i r u s 1 8 .   | - -   o u c h . d a t 1 9 .   ` - -   s n o o f . g z 2 0 .   3   d i r e c t o r i e s ,   1 5   f i l e s s h a . f i l e l i s t 1 .   r o o t @ t o o r : / m n t / a n a l y s i s   #   f i n d   .   - t y p e   f   - e x e c   s h a 1 s u m   { }   ;   >   ~ / e v i d / s h a . f i l e l i s t 1 .   r o o t @ t o o r : / m n t / a n a l y s i s   #   s h a 1 s u m   - c   ~ / e v i d / s h a . f i l e l i s t 1 .   r o o t @ t o o r : / m n t / a n a l y s i s   #   f i n d   .   - t y p e   f   - e x e c   f i l e   { }   ;   >   ~ / e v i d / f i l e t y p e . l i s t 1 .   $ 5 0 , 0 0 0 2 .   r a n s o m 3 .   u n l e a s h   a   v i r u s
哟 ， 有 了 ！ 再 用 直 接 查 看 偏 移 处 看 1 6 进 制 数 据 ： 虽 然 找 到 了 证 据 ， 可 是 背 后 还 是 阵 阵 发 冷 。 我 抬 头 ， 窗 外 的 风 吹 不 进 来 ， 四 周 一 片 寂 静 ， 总 感 觉 ， 事 情 没 有 那 么 简 单 . . . . . . C l u e   2 顺 着 刚 才 证 据 一 路 看 下 去 ， 一 直 到 偏 移 处 ， 第 二 条 线 索 映 入 眼 帘 ， 果 然 ， 这 里 面 还 有 问 题 ！ 图 片 ？ 我 翻 遍 挂 载 镜 像 里 面 的 所 有 的 图 片 ， 可 是 没 有 一 个 是 可 疑 的 ， 难 道 ， 是 我 打 开 的 方 式 不 对 ？ 这 时 ， 一 个 名 叫 的 文 件 引 起 了 我 的 注 意 。 我 的 直 觉 告 诉 我 ， 因 该 是 这 个 错 不 了 。 奇 怪 ， 我 只 看 到 一 堆 杂 乱 随 机 的 字 符 数 据 ， 这 看 上 去 不 像 是 图 片 数 据 。 让 我 再 想 想 ， 我 记 得 每 种 文 件 都 有 相 应 的 来 标 记 其 格 式 ， 而 J P E G 图 片 文 件 则 是 以 偏 移 六 个 字 节 的 十 六 进 制 1 .   r o o t @ t o o r : ~ / e v i d   #   g r e p   - a b i f   s e a r c h l i s t . t x t   f l o p p y . d d 2 .   7 5 4 4 1 : y o u   a n d   y o u r   e n t i r e   b u s i n e s s   r a n s o m . 3 .   7 5 5 0 0 : I   h a v e   h a d   e n o u g h   o f   y o u r   m i n d l e s s   c o r p o r a t e   p i r a c y   a n d   w i l l   n o l o n g e r   s t a n d   f o r   i t .   Y o u   w i l l   r e c e i v e   a n o t h e r   l e t t e r   n e x t   w e e k .   I t w i l l   h a v e   a   s i n g l e   b a n k   a c c o u n t   n u m b e r   4 .   7 5 7 6 7 : D o n ' t   t r y   a n y t h i n g ,   a n d   d o n ' t   c o n t a c t   t h e   c o p s .   I f   y o u   d o ,   I w i l l   u n l e a s h   a   v i r u s   t h a t   w i l l   b r i n g   d o w n   y o u r   w h o l e   n e t w o r k   a n d d e s t r o y   y o u r   c o n s u m e r ' s   c o n f i d e n c e . x x d 7 5 4 4 1 1 .   r o o t @ t o o r : ~ / e v i d   #   x x d   - s   7 5 4 4 1   f l o p p y . d d   |   l e s s 2 .   0 0 1 2 6 b 1 :   7 9 6 f   7 5 2 0   6 1 6 e   6 4 2 0   7 9 6 f   7 5 7 2   2 0 6 5   6 e 7 4   y o u   a n d   y o u r   e n d 3 .   0 0 1 2 6 c 1 :   6 9 7 2   6 5 2 0   6 2 7 5   7 3 6 9   6 e 6 5   7 3 7 3   2 0 7 2   6 1 6 e   i r e   b u s i n e s s   r a n 4 .   0 0 1 2 6 d 1 :   7 3 6 f   6 d 2 e   0 a 0 a   5 4 6 8   6 9 7 3   2 0 6 9   7 3 2 0   6 e 6 f   s o m . . . T h i s   i s   n o 5 .   0 0 1 2 6 e 1 :   7 4 2 0   6 1 2 0   6 a 6 f   6 b 6 5   2 e 0 a   0 a 4 9   2 0 6 8   6 1 7 6   t   a   j o k e . . . I   h a v 6 .   0 0 1 2 6 f 1 :   6 5 2 0   6 8 6 1   6 4 2 0   6 5 6 e   6 f 7 5   6 7 6 8   2 0 6 f   6 6 2 0   e   h a d   e n o u g h   o f 7 .   0 0 1 2 7 0 1 :   7 9 6 f   7 5 7 2   2 0 6 d   6 9 6 e   6 4 6 c   6 5 7 3   7 3 2 0   6 3 6 f   y o u r   m i n d l e s s   c o 8 .   0 0 1 2 7 1 1 :   7 2 7 0   6 f 7 2   6 1 7 4   6 5 2 0   7 0 6 9   7 2 6 1   6 3 7 9   2 0 6 1   r p o r a t e   p i r a c y   a 9 .   0 0 1 2 7 2 1 :   6 e 6 4   2 0 7 7   6 9 6 c   6 c 2 0   6 e 6 f   2 0 6 c   6 f 6 e   6 7 6 5   n d   w i l l   n o   l o n g e 1 0 .   0 0 1 2 7 3 1 :   7 2 2 0   7 3 7 4   6 1 6 e   6 4 2 0   6 6 6 f   7 2 2 0   6 9 7 4   2 e 2 0   r   s t a n d   f o r   i t . 1 1 .   < c o n t i n u e s > 0 x 0 0 1 2 e 1 a 1 .   圖 片 ， 將 會 邁 向 下 一 個 開 端 i m a g e _ c a r v e . r a w 1 .   r o o t @ t o o r : ~ #   f i l e   i m a g e _ c a r v e . r a w 2 .   i m a g e _ c a r v e . r a w :   d a t a 3 .   r o o t @ t o o r : ~ #   x x d   i m a g e _ c a r v e . r a w   |   l e s s 4 .   0 0 0 0 0 0 0 :   7 7 6 a   1 7 6 b   5 f d 3   9 e a e   2 4 7 f   3 3 b 3   e f b e   8 d 6 a   w j . k _ . . . $ . 3 . . . . j 5 .   0 0 0 0 0 1 0 :   d 3 a 9   d a a 0   8 e e f   c 1 9 9   1 0 2 f   7 e a a   0 c 6 8   a 9 0 8   . . . . . . . . . / ~ . . h . . 6 .   0 0 0 0 0 2 0 :   f c a 4   7 e 1 3   d c 6 b   1 7 a 9   e 9 7 3   3 5 a 0   c f c 3   9 3 6 0   . . ~ . . k . . . s 5 . . . . ` 7 .   0 0 0 0 0 3 0 :   f 9 c 0   a 6 b 9   1 4 7 6   b 2 6 8   d e 0 f   9 4 f a   a 2 f 4   4 7 0 5   . . . . . v . h . . . . . . G . 8 .   0 0 0 0 0 4 0 :   4 5 2 d   7 6 9 1   e b 4 f   2 f a 7   b 3 1 f   3 2 8 b   c 0 7 a   c e 3 d   E - v . . O / . . . 2 . . z . = 9 .   < c o n t i n u e s > m a g i c   n u m b e r J F I F
开 始 ， 结 束 。 这 次 ， 结 合 和 来 搜 搜 试 试 看 ： 咦 ， 还 真 有 ， 我 感 觉 有 戏 ！ 记 下 的 位 置 ， 转 换 成 十 进 制 为 ： 然 后 在 从 偏 移 后 面 找 ： 因 为 图 片 文 件 包 含 ， 所 以 结 尾 的 地 址 。 两 者 相 减 ， 得 到 图 片 大 小 ： 最 后 就 是 把 图 片 提 取 出 来 惹 ， 这 里 用 的 是 命 令 ， 为 偏 移 ， 设 置 为 1 字 节 ， 然 后 就 是 图 片 的 大 小 ： f f d 8 f f d 9 x x d g r e p 1 .   r o o t @ t o o r : ~ #   x x d   i m a g e _ c a r v e . r a w   |   g r e p   f f d 8 2 .   0 0 0 5 2 a 0 :   b 4 f 1   5 5 9 c   f f d 8   f f e 0   0 0 1 0   4 a 4 6   4 9 4 6   0 0 0 1   . . U . . . . . . . J F I F . . f f d 8 0 x 0 0 0 5 2 a 4 2 1 1 5 6 1 .   r o o t @ t o o r : ~ #   e c h o   " i b a s e = 1 6 ; 0 0 0 5 2 A 4 "   |   b c 2 .   2 1 1 5 6 2 1 1 5 6 f f d 9 1 .   r o o t @ t o o r : ~ #   x x d   - s   2 1 1 5 6   i m a g e _ c a r v e . r a w   |   g r e p   f f d 9 2 .   0 0 0 6 c 7 4 :   f f d 9   d 1 7 5   6 5 0 b   c e 6 8   4 5 4 3   0 b f 5   6 7 0 5   a 7 3 c   . . . u e . . h E C . . g . . < f f d 9 0 x 0 0 0 6 c 7 6 1 .   r o o t @ t o o r : ~ #   e c h o   " i b a s e = 1 6 ; 0 0 0 6 C 7 6   -   0 0 0 5 2 A 4 "   |   b c 2 .   6 6 1 0 d d s k i p b s ( b l o c k   s i z e ) c o u n t 1 .   r o o t @ t o o r : ~ #   d d   i f = i m a g e _ c a r v e . r a w   o f = c a r v . j p g   s k i p = 2 1 1 5 6   b s = 1   c o u n t = 6 6 1 0 2 .   6 6 1 0 + 0   r e c o r d s   i n
c a r v . j p g C l u e   3 不 出 意 外 的 话 ， 第 三 条 线 索 就 是 这 张 图 片 了 ， 上 面 刻 画 着 一 些 奇 怪 的 符 号 ， 不 过 我 还 是 能 辨 认 出 一 些 金 文 ， 这 是 一 种 大 篆 体 。 我 竖 起 耳 朵 ， 眼 睛 向 四 周 扫 视 ， 没 有 人 ， 这 里 只 有 我 一 个 。 我 开 始 感 到 疑 惑 ， 直 到 我 看 到 了 图 片 右 下 角 一 行 极 小 的 字 ， 这 是 什 么 ！ ， 这 不 是 这 台 电 脑 的 i p 吗 ， 难 道 说 ， 还 有 另 外 一 台 电 脑 正 在 向 我 传 送 什 么 数 据 吗 ？ 这 不 是 硬 盘 数 据 吗 ， 到 底 是 什 么 呢 ？ 不 管 怎 么 说 ， 这 里 面 肯 定 有 我 想 要 找 的 的 答 案 ， 先 保 存 下 来 看 看 。 由 于 a b l e 2 . d d 是 整 个 s d a 硬 盘 的 镜 像 ， 不 能 直 接 挂 载 ， 所 以 先 看 看 其 分 区 结 构 ： 5 .   五 个 分 区 ， 好 吧 ， 那 就 依 次 提 取 出 来 ： 3 .   6 6 1 0 + 0   r e c o r d s   o u t 1 .   监 听 ， 注 视 周 围 发 生 的 一 切 1 .   r o o t @ a b l e 2 :   ~   #   d d   i f = / d e v / s d a   |   n c   1 9 2 . 1 6 8 . 5 5 . 2 0   2 5 2 5 1 9 2 . 1 6 8 . 5 5 . 2 0 / d e v / s d a 1 .   r o o t @ t o o r :   ~   #   n c   - l   - p   2 5 2 5   |   d d   o f = ~ / a b l e 2 / a b l e 2 . d d 1 .   r o o t @ t o o r : ~ / a b l e 2   #   s f d i s k   - l   - u S   a b l e 2 . d d 2 .   D i s k   a b l e 2 . d d :   c a n n o t   g e t   g e o m e t r y 3 .   . . . < e r r o r   m e s s a g e s > 4 .   U n i t s   =   s e c t o r s   o f   5 1 2   b y t e s ,   c o u n t i n g   f r o m   0 6 .   D e v i c e   B o o t       S t a r t       E n d         # s e c t o r s   I d     S y s t e m 7 .   a b l e 2 . d d 1           5 7             1 0 2 5 9     1 0 2 0 3         8 3     L i n u x 8 .   a b l e 2 . d d 2           1 0 2 6 0       1 1 2 8 5 9   1 0 2 6 0 0       8 3     L i n u x 9 .   a b l e 2 . d d 3           1 1 2 8 6 0     1 7 8 6 9 4   6 5 8 3 5         8 2     L i n u x   s w a p   /   S o l a r i s 1 0 .   a b l e 2 . d d 4           1 7 8 6 9 5     6 7 5 4 4 9   4 9 6 7 5 5       8 3     L i n u x 1 1 .   a b l e 2 . d d 5           6 7 5 4 5 0     6 7 6 6 9 0   1 0 2 4 0         8 3     L i n u x 1 .   r o o t @ t o o r : ~ / a b l e 2   #   d d   i f = a b l e 2 . d d   o f = a b l e 2 . p a r t 1 . d d   b s = 5 1 2   s k i p = 5 7   c o u n t = 1 0 2 0 3 2 .   1 0 2 0 3 + 0   r e c o r d s   i n 3 .   1 0 2 0 3 + 0   r e c o r d s   o u t 4 .   r o o t @ t o o r : ~ / a b l e 2   #   d d   i f = a b l e 2 . d d   o f = a b l e 2 . p a r t 2 . d d   b s = 5 1 2   s k i p = 1 0 2 6 0   c o u n t = 1 0 2 6 0 0 5 .   1 0 2 6 0 0 + 0   r e c o r d s   i n 6 .   1 0 2 6 0 0 + 0   r e c o r d s   o u t 7 .   r o o t @ t o o r : ~ / a b l e 2   #   d d   i f = a b l e 2 . d d   o f = a b l e 2 . p a r t 3 . d d   b s = 5 1 2   s k i p = 1 1 2 8 6 0   c o u n t = 6 5 8 3 5 8 .   6 5 8 3 5 + 0   r e c o r d s   i n 9 .   6 5 8 3 5 + 0   r e c o r d s   o u t 1 0 .   r o o t @ t o o r : ~ / a b l e 2   #   d d   i f = a b l e 2 . d d   o f = a b l e 2 . p a r t 4 . d d   b s = 5 1 2   s k i p = 1 7 8 6 9 5   c o u n t = 4 9 6 7 5 5 1 1 .   4 9 6 7 5 5 + 0   r e c o r d s   i n 1 2 .   4 9 6 7 5 5 + 0   r e c o r d s   o u t
接 下 来 就 是 要 根 据 这 五 个 分 区 来 还 原 文 件 系 统 了 。 我 不 厌 其 烦 的 开 始 依 次 挂 载 每 个 分 区 观 察 其 文 件 目 录 结 构 ： 我 偷 了 个 懒 ， 当 挂 载 的 时 候 ， 直 接 查 看 f s t a b 文 件 就 知 道 了 。 根 据 f s t a b 挂 载 相 应 的 分 区 到 对 应 的 路 径 下 ： 分 区 已 解 锁 ， 我 进 去 ， 我 知 道 里 面 会 有 什 么 等 着 我 ， 这 就 像 是 一 场 噩 梦 ， 可 我 还 是 必 须 直 面 ， 哪 怕 头 破 血 流 。 C l u e   4 没 有 ， 什 么 都 没 有 ， 一 片 空 白 ！ 目 录 下 什 么 都 没 有 ， 连 隐 藏 文 件 的 气 味 都 没 有 ， 就 像 虚 无 一 样 完 全 看 不 到 希 望 ， 怎 么 办 ！ 我 的 第 六 感 告 诉 我 ， 这 里 一 定 哪 里 不 对 劲 。 看 来 ， 是 时 候 使 用 了 ， 最 重 要 的 是 ， 这 台 古 老 的 电 脑 居 然 也 安 了 。 先 试 了 下 ， 这 个 命 令 跟 之 前 的 的 作 用 类 似 ， 也 能 给 出 镜 像 的 分 区 信 息 ， 只 不 过 更 加 好 用 。 5 .   1 2 .   4 9 6 7 5 5 + 0   r e c o r d s   o u t 1 3 .   r o o t @ t o o r : ~ / a b l e 2   #   d d   i f = a b l e 2 . d d   o f = a b l e 2 . p a r t 5 . d d   b s = 5 1 2   s k i p = 6 7 5 4 5 0   c o u n t = 1 0 2 4 0 1 4 .   1 0 2 4 0 + 0   r e c o r d s   i n 1 5 .   1 0 2 4 0 + 0   r e c o r d s   o u t 1 .   r o o t @ t o o r : ~ / a b l e 2   #   m o u n t   - t   e x t 2   - o   r o , l o o p   a b l e 2 . p a r t 1 . d d   / m n t / a n a l y s i s / a b l e 2 . p a r t 2 . d d 1 .   r o o t @ t o o r : ~ / a b l e 2   #   c a t   / m n t / a n a l y s i s / e t c / f s t a b 2 .   / d e v / h d a 2   /             e x t 2   d e f a u l t s   1   1 3 .   / d e v / h d a 1   / b o o t     e x t 2   d e f a u l t s   1   2 4 .   / d e v / h d a 4   / u s r       e x t 2   d e f a u l t s   1   2 5 .   / d e v / h d a 5   / c l u e     e x t 2   d e f a u l t s   1   2 6 .   / d e v / h d a 3   s w a p       s w a p   d e f a u l t s   0   0 1 .   r o o t @ t o o r : ~ / a b l e 2   #   m o u n t   - t   e x t 2   - o   r o , l o o p   a b l e 2 . p a r t 2 . d d   / m n t / a n a l y s i s / 2 .   r o o t @ t o o r : ~ / a b l e 2   #   m o u n t   - t   e x t 2   - o   r o , l o o p   a b l e 2 . p a r t 1 . d d   / m n t / a n a l y s i s / b o o t 3 .   r o o t @ t o o r : ~ / a b l e 2   #   m o u n t   - t   e x t 2   - o   r o , l o o p   a b l e 2 . p a r t 4 . d d   / m n t / a n a l y s i s / u s r 4 .   r o o t @ t o o r : ~ / a b l e 2   #   m o u n t   - t   e x t 2   - o   r o , l o o p   a b l e 2 . p a r t 5 . d d   / m n t / a n a l y s i s / c l u e c l u e c d c l u e S l e u t h k i t S l e u t h k i t m m l s s f d i s k 1 .   r o o t @ t o o r : ~ / a b l e 2   #   m m l s   - t   d o s   a b l e 2 . d d 2 .   D O S   P a r t i t i o n   T a b l e 3 .   S e c t o r :   0 4 .   U n i t s   a r e   i n   5 1 2 - b y t e   s e c t o r s 6 .           S l o t     S t a r t             E n d                 L e n g t h           D e s c r i p t i o n 7 .   0 0 :   - - - - -   0 0 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 0 1   P r i m a r y   T a b l e   ( # 0 )
从 之 前 就 已 经 知 道 根 目 录 文 件 系 统 在 第 二 分 区 ， 从 上 面 可 知 偏 移 为 ， 用 查 看 详 细 信 息 ： 7 .   1 0 .   1 4 .   1 9 .   2 5 .   别 浪 费 时 间 了 ， 快 看 看 文 件 夹 到 底 怎 么 了 ， 我 心 里 告 诉 自 己 。 事 不 宜 迟 ， 拿 出 利 器 ， 可 以 列 出 文 件 系 统 上 所 有 的 文 件 和 目 录 ： 8 .   0 1 :   - - - - -   0 0 0 0 0 0 0 0 0 1   0 0 0 0 0 0 0 0 5 6   0 0 0 0 0 0 0 0 5 6   U n a l l o c a t e d 9 .   0 2 :   0 0 : 0 0   0 0 0 0 0 0 0 0 5 7   0 0 0 0 0 1 0 2 5 9   0 0 0 0 0 1 0 2 0 3   L i n u x   ( 0 x 8 3 ) 1 0 .   0 3 :   0 0 : 0 1   0 0 0 0 0 1 0 2 6 0   0 0 0 0 1 1 2 8 5 9   0 0 0 0 1 0 2 6 0 0   L i n u x   ( 0 x 8 3 ) 1 1 .   0 4 :   0 0 : 0 2   0 0 0 0 1 1 2 8 6 0   0 0 0 0 1 7 8 6 9 4   0 0 0 0 0 6 5 8 3 5   L i n u x   S w a p   /   S o l a r i s 1 2 .   0 5 :   0 0 : 0 3   0 0 0 0 1 7 8 6 9 5   0 0 0 0 6 7 5 4 4 9   0 0 0 0 4 9 6 7 5 5   L i n u x   ( 0 x 8 3 ) / 0 0 0 0 1 0 2 6 0 f s s t a t 1 .   r o o t @ t o o r : ~ / a b l e 2   #   f s s t a t   - o   1 0 2 6 0   a b l e 2 . d d 2 .   F I L E   S Y S T E M   I N F O R M A T I O N 3 .   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 .   F i l e   S y s t e m   T y p e :   E x t 2 5 .   V o l u m e   N a m e : 6 .   V o l u m e   I D :   9 0 6 e 7 7 7 0 8 0 e 0 9 4 8 8 d 0 1 1 6 0 6 4 d a 1 8 c 0 c 4 8 .   L a s t   W r i t t e n   a t :   S u n   A u g   1 0   1 4 : 5 0 : 0 3   2 0 0 3 9 .   L a s t   C h e c k e d   a t :   T u e   F e b   1 1   0 0 : 2 0 : 0 9   1 9 9 7 1 1 .   L a s t   M o u n t e d   a t :   T h u   F e b   1 3   0 2 : 3 3 : 0 2   1 9 9 7 1 2 .   U n m o u n t e d   I m p r o p e r l y 1 3 .   L a s t   m o u n t e d   o n : 1 5 .   S o u r c e   O S :   L i n u x 1 6 .   D y n a m i c   S t r u c t u r e 1 7 .   I n C o m p a t   F e a t u r e s :   F i l e t y p e , 1 8 .   R e a d   O n l y   C o m p a t   F e a t u r e s :   S p a r s e   S u p e r , 2 0 .   M E T A D A T A   I N F O R M A T I O N 2 1 .   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2 2 .   I n o d e   R a n g e :   1   -   1 2 8 8 1 2 3 .   R o o t   D i r e c t o r y :   2 2 4 .   F r e e   I n o d e s :   5 8 0 7 2 6 .   C O N T E N T   I N F O R M A T I O N 2 7 .   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2 8 .   B l o c k   R a n g e :   0   -   5 1 2 9 9 2 9 .   B l o c k   S i z e :   1 0 2 4 3 0 .   R e s e r v e d   B l o c k s   B e f o r e   B l o c k   G r o u p s :   1 3 1 .   < c o n t i n u e s > c l u e f l s f l s
用 选 项 列 出 文 件 系 统 上 所 有 被 删 掉 的 文 件 （ 已 删 除 的 文 件 会 用 标 记 ） ： 1 .   r o o t @ t o o r : ~ / a b l e 2   #   f l s   - o   1 0 2 6 0   a b l e 2 . d d 2 .   d / d   1 1 :   l o s t + f o u n d 3 .   d / d   3 6 8 1 :   b o o t 4 .   d / d   7 3 6 1 :   u s r 5 .   d / d   3 6 8 2 :   p r o c 6 .   d / d   7 3 6 2 :   v a r 7 .   d / d   5 5 2 1 :   t m p 8 .   d / d   7 3 6 3 :   d e v 9 .   d / d   9 2 0 1 :   e t c 1 0 .   d / d   1 8 4 3 :   b i n 1 1 .   d / d   1 8 4 4 :   h o m e 1 2 .   d / d   7 3 6 8 :   l i b 1 3 .   d / d   7 3 6 9 :   m e t 1 4 .   d / d   7 3 7 0 :   o p t 1 5 .   d / d   1 8 4 8 :   r o o t 1 6 .   d / d   1 8 4 9 :   s b i n 1 7 .   d / d   8 2 4 3 :   c l u e 1 8 .   r / r   1 0 4 2 :   . b a s h _ h i s t o r y 1 9 .   d / d   1 1 1 0 5 :   . 0 0 1 2 0 .   d / d   1 2 8 8 1 :   $ O r p h a n F i l e s - d * 1 .   r o o t @ t o o r : ~ / a b l e 2   #   f l s   - o   1 0 2 6 0   - F r d   a b l e 2 . d d 2 .   r / r   *   1 1 1 2 0 ( r e a l l o c ) :   v a r / l i b / s l o c a t e / s l o c a t e . d b . t m p 3 .   r / r   *   1 0 0 6 3 :   v a r / l o g / x f e r l o g . 5 4 .   r / r   *   1 0 0 6 3 :   v a r / l o c k / m a k e w h a t i s . l o c k 5 .   r / r   *   6 6 1 3 :     v a r / r u n / s h u t d o w n . p i d 6 .   r / r   *   1 0 4 6 :     v a r / t m p / r p m - t m p . 6 4 6 5 5 7 .   r / r   *   6 6 0 9 ( r e a l l o c ) :     v a r / c a t m a n / c a t 1 / r d a t e . 1 . g z 8 .   r / r   *   6 6 1 3 :   v a r / c a t m a n / c a t 1 / r d a t e . 1 . g z 9 .   r / r   *   6 6 1 6 :   t m p / l o g r o t 2 V 6 Q 1 J 1 0 .   r / r   *   2 1 3 9 :   d e v / t t Y Z 0 / l r k n . t g z 1 1 .   d / r   *   1 0 0 7 1 ( r e a l l o c ) :   d e v / t t Y Z 0 / l r k 3 1 2 .   r / r   *   6 5 7 2 ( r e a l l o c ) :     e t c / X 1 1 / f s / c o n f i g - 1 3 .   l / r   *   1 0 4 1 ( r e a l l o c ) :     e t c / r c . d / r c 0 . d / K 8 3 y p b i n d 1 4 .   l / r   *   1 0 4 2 ( r e a l l o c ) :     e t c / r c . d / r c 1 . d / K 8 3 y p b i n d 1 5 .   l / r   *   6 5 8 3 ( r e a l l o c ) :     e t c / r c . d / r c 2 . d / K 8 3 y p b i n d 1 6 .   l / r   *   6 5 8 4 ( r e a l l o c ) :     e t c / r c . d / r c 4 . d / K 8 3 y p b i n d 1 7 .   l / r   *   1 0 4 4 :   e t c / r c . d / r c 5 . d / K 8 3 y p b i n d 1 8 .   l / r   *   6 5 8 5 ( r e a l l o c ) :     e t c / r c . d / r c 6 . d / K 8 3 y p b i n d 1 9 .   r / r   *   1 0 4 4 :   e t c / r c . d / r c . f i r e w a l l ~ 2 0 .   r / r   *   6 5 4 4 ( r e a l l o c ) :     e t c / p a m . d / p a s s w d - 2 1 .   r / r   *   1 0 0 5 5 ( r e a l l o c ) :   e t c / m t a b . t m p 2 2 .   r / r   *   1 0 0 4 7 ( r e a l l o c ) :   e t c / m t a b ~ 2 3 .   r / -   *   0 :         e t c / . i n e t d . c o n f . s w x 2 4 .   r / r   *   2 1 3 8 ( r e a l l o c ) :     r o o t / l o l i t _ p i c s . t a r . g z 2 5 .   r / r   *   2 1 3 9 :   c l u e / l r k n . t g z 2 6 .   r / r   *   1 0 5 5 :   $ O r p h a n F i l e s / O r p h a n F i l e - 1 0 5 5
果 然 ， 文 件 下 有 一 个 被 删 除 的 文 件 。 不 管 是 什 么 ， 看 来 ， 我 得 想 办 法 把 它 复 原 出 来 。 的 i n o d e 是 2 1 3 9 ， 于 是 用 查 看 的 该 i n o d e 的 详 细 信 息 ： 1 0 .   1 6 .   接 下 来 就 是 保 存 该 i n o d e 指 向 的 b l o c k 数 据 ， 即 被 删 除 的 文 件 ： 嗯 ， 没 错 ， 是 一 个 的 压 缩 文 件 。 现 在 我 已 非 常 谨 慎 ， 这 是 种 不 好 的 预 感 。 先 不 解 压 ， 看 看 里 面 有 什 么 ： 2 6 .   r / r   *   1 0 5 5 :   $ O r p h a n F i l e s / O r p h a n F i l e - 1 0 5 5 2 7 .   r / r   *   1 0 5 6 :   $ O r p h a n F i l e s / O r p h a n F i l e - 1 0 5 6 2 8 .   r / r   *   1 0 5 7 :   $ O r p h a n F i l e s / O r p h a n F i l e - 1 0 5 7 2 9 .   r / r   *   2 1 4 1 :   $ O r p h a n F i l e s / O r p h a n F i l e - 2 1 4 1 3 0 .   r / r   *   2 1 4 2 :   $ O r p h a n F i l e s / O r p h a n F i l e - 2 1 4 2 3 1 .   r / r   *   2 1 4 3 :   $ O r p h a n F i l e s / O r p h a n F i l e - 2 1 4 3 3 2 .   < c o n t i n u e s > c l u e 1 .   r / r   *   2 1 3 9 :   c l u e / l r k n . t g z c l u e / l r k n . t g z i s t a t 1 .   r o o t @ t o o r : ~ / a b l e 2   #   i s t a t   - o   1 0 2 6 0   a b l e 2 . d d   2 1 3 9 2 .   i n o d e :   2 1 3 9 3 .   N o t   A l l o c a t e d 4 .   G r o u p :   1 5 .   G e n e r a t i o n   I d :   3 5 3 4 9 5 0 5 6 4 6 .   u i d   /   g i d :   0   /   0 7 .   m o d e :   r r w - r - - r - - 8 .   s i z e :   3 6 3 9 0 1 6 9 .   n u m   o f   l i n k s :   0 1 1 .   I n o d e   T i m e s : 1 2 .   A c c e s s e d :               S u n   A u g   1 0   0 0 : 1 8 : 3 8   2 0 0 3 1 3 .   F i l e   M o d i f i e d :     S u n   A u g   1 0   0 0 : 0 8 : 3 2   2 0 0 3 1 4 .   I n o d e   M o d i f i e d :   S u n   A u g   1 0   0 0 : 2 9 : 5 8   2 0 0 3 1 5 .   D e l e t e d :                 S u n   A u g   1 0   0 0 : 2 9 : 5 8   2 0 0 3 1 7 .   D i r e c t   B l o c k s : 1 8 .   2 2 8 1 1   2 2 8 1 2   2 2 8 1 3   2 2 8 1 4   2 2 8 1 5   2 2 8 1 6   2 2 8 1 7   2 2 8 1 8 1 9 .   2 2 8 1 9   2 2 8 2 0   2 2 8 2 1   2 2 8 2 2   2 2 8 2 4   2 2 8 2 5   2 2 8 2 6   2 2 8 2 7 2 0 .   < s n i p > . . . 2 1 .   3 2 2 3 3   3 2 2 3 4 1 .   r o o t @ t o o r : ~ / a b l e 2   #   i c a t   - o   1 0 2 6 0   a b l e 2 . d d   2 1 3 9   >   l r k n . t g z . 2 1 3 9 2 .   r o o t @ t o o r : ~ / a b l e 2   #   f i l e   l r k n . t g z . 2 1 3 9 3 .   l r k n . t g z . 2 1 3 9 :   g z i p   c o m p r e s s e d   d a t a ,   w a s   " l r k n . t a r " ,   f r o m   U n i x g z i p 1 .   r o o t @ t o o r : ~ / a b l e 2   #   t a r   t z v f   l r k n . t g z . 2 1 3 9   |   l e s s 2 .   d r w x r - x r - x   l p / l p         0   1 9 9 8 - 1 0 - 0 1   1 8 : 4 8 : 1 8   l r k 3 /
这 是 什 么 鬼 ， 是 一 个 非 常 古 老 的 ， 我 表 示 对 完 全 不 了 解 。 可 是 ， 里 面 的 却 血 腥 的 刺 眼 ， 又 是 一 条 可 怕 的 提 示 ， 想 想 就 让 人 不 禁 寒 颤 。 C l u e   5 线 索 5 的 陈 述 依 然 是 那 么 简 单 有 力 让 人 摸 不 着 头 脑 。 我 默 默 的 想 ， 也 许 这 是 在 提 示 我 ， 找 到 含 有 关 键 字 的 文 件 所 在 。 一 想 到 这 里 ， 身 体 就 不 由 自 主 的 不 受 控 制 ， 开 始 在 终 端 前 机 械 的 操 作 起 来 。 第 一 步 对 整 个 镜 像 文 件 来 个 搜 索 ： 有 这 个 关 键 字 ， 一 种 不 好 的 预 感 涌 上 心 头 ， 我 知 道 ， 接 下 来 就 是 找 到 这 个 文 件 并 把 它 提 取 出 来 。 根 据 上 面 的 结 果 ， 关 键 字 第 一 次 出 现 在 镜 像 偏 移 处 ， 之 前 用 知 道 了 每 个 扇 区 的 大 小 是 5 1 2 字 节 ， 所 以 可 以 计 算 出 位 于 哪 个 扇 区 ： 2 .   d r w x r - x r - x   l p / l p         0   1 9 9 8 - 1 0 - 0 1   1 8 : 4 8 : 1 8   l r k 3 / 3 .   - r w x r - x r - x   l p / l p     7 4 2   1 9 9 8 - 0 6 - 2 7   1 1 : 3 0 : 4 5   l r k 3 / 1 4 .   - r w - r - - r - -   l p / l p     7 1 6   1 9 9 6 - 1 1 - 0 2   1 6 : 3 8 : 4 3   l r k 3 / M C O N F I G 5 .   - r w - r - - r - -   l p / l p   6 8 3 3   1 9 9 8 - 1 0 - 0 3   0 5 : 0 2 : 1 5   l r k 3 / M a k e f i l e 6 .   - r w - r - - r - -   l p / l p   6 3 6 4   1 9 9 6 - 1 2 - 2 7   2 2 : 0 1 : 4 3   l r k 3 / R E A D M E 7 .   - r w - r - - r - -   l p / l p   1 7 3 2   1 9 9 5 - 1 1 - 1 0   2 3 : 5 9 : 5 9   l r k 3 / C L U E 5 8 .   - r w x r - x r - x   l p / l p       9 0   1 9 9 8 - 0 6 - 2 7   1 2 : 5 3 : 4 5   l r k 3 / R U N 9 .   d r w x r - x r - x   l p / l p         0   1 9 9 8 - 1 0 - 0 1   1 8 : 0 8 : 5 0   l r k 3 / b i n / 1 0 .   < c o n t i n u e s > l r k 3 r o o t k i t r o o t k i t C L U E 5 1 .   r o o t @ t o o r : ~ / a b l e 2   #   t a r   x z v f O   l r k n . t g z . 2 1 3 9   l r k 3 / C L U E 5   >   C L U E 5 2 .   l r k 3 / C L U E 5 1 .   C Y B E R N E T I K ， 找 尋 它 身 處 何 處 C Y B E R N E T I K 1 .   r o o t @ t o o r : ~ / a b l e 2   #   g r e p   - a b i   C Y B E R N E T I K   a b l e 2 . d d 2 .   1 0 5 6 1 6 0 3 :   *   u p d a t e d   b y   C y b e r n e t i k   f o r   l i n u x   r o o t l e t 3 .   5 5 3 0 6 9 2 9 : C y b e r n e t i k   p r o u d l y   p r e s e n t s . . . 4 .   5 5 3 1 2 9 4 3 : E m a i l :   c y b e r n e t i k @ n y m . a l i a s . n e t 5 .   5 5 3 1 2 9 7 5 : F i n g e r :   c y b e r n e t i k @ n y m . a l i a s . n e t 6 .   r o o t @ t o o r : ~ / a b l e 2   #   x x d   - s   1 0 5 6 1 6 0 3   a b l e 2 . d d   |   h e a d   - n   5 7 .   0 a 1 2 8 4 3 :   2 0 2 a   0 9 7 5   7 0 6 4   6 1 7 4   6 5 6 4   2 0 6 2   7 9 2 0   4 3 7 9   * . u p d a t e d   b y   C y 8 .   0 a 1 2 8 5 3 :   6 2 6 5   7 2 6 e   6 5 7 4   6 9 6 b   2 0 6 6   6 f 7 2   2 0 6 c   6 9 6 e   b e r n e t i k   f o r   l i n 9 .   0 a 1 2 8 6 3 :   7 5 7 8   2 0 7 2   6 f 6 f   7 4 6 b   6 9 7 4   0 a 2 0   2 a 2 f   0 a 0 a   u x   r o o t k i t .   * / . . 1 0 .   0 a 1 2 8 7 3 :   2 3 6 9   6 e 6 3   6 c 7 5   6 4 6 5   2 0 3 c   7 3 7 9   7 3 2 f   7 4 7 9   # i n c l u d e   < s y s / t y 1 1 .   0 a 1 2 8 8 3 :   7 0 6 5   7 3 2 e   6 8 3 e   0 a 2 3   6 9 6 e   6 3 6 c   7 5 6 4   6 5 2 0   p e s . h > . # i n c l u d e C Y B E R N E T I K 1 0 5 6 1 6 0 3 f s s t a t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理