CTFShow-电子取证篇Writeup_ctfshow 电子取证(1)

题目解压密码：Th1s_15_p@SsW0rd_u_n3ver_kn0w_b3f0re_BLB_St4rt
可通过验证压缩包md5值查看附件是否损坏：de3b3febacdfa20d255e1014cd204a35
共3大题，第1大题做出来再给你第2大题和第3大题的题目，哼哼**

1.佳佳的电脑用户名叫什么(即C:\Users{name})
2.最后一次运行计算器的时间？(格式为yyyy-mm-dd_hh:mm:ss，注意冒号为英文冒号)
flag格式为ctfshow{md5(A1_A2)}， format:ctfshow{ljj_2021-12-12_07:13:26}=ctfshow{c3cf135599d338093cbd2b578065be89}

python vol.py -f JiaJia_Co.raw imageinfo #获取镜像名称

python vol.py -f JiaJia_Co.raw --profile=Win7SP1x64 filescan |grep "Users" #过滤用户看到了是JiaJia

可以使用timeliner用于查看时间线的工具搜索计算器单词calc.exe看到时间为12:15:47
要转为东八区UTC+8所以加8小时