电子数据取证笔试试卷-.docx

精品名师归纳总结资料word 精心总结归纳 - - - - - - - - - - - -单位：姓名：得分：电子数据取证试题说明：考试时间100 分钟，满分100 分，答案写在答题纸上。一、单项题（共 10 题，每题 2 分，共计 20 分）1. 硬盘作为最常见的运算机储备介质，近几年淡定量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A. SCSIB.IDEC.SASD.SATA2. 以下哪种规格是市场上最常见的笔记本硬盘？A. 3.5 英寸B.1.8 英寸C.2.5 英寸D.1 英寸3. 以下哪种规格不是SCSI硬盘的针脚数？A.50B.68C.72D.804. 以下哪种接口的储备设备是不支持热插拔的？A. USB接口B.E-SATA接口C.SATA接口D.IDE 接口5. 以下哪个选项是无法运算哈希值的？A. 硬盘B.分区C.文件D.文件夹6. 以下文件系统中，哪个是Windows 7 系统不支持的？A. exFatB.NTFSC.HFSD.FAT327. 以下有关文件的各类时间属性，操作系统是肯定不记录的？A. 创建时间B.修改时间C.拜访时间D.删除时间8. 以下哪种不是常见的司法取证中的硬盘镜像格式？A. GhoB.AFFC.S01D.0019. 系统日志中某些内容可能对取证有重要意义，比如“大事日志服务启动”通常被视为运算机开机的标志，该大事所对应的大事编号为：A.5005B.5006C.6005D.600610. Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？A. GuidanceB.GetDataC.AccessDataD.PanSafe二、多项题（共 10 题，每题 3 分，共计 30 分）1. 通常 Windows 系统中涉及文件的3 个时间属性， M 代表 Modify ，表示最终修改时间。A 代表 Access，表示最终拜访时间。C 代表 Create，表示创建时间。以下说明错误选项？ A M 始终要晚于CB M 、A、C 在 Linux 系统中也适用C M 、A、C 时间是不能被任何工具修改的，因此是可信的可编辑资料 - - - 欢迎下载精品名师归纳总结学习资料 名师精选 - - - - - - - - - -第 1 页，共 4 页 - - - - - - - - - -可编辑资料 - - - 欢迎下载精品名师归纳总结资料word 精心总结归纳 - - - - - - - - - - - -单位：姓名：得分：D 文件的 M 、A、C 时间一旦发生变化，文件的哈希值随之转变2. 以下关于对位复制的说法中，不正确选项？A 为了确保目标盘与源盘的一样性，肯定要找到与源盘品牌、型号、容量均一样的目标盘进行复制B 为了确保司法取证的有效性，肯定要验证目标盘与源盘哈希值的一样性C 为了确保目标盘与源盘的一样性，目标盘的硬盘接口肯定要与源盘一样D 当目标盘容量大于源盘时，肯定要运算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一样性3. 以下关于现场勘验过操作的说法中，不正确选项？A DD 文件是最常用的镜像格式，由于该格式是原始镜像，而且支持高压缩。B 为了固定运行着的运算机的桌面状态，第一应当按键盘的PrtSc 键进行截图。C 对于关机状态下的运算机进行固定时，优先实行对硬盘盘体进行开盘操作的方式。D 对于关机状态下又无法拆卸硬盘的运算机，应当开机直接查看系统里的数据。4. 以下文件系统中，哪些是Windows 的文件系统？A. HFS/HFS+B.EXT2/3/4C.NTFSD.FAT16/325. 以下关于对位复制和创建镜像的说法中，错误选项？A 一般情形下，对位复制时，目标盘容量要等于源盘容量B 制作 DD 镜像时，能够将500G 源盘的完整DD 镜像生成到500G 的目标盘中C 一般情形下，源盘生成的E01 镜像，占用的空间小于同一块盘生成的DD 镜像D 用特的的镜像哈希运算工具，运算的同一块硬盘的DD 和 E01 镜像哈希值是相同的6. 当一块硬盘被连接到运算机上时，Windows 系统已经为其安排盘符，但双击该盘符提示是否需要格式化磁盘，可能存在的缘由是？A 该分区格式为EXT4，Windows 系统无法识别B 该分区已损坏，Windows 无法识别C 该硬盘是一块从未使用过的全新的硬盘D 该分区被病毒感染，导致分区表丢失7. 下面关于文件头的说法中，不正确选项？ A 各种类型文件的文件头长度不肯定相同B JPG格式文件的文件头存在细小差异C 相比文件头，文件扩展名更可信，因此文件扩展名常用于判定文件类型D 在 Windows 系统中，修改文件扩展名的同时，该文件的文件头也随之变化8. 以下哪些类型是Windows7 系统中常见的日志类型？A. ApplicationB.SecurityC.SystemD.Local9. 手机中常用的简体中文编码格式不包括？A. Big5B.UTF-16C.Unicode BED.UTF-7可编辑资料 - - - 欢迎下载精品名师归纳总结学习资料 名师精选 - - - - - - - - - -第 2 页，共 4 页 - - - - - - - - - -可编辑资料 - - - 欢迎下载精品名师归纳总结资料word 精心总结归纳 - - - - - - - - - - - -单位：姓名：得分：10. 下面哪些密码破解方法可以用于RAR文件？A. 彩虹表破解B.暴力破解C.掩码破解D.字典破解三、不定项挑选题（共10 题，每题 3 分，共计 30 分）1. 以下不是 NTFS分区下的元文件的是？A. $MFTB.$BootC.$FATD.$Secure2. 以下属于Windows 7 系统中虚拟内存对应的文件是？A. hiberfil.sysB.pagefile.sysC.virtualmem.sysD.config.sys3. 以下关于文件大小和文件占用空间大小的说法中，不正确选项？A 文件大小和文件占用空间大小总是不一样的B 文件占用空间大小总是大于文件的实际大小C 文件大小总是文件占用扇区大小的整数倍D 文件占用空间大小与文件实际大小之间的差额通常被称为文件放松区（Slack）4. 下面哪些操作系统不属于智能手机操作系统？A. LinuxB.Windows 8C.Mac OSD.MTK5. 下面哪些文件不是Windows 的注册表文件？A. RegeditB.SamC.SystemD.Security6. 下面哪种类型的数据不属于易失性数据？A. 内存B.未安排簇C.运行的服务D.未打开的图片7. 以下关于安卓手机取证说法错误选项？A. 安卓手机大部分的关键数据都记录在data 区内B. Data 区无法随便拜访，需要最高用户权限的授权（root 权限）C. 通过解析备份文件也可以完成对data 区的取证D. 通过一些第三方软件，可以将 QQ、微信等主流社交软件的谈天记录储存位置指定在SD卡8. 以下关于制作硬盘复制件的说法中，不正确选项？A 降低直接在源盘检验带来的源盘损坏的风险。B 防止误操作等缘由造成的硬盘数据篡改。C 对于某些传输速率低的硬盘，复制件采纳高速率硬盘能有效提高后续取证效率。D 制作复制件的同时，能够修复部分物理损坏的源盘。9. 以下文件后缀名的说法中，不正确选项？A 文件的后缀名显示与否是Windows 系统中可以设置的。B 文件的后缀名一般来说为3-4 个位长度。C 可以通过转变文件的后缀名修改文件的类型。可编辑资料 - - - 欢迎下载精品名师归纳总结学习资料 名师精选 - - - - - - - - - -第 3 页，共 4 页 - - - - - - - - - -可编辑资料 - - - 欢迎下载精品名师归纳总结资料word 精心总结归纳 - - - - - - - - - - - -单位：姓名：得分：D 全部文件都有文件后缀名。10. 以下关于iPhone 取证说法错误选项？A iPhone 数据复原肯定要越狱B iPhone 的 DFU模式通常用于刷机和越狱C iPhone4 的 4 位屏幕密码可以破解D iPhone 只有越狱了才能进行密码破解四、判定题（共 10 题，每题 1 分，共计 10 分）1. 手机取证时一般将手机调成飞信模式再进行取证。2. 运算机仿真取证技术可以很大程度上补偿传统静态取证证据猎取才能的不足。3. 手机的备份文件中不会记录IMEI 号。4. 开机状态下Windows 的用户密码信息是以明文形式储存在注册表中的。5. 安卓手机都可以通过备份进行猎取。6. 现场勘验时可以通过PE工具直接清除windows 密码后进行开机取证。7. 对手机取证时应保证待检测手机的数据、信号畅通，以便准时接受到最新的证据。8. iPhone 手机微信中猎取的语音文件属于证据形式中的声像资料，而不是电子数据。9. 在进行硬盘克隆（对位复制）前必需对目标盘进行擦除。10. Aff与 E01 格式支持镜像压缩，可依据实际需求挑选压缩比，削减文件占用的空间与镜像制作的时间。五、简答题（共 2 题，每题 5 分，共计 10 分）1. 简述硬盘克隆（对位复制）与镜像的异同。2. 简述有屏幕密码的安卓手机应当如何取证。可编辑资料 - - - 欢迎下载精品名师归纳总结学习资料 名师精选 - - - - - - - - - -第 4 页，共 4 页 - - - - - - - - - -可编辑资料 - - - 欢迎下载