电子数据取证分析师四级中级工 详细题库

移动终端镜像解析工具使用方法 题目预览

• 第 1 题 单选题
  在FTK Imager中，创建物理磁盘镜像时，若选择"Raw (dd)"格式，生成的镜像文件扩展名默认为（ ）。
  • A. .dd
  • B. .e01
  • C. .aff
  • D. .vhd
  解析：FTK Imager的Raw (dd)格式输出文件扩展名为.dd，这是一种常见的原始位镜像格式。
• 第 2 题 单选题
  使用FTK Imager创建逻辑镜像时，若要包含单个文件，应首先执行的操作是（ ）。
  • A. 选择物理驱动器
  • B. 添加文件
  • C. 添加文件夹
  • D. 加载镜像
  解析：在FTK Imager中，创建逻辑镜像可以通过“文件”菜单下的“添加项目”中的“添加文件”功能来实现。
• 第 3 题 单选题
  在FTK Imager创建的E01镜像文件中，哈希校验值通常保存在（ ）。
  • A. 文件头部
  • B. 文件中间
  • C. 文件尾部
  • D. 单独文件
  解析：E01格式将校验和、哈希值等元数据存储在镜像文件的末尾，称为“校验块”。
• 第 4 题 单选题
  FTK Imager对镜像进行验证时，若镜像数据被篡改，可能产生的现象包括（ ）。
  • A. 哈希值不匹配
  • B. 校验和错误
  • C. 无法正常加载
  • D. 以上都是
  解析：镜像被篡改后，哈希值会不匹配，校验和也会错误，甚至可能导致FTK Imager无法正常加载该镜像，因此以上都是可能的现象。
• 第 5 题 判断题
  FTK Imager创建的E01镜像文件可以设置密码保护，从而限制未经授权的访问。
  • A. 对
  • B. 错
  解析：FTK Imager在创建E01镜像时，可以在“证据文件信息”对话框中设置密码，后续加载镜像时需要输入密码。
• 第 6 题 判断题
  FTK Imager中，挂载镜像为虚拟磁盘后，可以直接对虚拟磁盘中的文件进行写入操作。
  • A. 对
  • B. 错
  解析：FTK Imager挂载镜像为只读虚拟磁盘，只能读取，不能写入，以保证镜像的完整性。
• 第 7 题 多选题
  FTK Imager中，对镜像进行哈希计算时，可选的哈希算法有（ ）。
  • A. MD5
  • B. SHA1
  • C. SHA256
  • D. SHA512
  • E. CRC32
  解析：FTK Imager支持MD5、SHA1、SHA256和SHA512四种哈希算法，CRC32为校验和算法，不属于哈希算法。
• 第 8 题 多选题
  FTK Imager中，查看镜像内容时，支持的视图模式有（ ）。
  • A. 证据树视图
  • B. 文件列表视图
  • C. 十六进制视图
  • D. 时间线视图
  • E. 图表视图
  解析：FTK Imager提供左侧证据树显示目录结构，右侧文件列表显示文件，以及双击文件后出现的十六进制查看器，不包含时间线或图表视图。