电子数据取证分析师三级高级工 详细题库

计算机中非主流程序数据定位与分析方法 题目预览

• 第 1 题 单选题
  在Windows系统中，用于定位非主流程序数据时，通过检查（ ）可以快速发现程序运行后留下的痕迹。
  • A. 系统日志
  • B. 注册表
  • C. 预取文件
  • D. 浏览器历史
  解析：Windows系统的预取文件（.pf）用于加速程序启动，其中记录了程序的执行痕迹，包括执行时间、次数以及加载的DLL等信息，这对于定位非主流程序的运行历史非常有帮助。
• 第 2 题 单选题
  在电子数据取证中，通过分析（ ）可以定位到非主流程序在文件系统中创建的隐藏目录或文件。
  • A. 文件签名
  • B. 磁盘分区表
  • C. 主文件表
  • D. 文件扩展名
  解析：主文件表是NTFS文件系统的核心，记录了所有文件和目录的元数据，包括标准属性和非常规属性。通过分析MFT条目，可以发现被标记为隐藏或系统属性的非主流程序相关目录和文件。
• 第 3 题 单选题
  对于非主流程序，通过检查系统的（ ）可以定位其可能设置的持久化机制。
  • A. 环境变量
  • B. 启动文件夹
  • C. 用户配置文件
  • D. 临时文件
  解析：系统的启动文件夹（如“启动”菜单或特定的注册表Run键）是程序实现持久化的常见位置。非主流程序常通过在此处创建快捷方式或注册表项以确保系统重启后能自动运行。
• 第 4 题 单选题
  在定位非主流程序数据时，通过内存取证分析（ ）可以发现有价值的进程关联信息。
  • A. 页面文件
  • B. 进程链表
  • C. 网络连接
  • D. 句柄表
  解析：内存中的进程链表维护了所有活动进程的信息。通过分析该链表，可以枚举出正在运行的进程，包括那些非主流或试图隐藏的进程，并获取其关键元数据。
• 第 5 题 判断题
  在Windows系统中，通过分析用户Assist日志可以定位到非主流程序的执行历史。
  • A. 对
  • B. 错
  解析：用户Assist日志（存储在注册表中）记录了用户通过图形界面（如资源管理器）执行的程序路径和次数，对于追踪非主流程序的用户执行行为具有重要价值。
• 第 6 题 判断题
  通过检查文件的哈希值并与已知恶意软件库比对，是定位非主流程序数据的唯一有效方法。
  • A. 对
  • B. 错
  解析：检查文件哈希值并进行比对是有效方法之一，但并非唯一方法。许多非主流或未知程序可能不在现有特征库中，因此还需要结合行为分析、内存分析、注册表分析等多种技术进行综合定位。
• 第 7 题 多选题
  在定位计算机中的非主流程序数据时，以下哪些方法通常用于发现程序的自动启动项？（ ）
  • A. 检查系统服务
  • B. 分析计划任务
  • C. 查看浏览器Cookie
  • D. 审查WMI事件订阅者
  • E. 扫描磁盘坏道
  解析：系统服务、计划任务和WMI事件订阅者都是操作系统常见的自动启动机制，非主流程序常利用这些机制实现持久化。浏览器Cookie主要用于网站会话管理，与程序自启动无关。扫描磁盘坏道属于物理磁盘维护，与程序数据定位无关。
• 第 8 题 多选题
  以下哪些Windows注册表路径常用于定位非主流程序的持久化或配置数据？（ ）
  • A. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • B. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
  • C. HKEY_CLASSES_ROOT\.exe
  • D. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
  • E. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  解析：选项A和E是著名的自启动注册表键，用于记录用户和系统级别开机自动运行的程序。选项D存储系统服务信息，非主流程序可能通过注册服务实现持久化。选项B主要与Windows资源管理器设置相关，选项C与文件关联相关，它们通常不直接用于存储程序的持久化配置。