主要最近发现自己的取证题目比较薄弱，于是拿小明同学们练练手。

1.热心助人的小明同学

这个很简单，只要装好vol2，然后lsadump看密码就好

先看操作版本

1
vol.py -f image.raw imageinfo
屏幕截图 2024-12-20 140254

看到操作版本是 Win7SP1x86_23418

然后直接lsadump就好

屏幕截图 2024-12-20 140511

密码：ZDFyVDlfdTNlUl9wNHNTdzByRF9IQUNLRVIh（开头的0x48不是密码）

所以flag：flag{ZDFyVDlfdTNlUl9wNHNTdzByRF9IQUNLRVIh}

2.擅长音游的小明同学

拿到了一个vhd和一个君は加密本当に上手だな.zip，解压得到一个raw文件

vhd双击打开发现要密码，先看raw，用FTK挂载

..

发现有问题，加载不出来

原来是复现的文件有问题，原本题目是chal.E01文件，能加载出来，但是复现给的文件是chal.raw，加载不出来。。

遂卒。

3.擅长加密的小明同学