主要最近发现自己的取证题目比较薄弱，于是拿小明同学们练练手。

1.热心助人的小明同学

这个很简单，只要装好vol2，然后lsadump看密码就好

先看操作版本

1	vol.py -f image.raw imageinfo

看到操作版本是 Win7SP1x86_23418

然后直接lsadump就好

密码：ZDFyVDlfdTNlUl9wNHNTdzByRF9IQUNLRVIh（开头的0x48不是密码）

所以flag：flag{ZDFyVDlfdTNlUl9wNHNTdzByRF9IQUNLRVIh}

2.擅长音游的小明同学

拿到一个chal_fixed.E01文件，使用FTK挂载（最好用4.2版本的

在win7那个下面的root/users/desktop可以看到

[!NOTE]

真相.txt

真相会不经意间流入日常的点点滴滴……
真相在哪里?

[!NOTE]

要开始了呦.txt

今天舞萌彩框了好开心啊o(￣▽￣)ブ
我要把这一刻用照片保存下来
不过在拍摄rating变化的瞬间总感觉有什么东西藏进照片里了
打开也没发现什么异常，但是体积好像变大了一点
是错觉吗？

可以发现跟图片有关，而在照片文件里面找到ColorfulDog.jpg

没啥思路了binwalk一下（感觉挺正常的

发现一个txt内容是：

听好了听好了听好了听好了听好了听好了听好了： 1919年8月10日，世界就此陷落，陷落的世界都将迎来一场漩涡，为这个世界带来有关弗拉格尚未知晓的真相。但发掘真相的道路被加诸混沌的历练世界的宽高未被正确丈量当真相被混沌打乱时真相将不复存在也许，在世界的重置和轮回中能找到发现真相的方法…… 至此，尘埃落定至此，一锤定音 #音游# #NewStarcaea# #Misc#

然后我们挂载这个E01，注意要在FTK上右键加载镜像，进行加载