面向学生和教职员工的免费实操数字取证实验室
# 数字取证实验室与共享网络取证情报库
<img src="https://assets.kitploit.com/production/public/readmes/4937/1ddd869d4aecd7cb8a1f920958c7b8e4a9f728923f43279c5556bf44aa57f25f.png" width="150"> <img src="https://assets.kitploit.com/production/public/readmes/4937/41af3179455d30c49e7068317a94799669adffabb8db04e5c233409ed567c34c.jpg" width="150"><img src="https://www.nsf.gov/news/mmg/media/images/bitmaplogo_nolayers_f_e50fcd0b-607b-4271-a808-914d9c2f65dc.png" width="110">
### 本仓库特点
- **交互式数字取证实验室：** 专为学生和教师参与而设计
- **以Linux为中心的实验环境：** 所有实验均使用Kali Linux
- **可视化学习支持：** 每个实验包含PowerPoint演示文稿、相关文件和教学截图
- **全面覆盖：** 涵盖数字取证领域的广泛主题
- **开源工具：** 所有使用的工具均为自由开源软件
- **持续更新：** 由美国司法部（DOJ）、国土安全部（DHS）和国家科学基金会（NSF）资助，团队致力于定期更新仓库
- **取证情报集成：** 两个基于真实案例研究的结构化取证情报数据集（JSON格式）
_如需反馈或告知您正在使用本课程材料，请通过电子邮件联系 wxu at ubalt dot edu。真诚感谢您的合作_
---
[<img src="https://assets.kitploit.com/production/public/readmes/4937/753370810384a2fdc79e079be03faaaab178c064879d63457455fedb44030be7.jpg" width="150">](https://www.amazon.com/Digital-Forensics-Basics-Step-Step-ebook/dp/B0FKZMJLV7)
PowerPoint幻灯片可在目录的前两个部分获取。
教职人员可申请免费样书。如需PDF版本，请使用您所在机构的电子邮箱联系我，并附上您的教职主页或大学网页链接。
---
## 目录（2024年10月15日新发布：Eufy调查）
- 数字取证基础计算机技能
- [数字系统](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/0_Number_Systems.pptx)（2023年1月添加用于数据转换的Python代码）
- [PC介绍](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/1_PC_Introduction.pptx)
- [Windows命令行教程](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/2_Win_command_line_tutorial.pptx)
- [Linux命令行教程](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/3_Linux_command_line_tutorial.pptx)
- [高级Linux命令行教程](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/4_Advanced_linux_command_line.pptx)
- 计算机与数字取证（2021年10月更新）
- [数字取证导论](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/5_Introduction_to_digital_forensics.pptx)
- [Sleuth Kit教程](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/6_Sleuth_Kit_Tutorial.pptx)
- [USB镜像获取](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/7_USB_Image_Acquisition.pptx)
- [证据搜索 - 模式匹配游戏](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/8_1_Evidence_search_a_pattern_match_game.pptx)（2022年5月更新）
- [证据搜索 - 文件元数据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/8_2_Evidence_search_file_metadata.pptx)
- [数据雕刻](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/9_Data_Carving.pptx)
- [隐写术](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/10_Steganography.pptx)
- [取证报告模板](https://github.com/frankwxu/digital-forensics-lab/blob/main/Basic_Computer_Skills_for_Forensics/Forensic_Report_Template.pdf)
- 数字取证基础网络技能（2023年3月17日添加。使用Python Scapy和netfilterqueue库）
- [使用Wireshark进行HTTP分析（文本）](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/HTTP_Wireshark_Forensics_1_text.pptx)
- [使用Wireshark进行HTTP分析（图像）](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/HTTP_Wireshark_Forensics_2_image.pptx)
- [使用tshark调查SYN洪水攻击](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/20_HTTP_tshark_Forensics_1_SYN_Flood.pptx)
- [SMTP取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/30_SMTP_Email_Forensics.pptx)
- [ARP欺骗取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/40_ARP_Poisoning_Forensics.pptx)
- [防火墙](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/50_Firewall_Drop.pptx)
- [DNS介绍](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/70_DNS.pptx)
- [DNS欺骗取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/80_DNS_Spoof_Forensics.pptx)
- [WEP40无线Aircrack](https://github.com/frankwxu/digital-forensics-lab/blob/main/Networking_Forensics/90_Wireless_aircrack_WEP40_1.pptx)
- 计算机取证案例研究
- [调查NIST数据泄露（Windows XP）](#investigating-nist-data-leakage)
- [调查P2P数据泄露（Windows 10）](#investigating-p2p-data-leakage)
- [调查非法持有图像（"网络取证"）](#investigating-illegal-possession-of-images)
- [调查电子邮件骚扰](#investigating-email-harassment)（2023年2月更新）
- [调查非法文件传输（内存取证）](#investigating-illegal-file-transferring)
- [调查黑客攻击案件](#investigating-hacking-case)
- [调查Morris蠕虫攻击](#investigating-morris-worm-attack)（2023年1月更新，[海报](https://github.com/frankwxu/digital-forensics-lab/blob/main/papers/poster_Morris_Worm_Attack.pdf)）
- 移动/IoT取证案例研究
- [调查Eufy门铃](#investigating-Eufy-Doorbell)（2024年10月15日添加）
- [调查Echo Show 8](#investigating-echo-show-8)（2023年12月25日添加）
- [调查Android 10](#investigating-android-10)（2021年10月24日添加）
- [调查iPhone iOS 13](#investigating-iphone-ios-13)（2022年6月18日更新）
- [调查无人机](#investigating-drone-dji)（2021年12月7日添加）
- 取证情报库
- [电子邮件取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/STIX_for_digital_forensics/Email_Harassment)
- [非法持有图像](https://github.com/frankwxu/digital-forensics-lab/blob/main/STIX_for_digital_forensics/Illegal_Possession_Images)
- 人工智能取证
- [CKIM2024](https://cikm2024.org/tutorials/)教程课程。可访问[实操实验室](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/CKIM2024/readme.md)
- [使用微调AI模型识别IP地址](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/IP_Identifier_Fine_Tuning/IP_Identifer_Fine_Tuning.pptx)
- [利用LLM对嫌疑人进行画像（浏览器历史记录）](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/CKIM2024/Takeout/browser_analysis.ipynb) [colab](https://github.com/frankwxu/digital-forensics-lab/blob/main/AI4Forensics/CKIM2024/Takeout/profile_browser_history_colab.ipynb)
- [利用LLM进行政治洞察分析（电子邮件）](#political-insight-analysis-leveraging-llms)
- [使用Cellebrite 2022夺旗（CTF）竞赛数据集分析团伙犯罪](https://github.com/frankwxu/digital-forensics-lab-p2)。如果您是教职人员，可申请PDF实验手册。
- Beth的iPhone
- Heisenberg的Android手机
- Marsha的iPhone
---
请引用我们的[论文](https://github.com/frankwxu/digital-forensics-lab/blob/main/papers/compsac2022.pdf)：
W. Xu, L. Deng, and D. Xu, "面向设计共享数字取证教学材料," in <em>第46届国际计算机软件与应用会议论文集（COMPSAC 2022）,</em> pp. 117-122, 2022年7月.（[视频演示](https://youtu.be/ypKuTauuQdk)）
或BibTeX格式：
@inproceedings{xu2022forensics, \
 title={Towards Designing Shared Digital Forensics Instructional Materials}, \
 author={Xu, Weifeng and Deng, Lin, and Xu, Dianxiang}, \
 booktitle={46st Annual International Computer Software and Applications Conference (COMPSAC 2022)},\
 volume={1},\
 pages={117--122},\
 year={2022},\
 organization={IEEE}\
}
---
## 工具安装
### 方法一：导入定制的Kali虚拟机镜像
定制的Kali虚拟机 = Kali（[2021.4](http://old.kali.org/kali-images/kali-2021.4/)）+ 用于完成上述大部分实验的[工具](#Tools)（P2P数据泄露案件除外）
- 安装 [Virtualbox](https://www.virtualbox.org/)
- 导入定制的[Kali 2021.4](https://www.dropbox.com/s/y7svxg2pyy94ab5/Kali-Linux-2020.4-vbox-amd64_tools.ova)。注意：默认硬盘大小为80GB。
### 方法二：使用定制脚本安装工具（该脚本仅在Kali 2021.4上测试过）
以下脚本将安装完成上述大部分实验所需的工具（P2P数据泄露案件除外，该案件有独立的脚本，详见PPT）。如需要添加更多工具，请告知我们。
- 安装 [Virtualbox](https://www.virtualbox.org/)
- 安装 [Kali 2021.4](http://old.kali.org/kali-images/kali-2021.4/)。注意：建议将Kali虚拟机的磁盘大小配置为80GB，因为每个泄露案件镜像的大小为30GB以上。
- 运行工具安装脚本[说明](https://raw.githubusercontent.com/frankwxu/digital-forensics-lab/main/Help/Tool_installation.pptx)，或直接按以下命令操作```
wget https://raw.githubusercontent.com/frankwxu/digital-forensics-lab/main/Help/tool-install-zsh.sh
chmod +x tool-install-zsh.sh
./tool-install-zsh.sh
```
- 已安装的[工具](#Tools)。请注意，大多数工具的命令可以在全局范围内执行。现在，您可以跳过大部分PPT中的工具安装步骤。
### 方法3：使用基于 Ubuntu 22.04 LTS 的 Docker 容器（于09/23添加，可能需要更多测试，如有问题请报告）
- Docker 容器的主机是 Ubuntu 22.04 LTS。
- 容器同样基于 Ubuntu 22.04 LTS 构建。
- 所有工具都已预先安装在 Ubuntu 容器上。
- 您可以按照教程 [Docker for Digital Forensic Investigation](https://raw.githubusercontent.com/frankwxu/digital-forensics-lab/main/Help/Docker_4_Digital_Forensics.pptx) 进行操作。
---
### 调查 NIST 数据泄露案例
该[案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Data_Leakage_Case)旨在调查涉及知识产权盗窃的镜像。该研究包括：
- 一个由 NIST 创建的大型复杂案例研究。您可以访问[场景、DD/Encase 镜像](https://cfreds-archive.nist.gov/data_leakage_case/data-leakage-case.html)。您还可以在他们的网站上找到[解决方案](https://cfreds-archive.nist.gov/data_leakage_case/leakage-answers.pdf)。
- 14 个数字取证动手实验/主题
**涵盖的主题**
| 实验 | 涵盖的主题（命令行） | Python 版本 |
| ------ | ---------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------- |
| 实验 0 | [环境设置](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_00_Env_Setting.pptx) | |
| 实验 1 | [Windows 注册表](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_01_Registry.pptx) | |
| 实验 2 | [Windows 事件和 XML](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_02._WinEvt_XML.pptx) | [Python 版本](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_02._WinEvt_XML_Python.pptx) |
| 实验 3 | [Web 历史和 SQL](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_03_WebHistory_SQL.pptx) | [Python 版本](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_03_WebHistory_SQL_Python.pptx) |
| 实验 4 | [电子邮件调查](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_04_Email_USB.pptx) | [Python 版本](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_04_Email_USB_Python.pptx) |
| 实验 5 | [文件更改历史和 USN 日志](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_05_USNJournaling.pptx) | |
| 实验 6 | [网络证据和 shellbag](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_06_Network_Shellbag_Jumplist.pptx) | |
| 实验 7 | [网络驱动器和云](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_07_NetworkDrive_Cloud.pptx) | |
| 实验 8 | [主文件表 ($MFT) 和日志文件 ($logFile) 分析](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_08_CD_%24MFT.pptx) | |
| 实验 9 | [Windows 搜索历史](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_08_CD_%24MFT.pptx) | |
| 实验 10| [Windows 卷影副本分析/SQL 数据库提取](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_10_Vol_Shadow_Copy.pptx) | |
| 实验 11| [回收站和反取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_11_RecycleBin_AntiForensics.pptx) | |
| 实验 12| [数据雕刻](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_12_CD-R_Data_Carving.pptx) | |
| 实验 13| [破解 Windows 密码](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Data_Leakage_Case/NIST_Data_Leakage_13_Crack_Win10_Login_Password.pptx) | |
---
### 调查 P2P 数据泄露案例
[P2P 数据泄露案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Data_Leakage_Case)旨在帮助学生应用各种取证技术调查涉及 P2P 的知识产权盗窃。该研究包括：
- 一个涉及 uTorrent 客户端的大型复杂案例。该案例与 NIST 数据泄露实验类似，但提供了更清晰、更详细的时间线。
- 带有解释的可靠证据。与每项活动相关的每个证据都伴随着时间线进行解释。
- 10 个数字取证动手实验/主题
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| ------ | ---------------------------------------------------------------------------------------------- | -------- |
| 实验 0 | [实验环境设置](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID00_Lab_Setup.pptx) | 4M |
| 实验 1 | [磁盘镜像和分区](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID01_Disk_Image_and_Partitions.pptx) | 5M |
| 实验 2 | [Windows 注册表和文件目录](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID02_Registry_and_File_Directory.pptx) | 15M |
| 实验 3 | [MFT 时间线](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID03_MFT_Timeline.pptx) | 6M |
| 实验 4 | [USN 日志时间线](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID03_MFT_Timeline.pptx) | 3M |
| 实验 5 | [uTorrent 日志文件](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID05_uTorrent_Log_File.pptx) | 9M |
| 实验 6 | [文件签名](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID06_File_Signature.pptx) | 8M |
| 实验 7 | [电子邮件](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID07_Emails.pptx) | 9M |
| 实验 8 | [Web 历史](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID08_Web_History.pptx) | 11M |
| 实验 9 | [网站分析](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/ID09_Website_Analysis.pptx) | 2M |
| 实验 10| [时间线（总结）](https://github.com/frankwxu/digital-forensics-lab/blob/main/P2P_Leakage/Presentation/Questions.docx) | 13K |
---
### 调查非法持有图像案例
该[案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/Illegal_Possession_Images)旨在调查非法持有犀牛图像的行为。该镜像由 Dr. Golden G. Richard III 提供，最初用于 DFRWS 2005 RODEO CHALLENGE。NIST 托管了 [USB DD 镜像](https://cfreds-archive.nist.gov/dfrws/Rhino_Hunt.html)。存储库中也有该镜像的副本。
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| ------ | ---------------------------------------------------------------------------------------------------------------------------- | -------- |
| 实验 1 | [使用 Wireshark 审查 HTTP 分析（文本）](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/HTTP_Wireshark_Forensics_1_text.pptx) | 3M |
| 实验 2 | [犀牛持有调查 1：文件恢复](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_1_File_Recovering.pptx) | 9M |
| 实验 3 | [犀牛持有调查 2：隐写术](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_2_Steganography.pptx) | 4M |
| 实验 4 | [犀牛持有调查 3：从 FTP 流量中提取证据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_3_FTP_Traffic_crackzip.pptx) | 3M |
| 实验 5 | [犀牛持有调查 4：从 HTTP 流量中提取证据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_Possession_Images/Rhion_Possession_4_HTTP_Traffic.pptx) | 5M |
---
### 调查电子邮件骚扰案例
该[案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/Email_Harassment)旨在调查一名学生向教职员工发送的骚扰电子邮件。该案例由 digitalcorpora.org 托管。您可以从他们的网站访问[场景描述](https://digitalcorpora.org/corpora/scenarios/nitroba-university-harassment-scenario)和[网络流量](http://downloads.digitalcorpora.org/corpora/scenarios/2008-nitroba/nitroba.pcap)。存储库仅提供实验指导。
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| ------ | --------------------------------------------------------------------------------------------------------------------- | -------- |
| 实验 0 | [使用 Wireshark 调查骚扰电子邮件](https://github.com/frankwxu/digital-forensics-lab/blob/main/Email_Harassment/0_Investigate_Harassment_Email_Wireshark.pptx) | 3M |
| 实验 1 | [t-shark 取证介绍](https://github.com/frankwxu/digital-forensics-lab/blob/main/Email_Harassment/1_tshark_forensics_Introduction.pptx) | 7M |
| 实验 2 | [使用 t-shark 调查骚扰电子邮件](https://github.com/frankwxu/digital-forensics-lab/blob/main/2_Investigate_Harassment_Email_TShark.pptx) | 2M |
---
### 调查非法文件传输案例
该[案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/Illegal_File_Transferring_Memory_Forensics)旨在检查计算机内存，重建未经授权数据传输的时间线。场景涉及将敏感文件从服务器非法传输到 USB 设备。
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| -------- | ------------------------------------------------------------- | -------- |
| 实验 0 | [内存取证](https://github.com/frankwxu/digital-forensics-lab/blob/main/Illegal_File_Transferring_Memory_Forensics) | 11M |
| 第 1 部分 | 了解嫌疑人和账户 | |
| 第 2 部分 | 了解嫌疑人的 PC | |
| 第 3 部分 | 网络取证 | |
| 第 4 部分 | 调查命令历史 | |
| 第 5 部分 | 调查嫌疑人的 USB | |
| 第 6 部分 | 调查 Internet Explorer 历史 | |
| 第 7 部分 | 调查文件资源管理器历史 | |
| 第 8 部分 | 时间线分析 | |
---
### 调查黑客攻击案例
该[案例研究](https://github.com/frankwxu/digital-forensics-lab/tree/main/NIST_Hacking_Case)，包含由 [NIST](https://cfreds-archive.nist.gov/Hacking_Case.html) 提供的磁盘镜像，旨在调查一名在无线接入点范围内截获互联网流量的黑客。
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| ------ | -------------------------------------------------- | -------- |
| 实验 0 | [黑客攻击案例](https://github.com/frankwxu/digital-forensics-lab/blob/main/NIST_Hacking_Case/NIST_Hacking_Case.pptx) | 8M |
---
### 调查 Morris 蠕虫攻击案例
该案例研究是对 [Morris 蠕虫攻击](https://seedsecuritylabs.org/Labs_20.04/Networking/Morris_Worm/)的调查。我们使用 [SeedLab](https://seedsecuritylabs.org/labsetup.html) 提供的虚拟机。实验的目标是找到所有与 Morris 蠕虫攻击相关的证据。
**涵盖的主题**
| 实验 | 涵盖的主题 | PPT 大小 |
| ------ | ---------------------------------------------------------------- | -------- |
| 实验 0 | [Morris 蠕虫攻击](https://github.com/frankwxu/digital-forensics-lab/blob/main/Morris_Worm/Morris_Attack.pptx) | 7M |
| 实验 1 | [调查 Morris 蠕虫攻击](https://github.com/frankwxu/digital-forensics-lab/blob/main/Morris_Worm/Morris_Forensics.pptx) | 2M |
---
### 调查 Eufy 门铃
本案例研究使用先进的提取技术（包括芯片拆卸法）检查 Eufy 门铃和 HomeBase 系统的取证分析。过程从拆卸、芯片拆卸、镜像获取开始，最后进行分析。分析关键目录，例如包含摄像头录像、SQLite 数据库和各种日志的目录，以提取证据。这种方法有助于重建时间线，识别用户交互和系统活动的证据，并为安全调查提供有价值的见解。请注意，本研究侧重于 HomeBase 2，但最新版本是 HomeBase 3。
**eMMC 镜像**
- [门铃 eMMC 镜像](https://drive.google.com/file/d/1H2pHr2IsgaJrRvuJSIa5Cujz5orWR4dy/view?usp=sharing)
**涵盖的主题**
| 实验 | 涵盖的主题 |
| ---- | ------------------------------------------------------------------------------------------------------ |
| 实验 0 | [门铃介绍](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 1 | [门铃场景模拟](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 2 | [门铃拆卸与芯片拆卸镜像获取](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 3 | [门铃镜像分析与挂载](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 4 | [门铃证据提取](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 5 | [门铃 p2p 通信日志](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 6 | [门铃每日（安全）徽标](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 7 | [门铃分析摄像头目录](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
| 实验 8 | [门铃分析 sqlite 目录](https://github.com/frankwxu/digital-forensics-lab/blob/main/Eufy_Doorbell/PPTs/0_Eufy_Doorbell_Introduction.pptx) |
---
### 调查 Echo Show 8
本案例研究概述了使用芯片拆卸技术从 Amazon Echo Show 设备提取证据的过程。在 Echo Show 8（第二代）中植入了不同类型的证据。调查过程包括利用逆向工程方法从 Echo Show 设备的嵌入式多媒体卡（eMMC）中检索植入的证据。
**eMMC 镜像**
- [Echo Show eMMC 镜像](https://miya.teracloud.jp/share/11d1e631cf6f8456)
- [Echo Show 用户数据分区镜像](https://miya.teracloud.jp/share/11d15342aae11912)
**涵盖的主题**
| 实验 | 涵盖的主题 | 实验数据 |
| ---------- | ------------------------------------------------------------------------------------------------------ | --------------------------------------- |
| 实验 0 | [Echo Show 介绍](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/0_Echo_Show_Introduction.pptx) | |
| 实验 1 | [Echo Show 证据植入](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/1_Echo_Show_Evidence_Planting.pptx) | |
| 实验 2 | [设备拆卸与 eMMC 芯片拆卸](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/2_Device_Teardown_and_eMMC_Chip-off.pptx) | |
| 实验 3 | [镜像获取与挂载](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/3_Image_Acquisition_and_Mounting.pptx) | |
| 实验 4.1.1 | [规格：设备和操作系统信息](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_1_Specifications%20_Device_and_OS_Info.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_1) |
| 实验 4.1.2 | [规格：用户信息](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_2_Specifications%20User_info.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_2) |
| 实验 4.1.3 | [规格：网络连接信息](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_1_3_Specifications_Network_Connectivity_Info.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_1_3) |
| 实验 4.2.1 | [网络活动](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_2_1_Web_Activity.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_2_1) |
| 实验 4.2.2 | [电话通信](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_2_2_Phone_Communication.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_2_2) |
| 实验 4.3.1 | [多媒体：照片及相关数据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_1_Multimedia_Photos_and_Related_Data.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_1) |
| 实验 4.3.2 | [多媒体：视频及相关数据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_2_Multimedia_Videos_and_Related_Data.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_3) |
| 实验 4.3.3 | [多媒体：音频及相关数据](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/ppts/4_3_3_Multimedia_Audio_and_Related_Data.pptx) | [链接](https://github.com/frankwxu/digital-forensics-lab/blob/main/Echo_Device/lab_data/Lab_4_3_3) |
---
### 调查 Android 10
该镜像由 Joshua Hickman 创建，并由 [digitalcorpora](https://digitalcorpora.org/corpora/cell-phones/android-10) 托管。| 实验 | 涵盖主题 | PPT 大小 |
| --------- | ------------------------------------------------------------------------------------------------ | -------- |
| 实验 0 | [介绍 Pixel 3](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/0_Intro_Pixel3_Android10.pptx) | 3M |
| 实验 1 | [Pixel 3 镜像](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/1_Pixel3_Image.pptx) | 2M |
| 实验 2 | [Pixel 3 设备](https://github.com/frankwxu/digital-forensics-lab/blob/main/Android10/2_Pixel3_Device_Investigation.pptx) | 4M |
```
---
[Read more](https://github.com/frankwxu/digital-forensics-lab)