墨者学院 - 远程电子数据取证-服务器分析

(第1题)

mstsc

C盘-搜索recycler

(第2题)

开始-->管理工具-->事件查看器-->系统-->选择administrator用户操作的事件（ID：1074）-->可以看到开机关机和注释

注释中拿到key

 

(第3题)

C:WINDOW\Stemp

 

(第4题)

C:\txtkey_1.txt...这四颗星，，怕不是个勺子。。。

 

(第5题)

直接搜key。。。

(第6题)

C:\Documents and Settings\Administrator\UserData\DZAGF6NH\key_xxx.txt

 

(第7题)

搜索-->key,发现一个key_2017.txt的快捷方式，其属性连接到C盘根目录

工具--查看--（取消勾选）隐藏受保护的操作系统文件

C:\--拿到key

 

 

简直滑水。。。。。。