数据恢复与电子取证习题一.pdf

数据恢复与电子取证 习题一 数据恢复与电子取证 习题一 一一不定项选择题 每小题不定项选择题 每小题 1 51 5 分 共分 共 1010 题 题 1515 分 分 1 数据恢复服务分类按故障种类可以分为哪几种 A 逻辑故障 B 物理故障 C 复合故障 D 硬盘故障 2 下列攻击哪些可应用恢复主引导记录 A Fdisk B Fixmbr C KV3000 D Diskman 3 硬盘的主引导记录通常位于磁盘的哪个位置 A 0 磁道 0 柱面 0 扇区 B 0 磁道 0 柱面 1 扇区 C 0 磁道 1 柱面 1 扇区 D 1 磁道 1 柱面 1 扇区 4 计算机通过 IDE 接口从硬盘得缓存中将数据读出交给相应得控制器得 速度称为硬盘的 A 外部数据传输率 B 内部数据传输率 C 突发数据传输率 D 持续数据传输率 5 Serial ATA 与 Ultra ATA 相比拥有哪些特点 A Serial ATA 采用串行方式传输数据 B Serial ATA 采用比并行 ATA 更低的电压标准 C 采用点对点协议 不存在并行 ATA 的主 从问题 D 能够与目前的操作系统在软件上兼容 这就意味着不必更改目前的任何 驱动程序和操作系统代码 6 当用户将需要数据恢复的设备送来时 需要向用户了解的信息有 A 数据丢失发生的原因 当时进行了什么操作 之后有无进行任何其他操 作 B 存储设备的使用年限 容量大小 操作系统的版本和分区类型 大小 C 要恢复的数据在什么分区上 什么目录里 什么文件类型 大概数量 D 硬盘的品牌 转速 7 下列属于域名解析的途径的有 A 本地 HOST 文件 B 本地域名服务器 C 远程域名服务器 D 根域名服务器 8 下面所列文档中都属于 EasyRecovery 可以恢复的组的是 A ACCESS WORD OURLOOK B EXCEL POWERPOINT ZIP C ACCESS WORD JPG D OUTLOOK OUTLOOKEXPRESS WORD 9 下列四条服务器日志哪些表示对方有攻击企图或行为 A 2006 02 22 00 00 39 172 16 37 52 211 83 208 XXX 80 GET vvvc css cpp css 304 Mozilla 4 0 compatible MSIE 6 0 Windows 98 B 2006 02 22 00 02 57172 16 37 98 211 83 208 XXX 80 GET index asp 200 Mozilta 4 0 compatible MSIE 6 0 Windows 98 C 2006 02 22 03 23 42 172 16 XXX XXX 211 83 208 XXX 80 HEAD s cripts winnt system32 cmd exe c dir 404 D 2006 02 22 03 27 11172 16 xxx XXX 211 83 208 XXX 80 GET manage login aspl 101404 Object Not Found404Mozilla 4 75 en X11 U Nessus 10 下列哪些信息是需要使用 Index dat 文件作为索引文件的 A 浏览历史 B 浏览缓存内容 C Cookie D 收藏站点 二二填空题 每空填空题 每空 1 51 5 分 共分 共 1010 空 空 1515 分 分 1 操作系统以扇区 Sector 形式将信息存储在硬盘上 每个扇区包括 个字节的数据和一些其他信息 2 一块硬盘有 240 个磁头 15505 个柱面 每个磁道有 63 个扇区 那么 这块硬盘的精确容量为 3 硬盘在存储数据之前 一般需经过低级格式化 三个步 骤之后才能使用 4 MBR 即主引导记录区 由两部分组成 分别是 5 假设硬盘的某一分区采取 FAT32 文件系统 已知簇的大小为 32KB 那 么该分区可分配的最大容量为 6 计算机证据几乎无所不在 但主要来自三个方面 即 三方面 三三名词解释 每小题名词解释 每小题 5 5 分 共分 共 4 4 题 题 2020 分 分 1 数据恢复 2 虚拟 MBR 3 计算机证据 4 电子数据鉴定 四四问答题 每小题问答题 每小题 1010 分 共分 共 3 3 题 题 3030 分 分 1 硬盘为什么要分区 分区的优点是什么 2 使用 EFS 加密文件和文件夹时有哪些注意事项 3 比较计算机证据与传统的证据异同 五 分析计算题 共五 分析计算题 共 2020 分 前分 前 8 8 个字节每空个字节每空 0 50 5 分 后分 后 8 8 个字节每空个字节每空 2 2 分 分 某一硬盘的分区表被破坏 已知这块硬盘的总扇区数为4124736 并假 设此硬盘上第一个 EBR 所在扇区号为 1435392 试完善此硬盘两个分区项的信息表 分区 1分区 2 字节值含义字节值含义 0活动分区0非活动分区 1起始磁头号1起始磁头号 2起始扇区号2起始扇区号 3起始柱面号3起始柱面号 4NTFS 分区4扩展分区 5结束磁头号5结束磁头号