https://blog.qife122.com/tags/%E6%96%87%E4%BB%B6%E5%88%86%E6%9E%90/ Recent content in 文件分析 on 办公AI智能小助手 Hugo zh-cn qife Wed, 03 Dec 2025 19:16:04 +0800 https://blog.qife122.com/p/windows-pe%E6%96%87%E4%BB%B6%E7%89%88%E6%9C%AC%E4%BF%A1%E6%81%AF%E8%A7%A3%E6%9E%90%E7%9A%84%E9%99%B7%E9%98%B1%E4%B8%8E%E6%80%9D%E8%80%83/ Wed, 03 Dec 2025 19:16:04 +0800 https://blog.qife122.com/p/windows-pe%E6%96%87%E4%BB%B6%E7%89%88%E6%9C%AC%E4%BF%A1%E6%81%AF%E8%A7%A3%E6%9E%90%E7%9A%84%E9%99%B7%E9%98%B1%E4%B8%8E%E6%80%9D%E8%80%83/ <p>作为我研究Amcache（相关内容将另文详述）工作的一部分，我开始探究Windows PE文件的版本信息以及Windows系统如何解读它。起因是我以为在Velocidex的PE解析模块中发现了一个错误，但事实上，这更像是“Windows有时会做些奇怪的事情”。</p> https://blog.qife122.com/p/%E7%A7%BB%E5%8A%A8%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2%E5%88%86%E6%9E%90mobile-me%E4%B8%8Eamazon-s3%E5%85%AC%E5%BC%80%E6%96%87%E4%BB%B6%E5%AF%B9%E6%AF%94/ Fri, 19 Sep 2025 15:32:52 +0800 https://blog.qife122.com/p/%E7%A7%BB%E5%8A%A8%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2%E5%88%86%E6%9E%90mobile-me%E4%B8%8Eamazon-s3%E5%85%AC%E5%BC%80%E6%96%87%E4%BB%B6%E5%AF%B9%E6%AF%94/ <h3 id="账户分析">账户分析</h3> <table> <thead> <tr> <th>类型</th> <th>Amazon</th> <th>Mobile Me 常见名称</th> <th>Mobile Me Twitter 名称</th> </tr> </thead> <tbody> <tr> <td>不存在</td> <td>1206</td> <td>1186</td> <td>3209</td> </tr> <tr> <td>私有</td> <td>848</td> <td>241</td> <td>39</td> </tr> <tr> <td>公开</td> <td>131</td> <td>841</td> <td>125</td> </tr> </tbody> </table> <p>对于常见名称列表，与Amazon的结果类似，大多数名称不存在，但公开与私有的比例相反：在Mobile Me中，大多数存在的账户都有一些公开内容。对于Twitter名称，存在的账户很少，但同样，存在的账户中较高比例有公开内容。</p> https://blog.qife122.com/p/python%E5%8A%A9%E5%8A%9B%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81yara%E8%A7%84%E5%88%99%E5%BF%AB%E9%80%9F%E7%AD%9B%E9%80%89%E5%85%B3%E9%94%AE%E8%AF%81%E6%8D%AE/ Sat, 13 Sep 2025 05:53:05 +0800 https://blog.qife122.com/p/python%E5%8A%A9%E5%8A%9B%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81yara%E8%A7%84%E5%88%99%E5%BF%AB%E9%80%9F%E7%AD%9B%E9%80%89%E5%85%B3%E9%94%AE%E8%AF%81%E6%8D%AE/ <h1 id="筛选是关键python来救援">筛选是关键！Python来救援！</h1> <p>当你需要快速分析大量数据时，有一个关键步骤需要执行：筛选（Triage）。在取证调查中，这一步至关重要，因为它使调查人员能够从海量数据中快速识别、优先排序和隔离最相关或高价值的证据，确保有限的时间和资源集中在最有可能揭示事件关键事实的工件上。有时，一个快速的脚本就足以加速这项任务。</p> https://blog.qife122.com/p/%E7%A7%BB%E5%8A%A8%E6%95%B0%E6%8D%AE%E5%AE%89%E5%85%A8%E5%88%86%E6%9E%90mobile-me%E4%B8%8Eamazon-s3%E5%85%AC%E5%BC%80%E6%96%87%E4%BB%B6%E5%AF%B9%E6%AF%94%E7%A0%94%E7%A9%B6/ Thu, 11 Sep 2025 08:34:41 +0800 https://blog.qife122.com/p/%E7%A7%BB%E5%8A%A8%E6%95%B0%E6%8D%AE%E5%AE%89%E5%85%A8%E5%88%86%E6%9E%90mobile-me%E4%B8%8Eamazon-s3%E5%85%AC%E5%BC%80%E6%96%87%E4%BB%B6%E5%AF%B9%E6%AF%94%E7%A0%94%E7%A9%B6/ <h1 id="分析mobile-me">分析Mobile Me</h1> <p>本次分析通过我的Mobile Me Finder应用收集数据，并与之前使用Bucket Finder在Amazon存储桶中发现的数据进行对比。</p> <p>我这次运行了两个单词列表：第一个与Bucket Finder使用的列表相同，即来自Packet Storm的2268个常见名称列表；第二个列表，我考虑到许多安全专业人士现在使用Mac，并好奇其中有多少人拥有账户并分享数据，因此我收集了所有Twitter关注者列表并使用它。虽然其中一些可能是垃圾邮件发送者和机器人，但我认为3373个账户中的大部分可以作为名称使用。</p>