电子数据取证笔试试卷
电子数据取证笔试试卷(2)-1汇编
电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？A. 3.5英寸B. 1.8英寸C. 2.5英寸D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？A.50B.68C.72D.804.下列哪种接口的存储设备是不支持热插拔的？B接口B.E-SATA接口C.SATA接口D.IDE接口5.下列哪个选项是无法计算哈希值的？A.硬盘B.分区C.文件D.文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？A.创建时间B.修改时间C.访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？A.GuidanceB.GetDataC.AccessDataD.PanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
电子数据取证分析师_国家职业标准
电子数据取证分析师国家职业技能标准(2022年版)1.职业概况1.1㊀职业名称电子数据取证分析师1.2㊀职业编码4-04-05-081.3㊀职业定义从事电子数据提取㊁固定㊁恢复㊁分析等工作的人员㊂1.4㊀职业技能等级本职业共设四个等级,分别为:四级/中级工㊁三级/高级工㊁二级/技师㊁一级/高级技师㊂1.5㊀职业环境条件室内㊁外,常温㊂1.6㊀职业能力特征具有较好的学习㊁观察㊁分析㊁推理和判断㊁表达㊁计算㊁色觉㊁视觉和行为能力,动作协调,心理健康㊂1.7㊀普通受教育程度高中毕业(或同等学力)㊂1.8㊀培训参考学时四级/中级工不少于80标准学时;三级/高级工㊁二级/技师不少于120标准学时;一级/高级技师不少于80标准学时㊂1.9㊀职业技能鉴定要求1.9.1㊀申报条件具备以下条件之一者,可申报四级/中级工:(1)取得相关职业①五级/初级工职业资格证书(技能等级证书)后,累计从事本职业或相关职业工作3年(含)以上㊂(2)累计从事本职业或相关职业工作5年(含)以上㊂(3)取得技工学校本专业或相关专业②毕业证书(含尚未取得毕业证书的在校应届毕业生);或取得经评估论证㊁以中级技能为培养目标的中等及以上职业学校本专业或相关专业毕业证书(含尚未①②相关职业:网络与信息安全管理员㊁信息安全测试员㊁密码技术应用员㊁通信工程技术人员㊁计算机硬件工程技术人员㊁计算机软件工程技术人员㊁计算机网络工程技术人员㊁信息系统分析工程技术人员㊁信息系统运行维护工程技术人员㊁信息管理工程技术人员㊁物联网工程技术人员㊁工业互联网工程技术人员㊁数据分析处理工程技术人员㊁信息通信网络运行管理员㊁信息通信信息化系统管理员㊁计算机程序设计员㊁计算机软件测试员等,下同㊂本专业或相关专业:司法鉴定(物证技术)电子数据鉴定㊁公安技术网络安全执法㊁刑事技术(公安技术)电子物证检验㊁信息安全㊁网络空间安全㊁网络信息安全㊁网络与信息安全㊁信息安全与管理㊁网络安全与执法㊁保密技术㊁大数据技术与应用㊁电子技术应用㊁电子商务技术㊁电子与计算机工程㊁电子与信息技术㊁工业互联网技术应用㊁计算机程序设计㊁计算机科学与技术㊁计算机网络技术㊁计算机网络应用㊁网络工程㊁计算机系统与维护㊁计算机信息管理㊁计算机应用技术㊁计算机应用与维修㊁计算机与数码产品维修㊁空间信息与数字技术㊁区块链工程㊁人工智能技术服务㊁人工智能技术应用㊁软件工程㊁软件技术㊁软件与信息服务㊁数据科学与大数据技术㊁数字媒体技术㊁数字媒体技术应用㊁通信技术㊁通信网络应用㊁通信系统工程安装与维护㊁通信运营服务㊁网络安防系统安装与维护㊁网站建设与管理㊁物联网工程㊁物联网技术应用㊁物联网应用技术㊁新媒体技术㊁虚拟现实技术㊁虚拟现实技术应用㊁虚拟现实应用技术㊁移动应用技术与服务㊁移动应用开发㊁云计算技术应用㊁云计算技术与应用㊁智能科学与技术等,下同㊂取得毕业证书的在校应届毕业生)㊂具备以下条件之一者,可申报三级/高级工:(1)取得本职业或相关职业四级/中级工职业资格证书(技能等级证书)后,累计从事本职业或相关职业工作4年(含)以上㊂(2)取得本职业或相关职业四级/中级工职业资格证书(技能等级证书)后,并具有高级技工学校㊁技师学院毕业证书(含尚未取得毕业证书的在校应届毕业生);或取得本职业或相关职业四级/中级工职业资格证书(技能等级证书),并具有经评估论证㊁以高级技能为培养目标的高等职业学校本专业或相关专业毕业证书(含尚未取得毕业证书的在校应届毕业生)㊂(3)具有大专及以上本专业或相关专业毕业证书,并取得本职业或相关职业四级/中级工职业资格证书(技能等级证书)后,累计从事本职业或相关职业工作2年(含)以上㊂具备以下条件之一者,可申报二级/技师:(1)取得本职业或相关职业三级/高级工职业资格证书(技能等级证书)后,累计从事本职业或相关职业工作4年(含)以上㊂(2)取得本职业或相关职业三级/高级工职业资格证书(技能等级证书)的高级技工学校㊁技师学院毕业生,累计从事本职业或相关职业工作3年(含)以上;或取得本职业或相关职业预备技师证书的技师学院毕业生,累计从事本职业或相关职业工作2年(含)以上㊂具备以下条件者,可申报一级/高级技师:取得本职业或相关职业二级/技师职业资格证书(技能等级证书)后,累计从事本职业或相关职业工作4年(含)以上㊂1.9.2㊀鉴定方式分为理论知识考试㊁技能考核以及综合评审㊂理论知识考试以笔试㊁机考等方式为主,主要考核从业人员从事本职业应掌握的基本要求和相关知识要求;技能考核主要采用现场操作㊁模拟操作等方式进行,主要考核从业人员从事本职业应具备的技能水平;综合评审主要针对技师和高级技师,通常采取审阅申报材料㊁答辩等方式进行全面评议和审查㊂理论知识考试㊁技能考核和综合评审均实行百分制,成绩皆达60分(含)以上者为合格㊂1.9.3㊀监考人员㊁考评人员与考生配比理论知识考试中的监考人员与考生配比为1ʒ15,且每个考场不少于2名监考人员;技能考核中的考评人员与考生配比不低于1ʒ5,且考评人员为3人(含)以上单数;综合评审委员为3人(含)以上单数㊂1.9.4㊀鉴定时间理论知识考试时间不少于90min,技能考核时间不少于120min,综合评审时间不少于20min㊂1.9.5㊀鉴定场所设备理论知识考试在标准教室或机房进行;技能考核在具有必备的电子数据取证分析设备㊁软硬件设施的场所进行;综合评审可在配有教学设备的标准教室或实训场所进行㊂2.基本要求2.1㊀职业道德2.1.1㊀职业道德基本知识2.1.2㊀职业守则(1)遵纪守法,爱岗敬业㊂(2)爱护设备,安全操作㊂(3)诚实守信,保守秘密㊂(4)勇于创新,精益求精㊂(5)管控流程,保障隐私㊂(6)履行义务,保护数据㊂2.2㊀基础知识2.2.1㊀基础理论知识(1)计算机硬件基础知识㊂(2)计算机软件基础知识㊂(3)操作系统基础知识㊂(4)数据库基础知识㊂(5)计算机网络基础知识㊂2.2.2㊀相关法律法规㊁管理规定㊁标准知识(1)‘中华人民共和国刑法“相关知识㊂(2)‘中华人民共和国治安管理处罚法“相关知识㊂(3)‘中华人民共和国劳动法“相关知识㊂(4)‘中华人民共和国民法典“相关知识㊂(5)‘中华人民共和国网络安全法“相关知识㊂(6)‘中华人民共和国密码法“相关知识㊂(7)‘中华人民共和国数据安全法“相关知识㊂(8)‘中华人民共和国个人信息保护法“相关知识(9)电子数据取证分析相关管理规定㊁标准相关知识㊂3.工作要求本标准对四级/中级工㊁三级/高级工㊁二级/技师㊁一级/高级技师的技能要求和相关知识要求依次递进,高级别涵盖低级别的要求㊂3.1㊀四级/中级工职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.1电子数据保全1.1.1能使用录像录屏设备对电子数据取证行为进行记录1.1.2能使用工具对电子数据进行保全1.1.3能使用工具对电子数据存在环境进行保全1.1.1电子数据保全相关工作流程1.1.2电子数据保全操作方法1.1.3电子数据校验方法1.2计算机数据提取与固定1.2.1能使用工具对目标存储介质数据进行镜像文件制作1.2.2能使用工具将目标存储介质数据复制到其他存储介质上1.2.3能使用工具对计算机虚拟机进行镜像制作1.2.4能对计算机虚拟机特定数据进行提取与固定1.2.1存储介质数据镜像制作方法1.2.2存储介质数据复制方法1.2.3计算机虚拟机镜像制作方法1.2.4计算机虚拟机特定数据提取与固定方法续表职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.3移动终端数据提取与固定1.3.1能使用系统备份工具对安卓终端中的数据进行提取与固定1.3.2能使用系统备份工具对iOS终端中的数据进行提取与固定1.3.3能使用系统备份工具对鸿蒙终端中的数据进行提取与固定1.3.1安卓终端备份方法1.3.2iOS终端备份方法1.3.3鸿蒙终端备份方法1.4工控设备数据提取与固定1.4.1能使用工具提取常见工控设备系统日志1.4.2能使用工具将常见目标工控设备数据复制到存储介质上1.4.1常见工控设备系统日志获取方法1.4.2常见工控设备数据复制方法2.电子数据恢复2.1文件恢复2.1.1能使用工具基于文件系统进行文件恢复2.1.2能使用工具基于文件特征进行文件恢复2.1.1基于文件系统进行文件恢复的方法2.1.2基于文件特征进行文件恢复的方法2.2数据恢复2.2.1能使用工具基于系统架构进行数据恢复2.2.2能使用工具基于文件结构进行数据恢复2.2.1基于系统架构进行数据恢复的方法2.2.2基于文件结构进行数据恢复的方法续表职业功能工作内容技能要求相关知识要求3.电子数据分析3.1计算机取证分析3.1.1能使用工具对计算机系统进行在线数据分析3.1.2能使用工具对磁盘㊁U盘㊁光盘等存储介质数据进行分析3.1.3能使用工具对磁盘㊁U盘㊁光盘等存储介质镜像数据进行分析3.1.4能使用工具对计算机备份数据进行分析3.1.1计算机系统在线数据分析方法3.1.2存储介质数据分析方法3.1.3存储介质镜像数据分析方法3.1.4计算机备份数据分析方法3.2移动终端取证分析3.2.1能使用工具对移动终端备份进行数据分析3.2.2能使用工具对移动终端镜像进行数据分析3.2.3能使用工具对移动终端进行数据分析3.2.1移动终端备份解析工具使用方法3.2.2移动终端镜像解析工具使用方法3.2.3移动终端镜像中特定文件查看与导出方法3.2.4移动终端备份中特定文件查看与导出方法3.3电子数据取证分析报告编写3.3.1能使用工具生成电子数据取证报告3.3.2能根据国家相关规定编写电子数据取证分析报告3.3.1电子数据取证报告生成方法3.3.2电子数据取证分析报告编写方法与要求3.2㊀三级/高级工职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.1计算机数据提取与固定1.1.1能使用工具对计算机操作系统进行备份1.1.2能提取常见计算机操作系统日志1.1.3能提取常见数据库日志1.1.4能提取常见服务的应用日志1.1.5能使用工具对远程计算机进行镜像1.1.1计算机操作系统备份方法1.1.2计算机操作系统日志提取方法1.1.3常见数据库日志提取方法1.1.4常见服务应用日志提取方法1.1.5远程计算机镜像方法1.2移动终端数据提取与固定1.2.1能使用第三方备份工具对安卓终端中的数据进行提取与固定1.2.2能使用第三方备份工具对iOS终端中的数据进行提取与固定1.2.3能使用工具对移动终端模拟器中的数据进行提取与固定1.2.4能使用工具对非主流系统终端中的数据进行提取与固定1.2.1第三方备份工具使用方法1.2.2移动终端模拟器数据提取与固定方法1.2.3非主流系统终端数据提取与固定方法续表职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.3工控设备数据提取与固定1.3.1能对工控设备中存储的流量日志进行提取与固定1.3.2能获取常见工控设备系统应用数据1.3.1工控设备流量日志提取与固定方法1.3.2工控设备系统应用数据获取方法1.4智能芯片数据提取与固定卡取证1.4.1能使用工具对常见的移动终端芯片进行数据提取与固定1.4.2能使用工具对常见的物联网芯片进行数据提取与固定1.4.3能使用工具对常见的存储卡芯片进行数据提取与固定1.4.1常见移动终端芯片数据提取与固定方法1.4.2常见物联网芯片数据提取与固定方法1.4.3常见存储卡芯片数据提取与固定方法2.电子数据恢复2.1文件恢复2.1.1能判断文件的存在性2.1.2能对自定义文件系统进行文件恢复2.1.1文件存在性判断方法2.1.2自定义文件系统文件恢复方法2.2数据恢复2.2.1能判断数据的存在性2.2.2能对无文件系统的数据存储进行数据恢复2.2.1数据存在性判断方法2.2.2无文件系统数据存储的数据恢复方法续表职业功能工作内容技能要求相关知识要求3.电子数据分析3.1计算机取证分析3.1.1能对计算机中的非主流程序数据进行定位与分析3.1.2能对计算机中的关键数据进行定位与分析3.1.1计算机中非主流程序数据定位与分析方法3.1.2计算机中关键数据的定位与分析方法3.2移动终端取证分析3.2.1能对移动终端中的非主流程序数据进行定位与分析3.2.2能对移动终端中的关键数据进行定位与分析3.2.1移动终端中非主流程序数据定位与分析方法3.2.2移动终端中关键数据定位与分析方法3.3分析程序编写3.3.1能使用Python/Ja-va/C/C++/C#等一种或多种编程语言开发程序对提取与固定的数据进行分析3.3.2能使用常用的第三方分析库对提取与固定的数据进行分析3.3.1分析程序的编写方法3.3.2常用第三方分析库的使用方法3.4数据统计及挖掘3.4.1能对数据进行清洗与预处理3.4.2能根据数据获取人员自然属性3.4.3能根据数据获取人员关系基本模式3.4.4能根据数据分析数据规律与统计信息3.4.1数据清洗与预处理方法3.4.2表数据整理与信息获取方法3.4.3数据规律与统计信息分析方法3.3㊀二级/技师职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.1计算机数据提取与固定1.1.1能使用工具对计算机网络流量进行固定1.1.2能使用工具对计算机内存数据进行镜像制作1.1.3能对容器内特定数据进行提取与固定1.1.4能使用工具对容器进行镜像制作1.1.1网络流量抓包方法1.1.2计算机内存数据提取与固定方法1.1.3容器内特定数据提取与固定方法1.1.4容器镜像制作方法1.2移动终端数据提取与固定1.2.1能获取安卓智能终端物理镜像1.2.2能使用工具对安卓终端数据进行提取与固定1.2.3能使用工具对iOS智能终端数据进行提取与固定1.2.4能对移动终端网络流量进行提取与固定1.2.1安卓智能终端物理镜像获取方法1.2.2安卓终端数据提取与固定方法1.2.3iOS智能终端数据提取与固定方法1.2.4移动终端网络流量提取与固定方法1.3物联网设备数据提取与固定1.3.1能对智能家居设备数据进行提取与固定1.3.2能对智能穿戴设备数据进行提取与固定1.3.1智能家居设备数据提取与固定方法1.3.2智能穿戴设备数据提取与固定方法1.4工控设备数据提取与固定1.4.1能使用工具对常见目标工控设备进行镜像制作1.4.2能对工控设备网络流量进行提取与固定1.4.1常见工控设备镜像制作方法1.4.2工控设备网络流量提取与固定方法续表职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.5网络安全防护设备数据提取与固定1.5.1能对入侵检测㊁防御系统数据进行提取与固定1.5.2能对蜜罐㊁沙箱系统数据进行提取与固定1.5.3能对其他常见网络安全防护设备日志进行提取与固定1.5.4能对常见网络安全防护设备网络流量数据进行提取与固定1.5.1入侵检测㊁防御系统数据提取与固定方法1.5.2蜜罐㊁沙箱系统数据提取与固定方法1.5.3常见网络安全防护设备日志提取与固定方法1.5.4常见网络安全防护设备网络流量数据提取与固定方法2.电子数据恢复2.1物理恢复2.1.1能对硬盘进行开盘修复2.1.2能对存储芯片焊接并对数据进行提取2.1.3能对移动设备的JTAG接口数据进行提取2.1.1硬盘开盘修复方法2.1.2存储芯片焊接和数据提取方法2.1.3移动设备JTAG接口数据提取方法2.2集群恢复2.2.1能对磁盘阵列进行重组恢复2.2.2能对集群进行恢复2.2.1磁盘阵列重组方法2.2.2集群恢复方法3.电子数据分析3.1解密分析3.1.1能对加密文件进行识别和查找3.1.2能使用工具对加密文件进行解密3.1.3能解密加密磁盘㊁容器和系统3.1.4能使用工具对文件中包含的隐藏信息进行分析3.1.1常用加解密算法3.1.2加密特征和识别方法3.1.3密码解密相关工具续表职业功能工作内容技能要求相关知识要求3.电子数据分析3.2构建电子数据分析模型3.2.1能对人物关系建立模型并进行分析3.2.2能对资金数据建立模型并进行分析3.2.3能对地理位置信息建立数据模型并进行分析3.2.1人物关系模型建立与分析方法3.2.2资金数据模型建立与分析方法3.2.3地理位置信息数据模型建立与分析方法3.3逆向工程分析3.3.1能使用常见工具对程序进行简单静态分析3.3.2能使用常见工具对程序进行简单动态分析3.3.3能使用模拟程序获取程序运行信息3.3.1程序简单静态分析方法3.3.2程序简单动态分析方法3.3.3程序运行信息获取方法3.4云服务功能分析3.4.1能使用工具启动㊁还原云服务及数据库3.4.2能还原云服务的虚拟网络拓扑3.4.3能分析数据库的连接地址与口令3.4.4能对服务器上的网站代码定位并分析其功能3.4.5能对数据库的关键表进行定位与分析3.4.1网站源码获取与分析方法3.4.2云服务网络拓扑知识3.4.3数据库连接信息分析方法3.4.4网站代码定位与功能分析方法3.4.5数据库关键表的定位与分析方法续表职业功能工作内容技能要求相关知识要求3.电子数据分析3.5区块链数据分析3.5.1能对虚拟货币数据进行分析3.5.2能对虚拟货币资金交易记录进行分析3.5.3能对智能合约进行分析3.5.1虚拟货币数据分析方法3.5.2虚拟货币资金交易记录分析方法3.5.3智能合约分析方法4.培训与指导4.1培训实施4.1.1能制订培训工作计划4.1.2能编制和实施培训方案4.1.3能编写培训教材㊁讲义㊁课件4.1.4能进行培训宣讲4.1.1培训工作计划制订要求与方法4.1.2培训方案编制和实施方法4.1.3培训教材㊁讲义㊁课件编写方法4.1.4培训宣讲方法4.2技术指导4.2.1能对三级/高级工及以下级别人员进行技能指导4.2.2能对三级/高级工及以下级别人员技能水平进行考核4.2.1操作经验和技能总结方法4.2.2技能和理论知识水平考核要求和方法4.2.3技能和理论知识水平考核内容制定方法3.4㊀一级/高级技师职业功能工作内容技能要求相关知识要求1.电子数据提取与固定1.1数据固定1.1.1能提出对前沿设备数据进行数据提取的方法1.1.2能提出对存在系统限制的非主流设备进行数据采集的方法1.1.3能提出汽车数据提取与固定的方法1.1.1前沿设备数据提取研究方法1.1.2电子设备系统框架核心分析方法1.1.3汽车数据提取与固定方法1.2数据解密1.2.1能提出应用工具对主流应用数据进行解密的方法1.2.2能提出应用工具对主流容器进行解密的方法1.2.3能提出应用工具对前沿应用数据进行解密的方法1.2.1数据加密解密方法1.2.2容器加密解密方法1.2.3前沿应用数据解密方法2.电子数据恢复2.1数据恢复2.1.1能提出对前沿数据库系统进行数据恢复的实施方法2.1.2能提出损坏文件数据修复的实施方法2.1.3能提出通过备份㊁日志以及其他数据对数据库进行恢复的实施方法2.1.1数据库应用系统的设计方法2.1.2主流文件的存储结构与恢复方法2.1.3主流数据库系统数据存储原理与恢复方法续表职业功能工作内容技能要求相关知识要求2.电子数据恢复2.2文件恢复2.2.1能提出对前沿设备文件系统文件删除恢复的实施方法2.2.2能提出对主流文件系统进行文件恢复的实施方法2.2.1主流文件系统数据存储原理与恢复方法2.2.2主流文件数据结构与恢复方法2.2.3前沿文件系统数据结构与恢复方法2.3系统恢复2.3.1能提出对损坏系统进行恢复的方法2.3.2能提出对大数据系统进行重组的方法2.3.1损坏系统恢复方法2.3.2大数据系统重组方法3.电子数据分析3.1电子数据分析模型构建3.1.1能使用数据模型完成数据的关系㊁空间㊁时间等多维度分析3.1.2能对数据进行关联碰撞分析3.1.3能提出数据挖掘分析实施方法3.1.1数据挖掘与分析方法3.1.2数据库应用系统设计方法3.1.3数据分析模型建设方法3.2程序功能分析3.2.1能提出分析程序主要功能的实施方法3.2.2能提出监控程序行为的实施方法3.2.3能提出对行为流量分析的实施方法3.2.1程序逆向分析方法3.2.2程序监控分析方法3.2.3行为流量分析方法续表职业功能工作内容技能要求相关知识要求3.电子数据分析3.3人工智能分析3.3.1能对基于人工智能的应用进行分析3.3.2能对基于人工智能伪造的数据进行分析3.3.1人工智能应用分析方法3.3.2人工智能伪造数据分析方法4.培训与指导4.1培训实施4.1.1能对培训需求进行分析4.1.2能编制培训规划4.1.3能对培训预算和决算进行审核4.1.1培训需求分析要求和方法4.1.2培训规划编制要求4.1.3培训预算与决算的审核方法4.2技术指导4.2.1能对二级/技师及以下级别人员进行技能操作指导4.2.2能对二级/技师及以下级别人员进行技能水平考核4.2.3能组织开展技术改造㊁技术革新活动4.2.1技能操作指导方法4.2.2技能考核方法4.2.3技术改造与革新方法4.权重表4.1㊀理论知识权重表技能等级项目四级/中级工(%)三级/高级工(%)二级/技师(%)一级/高级技师(%)基本要求职业道德5555基础知识151055相关知识要求电子数据提取与固定30302020电子数据恢复30302020电子数据分析20254040培训与指导 1010合计1001001001004.2㊀技能要求权重表技能等级项目四级/中级工(%)三级/高级工(%)二级/技师(%)一级/高级技师(%)技能要求电子数据提取与固定40302020电子数据恢复40302020电子数据分析20405050培训与指导 1010合计100100100100124040508。
电子数据取证理论技能考核试卷C
电子数据取证理论技能考核试卷姓名：部门：成绩：________________一、单项选择题（每题1.5分，共30分）1.现场拍照一般建议的流程是：（ B ）A. 小区入口→房间→楼层、门牌号→主卧→电脑B. 小区入口→楼层、门牌号→房间→主卧→电脑C. 小区入口→主卧→房间→楼层、门牌号→电脑D. 小区入口→电脑→房间→楼层、门牌号→主卧2.目前主流的硬盘接口，俗称“串口”的为：（ D ）A. ZIFB. SASC. IDED. SATA3.以下哪些是属于常见的硬盘接口？（ E ）A. IDEB. SATAC. LIFD. SASE. 以上都是4.需要一个记录有多数文件的文件签名特征及扩展名的数据库，即：（ B ）A. 签名库B. 文件签名库C. 文件库D. 文件属性库5.文件头部包含了成为（ C ）的识别信息，同一类型文件的文件头部信息是相同的。
A. 文件头B. 扩展名C. 签名D. 以上答案均不正确6.IMEI是国际移动设备身份码的缩写，国际移动装备识别码，是由（ C ）位数字组成的"电子串码"，它与每台手机相对应，理论上该码是全世界唯一的。
A. 14B. 16C. 15D. 187.通常情况下，收集数据的获取由现场环境和取证条件而决定，不包括以下哪种情况？（ D ）A、可视化获取B、逻辑获取C、物理获取D、动态获取8.手机数据物理获取是使用特定的方法或软硬件工具，将手机内部存储空间完整获取，以便进行后期调查分析，以下不是物理获取方法的是（ C ）A. 镜像采集终端获取B. JTAG获取C. 动态获取D. 焊接获取9.手机无法与分析机正常连接的原因（ D ）A、手机驱动问题B、手机通讯模式问题C、手机数据线问题D、以上都是10.SCSI转换器用于将SCSI硬盘转换为标准（ A ）接口，从而与主机连接。
A、SATAB、IDEC、SASD、LIF11.开盘维修硬盘需要的环境（ B ）A、真空室B、无尘室C、氧气室D、自然环境12.SAS为（），SATA为（ B ）A、全双工全双工B、全双工半双工C、半双工全双工D、半双工半双工13.手机输入PIN码3次都错误，SIM卡会被锁定，此时需要输入( B )码解锁。
电子数据取证笔试试卷2 1
精品文档电子数据取证试题说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种硬盘的理论传输速率最慢？A.SCSIB.IDEC.SASD.SATA2.以下哪种规格是市场上最常见的笔记本硬盘？C.2.5英寸英寸B.A.3.5英寸 1.8D.1英寸3.以下哪种规格不是SCSI硬盘的针脚数？B.68C.72D.A.50 804.下列哪种接口的存储设备是不支持热插拔的？B. E-SATA接口C.SATA接口D.IDE接口 B接口5.下列哪个选项是无法计算哈希值的？B.分区C.文件D.A.硬盘文件夹6.下列文件系统中，哪个是Windows 7系统不支持的？A.exFatB.NTFSC.HFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的？B.修改时间C.A.创建时间访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式？A.GhoB.AFFC.S01D.0019.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计算机开机的标志，该事件所对应的事件编号为：A.5005B.5006C.6005D.600610.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？D.C.A.Guidance B.GetDataAccessDataPanSafe二、多选题（共10题，每题3分，共计30分）1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？A．M始终要晚于CB．M、A、C在Linux系统中也适用C．M、A、C时间是不能被任何工具修改的，因此是可信的精品文档．精品文档D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变2.下列关于对位复制的说法中，不正确的是？A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中，不正确的是？A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
智慧树知到答案 电子数据取证章节测试答案
第一章单元测试1、单选题：根据洛卡德物质交换（转移）原理，下列说法正确的是（）。
选项：A:两个对象接触时，物质不会在这两个对象之间产生交换或者转移。
B:网络犯罪过程中，嫌疑人使用的电子设备同被害者使用的电子设备、网络之间的电子数据不存在相互交换。
C:嫌疑人会获取所侵入计算机中的电子数据；另一方面他也会在所侵入计算机系统中留下有关自己所使用计算机的电子“痕迹”。
D:网络犯罪中的电子数据或“痕迹”都是自动转移或交换的结果，受人为控制，不仅保存于作为犯罪工具的计算机与处于被害地位的计算机中，而且在登录所途经的有关网络节点中也有保留。
答案: 【嫌疑人会获取所侵入计算机中的电子数据；另一方面他也会在所侵入计算机系统中留下有关自己所使用计算机的电子“痕迹”。
】2、单选题：电子数据作为证据使用的基本特性包括( )。
选项：A:客观性、合法性、电子性B:客观性、合法性、关联性C:客观性、虚拟性、关联性D:客观性、真实性、电子性答案: 【客观性、合法性、关联性】3、多选题：电子数据取证架构包括下列哪些（）组成。
选项：A:对象层B:基础层C:技术层D:证据层答案: 【对象层;基础层;技术层;证据层】4、多选题：电子数据取证与应急响应在哪些方面存在不同（）。
选项：A:过程B:目标C:实施主体D:使用的方法和技术答案: 【过程;目标;实施主体】5、判断题：要做好电子数据取证，不仅要掌握电子数据的物理存储知识，还必须掌握电子数据的逻辑存储知识。
（）选项：A:错B:对答案: 【对】第二章单元测试1、单选题：通常使用（）来保障电子证据的“真实性”与“有效性”。
选项：A:数据获取技术B:数字校验技术C:克隆技术D:数据恢复技术答案: 【数字校验技术】2、多选题：物理修复包括（）。
选项：A:芯片级修复B:固件修复C:文件级修复D:物理故障修复答案: 【芯片级修复;固件修复;物理故障修复】3、多选题：以下属于FAT32文件系统逻辑结构的是（）。
电子数据取证理论技能考核试卷C
电子数据取证理论技能考核试卷姓名：部门：成绩：________________一、单项选择题（每题1.5分，共30分）1.现场拍照一般建议的流程是：（ B ）A. 小区入口→房间→楼层、门牌号→主卧→电脑B. 小区入口→楼层、门牌号→房间→主卧→电脑C. 小区入口→主卧→房间→楼层、门牌号→电脑D. 小区入口→电脑→房间→楼层、门牌号→主卧2.目前主流的硬盘接口，俗称“串口”的为：（ D ）A. ZIFB. SASC. IDED. SATA3.以下哪些是属于常见的硬盘接口？（ E ）A. IDEB. SATAC. LIFD. SASE. 以上都是4.需要一个记录有多数文件的文件签名特征及扩展名的数据库，即：（ B ）A. 签名库B. 文件签名库C. 文件库D. 文件属性库5.文件头部包含了成为（ C ）的识别信息，同一类型文件的文件头部信息是相同的。
A. 文件头B. 扩展名C. 签名D. 以上答案均不正确6.IMEI是国际移动设备身份码的缩写，国际移动装备识别码，是由（ C ）位数字组成的"电子串码"，它与每台手机相对应，理论上该码是全世界唯一的。
A. 14B. 16C. 15D. 187.通常情况下，收集数据的获取由现场环境和取证条件而决定，不包括以下哪种情况？（ D ）A、可视化获取B、逻辑获取C、物理获取D、动态获取8.手机数据物理获取是使用特定的方法或软硬件工具，将手机内部存储空间完整获取，以便进行后期调查分析，以下不是物理获取方法的是（ C ）A. 镜像采集终端获取B. JTAG获取C. 动态获取D. 焊接获取9.手机无法与分析机正常连接的原因（ D ）A、手机驱动问题B、手机通讯模式问题C、手机数据线问题D、以上都是10.SCSI转换器用于将SCSI硬盘转换为标准（ A ）接口，从而与主机连接。
A、SATAB、IDEC、SASD、LIF11.开盘维修硬盘需要的环境（ B ）A、真空室B、无尘室C、氧气室D、自然环境12.SAS为（），SATA为（ B ）A、全双工全双工B、全双工半双工C、半双工全双工D、半双工半双工13.手机输入PIN码3次都错误，SIM卡会被锁定，此时需要输入( B )码解锁。
电子数据取证工作试题与答案
电子数据取证工作试题与答案电子数据取证工作试题一、单选1CPU的中文含义是____。
A主机B中央处理器C运算器D控制器2DOS命令实质上就是一段____。
A数据B可执行程序C数据库D计算机语言3E01的块数据校验采用A CRC算法B MD5算法C SHA-1算法D SHA-2算法4E01证据文件分卷大小默认为A 4.7GB 600MC 640MD 700M5FAT文件系统中，当用户按Shift+Del删除该文件后，以下描述正确的是？1A文件已经彻底从硬盘中删除B文件已删除，但文件内容首字节被改为十六进制E5C还在回收站中，可用取证大师恢复D文件已删除，但是数据还在，目录项首字节被改为十六进制E56FAT文件系统中通常有多少个FAT表?A 1B 2C 3D 47Linux系统中常见的文件系统是A Ext2/Ext3/Ext4B NTFSC FAT32D CDFS8MBR扇区通常最后两个字节十六进制值为(编码次序不考虑)A AA 11B 11 FFC 55 AAD 66 BB9Windows记事本不克不及储存的文本编码为A ANSIB RTFC UnicodeD UTF-810Windows中的“剪贴板”是________。
A一个应用程序B磁盘上的一个文件C内存中的一个空间D一个公用文档11不属于简体中文编码的是2A Big5B UFT-8C UnicodeD GB231212操作系统以扇区（Sector）形式将信息存储在硬盘上，每个扇区包括（）个字节的数据和一些其他信息。
A 64B 32C 58D 51213磁盘经过高级花式化后,其外表构成多个分歧半径的同心圆,这些同心圆称为____。
A磁道B扇区C族D磁面14磁盘在格式化的时候被分为许多同心圆，这些同心圆轨迹叫做磁道，磁道是如何编号的A由外向内从开始编号B由外向内从1开始编号C由外向外从开始编号D由内向外从1开始编号15当前大多数硬盘采用的寻址方式为ACHSBLBACAUTODLARGE16断电会使原存信息消逝的储备器是____。
电子数据取证期末考试题习题及答案
1、说明在Python中常用的注释方式包括哪些？答：①单行注释：行首# ②多行注释：三个单引号或三个双引号包括要注释的内容③编码注释：#coding=utf-8或#coding=gbk ④平台注释：#！usr/bin/python2、说明在Python中单引号、双引号和三引号之间的区别。
答：①单引号和双引号通常用于单行字符串的表示，也可通过使用\n换行后表示多行字符串②三单引号和三双引号通常用于表示多行字符串以及多行注释，表示多行时无需使用任何多余字符。
③使用单引号表示的字符串中可以直接使用双引号而不必进行转义，使用双引号表示的字符同理；三引号中可直接使用单引号和双引号而无需使用反斜杠转转义，三引号表示的字符串中可以输出#后面的内容。
3、说明在Python中的代码a,b=b,a实现了什么功能。
答：a,b数值互换4、Python提供了哪两种基本的循环结构。
答：For，while5、Python中的常用可迭代对象包括哪些？答：①序列，包括列表、元组、字典、集合及range②迭代器对象③生成器对象④文件对象6、Python2.7的标准库hashlib中包含的hash算法包括哪些？答：MD5，SHA1，SHA256，SHA512。
7、在Python编程中，常见的结构化输出文件格式包括哪些。
答：Csv,xml,html,json8、在Python编程中，变量名区分英文字母的大小写，基于值的内存管理方式，使用缩进来体现代码之间的逻辑关系。
（√）9、Python中的lambda函数也就是指匿名函数，通常是在需要一个函数，但是又不想去命名一个函数的场合下使用。
（√）10、在Python中如果需要处理文件路径，可以使用（OS ）模块中的对象和方法。
11、在Python中的字符串和元组属于不可变序列，列表、字典、集合属于可变序列。
（√）12、在Python中集合数据类型的所有元素不允许重复。
（√）13、在Python中如何创建只包含一个元素的元组？答：tuple1=(a, )14、在Python中字典数据类型的“值”允许重复，“键”不可以重复。
电子数据取证笔试试卷
电子数据取证试题说明：考试时间1０0分钟,满分100分,答案写在答题纸上。
一、单选题(共10题,每题2分,共计20分）1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高,以下哪种硬盘的理论传输速率最慢？A.ＳCSIB.ＩDEC.ＳASD.SＡTＡ2.以下哪种规格是市场上最常见的笔记本硬盘?A. 3.５英寸B. 1.８英寸C. 2.5英寸D.1英寸3.以下哪种规格不是SＣSI硬盘的针脚数?A.5０B.68C.７2D.8０4.下列哪种接口的存储设备是不支持热插拔的？B接口B.E-ＳＡTA接口C.SATＡ接口D.IDＥ接口5.下列哪个选项是无法计算哈希值的?A.硬盘B.分区C.文件D.文件夹6.下列文件系统中，哪个是Wｉndowｓ７系统不支持的？A.eｘFatB.ＮTFＳC.ＨFSD.FAT327.下列有关文件的各类时间属性，操作系统是一定不记录的?A.创建时间B.修改时间C.访问时间D.删除时间8.下列哪种不是常见的司法取证中的硬盘镜像格式?A.GｈoB.AFFC.S０1D.00１9.系统日志中某些内容可能对取证有重要意义,比如“事件日志服务启动”通常被视为计算机开机的标志,该事件所对应的事件编号为：A.５005B.500６C.600５D.6０0610.Encase Foreｎｓｉc是业界文明的司法取证软件,它是下面哪家公司开发的?A.ＧｕiｄanceB.GetDataC.AccessDａtaD.PanSafｅ二、多选题(共10题,每题3分，共计3０分)1.通常Windows系统中涉及文件的３个时间属性，M代表Modｉfy，表示最后修改时间；A代表Accesｓ,表示最后访问时间;Ｃ代表Create,表示创建时间;下列解释错误的是？A．M始终要晚于CB．M、A、C在Liｎｕｘ系统中也适用C．Ｍ、A、C时间是不能被任何工具修改的,因此是可信的D．文件的M、A、C时间一旦发生变化,文件的哈希值随之改变2.下列关于对位复制的说法中,不正确的是?A．为了确保目标盘与源盘的一致性,一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性C．为了确保目标盘与源盘的一致性,目标盘的硬盘接口一定要与源盘一致D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性3.下列关于现场勘验过操作的说法中,不正确的是?A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
电子取证单选题
1，复合文件包含了一系列的独立数据流，关于数据流，下列哪些说法是正确的。
（D）A，同一个存储下面的直接相连接的存储和流的名字必须相同；B，不同存储下面的存储和流的名字可以不同；C，两个不一样的存储中，不可以出现两个相同名字的流；D，每个复合文件包含一个根存储，这个根存储是所有存储和流直接或间接父母。
2，中止扇区标识符链的特殊尾随标识符是下列哪一数值？（B）A，-1；B，-2；C，-3；D，-4。
3，特殊扇区标识符数值为-4，其代表的含义为？（A）A，MSAT SecID;B，Free SecID;C，End Of Chain SecID;D，SAT SecID.4，复合文件头的大小是准确的？（C）A，128字节；B，256字节；C，512字节；D，1024字节。
5，在现实的运用中，一般数据存储方式都选择下列哪种存储方式？（A）A，little-endian；B，Big-endian；C，Head-endian;D，Tail-endian。
5，每个目录条目均为大小准确的128字节，但其中有4字节不被使用，这4个字节的位置是？（D）A，第0—3字节。
B，第60—63字节。
C，第92—95字节。
D，第124—127字节。
6，计时戳区域是一个什么类型的数值？(B)A，长整型64位数值。
B，无符号64位数值。
C，长整型128位数值。
D，无符号128位数值。
7，在读取复合文件头时，文件的前512字节中，头8个字节代表的含义是？（C）A，修正号和版本号。
B，字节顺序标识符。
C，已修复的复合文件标识符。
D，短扇区标识符。
8，SAT开始于文件地址的哪一处？（C）A，00000000H。
B，00000100H。
C，00000200H。
D，00000300H。
9，RSA加密算法的安全性，依赖于大数分解，因此，为了提高RSA加密算法的安全性，需要尽量选择（）。
（B）A，足够大的数。
B，足够大的质数。
C，足够大的基数。
D，足够大的合数。
公安机关办理刑事案件电子数据取证法律文书式样
公安机关办理刑事案件电子数据取证法律文书式样
目录
1、电子数据现场提取笔录
2、电子数据提取固定清单
3、网络在线提取笔录
4、远程勘验笔录
5、图片记录表
6、协助冻结／解除冻结电子数据通知书
7、电子数据检查笔录
8、电子数据侦查实验笔录
电子数据现场提取笔录
时间：年月日时分至年月日时分地点：
指挥人员姓名、单位：
侦察人员姓名、单位：
记录人姓名、单位：
电子数据来源：
电子数据持有人（提供人）：
见证人：
提取对象：
事由及目的：
过程方法及结果：
不能扣押原始存储介质的原因：
原始存储介质的存放地点：
备注：
侦查人员：
电子数据持有人（提供人）/见证人：
记录人：
电子数据提取固定清单
网络在线提取笔录
时间：年月日时分至年月日时分地点：
侦察人员姓名、单位：
记录人姓名、单位：
记录人姓名、单位：
电子数据来源：
提取对象：
事由及目的：
过程方法及结果：
不能扣押原始存储介质的原因：
原始存储介质的存放地点：
备注：
侦查人员：
记录人：
远程勘验笔录
时间：年月日时分至年月日时分地点：
指挥人员姓名、单位：
侦察人员姓名、单位：
记录人姓名、单位：
见证人：
远程勘验对象：
事由及目的：
过程方法及结果：
不能扣押原始存储介质的原因：
原始存储介质的存放地点：
备注：
指挥人员：
侦查人员：
见证人：
记录人：
图片记录表
第页。
电子证据调查考核试卷
B.证据内容真实
C.证据获取合法
D.证据与案件无关
14.在电子证据调查过程中，以下哪个环节可能导致证据污染？（）
A.证据固定
B.证据提取
C.证据保存
D.证据提交
15.电子证据调查中，以下哪项措施可以降低证据被篡改的风险？（）
A.证据原件保管
B.证据复制件保管
C.证据原件与复制件分离保管
1.电子证据的特点包括（）
A.便于复制
B.易于篡改
C.传输速度快
D.存储容量大
2.以下哪些属于电子证据的获取方式？（）
A.数据恢复
B.网络截取
C.硬件提取
D.软件分析
3.电子证据的固定方法包括（）
A.制作镜像
B.使用防篡改存储设备
C.加密保护
D.直接打印
4.以下哪些措施可以保障电子证据的完整性？（）
C.证据的丢失
D.证据的延误
5.以下哪种方法不适合电子证据的保全？（）
A.数据备份
B.加密存储
C.纸质打印
D.公证保全
6.电子证据的审查主要从以下哪个方面进行？（）
A.证据来源
B.证据内容
C.证据获取过程
D.所有上述方面
7.在我国，电子证据的法定审查标准是（）
A.真实性
B.合法性
C.有效性
D. A和B
3.电子证据的______是指证据在形成、存储、传输过程中保持其原始性和完整性的特性。
4.电子证据的获取过程中，应当遵循的最重要的原则是______。
5.在进行电子证据的提取时，常用的方法是______和______。
6.电子证据的鉴定人应当具备专业的技术知识、良好的职业道德和______。
数字取证技术考试 选择题45题 附答案
1. 数字取证的主要目的是：A. 恢复丢失的数据B. 分析电子证据C. 防止数据泄露D. 以上都是2. 数字取证的基本原则包括：A. 完整性B. 可信性C. 可重复性D. 以上都是3. 数字取证的主要步骤包括：A. 证据收集B. 证据分析C. 证据报告D. 以上都是4. 数字取证的工具主要包括：A. 取证软件B. 取证硬件C. 取证平台D. 以上都是5. 数字取证的软件工具主要包括：A. EnCaseB. FTKC. AutopsyD. 以上都是6. 数字取证的硬件工具主要包括：A. 取证工作站B. 取证硬盘C. 取证手机D. 以上都是7. 数字取证的平台工具主要包括：A. 云取证B. 移动取证C. 网络取证D. 以上都是8. 数字取证的证据收集方法主要包括：A. 物理收集B. 逻辑收集C. 远程收集D. 以上都是9. 数字取证的证据分析方法主要包括：A. 数据恢复B. 数据解析C. 数据关联D. 以上都是10. 数字取证的证据报告方法主要包括：A. 书面报告B. 口头报告C. 电子报告D. 以上都是11. 数字取证的完整性原则主要体现在：A. 证据的原始性B. 证据的不可篡改性C. 证据的可追溯性D. 以上都是12. 数字取证的可信性原则主要体现在：A. 证据的真实性B. 证据的可靠性C. 证据的可验证性D. 以上都是13. 数字取证的可重复性原则主要体现在：A. 证据的再现性B. 证据的可复制性C. 证据的可重现性D. 以上都是14. 数字取证的证据收集技术主要包括：A. 镜像复制B. 哈希校验C. 时间戳D. 以上都是15. 数字取证的证据分析技术主要包括：A. 数据恢复B. 数据解析C. 数据关联D. 以上都是16. 数字取证的证据报告技术主要包括：A. 书面报告B. 口头报告C. 电子报告D. 以上都是17. 数字取证的物理收集方法主要包括：A. 硬盘复制B. 内存复制C. 手机复制D. 以上都是18. 数字取证的逻辑收集方法主要包括：A. 文件复制B. 日志复制C. 数据库复制D. 以上都是19. 数字取证的远程收集方法主要包括：A. 网络抓包B. 远程桌面C. 云端数据D. 以上都是20. 数字取证的数据恢复技术主要包括：A. 文件恢复B. 分区恢复C. 系统恢复D. 以上都是21. 数字取证的数据解析技术主要包括：A. 文件解析B. 日志解析C. 数据库解析D. 以上都是22. 数字取证的数据关联技术主要包括：A. 时间关联B. 空间关联C. 行为关联D. 以上都是23. 数字取证的书面报告技术主要包括：A. 报告撰写B. 报告审核C. 报告提交D. 以上都是24. 数字取证的口头报告技术主要包括：A. 报告准备B. 报告演讲C. 报告反馈D. 以上都是25. 数字取证的电子报告技术主要包括：A. 报告生成B. 报告分发C. 报告存档D. 以上都是26. 数字取证的镜像复制技术主要包括：A. 硬盘镜像B. 内存镜像C. 手机镜像D. 以上都是27. 数字取证的哈希校验技术主要包括：A. MD5B. SHA-1C. SHA-256D. 以上都是28. 数字取证的时间戳技术主要包括：A. 文件时间戳B. 日志时间戳C. 数据库时间戳D. 以上都是29. 数字取证的文件恢复技术主要包括：A. 删除文件恢复B. 格式化文件恢复C. 损坏文件恢复D. 以上都是30. 数字取证的分区恢复技术主要包括：A. 删除分区恢复B. 格式化分区恢复C. 损坏分区恢复D. 以上都是31. 数字取证的系统恢复技术主要包括：A. 系统还原B. 系统备份C. 系统克隆D. 以上都是32. 数字取证的文件解析技术主要包括：A. 文本文件解析B. 图像文件解析C. 视频文件解析D. 以上都是33. 数字取证的日志解析技术主要包括：A. 系统日志解析B. 应用日志解析C. 网络日志解析D. 以上都是34. 数字取证的数据库解析技术主要包括：A. 关系数据库解析B. 非关系数据库解析C. 文件数据库解析D. 以上都是35. 数字取证的时间关联技术主要包括：A. 时间线分析B. 时间戳比对C. 时间序列分析D. 以上都是36. 数字取证的空间关联技术主要包括：A. 地理位置分析B. IP地址分析C. 网络拓扑分析D. 以上都是37. 数字取证的行为关联技术主要包括：A. 用户行为分析B. 系统行为分析C. 网络行为分析D. 以上都是38. 数字取证的报告撰写技术主要包括：A. 报告结构设计B. 报告内容编写C. 报告格式规范D. 以上都是39. 数字取证的报告审核技术主要包括：A. 报告内容审核B. 报告格式审核C. 报告逻辑审核D. 以上都是40. 数字取证的报告提交技术主要包括：A. 报告提交方式B. 报告提交时间C. 报告提交对象D. 以上都是41. 数字取证的报告准备技术主要包括：A. 报告材料准备B. 报告内容准备C. 报告演讲准备D. 以上都是42. 数字取证的报告演讲技术主要包括：A. 报告演讲技巧B. 报告演讲内容C. 报告演讲时间D. 以上都是43. 数字取证的报告反馈技术主要包括：A. 报告反馈收集B. 报告反馈分析C. 报告反馈应用D. 以上都是44. 数字取证的报告生成技术主要包括：A. 报告模板设计B. 报告内容填充C. 报告格式调整D. 以上都是45. 数字取证的报告分发技术主要包括：A. 报告分发方式B. 报告分发时间C. 报告分发对象D. 以上都是答案部分1. D2. D3. D4. D5. D6. D7. D8. D9. D10. D11. D12. D13. D14. D15. D16. D17. D18. D19. D20. D21. D22. D23. D24. D25. D26. D27. D28. D29. D30. D31. D32. D33. D34. D35. D36. D37. D38. D39. D40. D41. D42. D43. D44. D45. D。
电子数据取证与鉴定技术考试
电子数据取证与鉴定技术考试（答案见尾页）一、选择题1. 电子数据取证与鉴定技术主要涉及哪些步骤？A. 收集、保护、分析、报告B. 检验、调查、收集、分析C. 比较、分析、提取、报告D. 保护、监控、分析、报告2. 电子证据在法律诉讼中扮演什么角色？A. 作为呈堂证供B. 作为法庭审理的辅助工具C. 作为案件审理的直接证据D. 作为案件审理的间接证据3. 在进行电子数据取证时，以下哪个选项是最佳的安全措施？A. 使用强密码并定期更改B. 对存储介质进行加密C. 定期备份数据D. 防火墙和入侵检测系统4. 电子数据取证中，如何确保证据的完整性和真实性？A. 使用专业软件进行数据恢复B. 从可信来源获取证据C. 对证据进行多次验证D. 保持证据的存储和传输安全5. 电子数据取证中，如何处理被删除或损坏的数据？A. 使用数据恢复工具B. 从备份中恢复数据C. 创建新的数据副本D. 请教专家或法律顾问6. 在电子数据取证中，什么是“数字签名”？A. 一种防止数据被篡改的技术B. 一种验证数据完整性的方法C. 一种加密技术D. 一种身份认证机制7. 以下哪个选项不是电子数据取证中常用的文件格式？A. PDFB. JPEGC. TIFFD. XML8. 在进行电子数据取证时，如何识别和避免潜在的威胁？A. 限制对敏感数据的访问B. 定期更新安全补丁C. 使用防火墙和入侵检测系统D. 对员工进行安全培训9. 电子数据取证中，如何确保证据的合规性？A. 遵守相关法律法规和行业标准B. 保持证据的完整性和可读性C. 提供充分的证据链D. 与相关法律机构合作10. 以下哪个选项不是电子数据取证中常用的技术？A. 数据解密B. 数据压缩C. 数据加密D. 数据备份11. 电子数据取证与鉴定技术主要涉及哪些方面的内容？A. 数据恢复与备份B. 数据加密与解密C. 电子证据收集与分析D. 数据存储与安全12. 在进行电子数据取证时，以下哪个步骤是至关重要的？A. 确保数据的完整性和原始性B. 保护隐私权和法律规定C. 使用合适的工具和技术D. 遵循法律程序和规定13. 电子数据取证与鉴定技术中的关键因素包括哪些？A. 技术能力B. 法律法规C. 专业知识和经验D. 伦理和道德14. 以下哪个选项不是电子数据取证中常用的存储介质？A. 磁盘B. 光盘C. U盘D. 移动硬盘15. 在电子数据取证过程中，如何确保证据的合规性和合法性？A. 遵循法律法规和规定B. 使用合法的工具和技术C. 保证证据的完整性和原始性D. 保持客观和中立16. 以下哪个选项不是电子数据取证中常见的文件类型？A. Word文档B. PDF文档C. JPEG图像D. Excel表格17. 在电子数据取证中，如何验证证据的真实性？A. 通过哈希值比对B. 检查文件的修改时间C. 验证文件的数字签名D. 检查文件的创建者和最后修改者18. 电子数据取证与鉴定技术中的伦理和道德问题主要包括哪些？A. 保护隐私权B. 遵守法律规定C. 不泄露敏感信息D. 保守秘密19. 以下哪个选项不是电子数据取证中常用的数据分析方法？A. 关键字搜索B. 聚类分析C. 统计分析D. 人工智能分析20. 电子数据取证与鉴定技术主要涉及哪几个方面？A. 数据恢复B. 数据分析C. 数据完整性验证D. 数据存储21. 在进行电子数据取证时，以下哪个步骤是错误的？A. 制定详细的取证计划B. 收集和保存电子数据C. 执行数据恢复D. 分析和解释取证结果22. 电子数据取证中，如何处理已经删除或格式化的数据？A. 使用数据恢复工具B. 数据库备份C. 恢复到备份D. 以上所有23. 电子数据取证中，如何进行数据分析？A. 使用专门的取证工具B. 基于经验进行判断C. 遵循法律和规定D. A和C24. 电子数据取证中，如何识别和提取电子证据？A. 依赖专业知识B. 使用自动化工具C. 遵循法律程序D. A和B25. 电子数据取证中，如何保证证据的合规性？A. 遵循相关法律法规B. 与法律专业人士合作C. 保持记录和文档D. A和B26. 电子数据取证与鉴定技术的未来发展趋势是什么？A. 技术创新B. 法律法规的完善C. 跨学科合作的加强D. A和B27. 在电子数据取证过程中，以下哪个选项是正确的？A. 只要数据没有被删除，就可以直接进行分析B. 只要数据没有被删除，就可以直接进行分析C. 无论数据是否被删除，都应该进行备份D. 只有在数据被删除后，才需要进行备份28. 在电子数据取证中，如何识别和提取电子证据？A. 使用数据恢复工具B. 使用专门的取证软件C. 使用法律规定的取证方法D. 使用互联网搜索技术29. 以下哪个选项不是电子数据取证中的关键步骤？A. 数据备份B. 数据分析C. 数据保护D. 数据销毁30. 在电子数据取证中，如何防止证据被篡改？A. 使用加密技术B. 使用只读设备C. 使用数字签名技术D. 使用第三方审计机构31. 在电子数据取证中，如何验证电子证据的法律效力？A. 使用法律规定的取证方法B. 使用专业的取证工具C. 向法院申请取证令D. 与当事人协商32. 以下哪个选项不是电子数据取证中的风险因素？A. 数据损坏B. 数据丢失C. 技术漏洞D. 法律法规变化33. 在电子数据取证中，如何处理已经删除的数据？A. 数据恢复B. 数据备份C. 数据擦除D. 数据隐藏34. 在电子数据取证过程中，以下哪个选项是确保证据完整性的关键步骤？A. 扫描和加密B. 创建快照C. 数据备份D. 防止篡改35. 电子数据取证中，如何验证证据的真实性？A. 通过哈希算法进行比对B. 检查创建时间和修改时间戳C. 验证数字签名D. 以上所有方法36. 在电子数据取证中，如何处理已经损坏的数据？A. 重新收集和保存数据B. 使用数据恢复工具C. 从其他相同类型的数据中提取信息D. 以上所有方法37. 在电子数据取证中，如何识别和防止恶意软件的攻击？A. 安装防病毒软件B. 定期更新系统和应用程序C. 不打开未知来源的邮件和链接D. 以上所有方法38. 电子数据取证中，如何保证证据的保密性？A. 加密存储B. 访问控制C. 审计和监控D. 以上所有方法39. 在电子数据取证中，如何从电子邮件中提取附件？A. 使用邮件客户端提供的功能B. 使用独立的文件提取工具C. 仔细检查邮件正文内容D. 以上所有方法40. 电子数据取证中，如何对数字签名进行验证？A. 通过公钥和私钥进行比对B. 检查签名者的证书C. 验证签名的完整性D. 以上所有方法41. 在电子数据取证中，如何对数据进行法律取证？A. 遵守法律法规和行业标准B. 保留所有与案件相关的记录C. 提供法律认可的证明文件D. 以上所有方法二、问答题1. 电子数据取证与鉴定技术是什么？2. 电子数据取证过程中应遵循哪些原则？3. 常见的电子数据类型有哪些？4. 如何确保电子数据取证过程的完整性？5. 电子数据取证与鉴定技术在实际案件中的应用有哪些？6. 在进行电子数据取证时，如何处理和分析原始数据？7. 电子数据取证与鉴定技术面临哪些挑战？8. 未来电子数据取证与鉴定技术的发展趋势是什么？参考答案选择题：1. A2. A3. B4. C5. B6. B7. D8. D9. A 10. B11. ABCD 12. ABCD 13. ABCD 14. D 15. ABC 16. C 17. ABCD 18. ABCD 19. D 20. ABCD21. C 22. D 23. D 24. D 25. D 26. D 27. C 28. C 29. D 30. A31. C 32. D 33. C 34. D 35. D 36. D 37. D 38. D 39. D 40. D41. D问答题：1. 电子数据取证与鉴定技术是什么？电子数据取证与鉴定技术是一门研究如何从数字设备中提取、分析和验证电子证据的学科。
q2取证考试题库及答案
q2取证考试题库及答案一、单项选择题1. 电子数据取证是指采用技术手段，对电子数据进行（）的过程。
A. 收集、保护、分析和呈现B. 收集、分析、存储和删除C. 保护、分析、存储和删除D. 收集、保护、存储和删除答案：A2. 在电子数据取证过程中，以下哪项不是取证人员必须遵循的原则？（）A. 合法性原则B. 客观性原则C. 保密性原则D. 随意性原则答案：D3. 以下哪项不是电子数据取证的主要步骤？（）A. 数据收集B. 数据保护C. 数据分析D. 数据丢弃答案：D4. 电子数据取证中，以下哪项不属于数据保护的方法？（）A. 哈希值校验B. 写保护C. 物理隔离D. 数据共享答案：D5. 在电子数据取证中，以下哪项不是常用的数据恢复技术？（）A. 文件系统恢复B. 磁盘镜像C. 数据覆盖D. 碎片重组答案：C二、多项选择题6. 电子数据取证中，以下哪些因素可能影响证据的完整性？（）A. 取证工具的可靠性B. 取证人员的技术水平C. 取证环境的稳定性D. 证据的存储介质答案：A、B、C、D7. 以下哪些是电子数据取证中常用的数据提取工具？（）A. 取证软件B. 磁盘镜像工具C. 网络监控工具D. 数据恢复软件答案：A、B、D8. 在电子数据取证中，以下哪些措施可以提高证据的可靠性？（）A. 使用专业的取证工具B. 确保取证过程的记录C. 采用加密技术保护数据D. 定期进行数据备份答案：A、B、C三、判断题9. 电子数据取证中，所有的数据收集活动都必须在法律允许的范围内进行。
（）答案：√10. 电子数据取证过程中，取证人员可以根据自己的判断随意删除或修改数据。
（）答案：×四、简答题11. 简述电子数据取证的基本流程。
答案：电子数据取证的基本流程包括数据收集、数据保护、数据分析和数据呈现。
首先，取证人员需要收集与案件相关的电子数据；其次，对收集到的数据进行保护，确保数据的完整性和安全性；然后，对数据进行分析，提取有价值的信息；最后，将分析结果以合适的方式呈现给法庭或其他相关人员。
取证复习资料
一、判断题1. ( )计算机取证一定要用取证软件来进行取证才能找到有效证据。
2. ( )电子证据是指“以电子形式存在的、用作证据使用的一切材料及其派生物”。
3. ( )收集到的电子证据只要是真实的就可以作为法庭的证据。
二、名词解释题.1．动态取证.（内存数据,通讯状态,IE自动提交数据获取;通讯程序帐号/密码的获取;仿真运行的数据-例如财务数据/数据库）取证人员依照法律规定和取证程序，由具有法律资格人员对于开机或者联网状态下的计算机及其相关计算机设备（包括交换机，路由器等）的内存数据，系统运行状态等进行相关的数据实时监控，分析和保存。
从中发现相关的犯罪证据，作出具有法律效应的检测分析报告以证明违法犯罪事实的存在。
（通常采用动态仿真系统，将待分析的硬盘中的操作系统模拟运行起来，然后再进行取证分析，提取一些在静态取证过程中无法获得的数据（如系统中已保存的各种密码），以及分析木马、恶意代码程序等）2．静态取证. （各种存储介质的获取与复制）取证人员依照法律规定和取证程序，由具有法律资格人员对计算机硬件的原始数据进行保全，检查，分析，然后从中找出与案件有关的数字证据，并作出具有法律效应的检测分析报告以证明违法犯罪事实的存在。
（就是直接分析硬盘中的文件内容，不需要将硬盘中的操作系统运行起来。
）3．磁盘镜像.（指复制到相同功能的存储装置中以起到增强数据整合度，增强容错功能，增加吞吐量等作用。
指复制到不同的装置或数据格式，主要用于数据备份）磁盘镜像”一词一般有两种不同含义。
一种是指复制到相同功能的存储装置中以起到增强数据整合度，增强容错功能，增加吞吐量等作用（如RAID）。
这时对应英文一般为Disk Mirror，以下称为磁盘镜。
另一种含义是指复制到不同的装置或数据格式，主要用于数据备份。
这时对应英文一般为Disk Image，以下称为磁盘像。
通常在使用中这两者都称为“镜像”或“磁盘镜像”。
（：又称磁盘映像，是将两个或两个以上的磁盘或磁盘子系统上生成同一个数据的镜像视图。
计算机取证习题
对发现的腐败案件进行深入调查，查明涉案人员、涉案金额和涉 案环节等信息。
企业内控制度审计
对企业内控制度进行审计和评估，发现存在的问题和漏洞，提出 改进建议。
个人隐私保护
隐私泄露调查
对个人隐私泄露事件进行调查，查明泄露原因和涉事人员，为受害 人提供帮助和支持。
隐私保护咨询
为个人提供隐私保护咨询和服务，指导其正确处理个人隐私信息， 防范隐私泄露风险。
、盗版电影等，为知识产权保护提供线索和证据。
维权行动支持
02
为权利人提供维权技术支持和法律咨询，协助其打击侵权行为
和维护合法权益。
知识产权培训
03
为企业和个人提供知识产权培训，提高其知识产权意识和保护
能力。
企业内部腐败调查
内部腐败线索发现
通过数据分析和技术手段，发现企业内部腐败的线索和证据，如 虚假报销、利益输送等。
网络盗号案
总结词
网络盗号案是一种侵犯个人隐私和财产权益的犯罪行为。
详细描述
网络盗号案通常涉及黑客攻击、恶意软件、社交工程等手段。犯罪分子通过获取受害者的用户名、密码和身份信 息，进而盗取其数字资产或进行其他犯罪行为。计算机取证专家需要调查和分析电子数据证据，以识别犯罪行为 、追踪犯罪分子并保护受害者的权益。
THANKS
感谢观看
总结词
网络侵犯知识产权案是一种侵犯他人知 识产权的犯罪行为。
VS
详细描述
网络侵犯知识产权案通常涉及盗版软件、 盗用他人作品、专利侵权等行为。计算机 取证专家需要收集和分析电子数据证据， 以识别犯罪行为、追踪犯罪分子并保护受 害者的权益。同时，需要采取措施打击侵 犯知识产权的行为，保护知识产权所有者 的合法权益。
电子取证面试题目(3篇)
第1篇一、基础知识1. 请简要介绍电子取证的概念及其在网络安全领域的应用。
2. 电子取证的基本流程包括哪些步骤？3. 请列举几种常见的电子取证工具。
4. 请解释什么是数字证据，并说明其特点。
5. 在电子取证过程中，如何确保证据的完整性和可靠性？6. 请简述电子取证在调查网络犯罪案件中的作用。
7. 电子取证过程中，如何处理证据的保密性和隐私性问题？8. 请说明电子取证在处理企业内部纠纷、知识产权保护等方面的应用。
9. 电子取证过程中，如何确保证据的时效性？10. 请简述电子取证在处理网络攻击、网络诈骗等犯罪案件中的作用。
二、技术技能1. 请介绍Windows操作系统中常见的取证工具，如：Windows资源管理器、事件查看器等。
2. 请介绍Linux操作系统中常见的取证工具，如：find、grep、ps等。
3. 请说明如何使用Regedit工具进行Windows注册表取证。
4. 请说明如何使用WinDbg工具进行内存取证。
5. 请介绍如何利用Wireshark工具进行网络流量取证。
6. 请说明如何使用X-Ways Forensics进行文件系统取证。
7. 请介绍如何使用Autopsy进行网页取证。
8. 请说明如何使用Volatility进行内存取证。
9. 请介绍如何利用RegRipper进行注册表取证。
10. 请说明如何使用Foremost进行文件恢复。
三、实战案例1. 请简述一起网络攻击案件的取证过程。
2. 请简述一起网络诈骗案件的取证过程。
3. 请简述一起企业内部纠纷案件的取证过程。
4. 请简述一起知识产权保护案件的取证过程。
5. 请简述一起计算机犯罪案件的取证过程。
6. 请简述一起计算机病毒感染案件的取证过程。
7. 请简述一起计算机数据丢失案件的取证过程。
8. 请简述一起手机取证案件的取证过程。
9. 请简述一起网络钓鱼案件的取证过程。
10. 请简述一起电子邮件取证案件的取证过程。
四、法律知识1. 请列举我国与电子取证相关的法律法规。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子数据取证试题
说明：考试时间100分钟，满分100分，答案写在答题纸上。
一、单选题（共10题，每题2分，共计20分）
1.硬盘作为最常见的计算机存储介质，近几年从容量到性能都有了很大的提高，以下哪种
硬盘的理论传输速率最慢？
A.SCSI
B.IDE
C.SAS
D.SATA
2.以下哪种规格是市场上最常见的笔记本硬盘？
A. 3.5英寸
B. 1.8英寸
C. 2.5英寸
D.1英寸
3.以下哪种规格不是SCSI硬盘的针脚数？
A.50
B.68
C.72
D.80
4.下列哪种接口的存储设备是不支持热插拔的？
B接口
B.E-SATA接口
C.SATA接口
D.IDE接口
5.下列哪个选项是无法计算哈希值的？
A.硬盘
B.分区
C.文件
D.文件夹
6.下列文件系统中，哪个是Windows 7系统不支持的？
A.exFat
B.NTFS
C.HFS
D.FAT32
7.下列有关文件的各类时间属性，操作系统是一定不记录的？
A.创建时间
B.修改时间
C.访问时间
D.删除时间
8.下列哪种不是常见的司法取证中的硬盘镜像格式？
A.Gho
B.AFF
C.S01
D.001
9.系统日志中某些内容可能对取证有重要意义，比如“事件日志服务启动”通常被视为计
算机开机的标志，该事件所对应的事件编号为：
A.5005
B.5006
C.6005
D.6006
10.Encase Forensic是业界文明的司法取证软件，它是下面哪家公司开发的？
A.Guidance
B.GetData
C.AccessData
D.PanSafe
二、多选题（共10题，每题3分，共计30分）
1.通常Windows系统中涉及文件的3个时间属性，M代表Modify，表示最后修改时间；A
代表Access，表示最后访问时间；C代表Create，表示创建时间；下列解释错误的是？
A．M始终要晚于C
B．M、A、C在Linux系统中也适用
C．M、A、C时间是不能被任何工具修改的，因此是可信的
D．文件的M、A、C时间一旦发生变化，文件的哈希值随之改变
2.下列关于对位复制的说法中，不正确的是？
A．为了确保目标盘与源盘的一致性，一定要找到与源盘品牌、型号、容量均一致的目标盘进行复制
B．为了确保司法取证的有效性，一定要验证目标盘与源盘哈希值的一致性
C．为了确保目标盘与源盘的一致性，目标盘的硬盘接口一定要与源盘一致
D．当目标盘容量大于源盘时，一定要计算目标盘整盘的哈希值，用于与源盘的哈希值进行比对一致性
3.下列关于现场勘验过操作的说法中，不正确的是？
A．DD文件是最常用的镜像格式，因为该格式是原始镜像，而且支持高压缩。
B．为了固定运行着的计算机的桌面状态，首先应该按键盘的PrtSc键进行截图。
C．对于关机状态下的计算机进行固定时，优先采取对硬盘盘体进行开盘操作的方式。
D．对于关机状态下又无法拆卸硬盘的计算机，应该开机直接查看系统里的数据。
4.下列文件系统中，哪些是Windows的文件系统？
A.HFS/HFS+
B.EXT2/3/4
C.NTFS
D.FAT16/32
5.下列关于对位复制和创建镜像的说法中，错误的是？
A．一般情况下，对位复制时，目标盘容量要等于源盘容量
B．制作DD镜像时，能够将500G源盘的完整DD镜像生成到500G的目标盘中
C．一般情况下，源盘生成的E01镜像，占用的空间小于同一块盘生成的DD镜像
D．用专门的镜像哈希计算工具，计算的同一块硬盘的DD和E01镜像哈希值是相同的6.当一块硬盘被连接到计算机上时，Windows系统已经为其分配盘符，但双击该盘符提示
是否需要格式化磁盘，可能存在的原因是？
A．该分区格式为EXT4，Windows系统无法识别
B．该分区已损坏，Windows无法识别
C．该硬盘是一块从未使用过的全新的硬盘
D．该分区被病毒感染，导致分区表丢失
7.下面关于文件头的说法中，不正确的是？
A．各种类型文件的文件头长度不一定相同
B．JPG格式文件的文件头存在细小差异
C．相比文件头，文件扩展名更可信，因此文件扩展名常用于判断文件类型
D．在Windows系统中，修改文件扩展名的同时，该文件的文件头也随之变化
8.下列哪些类型是Windows7系统中常见的日志类型？
A.Application
B.Security
C.System
D.Local
9.手机中常用的简体中文编码格式不包括？
A.Big5
B.UTF-16
C.Unicode BE
D.UTF-7
10.下面哪些密码破解方法可以用于RAR文件？
A.彩虹表破解
B.暴力破解
C.掩码破解
D.字典破解
三、不定项选择题（共10题，每题3分，共计30分）
1.下列不是NTFS分区下的元文件的是？
A.$MFT
B.$Boot
C.$FAT
D.$Secure
2.下列属于Windows 7系统中虚拟内存对应的文件是？
A.hiberfil.sys
B.pagefile.sys
C.virtualmem.sys
D.config.sys
3.下列关于文件大小和文件占用空间大小的说法中，不正确的是？
A．文件大小和文件占用空间大小总是不一致的
B．文件占用空间大小总是大于文件的实际大小
C．文件大小总是文件占用扇区大小的整数倍
D．文件占用空间大小与文件实际大小之间的差额通常被称为文件松弛区（Slack）
4.下面哪些操作系统不属于智能手机操作系统？
A.Linux
B.Windows 8
C.Mac OS
D.MTK
5.下面哪些文件不是Windows的注册表文件？
A.Regedit
B.Sam
C.System
D.Security
6.下面哪种类型的数据不属于易失性数据？
A.内存
B.未分配簇
C.运行的服务
D.未打开的图片
7.下列关于安卓手机取证说法错误的是？
A.安卓手机大部分的关键数据都记录在data区内
B.Data区无法随意访问，需要最高用户权限的授权（root权限）
C.通过解析备份文件也可以完成对data区的取证
D.通过一些第三方软件，可以将QQ、微信等主流社交软件的聊天记录储存位置指定在
SD卡
8.下列关于制作硬盘复制件的说法中，不正确的是？
A．降低直接在源盘检验带来的源盘损坏的风险。
B．防止误操作等原因造成的硬盘数据篡改。
C．对于某些传输速率低的硬盘，复制件采用高速率硬盘能有效提高后续取证效率。
D．制作复制件的同时，能够修复部分物理损坏的源盘。
9.下列文件后缀名的说法中，不正确的是？
A．文件的后缀名显示与否是Windows系统中可以设置的。
B．文件的后缀名一般来说为3-4个位长度。
C．可以通过改变文件的后缀名修改文件的类型。
D．所有文件都有文件后缀名。
10.下列关于iPhone取证说法错误的是？
A．iPhone数据恢复一定要越狱
B．iPhone的DFU模式通常用于刷机和越狱
C．iPhone4的4位屏幕密码可以破解
D．iPhone只有越狱了才能进行密码破解
四、判断题（共10题，每题1分，共计10分）
1.手机取证时一般将手机调成飞信模式再进行取证。
2.计算机仿真取证技术可以很大程度上弥补传统静态取证证据获取能力的不足。
3.手机的备份文件中不会记录IMEI号。
4.开机状态下Windows的用户密码信息是以明文形式保存在注册表中的。
5.安卓手机都可以通过备份进行获取。
6.现场勘验时可以通过PE工具直接清除windows密码后进行开机取证。
7.对手机取证时应保证待检测手机的数据、信号畅通，以便及时接受到最新的证据。
8.iPhone手机微信中获取的语音文件属于证据形式中的声像资料，而不是电子数据。
9.在进行硬盘克隆（对位复制）前必须对目标盘进行擦除。
10.Aff与E01格式支持镜像压缩，可根据实际需求选择压缩比，减少文件占用的空间与镜
像制作的时间。
五、简答题（共2题，每题5分，共计10分）
1.简述硬盘克隆（对位复制）与镜像的异同。
2.简述有屏幕密码的安卓手机应该如何取证。