weixin_73049307的博客

第一个是PID，第二个是PPID，第三个是线程数，第四个是句柄数，第五个是优先级还是虚拟内存？

答案：2023-06-21 00:47:41。

答案：2023-06-21 00:29:16。

2023-06-20 17:01:25 UTC+0000是世界标准时间，还要转换为北京时间。答案：2023-06-21 01:01:25。

答案：3w.qax.com。

得知Image local date and time : 2023-06-21 01:02:27 +0800。Image local date and time是本地时区（中国——东八区）答案：2023-06-21 01:02:27。

python kobackupdec.py -vvv W31C0M3_T0_THiS_34SY_F0R3NSiCX "E:\downloads\内存分析\HUAWEI P40_2021-aa-bb xx.yy.zz" E:\downloads\内存分析\result。"E:\downloads\内存分析\HUAWEI P40_2021-aa-bb xx.yy.zz"是解压出来的文件夹。“E:\downloads\内存分析\result”是要解压到的文件夹（注意不能已经有result文件夹，否则会失败）

（按理说是flag{W31C0M3_T0_THiS_34SY_F0R3NSiCX}，对应没有空格，但有下划线）（volatility命令可以看“电脑基础知识”部分的volatility及部分插件的安装与配置）没有空格，但有下划线。

挂载/解压密码:/TP2G-h`q#(Ss!坏了，MAGNETAXIOM没法直接对这个检材取证，后面花费了点时间去了解怎么处理这个容器，了解到需要使用VeraCrypt来加载容器。哈希校验值:容器文件MD5值：4AAA79BA46C2065FC5C4D5DC97202F3D。为了方便，将所有文件复制粘贴到别的物理磁盘，之后就可以卸载F盘了。（本人第一次接触加密容器检材，所以有挺多猪鼻操作，请见谅）