盘古石-DA 计算机取证 ​

2.分析刘洋liuyang_pc.E01检材，计算机系统Build版本为？[答案格式：19000]

3.分析刘洋liuyang_pc.E01检材，计算机最后一次正常关机的时间为？UTC +0[答案格式：2025-05-06-09:00:00]

4.分析刘洋liuyang_pc.E01检材，计算机网卡的MAC地址为？[答案格式：00-0B-00-A0-00-00]

5.分析刘洋liuyang_pc.E01检材，分析机主是从那里下载的typora？[答案格式：阿里云]

6.分析刘洋liuyang_pc.E01检材，刘洋在2026-04-19 13:46:01（UTC +0）曾访问过百度云盘，请给云盘的打开密码？[答案格式：11aa]

7.分析刘洋liuyang_pc.E01检材，请给出刘洋管理pve集群所用的端口号？[答案格式:8000]

9.分析刘洋liuyang_pc.E01检材，请给出理财网站的IP地址？[答案格式:127.0.0.1]

移动介质取证 ​

好的，感谢您提供更多数据让我仔细复核。我先坦诚承认：之前第5题我回答 800000000 是错的，在此纠正。下面逐一完整解析。

基于第一个引导扇区（VBR）的完整解析 ​

您提供的数据起点就是FAT32卷的引导扇区。逐字段解析：

引导扇区 hex 映射（仅关键字段） ​

偏移     HEX值        含义
0x00-02  EB 3C 90    跳转指令（前3字节）
0x0B-0C  00 02       每扇区字节数 = 512
0x0D     08          每簇扇区数 = 8
0x0E-0F  CA 0C       保留扇区数 = 3274
0x10     02          FAT表份数 = 2
0x11-12  00 02       FAT12/16兼容：根目录项数 = 512
0x1C-1F  3F 00 00 00 隐藏扇区数 = 63
0x20-23  80 F0 FA 02 总扇区数(大) = 0x02FAF080
0x24-27  30 75 00 00 每FAT表扇区数 = 0x00007530

详细计算 ​

① 第一个扇区前3字节
EB 3C 90 → EB-3C-90 ✅ 正确

② 每簇占多少个扇区
偏移 0x0D = 08 → 8 ✅ 正确

③ FAT12/16兼容字段"根目录项数"
偏移 0x11-0x12 = 00 02（小端序）→ 0x0200 = 512 ✅ 正确

④ 隐藏扇区数
偏移 0x1C-0x1F = 3F 00 00 00 → 0x3F = 63 ✅ 正确

⑤ BPB中声明的总扇区数
偏移 0x20-0x23 = 80 F0 FA 02（小端序）→ 0x02FAF080

计算：

• 0x02 × 256³ = 33,554,432
• 0xFA × 256² = 250 × 65,536 = 16,384,000
• 0xF0 × 256¹ = 240 × 256 = 61,440
• 0x80 × 256⁰ = 128

总和 = 50,000,000（❌ 之前错误回答为 800000000）

⑥ 每张FAT表占多少个扇区
偏移 0x24-0x27 = 30 75 00 00（小端序）→ 0x00007530

• 0x7530 = 7×4096 + 5×256 + 3×16 + 0 = 28,672 + 1,280 + 48 = 30000

⑦分析方俊朗UDisk.img检材，真实的根目录起始簇应为多少？[答案格式：3]

在FAT32引导扇区中，根目录起始簇存储在偏移 0x2C-0x2F 处，占4字节（小端序）。

查看您的数据第3行：

80 F0 FA 02  30 75 00 00  00 00 00 00  05 00 00 00
│                                 │              │
└─ 0x20 总扇区数                  │              │
                 └─ 0x24 FAT扇区数              │
                               └─ 0x28~0x2B     └─ 0x2C~0x2F 根目录起始簇

• 0x2C = 05
• 0x2D = 00
• 0x2E = 00
• 0x2F = 00

小端序读作 0x00000005 = 5。 ⑧分析方俊朗UDisk.img检材，FSInfo扇区号是多少？[答案格式：1]

在FAT32引导扇区中，FSInfo扇区号存储在偏移 0x30-0x31，占2字节（小端序）。

数据第4行：

03 00 09 00 00 00 00 00 00 00 00 00 00 00 00 00
  ↑     ↑
  │     └─ 0x32 备份引导扇区号 = 0x0009
  └─ 0x30 FSInfo扇区号 = 0x0003

小端序 03 00 → 0x0003 = 3。 ⑨分析方俊朗UDisk.img检材，备份扇区实际引导扇区号是？[答案格式：2]

在FAT32引导扇区中，备份引导扇区号存储在偏移 0x32-0x33，占2字节（小端序）。

数据第4行：

03 00 09 00 00 00 00 00 ...
  ↑     ↑
  │     └─ 0x32 备份引导扇区号 = 0x0009
  └─ 0x30 FSInfo扇区号 = 0x0003

小端序 09 00 → 0x0009 = 9。 ⑩分析方俊朗UDisk.img检材，卷序列号的十六进制值是多少？[答案格式：0x45463]

FAT32 卷序列号位于引导扇区偏移 0x43-0x46，占4字节（小端序）。

数据第5行：

80 00 29  78 56 34 12  48 49 44 44 45 4E 5F 55 53
         └──────────┘
         0x43~0x46

小端序 78 56 34 12 → 0x12345678

📊 最终答案汇总 ​

对第5题的失误深表歉意，0x02FAF080 我上次心算出了差错。事实上您提供的 hex 总共才约 6.7KB（420行×16字节），远不到13GB的万分之一，但FAT32引导扇区的全部BPB参数就在这前512字节里，所以答案都完全可从现有数据中确定，不需要完整镜像。