---
# System prepended metadata

title: Компьютерная экспертиза. Лабораторная работа №1.

---

# Компьютерная экспертиза. Лабораторная работа №1.
:::info
Работа выполнена студентом 3 курса учебной группы БСБО-04-19 Чайка Егором
:::
**Содержание**
1. Начальные данные и условия лабораторной работы
2. Получение доступа к учётной записи
3. Анализ действий пользователя
4. Восстановление файлов
# Начальные данные и условия лабораторной работы
**Цель работы:** получить навыки восстановления доступа к скомпрометированной системе и утраченных в результате действий злоумышленника данных.

**Входные данные:**  виртуальная машина с Windows 10, в котором пользователь не может войти в одну из учетных записей (пароль был изменён). 

**Задание:** 
1. Сбросить пароль пользователя Alex и установить новый. 
2. Провести анализ действий злоумышленника в системе, понять, какие данные подверглись воздействию (Пользователь говорит что не может найти свою курсовую, которая лежала на рабочем столе). 
3. В случае отстутствия некоторых файлов - восстановить их.
# Получение доступа к учётной записи
Загрузив Windows видим, что у нас есть две учётные записи, каждая из которых требует для входа пароль.

![](https://i.imgur.com/r4OVhOB.png)

Для сброса и смены паролей существует огромное количество утилит, которыми можно воспользоваться с загрузочных флешек или CD дисков. В данной работе воспользуемся утилитой Elcomsoft System Recovery, загружаться будем с iso образа CD диска. Для этого импортируем его в настройках нашей виртуальной машины.
:::success
На настоящем ПК нужно было бы вставить CD диск в дисковод и дальнейшие действия ничем бы не отличались
:::

![](https://i.imgur.com/KmspdnL.png)

Теперь перезагружаем виртуальную машину и жмём F10, чтобы выбрать, с помощью чего будет загружаться наша операционная система. Выбираем CD диск (...SATA CDROM Drive...).

![](https://i.imgur.com/lmCJlfQ.png)

После непродолжительной загрузки видим интерфейс нашей программы и пользовательское соглашение.

![](https://i.imgur.com/gQIHU1E.png)

Выбираем удобный нам язык и идём далее, выбирая, где только можно, локальные данные и, в конце концов, выбираем опцию "Изменить локальную учётную запись".

![](https://i.imgur.com/m4TXq6q.png)

В следующем окне жмём далее и программа начнёт подбор паролей, однако сразу прерываем его с помощью ESC и заходим в настройки необходимого нам пользователя Alex.

![](https://i.imgur.com/6u5iHh9.png)

В следующем окне в поле "Пароль" вводим удобный нам пароль и нажимаем кнопку "Применить".

![](https://i.imgur.com/c7edr2n.png)

Готово, теперь пользователь Alex имеет пароль 123. Машина автоматически перезагружается, после чего заходим в систему под новым паролем. Как видим, необходимой курсовой работы на рабочем столе нет.

![](https://i.imgur.com/tHwhGIT.png)

# Анализ действий пользователя
Теперь проведём анализ действий пользователя с помощью утилиты Reset Windows Password. Загружаем iso образ, ждём загрузки системы и выбираем необходимые нам настройки. Самое главное отметить Режим работы "FORENSICS" и выбрать Последнюю активность пользователя.

![](https://i.imgur.com/Fhn9fDS.png)

Далее выбираем необходимого нам пользователя (Alex).

![](https://i.imgur.com/6G9cBQr.png)

В итоге, видим последнюю активность пользователя. Как видим, последнее взаимодействие было с файлом Курсовая.txt, который нам и необходимо восстановить.

![](https://i.imgur.com/fd7sThU.png)

# Восстановление файлов
Восстанавливать файлы будем с помощью утилиты Hetman Partition Recovery. Устанавливаем и запускаем полное сканирование.

![](https://i.imgur.com/honk410.png)

После восстановления смотрим на файлы из расширенного поиска и просматриваем архивы. В одном из архивов видим .pdf файл.

![](https://i.imgur.com/Y9n2V2Y.png)

Восстанавливаем его, открываем и видим, что это необходимая нам курсовая работа.

![](https://i.imgur.com/ZAvNRd7.png)