前言

无论是在现实中对设备进行取证分析，还是在ctf中做取证类的题目，剪切板里的内容都需要去查看，以免遗漏什么重要信息

剪切板位置

剪切板是计算机操作系统提供的一个临时存储区域，用于在不同应用程序之间复制和粘贴文本、图像和其他数据。剪切板通常位于操作系统的内存中，而非直接可见

但是windows剪切板的内容都被加密存储在这个文件夹下

C:\Users\[your user name]\AppData\Local\Microsoft\Windows\Clipboard\Pinned\

在这个文件夹下有一个GUID名的文件夹，GUID 是一个由数字和字母组成的标识符，用于唯一标识对象、组件或资源。在 Windows 中，GUID 通常用于标识注册表项、文件夹、设备驱动程序等。每个 GUID 都是唯一的，几乎不可能发生重复

进入这个文件夹，可以看到还有一个GUID名的文件夹和一个json文件，打开这个json文件

{"items": {"{773AC540-7E10-41F1-B0EE-22D82BCDD303}": {"timestamp": "2023-03-27T22:35:58Z","source": "Local","cloud_id": "8F58ABBE-4C70-EAAB-AD53-3EA484D6C95D"}}
}

上述 JSON 数据表示一个包含 “items” 键的对象，该键对应的值是另一个对象。内部对象具有一个键 “{773AC540-7E10-41F1-B0EE-22D82BCDD303}”，该键对应的值是一个包含 “timestamp”、“source” 和 “cloud_id” 键的子对象。

子对象中的 “timestamp” 键对应的值是 “2023-03-27T22:35:58Z”，表示时间戳。“source” 键对应的值是 “Local”，表示来源信息。“cloud_id” 键对应的值是 “8F58ABBE-4C70-EAAB-AD53-3EA484D6C95D”，表示云标识符

进入文件夹，可以看到三个文件

一个是json文件，另外两个文件名都是经过base64加密过的

但是这些文件内的内容都被加密混淆了，不知道key就无法复原

剪切板取证

自 Windows 10 版本 1803 以来，ActivitiesCache.db 已开始记录剪贴板活动，ActivitiesCache.db的位置在

%AppData%\Local\ConnectedDevicesPlatform\[user]\

在这个数据库里，存储着剪切板里的内容，我们需要安装sqlitebrowser工具才能查看数据库

apt install sqlitebrowser

点击browse data，选择activityoperation表

点击cipboardpayload列进行排序

这些数据就是剪切板里的内容，数据经过了base64加密，我们解密即可

成功获取到剪切板里的内容

其他

生成ActivitiesCache.db文件需要启用剪贴板历史记录

如何对Windows剪切板里的内容进行取证分析 Windows剪切板取证相关推荐

在vim粘贴系统剪切板里的内容
我们要做的是从浏览器里复制一段内容粘贴到Vim里在浏览器Ctrl + V 进入Vim,进入命令模式输入:reg(显示VIM的寄存器,记录了以前复制的东西,可以记录10多次),显示如下: 例如我们 ...
html粘贴excel内容,如何用JS解析剪切板里的excel内容
前言这次记录的是昨晚一个想法:把excel内容复制到剪切板并转成自己想要的json格式,核心是要把excel内容转json,这部分主要看excel的格式和json如何业务的映射,不展开.倒是通过实践 ...
html5读取剪切板内容,实践笔记：js解析剪切板里的excel内容
这次记录的是昨晚一个想法:把excel内容复制到剪切板并转成自己想要的json格式,核心是要把excel内容转json,这部分主要看excel的格式和json如何业务的映射,不展开.倒是通过实践,收获 ...
html5 剪切板,【Web前端问题】当你复制一个网页的时候,你的剪切板里是什么呢?...
不好意思,我也不知道这个问题去哪个栏目问,该在那个编程语言板块,我就都问问吧,总有懂的人! 就是比如我复制一个网页的内容,其中有文本,也有图片, 要是把他粘贴到一个*.txt里,他就粘贴出来是一个纯字 ...
计算机编辑功能在哪,注册表编辑器怎么打开-电脑的剪切板在哪里电脑剪切板里面的内容怎么修改...
使用Windows系统,经常用到就是 "复制"."剪切"."粘贴" 的操作步骤.有时不小心将剪切板中的内容粘贴到某个不知名的地方,导致存储空 ...
react 从剪切板里粘贴图片并使用WEditor富文本展示
具体实现思路: 使用原生粘贴方法获取到粘贴版的内容然后调用富文本根据光标插入内容的方法使用到的知识点以及api: 1.调用wangeditor富文本根据光标插入内容的api: this.editor ...
将windows里的内容直接复制粘贴到ubuntu，提高效率
将windows里的内容直接复制粘贴到ubuntu,提高效率第一步: sudo apt-get autoremove open-vm-tools 第二步: sudo apt-get install ...
【vim】系统剪切板、vim寄存器之间的复制粘贴操作命令？系统剪切板中的内容复制粘贴到命令行？vim文本中复制粘贴到命令行
一.系统剪切板和文本内容的复制粘贴 1.1 从系统剪切板复制粘贴到文本中需要操作3次: 分别是英文双引号.一个加号或梅花号,最后是一个p 也即"+p 或者直接使用组合键[Shift + i ...
华为手机坏了数据怎么导出_更换手机怎么把旧手机便签里的内容怎么全部导出到电脑...
原标题:更换手机怎么把旧手机便签里的内容怎么全部导出到电脑现在的人换手机可真是频繁啊,手机运营不流畅了,换:喜欢的品牌又出新款手机了,换:别人送了自己一个新手机,换:别人换手机了,我也要换!换手机也 ...

如何对Windows剪切板里的内容进行取证分析 Windows剪切板取证

前言

剪切板位置

剪切板取证

其他

如何对Windows剪切板里的内容进行取证分析 Windows剪切板取证相关推荐

最新文章

热门文章