因为当时没有参加比赛，用的奇哥给的镜像和参考答案，然后自己重新做了一遍，记录一下自己的思路（我自封大娘级记录，保姆级懂吧）。

指路奇哥（奇哥带好人 (๑•̀ㅂ•́)و✧）：2021第七届美亚杯中国电子数据取证大赛详解write up_奇乃正的博客-CSDN博客_美亚杯

一、赛前准备部分

首先下载个人赛镜像（ 以下检材是赛前一日提供下载），得到的包如下：

文件一：image_update打开以后是一个叫VTM-computer的E01镜像文件。

文件二：Individual_Container_zip_Hash Table.xlsx是下载检材的哈希值列表，用以核验下载的包是否完整（顺便问一句，大家下载检材结束以后第一个事儿是全部都计算一遍哈希值来校验吗？我觉得有点耽误时间，有没有好用的哈希计算工具推荐丫✧(≖ ◡ ≖✿)）。

文件三：Individual_Container.zip.001下载以后显示是一个压缩包格式（解压密码：MeiyaCup2021），解压得到Individual_Container加密容器，赛题存储在这里面，需要密码才能通过加载显示出（我用的取证大师，不知道veracrypt工具应该也能？）具体的检材（顺便再问一句，Individual_Container.zip002和003是不是没用啊？后面都没有用到也，可以直接删掉吗？有影响吗？  ≡ω≡）。

二、做题前的准备工作

（一）解密

取证大师-新建案例-随便命名-加密容器-选择加密文件（Individual_Container）-粘贴密码（HfsCk]!pQC-H\5BAc^gBo/^qq)/i21ufiN@H"Y ）-下一步-开始取证（ps：“下一步”以后叉掉，然后也可以加载出来，不过会比较乱，不好看）

关于容器密码不得不说的二三事：

比赛当天会通过公告发布容器解密密码，听说当日无法复制，而且有折叠，直接拉跨，心态爆炸。

科学的姿势是：在网页开发者工具中复制。

指路远远：2021美亚杯资格赛WP

（二）导出检材

上一步“开始取证后获得的文件列表如下：

1、先观察

第5、6叫List of image and path (individual).docx。顾名思义，镜像文件清单和路径，咱们先导出来。（给小白的括号：勾选-右键-导出-导出勾选关联文件）。打开如下：

2、对照着回到取证大师一个一个勾选，然后一块导出。（ps：第4个，路由器日志不叫这名儿，不过照着”.log"导出就行，毕竟就那一个log文件，没得选）

 ps：有人发现vtm-computer.e01又出现了吗？（会谢，这个是出问题的，建议别管。真正的vtm-computer.e01在前一天下载的update文件里，可以回到第一部分-文件一去看看。）

三、开始做题（一共62道题，2h时间）

我的想法，拿到题目先观察：

（一）1-9题：关键字-工地主管、电话、手机、手机相关应用（微信、蓝牙），所以这几道题我们需要用到的检材是——VTM iPhone6

（不会有人要问为什么吧，回头去看二、（二）、1。  =￣ω￣=）

解压VTM iPhone6，得到：

文件一： AccountPackage（目前都没发现有啥用）

文件二：一个阅读器（第一次见）

文件三：VTM iPhone 6.ufdr（第一次见这种格式的文件）

直接把关键字“Cellebrite Reader”“ufdr”放搜索引擎，得到结果如下：

我点击了第二个链接，得到结果：

 行，安装cellebrite reader读ufdr就行。

（快速做题思路：要做题，exe里边肯定没有答案，那答案必定在ufdr里，关键是如何打开，取巧的想，那肯定是给我的个对应的软件打开，那这个cellebritereader.exe多半就是那个对应的软件，直接开整）

1.[单选题] 工地主管电话的微信账号是什么? (1分) 

Kaiser Lee

ps：翻来覆去都没有wecaht，只有这whatsapp，于是我去百度了（为什么要加关键字“香港”，香港银出的题，香港银的案例，香港银做的检材啦，盆友），得到结果如下：

 那么我姑且就先把cellebrietereader里面获得的这个whatsapp的用户作为答案保存吧

2.  [填空题] 工地主管的隔空投送装置编号是什么? (请以英文全大写及阿拉伯数字回答) (1分)

780F624DF099   

3.[单选题] 工地主管电话的哪一个应用程序有关于于经纬度24.490474, 118.110220的纪录?

apple maps

 思路一：直接盲猜 apple maps（但过于草率了哈哈哈哈）

思路二：直接搜索该经纬度，搜一半就行，搜多了出不来。

4. [多选题] 工地主管的手提电话中下列哪些数据正确? (1分)

 ps：dropbox（多宝箱）是一款免费网络文件同步工具，直接在软件中搜索，并没有该软件痕迹。

5. [填空题] 工地主管的电话最常使用的浏览器是什么? (请以英文全大写回答) (1分)

safari

6. [单选题] 工地主管的电话连接过哪一个WiFi? (1分)

Kaiser Lee

PS：知识点- SSld：无线局域网络（WLAN）名称（基础知识） 

指路Th0r安全：2021年“美亚杯”全国电子取证比赛复盘

7. [多选题] 工地主管与Alex Chan的Whatsapp 对话中，曾提及以下哪个TeamViewer的用户号码? (3分)        

ps：建议大家留心一些东西，相关的账号、ID、密码、邮箱啥的，还有聊天在说什么东西，还原发案过程，后续可能需要的！我觉得做题不能乱，逻辑要清晰，一切围绕案件发生后回溯过程而存在。（或者先抓点蛛丝马迹在手里，比如这里面Alex装作电脑维修人员给这个主管修电脑，让主管装Teamviwer，后来发现他是为了控制电脑->留后门->实施Bitlocker加密->比特币勒索。）

思路指路cgspine：2021年第七届“美亚杯”电子数据取证个人赛Write up - UCloud云社区

0

我先搜索了“黑名单”“black”类似的关键字，啥也没有。题外话，笑死于下图，一天都在看啥啊这是（美女的尽头是Lisa（狗头保命.gif） ）：

从“已分析数据”模块是没找到什么黑名单相关的东西的（百度了，在手机上无法直接查看whats对应档案，那我寻思“已分析数据”也没办法把这些应用数据直接展示，那就只有去数据库找了。

数据库的位置：随便打开一个 whatsapp 聊天记录，看右侧源文件的地址，找到其数据库的位置在

9. [多选题] 以下哪个蓝牙装置的Uuid 曾连接过工地主管的手机? (2分)

没有直接记录，根据存储路径去翻文件

（二）10-19题：关键字-工地主管、计算机、ftp.所以这几道题我们要用的检材是VTM-conputer.e01、FTP.e01

先把两个镜像给我跑起来，如下：

10. [填空题] 工地主管计算机的E盘的Bitlocker修复密钥标识符是甚么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)

36EBC18095F741FFBE5B4E56E7AF48B1

右键分区5-bitlocker解密-恢复密钥-得到答案（ps：修复密钥标识符就是恢复密钥串的恢复密钥标记）。为什么下图是分区5，因为前面有把小锁哇，不是它是谁呢？(๑′ㅂ`๑），这玩意儿后面肯定要用到，保存好，别扔。11. [填空题] 工地主管计算机內的FTP程序FileZilla的用户名称是甚么? (请以英文全大写及阿拉伯数字回答) (3分)

alex

没事把这个ip和端口记录一下（为啥要存？拜托，他很可能是通过远程控制实现攻击的，后面万一有流量包或者日志要分析嘞） 

12. [填空题] 工地主管的Team Viewer ID 是甚么? (请以英文全大写及阿拉伯数字回答) (2分)

435270306 回看第7题可得答案，知道我当时为啥要说，没事看看他们到底在聊啥了吧。13. [填空题] 工地主管的Team Viewer与哪一个ID连接? (请以英文全大写及阿拉伯数字回答) (3分)   420190768      

基本上到这就可以知道了，alex通过teamviewer远程连接工地主管的电脑实现攻击。

14. [多选题] 工地主管曾用计算机浏览器作搜寻，以下哪一个关键词他曾经搜寻? (3分)

 这道题直接搜就完事。

注意D选项，搜出来的确有，但是点开，不对头哈，注意陷阱。

15. [填空题] 工地主管计算机的Windows系统的产品标识符是甚么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分）

003311000000001AA962 系统标识符，各位大佬的解释都是说就是产品ID。产品ID的位置，一般都在系统痕迹-系统信息。 

16. [填空题] 工地主管曾用计算机使用WhatsApp，他曾和以下哪个电话号码沟通? (请以阿拉伯数字回答) (2分)

这个不知道正确答案到底是啥。奇哥在alex的计算机镜像里找到的。（我寻思我比赛的时候肯定想不到从alex这儿找）

17. [多选题] 工地主管计算机的用户名称是甚么? 其用户标识符是甚么? (2分)

但是用户标识SID和答案不一样，因为需要转换成16进制

思路二：从用户登录/注销日志里面去找

​ 18. [单选题] 工地主管计算机的预设浏览器是甚么? (2分)

思路二：使用仿真方法做，仿真成功后，在桌面上建一个.html 文件即可发现是 chrome 浏览器的 logo。（正规军的做法）

19. [填空题] 工地主管计算机的其中一个分区被人加密，分区内的电子表格Material3.xlsx的哈希值(SHA1)是甚么? (请以英文全大写及阿拉伯数字回答) (1分)

40418B21F6C3E4AF306D5EF3B80A776DA72FC1D2

解题思路：要知道哈希值，首先得拿到Material3.xlsx文件，要拿到这个文件，就要对这个分区进行解密。在第10题就提到了，被bitlocker加密了，我们用取证大师已经直接有了“恢复密钥标识符”，现在还需要“恢复密钥文件”，那么去哪里找呢？

在本镜像内寻找半天无果后（实在不行就先把这道题放着咯），想到了还有ftp镜好像没怎么用。把他给我点开！找！，结果如下：

一共是3个，选哪一个呢？通过第10题我们得到的“恢复密钥标识”，根据对应关系，咱们需要的是第一个txt。 

导出-重新打开vtm-computer镜像案例-分区5-右键bitlocker解密-恢复密钥-选择密钥文件。

解密完成以后，给👴直接搜-右键-跳转到源文件-源文件右键-计算哈希值-然后下边摘要的地方就有值了，如下：

（三）20-26关键字：路由器。所以检材是20211018.log日志文件20. [多选题] 路由器的记录中显示以下有哪些IP是公司的电子器材? (3分)

“.log”文件建议用exel导入分列打开（分隔符：空格），实在不行notepad++也不犯法。

新建空白exel-数据-从文本/csv-选择目标文件

 ps：注意，导入的时候可能找不到.log文件，右边要选成”所有文件”

 21. [填空题] 路由器的记录中显示公司的计算机下载了FTP软件，该下载网站的IP是什麼?(请以亚拉伯数字作答，省去“.”符号) (3分)

491212147 思路一：下载了软件==》访问网页下载==》使用https服务==》端口号：443==》直接搜索“443"

 思路二：直接搜索”ftp”，无果。根据第？题提示到，ftp通过filezilla下载。尝试搜索“filezilla”（通过导入exel有个奇怪的问题，某些列好像不见了，所以我在exel里面搜“filezilla”搜不到，但是我用notepad++打开就可以搜到。有没有好心人给我解惑 (　ﾟ∀ﾟ) ﾉ♡）

22. [多选题] 路由器的记录中显示公司计算机的资料用FTP软件传到了甚么IP地址及利用端口? (2分)

218.255.242.114

ps：像有毒一样，上一题题目说答案不加“.”，这一题它又不说了，到底要怎样？

思路一：老规矩，ftp协议21端口，搜索“21”。

搜出来范围比较大，很多ip也被纳入了，耽误事儿，我就返回上一题443端口那道，看了下应该是第一列，直接选中第一列进行搜索，并且把关键字换成“/21”（为什么要加“/”，因为上一题搜出来结果里有“/”，我寻思这样比较精准会更快一些）

23. [多选题] 路由器的记录中显示以下哪些关键词是表示公司计算机与外界网络联机? (2分)

24. [单选题] 路由器的记录中显示哪一个IP曾以teamviewer 连接公司计算机? (1分)

 直接搜索“/5938”，得到ip

单选题，就这样吧，另外的不搜了，lay了。（提醒下，大家导入.log到exel之前我真的建议先另存为txt文档，不然要丢失数据，我不知道为什么，但是我遇到这样的问题了，导致我又是一顿浪费时间，哭哭。 ┗( T﹏T )┛）

25. [多选题] 路由器的记录中显示以下哪一个有可能是以teamviewer 遥控公司计算机的时间? (3分)

26. [填空题] 路由器的记录中显示有多少电子器材有可能曾被入侵? (请以阿拉伯数字作答) (2分)

3

从第17题看，我认为是3个，就那个主管加他的两个同事。（不知道是否有其他思路？）

（四）关键字：阿力士iPhone 12 pro，所以检材是iPhone 12 pro。 （解压以后仿佛回到了iphone6那道题，一样要用cellebritereader做）

27. [多选题] 阿力士iPhone 12 pro电话 于2021年10月21日，以下哪一张相片可能曾被分享 (UTC+8)? (3分)

 觉得很奇怪，这个的名字叫5005，但是也被搜出来了，我看到他的存储路径是A项的“IMG_0011.HEIC”，再看看第图中第3个呢？

一模一样的图片，但是名字不一样，大小也不一样，路径也不一样（但路径是一条道上的） ，看出不啥来。

接着搜B项，搜出来一样的好几个结果，一共5个结果，A项3个结果，多了东西，有问题！，基本上出现的问题和A项雷同，但是多了个东西！“outgoingtem”，怎们看怎么可疑，顾名思义跟题目说到的“分享”一致，所以按照这个思路正确答案是B。如下：

而且从文件这里可以作证：

 思路二：找到这五张图片的原图 

不难发现，每张图都对应有一张“5005”的图，他们的创建、访问、修改都是相同的。比如B选项11这张来说5005的时间如下：

IMG_0010.HEIC的时间如下：

唯独A选项，三张图时间都不同。后来看了大佬们的相关解释，原理是：正是因为这张照片可能被分享，分享的时候未通过原图发送，所以没有了元数据，然后手机机主又重新保存了自己发出去的照片，时间这些就发生了变化。

思路三：请看第36题，alex的xr里也有10这张照片的图像（虽然不叫这个名字），我很难不怀疑他用自己的手机在互相传（毕竟我有时候就这么干）

28. [单选题] 阿力士iPhone 12 pro电话中哪一张相片可能曾被修改拍摄时间? (2分)

不多赘述了，上一题分析的，时间被改了。这一题选择IMG_0011.HEIC哈哈哈。

29. [填空题] 阿力士iPhone 12 pro 的GSM媒体访问控制地址是什么? (请以英文全大写及阿拉伯数字回答，不用输入":") (2分)

e06d17319206

“GSM媒体访问控制地址”，看不懂，看不懂的名词，百度就完事了，就是mac地址（物理地址）

ps： 手机为蓝牙媒体，所以选蓝牙设备的地址

30. [单选题] 阿力士的iphone 12 pro以什么屏幕密码保护? (1分)

奇哥思路：找到“manifest.plist”文件（奇哥说他找研发部问的），文件我直接搜到了，但是我打不开，招了好几个软件，都是年代久远，出现这门那门的问题，算了，弃了。气人 (；′⌒`)

奇哥思路选择的是没有密码，但我觉得可能是有的，我的想法就是下面这个图（不知道是否有官方答案），要我我就选A。

31. [多选题] 阿力士iphone 12 pro内以下哪一张相片是实况相片(live Photos)? (2分)

 其实还有个思路，直接搜live试一试，比如下面这样，挨到挨到看就是了。

32. [单选题] 以下哪一个是阿力士iphone 12 pro可能曾经连接的装置名称? (2分)

思路一：联系人里面找到

  思路二：时间线里面找

 思路三：直接搜

33. [多选题] 接上题，记录连接时间是什么时候(UTC+8)? (2分)

 （五）34-42题，关键字：阿力士iPhone XR。检材是iPhone XR压缩包，解压后得到ufdr文件，老规矩，用cellebritereader打开。

34. [多选题] 阿力士iPhone XR中在软件WhatsApp中工地主管与阿力士的对话中曾提到：[佢叫我俾钱喎，BTC係唔係呢个啊？]。在进行电子数据取证分析后，以下哪一个是有可能关于此对话的正确描述？ (2分)

 刚才看kariser的iphone6的时候并没有看到，所以他删了（当然，因为是多选，C选项alex chan删掉了？删掉了我去哪儿截图，不对。D选项，不是引用的回答，引用的回答的话这句话下面应该吊着引用过的话，不对。所以也可以用排除法选AB）

10

直接看上一题图。

36. [多选题] 阿力士iPhone XR中 “IMG_0056.HEIC”的图像与"5005.JPG"(MD5: 96c48152249536d14eaa80086c92fcb9)” 看似为同一张相片，在电子数据取证分析下，以下哪样描述是正确? (2分)

通过查看路径可以发现，5005是IMG_0056的缩略图（看分辨率也可以发现）

A选项？？我搜了.db文件，但是没找到与图库相关的数据库文件，所以我其实不能确定。有没有大佬给我解释下呀，小刘磕头.gif

B选项：5005和56的哈希我都计算了下（机制如我直接用取证大师自带的工具嘻嘻），不同。

其实有个偷懒的办法，这款i的哈希没说是SH-1，那我默认MD5也没毛病吧，MD5的话，cellebritereader自带的已经直接计算了的，点那个文件，下面就有：

C项没啥好解释的：看上面两张图大小。一个大一个小，一模一样的图片，除了缩略图，我不作他想。 

D项：我挺纠结的，可以看到上面两张图，56创建时间在前，5005创建时间在后，我可以说他是被开启过。但是56的创建、访问、修改时间没变，我也可以说他没被开启过？（来个大佬帮忙解释下 (๑•̀ㅂ•́)و✧）

37. [多选题] 阿力士iPhone XR中相片檔IMG_0056.HEIC提供了什么电子数据取证的信息? (3分)  

38. [单选题] 阿力士iPhone XR中阿力士的电邮账户[email protected]的密码有可能是什么? (1分)

Aa475869!

思路一：在备忘录里找到了（怎么说呢，毕竟我自己也是存里面，ipad和iphone的密码经常混淆）

 思路二：是通过CMD5（NT哈希）查看电脑开机密码（其实我不知道在哪找，但是有大佬说他的思路是这样，也没有截图，先留个作业吧就）

39. [填空题] 阿力士iPhone XR曾经连接Wifi “Alex Home”的密码是什么? (请以英文全大写及阿拉伯数字回答) (1分)

思路一：这道题的答案在做上一道题目的时候顺便翻到的

 思路二：直接搜关键字

40. [单选题] 阿力士iPhone XR经iCloud备份的最后时间是什么?(UTC+8)? (1分)

思路一：直接看基础信息

思路二：搜索关键字“backup”，找到设备信息，双击查看，或者就在这个界面查看。

  PS：注意UTC+8，这是在加载ufdr文件时候跳出来的，注意哈。

41. [填空题] 阿力士iPhone XR中的iBoot版本是iBoot-__________? (请以阿拉伯数字回答，不用轮入“.”) (1分)  

672312036

没有技巧，全是感（到痛苦的）情，纯翻。趁此机会积累一下：

iboot苹果路径：Lockdown srvice/phoneInfo.xml

42. [多选题] 阿力士iPhone XR中的WhatsApp群组『团购-新鲜猪肉牛肉-东涌群组-9/30』有以下哪一个成员? (2分)

（六）43-52题，关键字：“阿力士的计算机”，所以检材是Alex_Windows_Computer.e01镜像文件，行，数据跑起来。

43. [单选题] 阿力士的计算机显示曾于hongkongcard.com 的论坛登记成为会员，以下哪个是他的帐户密码? (3分)

选项看起来怪熟悉的，直接搜索“hongkongcard.com”，果然，得到一个熟悉的账号，回到第38题可以得答案：

（ps：这位cgspine大哥提出了NT哈希的那种查找方法，但我不知道咋搞的）

 44. [单选题] 阿力士的计算机显示阿力士曾用什么方法进入受害者(主管)的计算机? (1分)

45. [单选题] 续上题，阿力士最后一次进入受害者(主管)计算机的时间是什么? (2分)

去找teamviewer的最后一次链接时间。因为是通过teamviewer实现的的远程控制。

46. [填空题] 阿力士的计算机显示他曾经使用FTP程序，FTP的主机IP地址是什麼?(请以亚拉伯数字作答，省去“.”符号) (2分）

思路一：ftp，前面第11题提到过用filezilla下载ftp，我们现在在镜像里看看filezilla连接时候的主机IP

思路二：打开刚才的路由器日志文件，前面第22题，公司文件被传送到ftp端，那道题的ip八九不离十。（这道题是十哈哈哈）

47. [填空题] 阿力士的计算机显示于2021年9月至2021年11月期间，计算机曾被登入过多少次? (请以阿拉伯数字回答) (1分)

30

解题思路：这种一般是跟系统痕迹相关。

48. [填空题] 阿力士计算机所安装的Microsoft Office 2007 是以下哪一个版本? (请以亚拉伯数字作答，省去“.”符号) (2分)

思路一：仿真看（控制面板）

思路二：直接取证大师里面找

这个截图和答案无关，我觉得可能后面有用，截图保存嘻嘻。

 找了半天无果，过滤试试。（ps:一定记得把绿色的小箭头点上，不然缺文件）

49. [填空题] 以下是阿力士计算机中的Basic data partition (EFI 3) 的Volume ID? (请以英文全大写及阿拉伯数字回答) (2分)

9705c469-7dca-4d55-ae76-7481b9f1428e

解题思路：看到什么volum就要知道和分区、底层等相关了，要用DiskGenius，或者xways

顺便说一下，题目没说不要“-”，就带起。

50. [填空题] 阿力士计算机的Window product ID是什么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)

基础题，不多说

 51. [单选题] 阿力士计算机曾经下载一张猴子的图片，以下哪一项描述正确? (1分)

解题思路：直接搜答案-导出png，但是发现是个history文件，卒。

换个思路，根据题目说“下载”，我们去翻一下，得嘞！

52. [填空题] 阿力士计算机所安装的Microsoft Office 2007 的密钥是甚么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)

V77WQRPVP67MTPGWH3G9D44MJ

思路一：老规矩，先过滤，再找找。或者直接回到48题，还记得路径吗。记得也没用，直接找找不到，要先卷影分析（因为这个镜像在跑的时候就提示了，但是目前为止都还没有影响做题，闲杂i找不到了，可以试试。） ，卷影分析有点耽误事儿。

 思路二：仿真-产品标识符

（七）52-62题，关键字阿力士FTP。ok，我们的检材是ftp镜像文件。，直接打开案例（之前已跑过数据了，第（二）部分）。

53. [单选题] 阿力士FTP 服务器用户使用命令行安装了甚么程序? (1分)

思路一：取证大师找终端记录

思路二：搜索“bash_history”（无他，唯经验耳，就是linux历史记录嘛）

 思路三：用xways，查看bash_history，看到安装了docker。

54. [多选题] 以下哪些档案于阿力士FTP 服务器曾重复出现? (3分)

55. [填空题] 在阿力士FTP服务器中，文件夹___________曾被用户变更了访问权限(请以英文全大写及阿拉伯数字回答) (2分）

Dangerous_Project

跟53题一样，去看历史命令

变更文件权限，要熟悉linux命令，哈哈熟悉的777.

56. [填空题] 在阿力士FTP 服务器建设后，有______个额外用户被加入 (请以阿拉伯数字回答) (2分)

1

见上一题的图，pure命令，加入用户，用户名ftpd

57. [单选题] 根据阿力士FTP服务器设定显示，此服务器是以_____方式连接网络，且是一个_______网络状态 (1分)

 58. [填空题] 阿力士FTP 服务器设定最多使用者数目是_____ (请以阿拉伯数字回答) (2分)

50

解题思路：需要看ftp的配置文件，所以找“.conf”文件，搜索“ftpd.conf”（ftpd是创建的用户，前面做到过撒）

59. [填空题] 阿力士FTP服务器使用Docker安装了一个FTP程序为___________。(例如 space docker /1.1，请输入 spacedocker/1.1，不要输入空格) (2分)

stilliard/pure-ftpd

解题思路，那肯定要用到docker命令了，并且命令里面包含ftp，要知道dockers pull命令

 60. [多选题] 阿力士FTP 服务器曾使用过甚么版本的Linux内核? (2分)

思路一：仿真-输入命令-dpkg --get -selections | grep linux-image

思路二：直接找

思路三：直接搜

61. [多选题] 阿力士FTP 服务器的磁盘分区，有以下哪一种文件系统? (2分)

ps：分区一不确定，不确定的不要乱选。

62. [填空题] 阿力士FTP服务器用户输入了指令_____________去检查现存的Docker容器 (例如 netstat lntp，请输入 netstatlntp，不要输入空格) (3分)

dockercontainerps-a

docker container ps -a是列举所有存在的docker容器命令（含不运行的）。