[墨者学院] Linux硬盘文件分析取证(MySQL操作记录)

给出百度云地址，下载文件，是个7z压缩包

里面是个img镜像，解压出来

用AccessData FTK打开

File -> Add Evidence Item...，选择打开image file

选择文件，点击Finish

看到目录文件

根据题目，我们要找的是MySQL的操作记录，这个日志文件存在于 ~/.mysql_history下，这里存折mysql命令操作的记录。

题目是找到数据库被更改的记录。那就看到update语句

update users.users set pw ='55fb7f853995f' where id=423;