第十一届 美亚杯中国电子数据取证大赛 团队赛 题解

Author

西电参与本次比赛的以下队伍:

tratra 什么都会, 你说的都对, 都是我不队, FryTeam, 404, StarCeo

各个部分的具体分工:

检材名称	成员 ID
邮件材料	wyin @ FryTeam
虚拟货币交易截图	NoahTie @ tratra 什么都会
梁雪媚的手机	ivan @ 都是我不队
林嘉熙的手机	ivan @ 都是我不队
林嘉熙的笔记本电脑	fta @ 都是我不队
黄智华的手机	NoahTie @ tratra 什么都会
冯子超的手机	NoahTie @ tratra 什么都会
冯子超的笔记本电脑	starwalking @ StarCeo
陈民浩的手机(安卓)	LyCecilion & MiraCeo @ StarCeo
陈民浩的手机(iOS)	MiraCeo @ StarCeo
梁燕玲的笔记本电脑	npm @ 你说的都队
梁燕玲的存储卡	nkanf @ FryTeam
NAS 服务器	kakahuote @ 你说的都队
大模型服务器	loopy @ FryTeam
邮件服务器	CopperKoi & 159awa @ 404
网页服务器	CopperKoi & 159awa @ 404
综合分析	NoahTie @ tratra 什么都会
网络流量包	sparkle @ 你说的都队
摄像头存储卡	abyss @ 404

写在前面

这次团体赛的题目问题比较严重:

• 两部分题目的描述中标注了错误的检材: 冯子超的手机部分中关于图片数据库的题目(160 - 168 题)和智能家居的题目(169 - 177 题), 按照官方给出的答案来看, 实际上分别应为陈民浩的 iOS 手机与陈民浩的安卓手机的题目.
• 不知道因为什么原因, 所有 iOS 检材中的 Telegram 应用数据均未正常提取出来, 检材中缺失部分题目需要分析的数据.
• 部分题目的题目描述因为是从英文翻译为中文的, 译文也没有经过仔细地人工校验, 导致很多错译. 例如: Image 实际为"镜像", 错译为"图片".

另外, 在个人赛的题解中已经提到了, 出题方使用的 iOS 提取工具导致所有的 iOS 检材都出现了伪加密的情况, 需要爆破或绕过加密; 但团体赛中林嘉熙的手机检材使用的并非弱口令, 难以通过爆破的方式得到备份密码.

团体赛中很多题目使用的检材来源于个人赛容器. 打完个人赛就删掉容器的人有难喽.

顺便吐槽一下美亚的一些操作: 题解非要放到取证云平台上, 装了个软件给电脑里拉了一坨深信服的 VPN, 装上了登录又要激活码, 激活码要去联系销售, 激活了只是试用账号, 只能看一半题解. 说真的, 不想让人看题解可以不放的, 用不着在这儿浪费人时间.

以及, 风险预案真的非常重要. 往年校内参加美亚杯的队伍也出现过比赛当天发现检材容器文件损坏无法挂载的情况. 赛前我专门给电脑内置的硬盘和移动硬盘各存了一份检材, 就害怕线下 6 个人其中万一谁的检材出问题了. 结果没想到真用上了... 距离团体赛开始不到 30 分钟的时候, 我的队友 B****B*** (应当事人要求, ID 已打码) 突然告诉我: "我团体赛镜像下的是分卷压缩的, 没解压".

使用到的工具清单

info

以下是本文中出现的所有工具的清单(不包括 Windows 11 预装的系统工具), 仅供参考. 这些工具来自于各个队伍, 部分工具存在功能重复.

工具名称前标注有 * 的项为仅在复盘时使用了的工具, 其余工具为比赛时及复盘时均使用到的工具.

介质取证软件

• 火眼证据分析软件
• 火眼仿真取证软件
• 超级取证大师
• X-Ways Forensics
• FTK Imager
• UFS Explorer Professional Recovery 10b

数据库工具

• DB Browser for SQLite (DB4S)
• Navicat Premium

虚拟机软件

• VMWare Workstation Pro
• WSL2 (ArchLinux & Debian)

编辑器/IDE

• VS Code (Plist 插件)
• 010 Editor
• Plist Editor Pro

隐写及文件分析

• pdfid
• binwalk

逆向分析工具

• IDA Pro
• DetectItEasy

大模型相关

• Ollama
• Qwen3 14B
• DeepSeek R1 14B
• CherryStudio

协作环境相关

• HedgeDoc
• FTP Server

其他工具

• Python 3.13
• CyberChef
• iOS_Local_PL_Photos.sqlite_Queries
• HashMyFiles
• IrfanView
• VeraCrypt
• TrueCrypt
• Utools (二维码插件, 翻译插件)
• QR Research
• ThunderBird
• 福昕高级 PDF 编辑器
• Excel
• WPS Office
• UmiOCR_Paddle
• WhisperKit (本地离线 AI 字幕工具)
• WindowsRegistryRecovery

比赛信息

容器信息

容器密码: ZgxQaeiAUe3nrnZ9zEnI3nAxuPIrIPl9

SHA-256 哈希: F919932C3279518CBA1700C590AFF374B739679C51226B38EC65BBEA698351ED

比赛案情

案情

警方调查发现一宗虚拟货币投资诈骗案件, 涉及"优盛金融控股有限公司"(Manson Finance Holding Company)旗下的一项投资计划. 据该公司首席执行官林嘉熙表示, 该计划目前仍处于筹备阶段, 但是财务总监梁雪媚则称她在一次线上会议上, 收到林嘉熙的指示启动该计划. 林嘉熙对此坚决否认, 同时指出他从未参与相关的线上会议并提供了充分不在场的证明, 证明其当时正在外地休假, 同时怀疑有人利用 AI 变面技术参与公司的线上会议.

经初步调查, 警方相信案件背后涉及一个由密码学与隐写术爱好者组成的犯罪团伙. 请各参赛队伍根据所提供的资料, 深入分析各类线索, 并承接个人赛已掌握的证据还原案件真相, 设法破解被刻意隐藏的加密钱包登录资料, 为受害人追回损失.

背景资料

• 优盛金融控股公司(Manson Finance Holding Company)于 2025 年初在注册成立, 主营业务为金融业跨业整合投资, 控股范围包括信托业、证券业、期货业、创投业、外汇融资等, 近期计划拓展业务.
• 男子 LAM Ka-hei(林嘉熙), 英文名为 Hayson, 40 岁, 已婚, 香港出生, 在优盛金融控股公司任职首席执行官. 林嘉熙先生计划开发加密货币投资项目, 项目由财务总监梁雪媚小姐领导的销售团队进行市场调研及筹划.
• 女子 LEUNG Suet-mei(梁雪媚), 英文名为 May, 45 岁, 已婚, 香港出生, 在优盛金融控股公司任职财务总监. 梁雪媚小姐领导销售团队进行加密货币投资项目市场调研及筹划.
• 男子 WONG Chi-wah(黄智华), 英文名为 Titus, 30 岁, 已婚, 香港出生, 在优盛金融控股公司任职信息技术部主管, 负责管理公司的计算机及网络系统. 为配合公司发展, 将公司客户资料及其财务状况整合到人工智能系统, 授权员工可通过公司网页直接查询相关资料, 并利用人工智能进行大数据分析.

附加资料

• 梁燕玲与陈民浩为同居情侣关系
• 梁燕玲通过陈民浩认识冯子超
• 三人均为密码学(Crypto)及隐写术(Stego)爱好者
• 陈民浩经常驾车接载三人前往郊区聚餐, 并一同钻研相关技术话题

案情思维导图

邮件材料检材

案情

根据你的分析, 警方成功定位到曾向与 IQ Coin 关联虚拟钱包进行转账的账户持有人 Mr. Arjun Sharma. 据其供述, 转账原因是此前收到一封邀请参与名为"IQ Coin"虚拟货币投资的邮件. 请根据比赛提供的邮件材料(Arjun_Sharma_email.zip), 回答以下问题.

本部分涉及原题目 1 - 16 题.

1 在电子邮件取证方面, 警方需要注意以下要点

选项

• A. 修改邮件时间戳等元数据以迎合调查时间线
• B. 全面检索相关草稿箱与已删除邮件数据
• C. 必须确认取证行为获得合法授权, 并严格限定提取范围
• D. 确保元数据完整性, 原始 eml 文件应作为证据链关键环节保存
• E. 应备份邮件系统相关日志, 确保调查工作有据可查

答案

BCDE

2 请分析邮件材料中的附件结构，并指出下列哪项描述是正确的？

选项

• A. 邮件的附件文件(PDF)包含 JavaScript 代码, 用于从外部来源动态加载内容
• B. 邮件的附件文件(JPG)的元数据包含地理位置信息
• C. 邮件的附件文件并非以独立附件传输, 而是以 Base64 编码方式嵌入在正文中
• D. 邮件中有使用标准 ASCII 字符集编码系统表示字符及未加密的纯文本文件的附件文件
• E. 以上皆不正确

答案

E

选项 A

使用 pdfid 查看, PDF 内不包含 JS 代码块:

选项 B

通过查看附件图片的 EXIF 属性可知不包含地理位置信息.

选项 C

邮件的附件文件都是在 Content-Disposition: attachment 的附件块中独立传输.

选项 D

由于没有附件满足 Content-Type: text/plain, 没有纯文本文件, 同时邮件中的附件都是用 base64 编码传输的, 不属于标准 ASCII 字符集编码系统.

3 请分析邮件的多用途互联网邮件扩展的格式结构(MIME), 并指出下列哪种内容编码未被使用

选项

• A. 7bit
• B. quoted-printable
• C. base64
• D. binary
• E. 8bit

答案

D

这个格式其实就是 Quoted-printable 编码, ?Q? 是其标志. 将非 ASCII 编码的内容使用 16 进制字节表示, 每一字节均以 = 开始.

很明显的 base64 编码.

ASCII 码是 7 bit 编码, UTF-8(全称: Unicode Transformation Format - 8-bit) 是 8 bit 编码

在 MIME 中 binary 都会被 base64 编码后发送, 以免出现问题, binary 被严格限制

4 请分析邮件材料, 指出哪两个附件藏有加密货币地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E

选项

• A. IQ_1.jpg 和 IQ coin proposal.pdf
• B. IQ_Coin_Tokenomics_Overview.pdf 和 IQ_Coin_Compliance_Summary.pdf
• C. 7b3e4512-1d8d-4d54-AA1c-5b004ce23A6f.jpeg 和 IQ_Coin_Compliance_Summary.pdf
• D. IQ_1.jpg 和 7b3e4512-1d8d-4d54-AA1c-5b004ce23A6f.jpeg
• E. IQ coin proposal.pdf 和 IQ_Coin_Compliance_Summary.pdf

答案

D

5 在邮件材料中, 哪一封邮件的原始发件人地址系 marketing@manson.com, 请指出这封邮件存在于以下哪一个 EML 文件当中

选项

• A. Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml
• B. Proposal and Poster for IQ Coin Investment Opportunity 2025-05-01T20_16_16+08_00.eml
• C. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T12_13_11+08_00.eml
• D. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_22_16+08_00.eml
• E. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_37_03+08_00.eml
• F. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00.eml
• G. 以上皆非

答案

A

6 根据上一题, 收件者会见到这封邮件来自哪一个邮箱地址

答案

mansonmfi@gmail.com

见上题.

7 当你分析邮件头时发现认证接收链(Authenticated Received Chain, 简称 ARC)验证结果为"None"时, 则代表这封邮件没有进行 ARC 邮件验证. 在这情况下, 我们可以通过以下哪一个方式协助我们判断邮件的真伪

选项

• A. 发件人策略框架(Sender Policy Framework, 简称 SPF): 检查邮件是否来自其声称的域的授权服务器
• B. 域名密钥识别邮件(DomainKeys Identified Mail, 简称 DKIM): 通过数字签名验证内容在传输过程中有否被篡改，以及是否来自声称的域名
• C. 域名对齐(Domain Alignment)邮件中使用的"MAIL FROM"(信封发件人)和"From"(显示发件人)地址中的域名是否一致
• D. 以上皆可以

答案

D

8 请分析"Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml"文件的邮件头信息, 以下哪项说法是正确的？

选项

• A. 邮件头中存在与 Gmail 官方信息匹配的字段，验证了转发身份的合法性
• B. 邮件头中出现与 Gmail 转发地址或企业域(manson.com)无法对应的异常域名
• C. 邮件头内所有域名均与 Gmail 及 manson.com 完全一致, 符合规范的域名对齐标准
• D. 邮件路由信息与域名引用证实该邮件经 Gmail 服务器发送邮件
• E. 邮件头中缺少与 Gmail 或 xxx.com 相关的有效域名记录, 导致邮件来源无法验证

答案

D

这是这封邮件的 Received 的部分, 由下往上看, 发现第一个途径的邮件服务器确实是 Gmail, 同时有 ESMTPSA 字段, 说明这是由 Gmail 认证过的账号通过 Gmail 服务器发出.

9 根据"Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml", 请列出使用哪一个邮件客户端软件发送

答案

eM_Client/10.3.1503.0

10 在"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_22_16+08_00.eml"邮件中, 以下标头组合可用于检测欺骗或标头伪造行为

选项

• A. From、To、Subject
• B. Message-ID、Received、Authentication-Results
• C. DKIM、MIME-Version、Content-Type
• D. Return-Path、X-Gm-Message-State、X-Pm-Spam
• E. DKIM-Signature、SPF、Authentication-Results

答案

B

11 分析邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00"的"Received"标头链, 该邮件从发起到送达 ProtonMail 服务器所经历的网络跃点数量为:

选项

• A. 1 个跃点 : 通过 Gmail 与 ProtonMail 间的专用直连通道传输
• B. 2 个跃点: 发件人客户端 -> Gmail 服务器 -> ProtonMail 服务器
• C. 3 个跃点: 发件人客户端 -> Google 前端服务器 -> Gmail 发送服务器 -> ProtonMail 服务器
• D. 4 个跃点: 发件人客户端 -> Google 内部代理 -> Gmail 发送服务器 -> Google 外部中继 -> ProtonMail 服务器
• E. 无法根据现有标头准确判断跃点数量

答案

B

3 条 Received 记录, 发件人客户端(网页版) -> Gmail -> ProtonMail(收件人)

12 对比邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00"与"Re_Proposal and Poster for IQ Coin Investment Opportunity", 发现两者源自相同的 IPv6 地址. 下列哪个是正确的

选项

• A. 这两封邮件是由同一台设备发送的
• B. 这说明两封邮件经过了同一出站节点
• C. Gmail为所有通过其网页版发送的邮件随机分配该IPv6地址，这是平台为保护用户隐私采取的措施
• D. 该IPv6地址是Gmail基础设施中的负载均衡器地址，因此不能作为追踪具体发送来源的有效标识符
• E. 这证明发件人“Loring Lisa” 使用同一个电子邮件账户发送邮件

答案

B

13 在分析"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00.eml"时发现这封邮件通过传输层安全协议的第 1.3 版(TLSv1.3)传送. 这一个传送使用了以下哪一个加密套件

选项

• A. AES 256 GCM SHA384
• B. CHACHA20 POLY1305 SHA256
• C. ECDHE RSA WITH AES 128 CBC SHA256
• D. DHE RSA WITH AES 128 GCM SHA256
• E. ECDHE ECDSA WITH AES 256 GCM SHA384

答案

A

14 Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml 请检查此邮件的 Message-ID 与发件人地址关系, 并判断是否存在伪造嫌疑

选项

• A. 正确
• B. 错误

答案

A

Message-ID 的标准格式是 <唯一字符串>@<生成该邮件的计算机或服务器域名>

这里暴露了 @8b19b573.com, 不是表面发件人(gmail 的合法地址)

15 对电子邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_37_03+08_00.eml"进行溯源分析, 请列出邮件进入标准化投递链条的起点即第一个接收这封邮件的服务器日期及时间(GMT+8)

答案

2025-05-02 14:37:00

从邮件头发现第一个 Recevied 的时间是 Thu, 1 May 2025 23:37:00 -0700(PDT), 换算成 GMT+8 为 2025-05-02 14:37:00

16 根据上一题, 这个日期时间是否等于这封邮件的建立时间

选项

• A. 正确
• B. 错误

答案

A

实际上这个数据是根据发件人电脑的本地时间来的, 是可以改的

虚拟货币交易截图

案情

请根据比赛提供的 IQ_Coin_Type_Transactions.zip, 回答以下问题.

本部分涉及原题目 17 - 25, 244 - 245 题.

这部分检材文件在个人赛的检材容器中. 检材压缩包的解压密码为钱包地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E. 详细情况参考个人赛"虚拟货币交易截图"部分.

在线环境

检材中的图片 IQ_Coin_Transcations_1.jpg 是来自于 BscScan 的网页截图, 原网页 BscScan.

在线环境做题的话, 可以直接在 BscScan 将交易记录导出为 CSV 文件.

离线环境

离线环境拿不到原始的 CSV 文件, 只能使用检材中提供的截图文件. 不过好在数据量不大, 比赛时即使对着图片硬看也能比较快地做完题目.

这个截图非常恶心, 上面的水印会直接导致 OCR 识别出来很多脏信息, 调了很久识别效果都比较差. 最后拿 Photoshop 调了一下色阶曲线才让 OCR 能正常识别了:

离线 OCR 对表格的识别不太好的话, 可以一列一列识别, 手动拼接成一个 CSV 表格.

17 在 2025 年 5 月中, 地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E 进行了多少次涉及 BEP-20 IQ Coin 的交易

答案

2

18 由2025-03-07 至 2025-05-02 期间内, BEP-20 IQ Coin 处理了多少次交易

答案

25

一共有 25 条交易.

19 地址 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246最近一次涉及 BEP-20 IQ Coin 的交易是何时

答案

2025-05-02 07:44:39

从截图里看不到完整的钱包地址, 只能根据首位来推断:

20 在 2025-04-25 09:52:36(UTC), 地址 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246 传送了多少 BEP-20 IQ Coin

答案

150000000

21 在 2025-05-02 09:49:14(UTC), 地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E 传送了 BEP-20 IQ Coin. 在这次交易于 15 分钟内, 最终的接收地址是

选项

• A. 0xe36D4bCf0132B8Dc7317C2Fb9bfa2845629F7739
• B. 0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638
• C. 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246
• D. 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A

答案

B

倒了好几次, 最终是转到了 0xe36D4bCf...5629F6638 钱包里:

22 在 2025 年 5 月, 地址 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A 作为发送方发起了多少次 BEP-20 IQ Coin 交易

选项

• A. 1
• B. 2
• C. 4
• D. 6
• E. 8

答案

A

23 地址 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A 在 BNB Smart Chain 上最早的 BEP-20 IQ Coin 交易记录是什么时候(UTC)

答案

2025-04-11 06:37:14

搜一下. 不过数据不多, 直接倒序着找也行.

24 在 BEP-20 IQ Coin 交易中, 最小的交易金额是多少

答案

150000

降序排个序.

25 请指出截至 2025 年 5 月 3 日为止, 第 23 题所提及的加密钱包地址持有多少 BEP-20 IQ Coin

选项

• A. 9,700,000,000
• B. 9,700,000
• C. 97,000
• D. 无

答案

A

筛选 To 的总和减去 From 的总和:

10700000000 - 1000000000 = 9700000000

244 BEP-20 IQ Coin 共有多少持有者

答案

13

在线环境可以直接在 BscScan 查看持有者信息:

离线环境得自己统计几个钱包地址的余额不为 0. OCR 识别效果太差, 基本得手动统计, 一共 17 个钱包地址, 挨个算吧...

245 经调查得知, 这个犯罪团伙将犯罪收益清洗后储存到第 22 题的加密钱包中, 以下哪一个陈述是正确的

选项

• A. 多签钱包(Multi-signature Wallet)要求在授权交易时, 需要默认数量的私钥共同进行签署, 才能将交易广播至区块链
• B. 每位签署者持有唯一的私钥, 可查看钱包中的交易详情
• C. 若只有一把私钥签署交易, 交易将显示为"待处理", 直到达到所需的签署私钥数量以完成批准
• D. 每位签署者都会收到一组独特的助记词, 用于账户恢复
• E. 以上皆是

答案

E

参考 What is Multisig Wallets and How do they work? - solulab.

多签钱包

• 多签钱包要求多个私钥共同签署才能完成交易(如 2-of-3 3-of-5 等配置). 例如, 若设置为"2-of-3", 则需至少 2 个私钥签名才能广播交易, 避免单一私钥泄露导致资产损失.
• 每个签署者持有唯一私钥, 且可独立查看钱包内的交易详情(因私钥关联的地址公开, 所有交易记录可追溯).
• 未满足签署要求的交易会显示为"待处理"(Pending), 直到达到预设的私钥数量才被区块链网络确认.
• 每位签署者通常拥有独特助记词, 用于备份和恢复自身私钥.

梁雪媚的手机

案情

你在调查中发现, 涉案电子邮件关联到一间名为 Manson 的公司. 背景资料显示, 该公司此前曾怀疑遭黑客入侵. 财务总监梁雪媚 May 称整个投资项目是按公司首席执行官林嘉熙 Hayson 的指示进行, 但林嘉熙 Hayson 对此予以否认, 声称整个计划上载策划阶段尚未启动, 更加没有发送任何电子邮件给公司客户. 现需你对从相关职员处扣押的数字设备进行取证检验. 梁雪媚口供称是通过视频会议软件"Zoom"与林嘉熙视频通话, 收到指示启动投资计划.

请根据梁雪媚智能手机的取证镜像文件 LEUNG_SM_mobile.zip 回答以下问题.

本部分涉及原题目 26, 27 题.

26 请列出这个智能手机最后使用的 WhatsApp ID

答案

85256043346@s.whatsapp.net

直接翻火眼

27 根据系统消息以下哪一个陈述是正确的

选项

• A. 这个智能手机没有安装视频会议软件"Zoom"
• B. 这个智能手机曾经安装视频会议软件"Zoom", 但已经删除
• C. 这个智能手机有安装视频会议软件"Zoom", 但已经注销
• D. 无法确认这个手机有没有安装视频会议软件"Zoom"
• E. 梁雪媚使用的是网页版讯会议软件"Zoom"

本题存疑

官方答案: A

我的答案: 无正确选项(这个智能手机有安装视频会议软件"Zoom", 但未运行过)

在"应用列表"分析结果中搜索包名包含"zoom"的项目, 可以看到设备上安装了 Zoom Cloud Meetings 应用:

但是在 KeyChains 中搜索"zoom"关键字时, 没有任何命中:

并且 Zoom 的存储目录中没有保存任何用户数据, 且 /var/mobile/Applications/us.zoom.videomeetings/Library/Preferences/us.zoom.videomeetings.plist 中可见 FirstLaunch 值为 true, 推测应用可能是刚刚安装且并未启动过的状态:

选项中没有任何合适的选项.

林嘉熙的手机

案情

林嘉熙的智能手机已提取取证镜像文件 LAM_KH_Mobile.zip, 请根据参赛材料 "LAM_KH_Mobile.bin"回答以下问题.

本部分涉及原题目 30 - 37, 43 题.

30 这部智能手机系统上有找到多少个国际移动设备识别码(IMEI)

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 0

答案

B

火眼分析的 IMEI 分析结果来自于 Info.plist 文件, 其中仅存储了 1 个 IMEI 信息:

在 ideviceinfo 工具的运行结果文件中可以看到全部的 2 条 IMEI 信息:

关于 ideviceinfo 工具和 iDevice_info.txt 文件, 参考 2025 美亚杯个人赛题解.

31 CEO Hayson的智能手机的 IMEI 1

答案

358803093771124

参考上题.

32 这部智能手机系统最后登录 iCloud 的个人 ID

答案

whatisceo@gmail.com

33 请列出这个智能手机最后使用的电话号码

答案

85246809772

CellularUsage.db 中没有存储电话号码, 因此火眼的 SIM 卡分析中没有电话号码:

可以根据 Whatsapp 的 ID 获得手机号:

34 请列出这个智能手机订阅了多少 WhatsApp 频道

答案

6

35 请列出这个智能手机安装了以下哪一个应用程序

选项

• A. ZOOM
• B. WeChat
• C. Signal
• D. Telegram
• E. WhatsApp

答案

BCD

首先 whatsapp 和微信肯定有, 所以在应用列表查 telegram 和 signal

只有 telegram:

36 根据梁雪媚与林嘉熙的 WhatsApp 对话内容, Manson 公司正筹备投资的加密货币名称

答案

IQ Coin

37 根据梁雪媚与林嘉熙的 WhatsApp 对话内容, 林嘉熙什么时候返回香港

答案

2025-05-08

43 根据出入境记录确认林嘉熙在 2025-04-29 至 2025-05-08 离开香港, 参考梁雪媚与林嘉熙的 WhatsApp 对话内容, 以下哪个陈述是正确的

选项

• A. 在这段期间梁雪媚的WhatsApp对话内容比林嘉熙的多了两项
• B. 林嘉熙指示梁雪媚，将海报(Poster)转寄给销售团队(Sales Team)跟进
• C. 林嘉熙删除了两项消息
• D. 梁雪媚用林嘉熙的WhatsApp 账号发了一个消息给自己
• E. 以上皆非

答案

AB

A 选项

B 选项

C & D 选项

少的是这两条信息, 就是前面提到的 ceo 让梁雪媚指示 salesteam 跟进海报.

后面 ceo 说自己压根没发过这两条信息, 所以肯定不是 ceo 自己删除的.

梁雪媚的反应也应该不是她发给自己的, 所以 CDE 全错.

林嘉熙的笔记本电脑

info

根据公司职员供称, 在公司的"广告机软件信息发布系统"及在公司网页均发现张贴了与 Mr. Arjun Sharma 收到来自 Manson Finance Limited 有关 IQ Coin 推广邮件的附件内容类似的画面. 据系统管理员报告, 这个"广告机软件信息发布系统"由林嘉熙的笔记本操控.

请根据林嘉熙笔记本电脑的取证镜像文件 LAM_KH_laptop.e01 回答以下问题.

本部分涉及原题目 38 - 41 及 75 - 96 题.

38 这部电脑安装了哪一个操作系统

选项

• A. Windows 7 Enterprise, ver.6.1, Build: 7600
• B. Windows 7 Enterprise, ver. 00362, build:85249
• C. Windows 7 Enterprise,ver.7, Build:7600
• D. CEO-PC, ver.7, Build: 7600
• E. Windows 7 Enterprise,ver.7600, Build: 00392-918

答案

A

打开火眼, 查看系统信息:

39 请写出这个操作系统的安装日期(UTC+8)

答案

2025-04-12

见上题.

40 这个操作系统安装了以下哪一个通讯软件

选项

• A. Zoom
• B. WeChat
• C. Threema
• D. Signal
• E. 以上皆非

答案

A

在"安装软件"中搜索四个通讯软件, 发现只有 Zoom

41 这个操作系统以什么方式使用 WhatsApp 服务

选项

• A. WhatsApp 网页版
• B. WhatsApp 应用程序
• C. 以上皆是
• D. 以上皆非

答案

A

在"安装软件"中搜索 WhatsApp, 没有发现, 而火眼分析中可以看到 WhatsAppWeb:

42 根据上一题, 通过哪一个浏览器使用 WhatsApp 服务

答案

Chrome

在各浏览器的历史记录查找 WhatsApp, 只有 Chrome 中存在

75 根据该系统登录记录, 有多少用户账户曾登录该系统(不含内置 Administrator 账户)

答案

2

用户列表中可以看到 CEO 和 CEO2 都曾登录了该系统

76 根据上一题, 系统上建立了哪些用户账户

i: CEO

ii: CEOO

iii: CEO1

iv: CEO2

选项

• A. i 及 ii
• B. ii 及 iii
• C. i, ii 及 iv
• D. 以上所有

答案

C

火眼分析的用户列表中可以看到 CEO1 和 CEO2

在系统日志的账户操作记录中可以看到被删除的 CEOO

77 林嘉熙在 2025-04-29 至 2025-05-08 离开香港期间, 他的笔记本电脑放置在办公室内, 他没有授权其他人可使用这台笔记本电脑. 在上述期间这台电脑有什么账户登入的记录

选项

• A. CEO
• B. CEO1
• C. CEOO
• D. CEO2

答案

AD

查看用户列表中在这段时间登陆的用户, 而 CEOO 是在 2025-04-28 就被删除了, 不在此列

78 在上述的时段, 有多少次登入记录

答案

30

在 Windows 日志中筛选, 对应日期和成功登录的事件 ID 4624

79 在上述的时段, 这些登入是使用哪个 IP 地址登入

答案

182.239.117.11

如图

80 根据上一题, 使用这个网络地址作出登录请求的工作站名称

答案

KALI

导出 分区3/Windows/System32/winevt/Logs/Security.evtx 日志文件, 通过事件查看器, 第二条及后面几条日志可以看到, 似乎在进行横向移动...

81 根据上一题, 哪一个账户最后一次成功登录

答案

CEO

查看最后一条成功登录的日志

82 发现某个账户是在何时被删除的(UTC +8)

答案

2025-04-28 18:06:13

见 76 题

83 最近一次管理员权限分配的日期

本题存疑

答案存疑: 2025-04-29

在 Windows 日志中筛选 ID 4728, 筛选将成员添加到启用安全性的本地组中的日志, SID 都以 513 结尾, 分配的是普通用户的权限, 并不是管理员权限

84 请识别所有己挂载的网络驱动器, 指出所有对应盘符

选项

• A. Z
• B. X
• C. S
• D. T
• E. D

答案

AD

镜像仿真一下, 登录用户 CEO, 在命令行里执行 net use

或者在火眼的网络位置处也可以看到

85 这个"广告机软件信息发布系统"的执行文件名称

答案

ServerMonitor.exe

仿真后在桌面看到了该信息发布系统, 查看属性看到了执行文件

86 这个"广告机软件信息发布系统"用作存放播放材料的文件夹名称

答案

toDisplay

方案一:

根据上题, 在火眼的文件分类中定位一下, 为什么图片也算播放材料bushi

跳转到源文件, 再返回看 resources

在 toDisplay 中看到了 IQ coin, 至少也是看到和主线相关了

方案二:

找到网站存放信息的数据库

在 action_log 表里面发现创建了一个文件夹 toDisplay 并且存入了一张叫做 manson1.png 的照片

87 根据上一题, 请列出最早上传到这个文件夹的多媒体文件完整的文件名

答案

manson1.png

见上题.

88 使用者于哪一天首次成功登入"广告机软件信息发布系统"(GMT +8)

答案

2025-04-14

见上上题.

89 "广告机软件信息发布系统"有多少次成功登入

选项

• A. 2
• B. 4
• C. 6
• D. 12
• E. 13

答案

C

见 86 题表, 筛选一下, 共 6 条:

90 设定成用作"广告机软件信息发布系统"显示器的电脑的系统版本

选项

• A. Microsoft Windows NT 6.0.6001
• B. Microsoft Windows NT 6.1.7600
• C. Microsoft Windows NT 6.2.9200
• D. Microsoft Windows NT 6.3.9600

答案

C

在 86 题数据库中的 player_attribute 表中可以看到系统版本

91 设定成用作"广告机软件信息发布系统"的显示器的电脑的 IP 地址

答案

192.168.20.15

见上图.

或由 86 题表中对 ip 192.168.20.15 进行的打开关闭播放器, 截图等操作可推知, 该 ip 所对应的电脑为广告的显示器

92 在 2025-04-29 至 2025-05-08 期间, 共有多少个多媒体文件被上传至"广告机软件信息发布系统"用作存放播放材料的文件夹

答案

4

在86题表中筛选"上傳", 可见在该时间段中上传了 4 张海报:

93 根据上一题，这些多媒体文件被编排到播放节目中，请列出这个节目名称

答案

p1

在 86 题表中查看内容可知, 刚开始对节目的相关功能进行了测试, 最后发送了节目 p1

94 在 2025-04-29 至 2025-05-08 期间, 请列出最后注销"广告机软件信息发布系统"的日期及时间(GMT +8)

答案

2025-04-29 17:58:27

见上述表的最后一条记录

95 "广告机软件信息发布系统"中有多少个使用者账号?

选项

• A. 1
• B. 2
• C. 4
• D. 6
• E. 8

答案

A

查看上述数据库中的 user 表, 只有一个 admin

96 关于网页浏览器活动, 下列哪项描述正确

i: 搜索网页版WhatsApp

ii: 浏览数字标牌系统

iii: 打开PDF文件

iv: 搜索惠普驱动程序

选项

• A. i 及 ii
• B. i 及 iii
• C. ii 及 iii
• D. 以上所有

答案

D

见下图火眼对各个浏览器历史记录的分析 英语还是得学

黄智华的手机

案情

请根据技术人员黄智华(TITUS WONG)智能手机的取证镜像文件 WONG_CW_mobile.zip 回答以下问题.

本部分涉及原题目 44 - 46 题.

44 黄智华被其公司 CEO 安排要建立一个邮件服务器及 NAS, 他曾寻求何人协助

答案

Duncan

根据之后的题目, 可以知道黄智华寻求帮助是在 WhatsApp 中. 在 WhatsApp 好友消息中与"Duncan"(冯子超)的消息记录中看到寻求帮助的相关消息:

45 根据上一题, 何时该人通知黄智华已完成其委托

答案

2025-04-24

46 参考黄智华与该名受委托人士的 WhatsApp 对话内容, 以下哪段描述是正确的

选项

• A. 该人士完成委托后, 向黄智华要求加钱
• B. 该人士完成委托后, 提议与黄智华合作, 盗取其公司机密数据
• C. 该人士完成委托后, 告知黄智华系统密码已放在网络附属储存内
• D. 该人士完成委托后, 但不告知黄智华系统密码

答案

C

冯子超的手机

案情

事到如今, 你深信冯子超(Duncan FUNG)、陈民浩(Hogan CHAN)伙同女子梁燕玲(Ling LEUNG), 这个犯罪团伙做了此案, 事后因为内讧而导致今早的袭击事件. 你开始分析从这三人查获的数码设备的厘清三人在事件中的角色及内讧的原因.

你开始对冯子超的手机进行分析工作.

请根据参赛材料 FUNG_CC_mobile.zip 回答以下问题.

本部分涉及原题目 154 - 177 及 180 - 199 题.

154 哪个无线网络(Wi-Fi)接入点有地理位置记录

答案

wanchai

在 Wi-Fi 连接记录中可以看到 2 条记录, 但都没有获取到地理位置信息:

根据经验, wanchai 这个 SSID 应该是湾仔地区的公共 WiFi, 应该带有地理位置信息; 而 iPhone(2) 则是 iPhone 手机的热点.

在 /var/preferences/com.apple.wifi.known-networks.plist 中可以看到 WiFi 的地理位置信息:

155 根据上一题, 此 Wi-Fi 接入点的经纬度是多少

答案

22.279639594323847, 114.1681339545246

见上题.

156 根据上一题, 请列出首次连接此 Wi-Fi 接入点的日期及时间(UTC+8)

答案

2025-04-15 19:29:23

见 154 题图. AddedAt 为添加(首次连接) WiFi 的时间, 需要对时区进行转换.

157 根据上一题, 此 Wi-Fi 接入点的基本服务集标识符(BSSID)是什么

答案

58:11:22:34:09:c0

见 154 题图. BSSID 为 WiFi 的 BSSID.

158 根据镜像文件"FUNG_CC_mobile.zip"已登录的 WhatsApp 账号, 连同本机在内已登录了多少个设备

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5个以上

答案

C

在 WhatsApp 的数据目录中的 r/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/DeviceAgents.sqlite 数据库中保存着已登录的设备信息. 在其中的 ZWASMBDEVICEAGENT 表中可以看到 3 条已登录的设备信息:

159 根据上一题, 除了本机以外, 其他设备使用哪一种操作系统及程序连接

选项

• A. Microsoft Windows / FireFox
• B. Microsoft Windows / Chrome
• C. Microsoft Windows / Edge
• D. Apple MacOS / Safari
• E. 以上都不是

答案

C

见上题.

160 写进该机数据库的第一张照片的文件名称是什么

注意

本部分题目(160 - 168 题)官方答案有误.

按照题目描述, 本部分使用的检材应为冯子超的 iPhone 手机, 但官方给出的答案却是参考了陈民浩的 iPhone 手机内的数据.

本题官方的题解:

冯子超手机中 photos.sqlite 文件的实际内容:

陈民浩 iPhone 手机中 photos.sqlite 文件的实际内容:

而且, 官方题解还错误地使用 ZDATECREATED 字段作为排序依据, 该字段实际上为文件元数据中的创建时间, 而非"添加到数据库中的时间"; 应该以 ZADDEDDATE 字段中的时间戳为准:

这里以原始题目为准, 尽量通过分析冯子超的 iPhone 手机中的数据作答.

答案

IMG_0001.JPG

参考个人赛第 30 题. 使用 SQL 脚本获取 photos.sqlite 数据库中存储的信息, 可以看到最早被添加进数据库中的文件名称为 IMG_0001.JPG:

161 根据上一题, 这个图片文件是通过什么方法在此手机生成

选项

• A. 由 iCloud 同步
• B. 由此手机拍摄
• C. 由此手机截图
• D. 从网上下载

答案

A

见上题图. 云端存储的文件名 C6735068-8DB3-4C08-AB16-4B792FF2A715.jpg 与本地存储的文件名 IMG_0001.JPG 不同, 且云端的创建时间 2025-04-16 04:45:37 早于本地的创建时间 2025-04-16 04:46:12, 判断为同步自云端的文件.

162 根据上一题, 请列出这图片文件的完整原文件名称

答案

C6735068-8DB3-4C08-AB16-4B792FF2A715.jpg

见 160 题图.

163 根据上一题, 这个原图片文件是如何生成的

选项

• A. 由苹果手机拍摄
• B. 由安卓手机拍摄
• C. 网上下载的图片
• D. 苹果手机的画面截图

答案

A

接上题. 在图片的 EXIF 信息中可以看到由 iPhone 11 拍摄:

164 在此手机中, 请列出可以确定不是由此手机拍摄的图片文件(heic)完整文件名称

答案

IMG_0097.JPG

接 160 题. 将 Navicat 中到的查询结果导出为 CSV 文件, 方便筛选查看.

ZEXTATTR-CAMERA MODEL 中是保存在 ZEXTATTR 表中的相机型号数据(来源于图片的 EXIF 信息), 可见 2 个文件分别来自索尼相机和 iPhone 14 Pro MAX, 但分别为 MOV 格式视频及 JPG 格式图片, 与题目要求的 HEIC (HEVC) 格式均不符. 最符合题目表述的答案(图片文件)是 IMG_0097.JPG.

165 根据上一题, 此图片文件的 SHA256 哈希值是什么

答案

7B9865B9E9862B79B0CF4CF69093FCBE3679A3CF81AE5E082CFDB225E187F4FE

接上题.

166 根据上一题，此图片文件是如何在此手机生成的

选项

• A. 接收自云端"iCloud"同步下载
• B. 接收自即时通讯软件"WhatsApp"
• C. 接收自即时通讯软件"微信"
• D. 接收自空投(AirDrop)

此题无解

通过 Safari 浏览器下载

参考第 164 题图.

可以看到图片来源是 Safari 浏览器.

167 根据上一题, 请指出此图片文件来自哪一个镜像文件

选项

• A. CHAN_MH_mobile.zip
• B. Duncan_laptop.e01
• C. FUNG_CC_mobile.zip
• D. LAM_KH_Mobile.zip
• E. WONG_CW_mobile.zip

此题无解

该图片不来自于任何设备, 而是来自于网络.

168 根据上一题, 请列出这图片文件的原文件的完整文件名称

答案

IMG_0097.JPG

参考第 164 题图.

图片文件名未修改过.

169 在这部手机中, 安装了哪一个管理智能家居的 APP

注意

本部分题目(169 - 177 题)官方答案有误.

按照题目描述, 本部分使用的检材应为冯子超的 iPhone 手机, 但官方给出的答案却是参考了陈民浩的安卓手机内的数据.

例如, 本题官方给出的答案为 com.xiaomi.smarthome 但该应用包仅出现在陈民浩的安卓检材中; 冯子超的 iPhone 手机上于智能家居相关的应用仅有预装的 COM.APPLE.HOME.

由于这部分题目完全无法使用冯子超的 iPhone 手机检材完成, 故以陈民浩的安卓手机内的数据为准.

以下第 169 - 177 题参考陈民浩的安卓手机检材 blk0_sda.bin 完成.

答案

com.xiaomi.smarthome

在陈民浩与梁燕玲的 WhatsApp 对话中发送的截图文件也可以看出来是米家的 APP. 并且镜像中还保存着 2 个不同版本的米家的安装包, 浏览器搜索记录中也有相关的记录.

170 根据上一题, 请指出这个 APP 的安装日期及时间

答案

2025-04-16 19:05:27

171 根据上一题, 这个 APP 的登录账号是什么

答案

hoganchan143@gmail.com

在米家的分析结果中可以看到:

172 根据上一题, 这个 APP 的智能家居名称是什么

答案

6799365478的家

在米家的分析结果中可以看到:

173 APP 内的智能家居共有多少个房间

选项

• A. 1
• B. 2
• C. 3
• D. 4

答案

B

在米家的分析结果中可以看到只有"客廳" 1 个房间:

这里火眼的分析结果有些问题. 在分析结果上右键"跳转至源文件"即可看到存储了相关信息的 /分区21/data/com.xiaomi.smarthome/shared_prefs/home_room_manager_sp_.xml 文件:

提取其中的"home_room_content"标签中的内容, 使用 CyberChef 进行反转义和 JSON 美化:

可以看到实际上是有 2 个房间的, 分别为"客廳"和"房間".

174 根据上一题, 哪一个房间内是配有设备的

答案

客廳

见上题.

175 根据上一题, 这个房间配罝了什么装置

i. 扫地机器人

ii. 风扇

iii.摄影机

iv. 智能门锁

选项

• A. i&ii
• B. i&iii
• C. iii&iv
• D. i&iii&iv
• E. 以上皆是

答案

B

参考第 173 题. 火眼的分析还是有些问题的, 客厅中实际上有 2 个设备, 但火眼只分析到其中的 1 个:

在检材中全局搜索上述的 2 个 did, 在 1 个 MMKV 数据库中找到了以 JSON 格式存储的相关信息:

可以看到 2 台设备的信息:

176 那些设备的识别码(did)是

i. 1064204009

ii. 1145232132

iii. 1149325279

iv. 253025817

选项

• A. i&ii
• B. i&iii
• C. iii&iv
• D. i&iii&iv
• E. 以上皆是

答案

B

见上题.

177 这些设备使用哪一个无线网络(Wi-Fi)接入点连接, 请列出相关的服务集标识符(SSID)

答案

DFC

见 176 题图.

180 请列出冯子超的手机内即时通讯软件 Telegram 的 UserID

答案

暂无答案

从冯子超的手机检材中未能找到 Telegram 的用户数据.

我试着在 Telegram 中添加冯子超手机中检出的 2 个电话号码(+852 54974406 和 +44 7452709850)均提示手机号未注册 Telegram 账号.

181 在所有手机中, 有哪一个 WhatsApp 群组是被封存的, 它的名称是什么

答案

鳳凰VIP會員心得交流群

参考个人赛第 50 题. 被封存的 WhatsApp 群组名称为"鳳凰VIP會員心得交流群", 来源是冯子超的手机检材.

182 根据上一题, 该 WhatsApp 群组的 WhatsApp ID 是什么

答案

85263834763-1563607573@g.us

见上题.

183 根据上一题, 这个群组的建立者的完整手机号码

答案

85263834763

在群组列表中看到分析结果中只有群主 ID 而没有创建者 ID:

不过可以直接根据群组 ID 来找到建立者的 ID 的. WhatsApp 的群组 ID 目前有 2 种格式并存:

• <建立者手机号>-<建立时间的 UNIX 时间戳>@g.us, 这是较老的格式;
• <ID>@g.us 这是较新的格式.

根据上题得到的 85263834763-1563607573@g.us, 可以得到群组的建立者的手机号码为 +852-63834763, 群组的建立时间为 2019-07-20 15:26:13.

可以通过查看 ChatStorage.sqlite 数据库中的记录加以验证:

将该 CocoaCoreTime 时间戳转换为 Datetime 之后可以看到数据库中保存的创建时间与上述时间一致:

另外, 从上述的数据库记录可以发现, 目前的群主(85298773550@s.whatsapp.net)并非群组建立者, 推断是转移了群组的所有权.

184 根据上一题, 这个群组的建立日期及时间(UTC+8)

答案

2019-07-20 15:26:13

见上题.

185 根据上一题, 这个群组最后一次修改名称的日期及时间(UTC+8)

本题存疑

暂无答案

186 根据上一题, 由哪一个 WhatsApp ID 作出这个群组名称修改

本题存疑

暂无答案.

官方答案: 85298773550@s.whatsapp.net

187 这个群组的现有的头像图片的完整文件名称

答案

85263834763-1563607573-1732782278.jpg

在 ChatStorage.sqlite 数据库中可以找到群组的头像文件的存储路径:

在 WhatsApp 的数据目录 Media/Profile/ 中可以找到对应的文件:

188 这张头像图片下载到手机的日期及时间(UTC+0)

答案

2025-04-16 07:37:34

见上题. 注意这里需要的是 UTC+0 时间, 火眼中显示的是 UTC+8 时间, 需要进行时区转换.

或者也可以从上述数据表中看到 Telegram 请求图片文件的时间:

189 这张头像的更改日期及时间(UTC+0)

答案

2024-11-28 08:24:38

头像更改时间并不存储在数据库中, 而是包含在图片文件的名称中.

该图片名称 85263834763-1563607573-1732782278.jpg 中由 - 分隔的前 2 段数字 85263834763-1563607573 为群组 ID, 第 3 段则为 UNIX 时间戳, 为图片上传到 WhatsApp 的服务器的时间, 可以近似认为是更换(上传)头像的时间:

注意题目需要的是 UTC+0 时间, Python 的 datetime.datetime 默认是用户的当地时间, 需要进行时区转换.

190 在所有手机中, 哪一个 WhatsApp 群组中存有一些 CEO 及 CFO 的会议记录的残缺数据

选项

• A. 120363397792833003@g.us
• B. 120363417464187135@g.us
• C. 120363401679693148@g.us
• D. 120363417811435477@g.us
• E. 120363401289578356@g.us

答案

E

在冯子超等人的手机检材中的 WhatsApp 的文件传输记录中可以看在"IQ COIN 💰💰💰💰"(120363401289578356@g.us)群组中传输了会议的录像视频和字幕文件:

191 在该群组中, 曾发放过多少段与虚拟货币投资相关的视频

答案

3

接上题, 浏览上述 3 个视频的字幕文件之后发现均与虚拟货币投资相关.

192 这些视频在 Manson 公司的哪一个服务器中找到

选项

• A. 外送邮件服务器(SMTP)
• B. 网络储存服务器(NAS)
• C. 活动目录服务器 (AD)
• D. 网页服务器 (WEB)
• E. 以上皆非

答案

B

需要结合 NAS 服务器的分析结果. 在 NAS 存储分区的 Meeting 目录中可以找到这些文件:

193 有哪一部手机曾经使用光学字符识别(OCR)功能

选项

• A. FUNG_CC_mobile.zip
• B. CHAN_MH_mobile.zip
• C. LEUNG_YL_mobile.zip
• D. LEUNG_SM_mobile.zip
• E. WONG_CW_mobile.zip

注意

本部分题目(193 - 197 题)题目疑似存在问题.

按照后续题目描述, 冯子超的手机中应该使用了 OCR 功能, 但本题官方给出的答案却是 E (黄智华的手机). 但在黄智华和冯子超的手机中均为找到与 OCR 相关的应用.

本题存疑

官方答案: E

194 根据上一题, 共使用了多少次光学字符识别(OCR)功能

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 无法判断

本题存疑

官方答案: B

195 根据日期时间顺序, 第二次使用光学字符识别(OCR)功能是对应什么手机的 APP

选项

• A. 原生相机软件
• B. Chrome 浏览器
• C. 即时通讯软件"WhatsApp"
• D. 即时通讯软件"Telegram"
• E. 谷歌翻译软件

本题存疑

官方答案: C

196 根据上一题, 使用光学字符识别(OCR)功能的日期与原文件的建立日期相差多少天

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

本题存疑

官方答案: C

197 该手机使用的光学字符识别(OCR)功能的版本是什么

本题存疑

暂无正确答案

198 有哪一个摄影 APP 不会将照片存放到原生相册当中

答案

com.uazoo.ssc

在其他应用的分析结果中可以看到几个疑似摄影 APP 的应用, 在其中的 com.uazoo.ssc(Discreet) 的目录中存放着图片:

这些图片未存放在原生相册中:

199 根据上一题, 有多少段照片或视频是由这个 APP 拍摄的

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

本题存疑

官方答案: B

我的答案: E

见上题.

但这里有些奇怪, 官方答案只考虑了存储在应用目录中的照片. 但在原生相册中还存在 4 个由 com.uazoo.ssc(Discreet) 拍摄的照片. 推测是应用可以将拍摄的照片导出到原生相册中, 那这里的答案应该是原生相册 + 应用目录中保存的所有照片去重之后的数量.

其中的 DiscreetCameraApp_1744790959352.png 与 IMG_0079.JPG 经比对, 图片数据部分完全一致, 仅部分元数据有不同, 应该是导出时 Discreet 或原生相册对图片进行了处理:

因此, APP 共拍摄了 5 张不同的照片.

冯子超的笔记本电脑

案情

你开始分析冯子超(Duncan FUNG)的笔记本电脑.

本部分涉及原题目 215 - 217 及 246 - 252 题.

215 请列出加密文件"Manson"内藏的是什么文件

答案

login.xlsx

根据题目要求搜索 manson, 锁定加密文件位置, 同时会搜索到名为 manson.jpg 的文件, 在隐写分析中识别出来是尾部隐写, 得到的文本是凯撒加密, 用 CyberChef 解密, 得到密码 Ocean_Park(过程同团体赛 47 题)

47 题中有说采用 Truecrypt 加密, 仿真进去用 Truecrypt 挂载, 添加密码后可得到答案

216 经调查得知, 在 Duncan_laptop.e01 镜像文件中, 发现有一个档案的资料, 跟 mason_finance 数据库中的用户资料很相似﹐怀疑嫌疑人用不法手段盗取, 是什么档案

答案

user.csv

本题和下一题相关的答案在 e01 分析出的虚拟机内寻找, 位置在电脑桌面上

原题题干中将"镜像文件"错译为"图片文件"(原文或许为 Image File), 最终导致线上队伍无一作答正确, 其后有关此镜像的题目皆是如此.

这里有个 csv 的表格, 查看格式并与下一题所问选项核对, 无误

217 经调查得知, 在 Duncan_laptop.e01 镜像文件中, 发现有一个图片涉及与 May 讨论 IQ coin 的对话, 请问该文件的 SHA256 是多少

答案

A2F39164F6CA3EB561A9B16450414939C0B6A7640F0993DD19775A5118D634B1

在上一题的同文件夹发现有个文件 nrIMFgRg.jpeg

查看后确认为题目要求的聊天记录

计算一下 sha256

246 经过比对三人的对话记录, 综合时间线分析及数码证据分析, 你相信三人各自拥有一个私匙, 操作这个钱包, 并且将相关的助记词巧妙地收藏. 请根据参赛材料, 运用你的技能查获这些助记词, 以便充公犯罪线索和证据. 在Duncan_laptop.e01 的证据文件中, 发现有一个压缩文件"PDFStego-master (2).zip"怀疑与案件有关, 请回答文件的密码是多少

答案

pass1234

本题开始与 pdf 相关的答案在 e01 分析出的虚拟机内寻找, 同 216 - 218 题

先进行六位数的简单爆破, 发现爆破不出来, 后面将思路转变为字典攻击, 利用 kali 自带的字典本(/usr/share/wordlists 目录下的 rockyou.txt)爆破即可

247 根据上一题, 将上述压缩文件解压缩后, 其中有一个 pdf 文件内藏有其他文件, 请问该 pdf 文件的 SHA256 哈希值是多少

答案

37422CE276A0B4B28C1592B5C8D10D86DC619E8EF7226B3E761CDF2E7BB8A6BA

利用里面给的程序 pdfstego, 按照 READ.md 使用即可, 判断方法也很粗暴, 没有隐写会抛出异常, 反之不会

248 根据上一题, 除了上述 pdf 文件外, 以下哪些 pdf 文件同样内藏有其他文件

i) Recovery Seed1.pdf

ii) Recovery Seed (2).pdf

iii) Recovery Seed (3).pdf

iv) Recovery Seed (4).pdf

选项

• A. 只有 iii
• B. 只有 iv
• C. ii, iii, iv
• D. i, ii, iii, iv

答案

B

回收站中可以找到这四个文件, 判断方法同 247 题

249 经调查得悉, PDFStego-master 是一个加密软件, 若要解密冯子超的虚拟钱包的助记词文件, 需要借助以下哪个 PDF 文件

选项

• A.Recovery Seed1.pdf
• B.Recovery Seed (2).pdf
• C.Recovery Seed (3).pdf
• D.Recovery Seed (4).pdf

答案

D

根据选项给出的 pdf 文件逐一尝试即可

250 除了需要借助上述的 PDF 文件解密, PDFStego-master 还需要输入正确密码去解密, 以下哪一组是用作开启冯子超虚拟钱包助记词文件的密码

选项

• A.Duncan
• B.P@ssw0rd
• C.FungDuncan
• D.DuncanFung
• E.Duncan123

答案

D

根据选项给出的密码逐一尝试即可, 简单的字典攻击

251 根据上一题, 经调查得知, 在那些被收藏了文件在内的 pdf 文件中, 能够找到有关冯子超的虚拟钱包助记词的文件, 以下哪些是当中的助记词

选项

• A.apple banana cherry dog
• B.maple sprint quartz lantern
• C.alice forest crystal breeze
• D.anchors boundary century dimension

答案

A

根据上一题解密后保存的文件, cat 查看即可

253 根据上一题, 这个虚拟钱包助记词文件的 SHA256 哈希值是多少

答案

457E718C63C8729CCC743B89BB966C82CC5E696156431E80ECF7520CAE2C2247

利用 linux 自带的命令计算即可

陈民浩的手机(安卓)

你开始分析陈民浩(Hogan CHAN)及女子梁燕玲(Ling LEUNG)家中的数码设备, 请根据参赛材料 blk0_sda.bin 回答以下问题.

本部分涉及原题目 218 - 234 题.

218 请列出网络浏览器 Chrome 已登录了的Google 账号是什么

答案

hoganchan143@gmail.com

火眼无法直接获取到 Chrome 的 Google 账号, 但考虑到一台 Android 设备上的 Google 账号可以通用, 于是可以通过谷歌地图和 Gmail 判断登录的 Google 账号

219 根据上一题, 这个 Google 云端硬盘账户的最后同步时间是什么

答案

2025-05-16 17:41:35

本题官方答案疑似有误.

查阅相关资料可以发现 Google 云端硬盘(Google Drive)在安卓系统上的应用包名为 com.google.android.apps.docs, 在 /分区21/data/com.google.android.apps.docs 文件夹搜索可能的数据库文件, 在 /databases/DocList.db 的 Account249 中有数据 latSyncTime(sync 意为同步)

转化后得到的时间仅仅与标准答案相差了一个月份, 日期和时分秒都无误, 并且在该文件夹中并没有搜索到与答案一致的时间戳, 有理由怀疑答案应当为 2025-04-16 17:41:35

220 社交媒体软件"Facebook"在 AP2 手机上分配的设备 ID 是什么

答案

E585180E-D648-4059-8445-2CFC880A33CB

自动取证中只有分析出来有安装过 facebook, 于是建立索引并且搜索 id AND facebook, 可以筛选出来 92 个文件

经过手动翻阅最终找到 id 为 e585180e-d648-4059-8445-2cfc880a33cb, 但后续反向搜索此id, 只能在 com.facebook.katana/app_errorreporting/ 内的文件找到, 不清楚为什么 device_id 只出现在了报错报告中

位于 /blk0_sda.bin/Partition21/data/com.facebook.kanata/databases/prefs.db 的表 preferences 中, key 为 /shared/device_id, 对应的 value 即为本题答案.

221 陈民浩的家庭连接小米设备的中文名称是什么

答案

Xiaomi扫拖机器人 S10+

直接查找对应信息即可得到 Xiaomi掃拖機器人 S10+, 本题的标准答案为简体中文的 Xiaomi扫拖机器人 S10+, 且根据线上队伍的答题情况, 全部线上队伍都回答的繁体中文, 全部判错, 不知出题方对此作何考虑

这部分及之后的题目与错误地被放入"冯子超的手机"检材中的部分题目相关, 参考第 169 - 175 题.

222 陈民浩的小米账户 ID 是多少?

答案

6799365478

见上题图, id 为 6799365478

223 陈民浩的小米设备在手机中储存了多少事件(event)?

选项

• A.0
• B.352
• C.1
• D.325
• E.133

答案

B

小米之家里面有比较明显的 61 个 event, 由分析得出的 61 个日志信息跳转至源文件地址 分区21/data/com.xiaomi.smarthome/databases/onetrack, 可以看到 events 下有 61 个数据, 即对应的 61 个日志信息

但不清楚此处的 352 个事件是否包括这 61 个event, 又由其他哪些部分组成, 对于 event 的定义过于模糊了

224 陈民浩的小米设备完成工作后, 手机会创建一张照片, 该照片的文件名是什么?

答案

clean_log.png

答案位于 /Partition21/data/com.xiaomi.smarthome/files/plugin/install/rn/1009571/data/1064204009/files/clean_log.png. 选择该地址是出于这样的考虑: rn/ 下仅 1009571 文件夹内存在文件夹 data, 且 /data/com.xiaomi.smarthome/shared_prefs/home_room_manager_sp_.xml:

XML

<?xml version='1.0' encoding='utf-8' standalone='yes' ?>
<map>
    <string name="home_room_content">{"homelist":[{"background":"style_1","smart_room_background":"style_1_favorites","bssid":"","city_id":"0","desc":"","icon":"style_1_favorites","id":"117001145701","latitude":"0","longitude":"0","address":"","name":"6799365478的家","shareflag":0,"uid":6799365478,"create_time":1744796769,"permit_level":10,"dids":[],"status":"1","roomlist":[{"bssid":"","id":"117001145703","name":"客廳","parentid":"117001145701","shareflag":0,"icon":"livingroom_1","create_time":"1744797909","background":"style_1_favorites","dids":["1064204009","1149325279"]},{"bssid":"","id":"117001145704","name":"房間","parentid":"117001145701","shareflag":0,"icon":"more_1","create_time":"1744797919","background":"style_1_favorites","dids":[]}]}]}</string>
    <string name="car_home_room_content">[]</string>
    <string name="auto_page_background"></string>
</map>

其中的 home_room_content 字段中的 JSON 字符串：

JSON

{
    "homelist": [
        {
            "background": "style_1",
            "smart_room_background": "style_1_favorites",
            "bssid": "",
            "city_id": "0",
            "desc": "",
            "icon": "style_1_favorites",
            "id": "117001145701",
            "latitude": "0",
            "longitude": "0",
            "address": "",
            "name": "6799365478的家",
            "shareflag": 0,
            "uid": 6799365478,
            "create_time": 1744796769,
            "permit_level": 10,
            "dids": [],
            "status": "1",
            "roomlist": [
                {
                    "bssid": "",
                    "id": "117001145703",
                    "name": "客廳",
                    "parentid": "117001145701",
                    "shareflag": 0,
                    "icon": "livingroom_1",
                    "create_time": "1744797909",
                    "background": "style_1_favorites",
                    "dids": ["1064204009", "1149325279"]
                },
                {
                    "bssid": "",
                    "id": "117001145704",
                    "name": "房間",
                    "parentid": "117001145701",
                    "shareflag": 0,
                    "icon": "more_1",
                    "create_time": "1744797919",
                    "background": "style_1_favorites",
                    "dids": []
                }
            ]
        }
    ]
}

它保存了用户家庭房间的信息.

由火眼可得扫拖机器人位于客厅, 故在 roomlist 中找到"客廳", 其下对应了两个 did, 猜测得到 1064204009 为扫拖机器人. 又恰好在 data/ 下仅看到 1064204009 文件夹, 故在其中寻找, 遍历各个目录即可得到.

另一种比较吃运气的解法：

虽然题目中并未提及图片文件的后缀, 但是如果按照分类查询, 在 png 的第一页就可以看到这个图片

225 根据上一题, 该照片的创建日期是

答案

2025-05-16

见上题图.

226 陈民浩 Duncan 用过"会行走的"小米家电, 它的行走路径信息会储存在一个 XML 格式的文件中, 该文件储存在什么地方

答案

/data/com.xiaomi.smarthome/files/plugin/install/rn/1009571/data/1064204009/data

若完成了第 224 题, 则可以发现 ../ 下仅存在两个文件夹 files 和 data, 它们都位于扫拖机器人的目录下. 自然地, 我们会去遍历 data/ 下的内容. 这即可得到题目所问的 .xml 文件.

227 根据上一题, 该文件中可以取得什么信息?

选项

• A.name
• B.Angle
• C.map
• D.Volt
• E.Error

答案

ABC

在该 .xml 文件中搜索, 不难得到 name、Angle 和 map.

228 小米智慧家庭 APP 版本 "80615" 的安装日期是什么?

答案

2025-04-16 19:05:27

在火眼中, 分析 > 基本信息 > 应用列表 中找到"米家", 在"详细信息"窗口中可见"安装时间", 即为本题答案.

229 该版本的最后更新日期时间是?

答案

2025-04-22 23:20:32

上题图中下方的"最后升级时间"即为本题答案.

230 共成功安装了多少个版本的"小米智慧家庭" APP

选项

• A.1
• B.2
• C.3
• D.4
• E.5

答案

D

在 App 分析中筛选 xiaomi 可以得到四个版本, 其中的未知即为 228 题提及的 80615 版本

然而并不能完全根据这个来判断这代表成功安装了四个版本, 也有可能出题人仅仅是通过这个信息来判断成功安装过四个, 只能迎合出题人意愿

231 小米智慧家庭 APP 有多少次经 Google 自动更新?

选项

• A.1
• B.2
• C.3
• D.4
• E.5

答案

B

在两个浏览器中都可以查看到相同的下载记录, 对应两个版本的手动更新

查找 Partition21/data/com.android.vending, 即谷歌应用商店, 在 /databases 找到 auto_update.db 文件, 其中可以找到 com.xiaomi.smarthome 的数据:

此处的疑问主要是, 如果结合上一题的成功安装 4 次, 的确可以得到非手动更新了 2 次, 并且根据应用商店的记录至少更新了 1 次, 但是否定义第一个版本 80615 为自动更新

232 收到多少次来自"小米智慧家庭" APP 的"清扫工作已完成"通知

选项

• A.1
• B.2
• C.3
• D.4
• E.5

本题存疑

官方答案 C, 绝大部分人答案 A

此题有一定争议

在自动取证获取的通知信息里只有一条信息, 并且查阅过同文件夹的其他文件也没其他通知相关的信息

由 225 题图片生成的时间为五月份, 推测可能还有其他的工作时间, 然而工作的次数已经远远大于 3 次, 不清楚答案从何而来

233 手机设定的热点(Hotspot)名称是什么？

答案

AndroidAP4F5D

直接查找相关信息

234 请列出热点登录密码

答案

ygro9745

见上题图

陈民浩的手机(iOS)

案情

请根据镜像文件 "CHAN_MH_mobile.zip"回答问题.

本部分涉及原题目 253 - 255 题.

253 除了图片外, 还有哪种文件曾经同步到 iCloud, 请列出完整文件名称?

答案

MIDI Table.txt

iCloud 数据库定位过程见个人赛第 23 题

254 曾经同步过一些文件, 这是什么类型的文件, 数量是多少?

选项

• A.2 jpg + 1 txt
• B.1 jpg + 2 txt
• C.1 jpg + 1 txt
• D.2 jpg + 2 txt

答案

A

见上题图.

255 根据上一题, 综合上述你发现的文件, 请列出这些文件隐藏了什么信息

答案

book cat drum earth fire glatt heart ink joy king moon nest

MIDI Table.txt 和 MIDI Table.jpg 图上的内容一致

Caesar’s Cipher+3.jpg 上面写着 C4=60=A, 说明 Middle C 为 60 同样代表 60=A

使用 010Editor 打开 Caesar’s Cipher+3.jpg, 可以发现文件尾藏着字符串 Can You Find It (Caesar¡¦s Cipher+3) : 64 77 77 73 65 63 82 66 80 83 75 67 63 80 82 70 68 71 80 67 69 74 63 82 82 70 67 63 80 82 71 76 73 72 77 61 73 71 76 69 75 77 77 76 76 67 81 82

结合已知线索, 凯撒位移 +3 位, 60 代表 A, ascii 中 A 为 65, 等价凯撒位移 -5 位, 共计凯撒位移 -2 位, 解密得到 BOOKCATDRUMEARTHFIREGLATTHEARTINKJO?KINGMOONNEST, ? 在此处为应当当做 61+26=87 处理, 得到 BOOKCATDRUMEARTHFIREGLATTHEARTINKJOYKINGMOONNEST, 分词得到 BOOK CAT DRUM EARTH FIRE GLATT HEART INK JOY KING MOON NEST.

而答案是 book cat drum earth fire glatt heart ink joy king moon nest, 给的是小写并且分词后的结果, 正常解密过程只能得到大写, 并且也不一定会想到自己分词, 题干中则严格表明需要注意空格和区分大小写, 此题描述并不严谨

梁燕玲的笔记本电脑

案情

你开始分析梁燕玲(Ling LEUNG)的笔记本电脑, 参考 LEUNG_YL_Laptop.e01 回答以下问题.

本部分涉及原题目 202 - 214 题.

仿真笔记本直接进入可以看到桌面上有一些快捷方式与文件夹

DeepFaceLive 是一个 AI 换脸的软件, Voice.ai 是一个变声软件, Zoom Workplace 是一个会议软件, 还有 PS, 都可以和这次的案件对应上.

刚仿真好的之后点击 windows 徽标, 可以在 Recommended 部分看到许多之前打开过的图片或者视频, 包括受害人林的会议截图以及一些 IQ 币相关的图片, 这些图片和视频也为后面做题提供了一点思路.

火眼仿真在在线环境下可以通过查询云端数据库得到用户的密码 P@ssw0rd1502.

202 这部笔记本电脑 BIOS 的版本是什么

答案

book cat drum earth fire glatt heart ink joy king moon nest

火眼分析里并没有 BIOS 版本号, 而是给了固件名称以及版本, 这两个拼起来其实就是 BIOS 的版本:

或者导出注册表 HIVE 文件 /分区6/Windows/System32/config/SYSTEM, 查看硬件信息:

203 最后一个成功登录操作系统的用户名称

答案

lingl

在 基本信息 -> 用户操作记录 可以看到所有用户的操作记录, 按时间排序可以得到答案

204 网络浏览器 Chrome 浏览记录里, 于 2025-04-29 09:58:04(UTC+08), 请指出正在浏览哪一个网页的搜索页面

选项

• A. yahoo
• B. Google
• C. msn
• D. Baidu

答案

B

在火眼里翻浏览记录, 依旧按时间排序, 找到目标时间, 可以知道当时正在使用 Google Search 搜索关键词 deepfakelive tutorial

205 根据上一题, 请列出当时的查找字符串

答案

deepfakelive tutorial

从上题中可以得知当时在搜索 deepfakelive tutorial

206 于 2025-04-30 17:37:25(UTC+08), 该用户从网络浏览器 Chrome 里下载的文件名称

选项

• A. Meeting_20250409.mp4
• B. Investment notice - 2022-12-01.pdf
• C. Investment notice - 2025-01-01.pdf
• D. Investment Proposal IQ coin (1).pdf

答案

D

还是一样的流程, 在 Chrome 下载记录里按时间排序找到改时间, 但是会发现只有一个接近的时间 2025-04-30 17:37:26

考虑到下载需要时间, 所以这个记录是没什么问题的

当然, 也可以在仿真后的笔记本里找到这个文件看他的创建时间, 比较准确

207 网络浏览器 Chrome 安装了哪个扩展插件

选项

• A. MetaMask
• B. QR Code Scanner (Offline)
• C. Google Docs Offline
• D. Bookmarks Quick Search
• E. Extensity

答案

AC

直接在 Chrome 浏览器里看插件信息

不过当时做题时我记得我是全局搜索每一个选项, 也能得出正确答案

208 该用户通过网络浏览器 Edge 下载了哪个能用作变声的软件

选项

• A. MagicMic
• B. MorphVOX
• C. Clownfish
• D. Voice.ai

答案

D

桌面上就有 Voice.ai 的快捷方式, 保险一点可以再看一下 Edge 的下载记录

209 哪个软件被用作 DeepFaceLive 的虚拟摄像头

选项

• A. Streamlabs Desktop
• B. Xsplit Broadcaster
• C. OBS Studio
• D. vMix

答案

C

上一题的下载记录里同时也下载了 OBS Studio, 并且 DeepFackLive 也推荐使用 OBS, 另外也可以在火眼里全局搜索 4 个选项

210 DeepFaceLive 用于储存面部交换可疑图像, 文件储存位置是哪里

选项

• A. \Users\lingl\OneDrive\Desktop\DeepFaceLive_NVIDIA\userdata\samples
• B. \Users\lingl\OneDrive\Desktop\DeepFaceLive_NVIDIA\userdata\animatables
• C. \Users\lingl\OneDrive\Desktop\DeepFaceLive_NVIDIA\userdata
• D. \Users\lingl\OneDrive\Desktop\DeepFaceLive_NVIDIA_internal\resources\

答案

A

DeepFaceLive 在处理实时换脸时, 会生成一些 面部交换的样本图样, 用于训练和调试模, 一般默认保存在 DeepFaceLive_NVIDIA\userdata\samples

• animatables: 存储可动画化的人脸或模型
• userdata: 总的用户数据根目录
• resources: 内部程序资源

211 根据上一题, 使用了哪个文件作为 DeepFaceLive 面部交换的源材料

答案

WhatsApp Image 2025-04-28.jpg

在 animatables 文件夹下可以找到一张通过 Whatsapp 下载的图片, 而左下角有"Mr.Lin"的标识, 初步判断这就是受害人的图片

212 "Adobe Photoshop (Beta)"的安装日期时间是何时(UTC+8)

答案

2025-04-30 14:19:30

在桌面上就有 ps 的快捷方式, 进入源文件查看详细信息可以知道创建时间为 2025-04-30 14:19:30

或者在火眼中也可以看到:

213 这个操作系统曾经连接过多少个 USB 设备？

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

答案

C

在火眼上查看 USB 信息可以找到 4 条有关内容

我们查看相关信息会发现前 2 个是闪存盘, 第 3 个是一个无线设备

第 4 个只写了具体容量, 再看后面的路径, 前 3 个都是 USB\ 开始; 第 4 个是 ROOT\ 开始, 表示虚拟或系统设备, 所以第 4 个并不是实际插入的 USB 设备, 而是一个 Windows 虚拟存储控制器

214 有多少个图片文件(jpg)内容的 QR code 藏有字符串 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

答案

D

字符串是钱包地址. 在仿真好后点开开始菜单就能在 Recommended 部分看到一个命名为 IQ_1.jpg 的图片

因为刚开始忘截图了, 导致时间没对上, 正常来讲时间应该是 4 月 30 日. 打开这张图片扫里面的二维码就能得到钱包地址, 也能和题目对应上, 然后再顺着路经去找其他图片, 一共 4 张 IQ 币相关的图片

梁燕玲的存储卡

案情

你收到警方通知法医在检查梁燕玲遗体时, 发现她的项链内藏有一张 SD 卡. 请根据参赛材料 LEUNG_YL_SD_Card.e01 回答以下问题.

本部分涉及原题目 156 - 264 题.

256 SecretSeed.exe 程序会要求用户输入账号与密码, 请尝试进行逆向工程并找出正确的账号.

答案

manson

搜索 username​ 字符串, 找到 Invalid username or password​ 附近以字符串形式硬编码的用户名和密码, 即为 manson​ 和 manson@MFI

257 找出账号后, 请继续进行逆向分析, 找出通过登录验证所需的密码.

答案

manson@MFI

同上题

258 即使输入正确账号与密码, SecretSeed.exe 仍未执行解密过程. 以下哪一项最能准确解释该情况的发生原因

选项

• A. AES 密钥未初始化
• B. 存储器中的一个旗标未被启用，导致条件跳转跳过解密
• C. 使用者输入错误的哈希
• D. 密文在 base64 解码阶段失败

答案

B

这里会判断 byte_140005704 的值来决定是否执行解密部分代码, 在汇编层面就是一个有条件跳转指令, 会检查特定的存储器旗标(Flag)来决定是否跳转. 这里附上各 x86 汇编的条件跳转指令以及检查的标记位:

259 成功触发 AES 解密后, SecretSeed.exe 是如何向使用者显示明文内容的

选项

• A. 使用 printf() 输出至控制台
• B. 写入 %TEMP% 文件夹中的文件
• C. 经 UTF-8 转宽字符后用 MessAgeBoxW 显示
• D. 储存在系统剪贴板中

答案

C

分析解密部分的代码, 会发现解密之后会调用一次 MultiByteToWideChar​ 函数, 然后再把结果传入 MessageBoxW​ 函数以在弹窗中显示. 而 MultiByteToWideChar 函数的作用正是转宽字符.

260 在绕过登录条件并执行 AES 解密后, 程序会显示 Recovery Seed 明文. 请填入该明文.

答案

cloud,deer,echo,fish,hawk,idea,juice,leaf,mirror,ocean,puzzle,rose

这一题可以用多种方法做出来:

• 静态分析: 直接看懂解密代码的逻辑, 然后用 CyberChef​ 或者 Python脚本 按照一样的逻辑把密文解密出来(比较麻烦, 一般不推荐这种方法, 除非程序里面只有加密部分的代码, 这时候就只能去这样分析出解密逻辑)
• 动态分析: 用静态 patch、hook 或者调试器来篡改原来代码的逻辑, 直接运行程序里存在的解密代码, 解出明文(比较简单, 我这里也是用这种方法)

根据上面我们知道, 程序会判断 byte_140005704 的值来决定是否运行解密代码, 那么我们这里直接利用 IDA 去 patch 掉这里的跳转指令, 或者用调试器来篡改掉这个地方的值(也可以用 frida 来进行 hook), 总之想办法让程序运行到解密部分的代码, 这样就可以解出明文.

261 执行文件中使用一组 32 字节的 AES 密钥来解密固定密文. 请写出该密钥的字符串内容.

答案

12345678901234567890123456789012

32 字节, 跟题目也对应

262 在逆向分析 SecretSeed.exe 时, 即使输入正确账号与密码, 程序仍未进行解密. 哪一种条件跳转指令最可能造成此行为?

选项

• A. JMP (无条件跳转)
• B. CALL (函数调用)
• C. JZ (条件为零时跳转)
• D. INT 3 (除错中断)

答案

C

只有 C 是有条件跳转，在前面题目的解答过程中也能知道这一题的答案.

263 通过反汇编逆向分析或出错观察, 可以判断程序如何读取 AES 密文以进行解密. 请问密文数据最有可能以何种形式储存并存取

选项

• A. 从远端服务器动态下载
• B. 以 ASCII 字符串形式硬编码在 .rdata 或 .data 区段中
• C. 使用第二层密钥在执行时解密
• D. 使用 XOR 混淆后再于存储器重建

答案

B

不难发现密文以 ASCII 字符串形式硬编码在 .rdata 区段.

264 你正在分析一个名为 SecretSeed.exe 的程序, 当输入正确的账号密码后, 程序会进一步比对一个内部变量, 来决定是否显示助记词. 请问: 该变量在 SecretSeed.exe 中相对 base 的 offset(十六进位)是多少

答案

0x5704

​0x140005704(address) - 0x140000000(base) = 0x5704(offset)

‍

NAS 服务器

案情

梁雪媚供称, 她以屏幕录制方式记录了这次视频通话, 并且保存在 Manson 公司的服务器中, 她只记得这个文件的部分文件名称是"Meeting_20250429".

你确认公司网络存在非法访问情况, 网络存储服务器(NAS)在发现遭到非法访问当日已立即关机. 你检查确认正在连接三块硬盘, 为避免破坏证据决定直接对四块硬盘进行取证, 请根据比赛材料manson_storage1.e01, manson_storage2.e01, manson_storage3.e01, manson_storage4.e01 回答以下问题.

本部分涉及原题目 28 - 29, 59 - 74, 97 - 99 题.

28 请你在公司服务器中找出这个文件, 并且计算其 SHA-256 哈希值

答案

8B058302210A15542FA927FB488296C6635D1C683959A4AF71B2892682B96BC1

29 发现此网络储存服务器(NAS)有其他的视频, 哪一个视频讲述计划抛售稳定资产

选项

• A. Meeting_20250409.mp4
• B. Meeting_20250424.mp4
• C. Meeting_20250425.mp4
• D. Meeting_20250429.mp4
• E. Meeting_20250430.mp4

答案

C

语音转文字

选项 A

选项 B

选项 C

选项 D

E 没找到

综合来看还是 C 的"出售 10% 的安全资产, 购入一些颇具挑战性的股票."比较符合

其实和视频文件存储在一起的 vtt 文件就是字幕文件, 打开直接看也行.

59 该网络存储服务器(NAS)设备采用了什么 RAID 配置

选项

• A. RAID 1
• B. RAID 5
• C. RAID 6
• D. RAID 10
• E. JBOD

答案

C

第一反应就是使用 UFS 工具尝试自动重组, 也确实重组出来了:

这次的 Raid 检材镜像中包含 MD Header 信息, 所以无论是用 UFS, RStudio 还是火眼的 Raid 重组工具都能很顺利地重组.

60 你发现此网络存储服务器(NAS)的 RAID 阵列配置并非由四块硬盘组成, 黄智华(TITUS WONG)声称对此不知情拒绝交代原因, 请问这个网络存储服务器(NAS)原配置了多少块硬盘

选项

• A. 2
• B. 4
• C. 5
• D. 6
• E. 8

答案

B

之前看到是 Raid6, 阵列内有 2 块冗余盘(大小相当). 在 MD Header 中可以看到, 数据盘一共有 4 个 Container:

每个 Container 的大小都是 9.77 GB, 重组出的 Raid6 卷大小为 19.55 GB, 正好是 2 倍的 Container 大小. 也就是 4 个盘里面有 2 个是冗余盘, 2 个是数据盘.

给出的 4 个镜像就是 Raid 阵列的全部磁盘的镜像了, 题目描述有误.

61 该 RAID 卷的容量是多少 GB

选项

• A. 16.5
• B. 19.5
• C. 22.5
• D. 25.5

答案

B

使用火眼或取证大师自带的 Raid 工具也可以(下图为火眼的 Raid 工具):

62 此卷(Volume)的文件系统类型是

答案

BTRFS

63 请列出这个 NAS 操作系统内部版本号

答案

72806

美亚的自动重组会生成一个镜像文件, 省去了导出的麻烦, 直接添加到检材进行分析:

很奇怪, 竟然只有系统盘, 那只能使用 usf 手动导出的镜像分析了:

在路径 nas.dsk/分区1/@syno/@eaDir 下找到 VERSION 文件

64 请指出这个 NAS 哪些文件夹被设置为共享？

选项

• A. CEO 及 Sales
• B. IT 及 Meeting
• C. IT, Sales 及 Meeting
• D. CEO, IT, Sales 及 Meeting
• E. 以上都不是

答案

B

在系统盘的 usr/syno/etc/sharesnap/sharesnap.conf 里能找到:

一共 4 个:

• Meeting
• Manson
• Promotion
• IT

从这里也能看出这是群晖(Synology) NAS, 而 sharesnap 是 Shared Folder Snapshot, 即共享文件夹快照, 内容的 local_time_format=true 表示在生成快照或者查看快照版本时, 使用本地时间格式.

65 请列出这个 NAS 共设立了多少个已启用资料回收站的共享文件夹

选项

• A. 0
• B. 1
• C. 2
• D. 3
• E. 4

答案

B

比赛时我直接看的是这四个共享文件夹里面那些有回收站文件夹, 只有Manson下面有:

比较正经的是查看配置文件 /usr/syno/etc/share_right.map:

66 该 NAS 共有多少个"使用者"账户

选项

• A. 0
• B. 1
• C. 2
• D. 3
• E. 4

答案

E

比赛依旧没有找配置文件, 直接看的 @userpreference 下面有哪些有内容的文件夹:

配置文件 /etc/synouser.conf:

67 该 NAS 共有多少次认证失败的登录请求

选项

• A. 0
• B. 4
• C. 5
• D. 10
• E. 20

答案

C

翻找 log 文件, 在 var/log/auth.log 里面能看见登入记录:

失败的一共五次

68 2025 年 4 月 28 日 00:00 时至 23:59 时(UTC+8)共有多少次认证失败登录请求

选项

• A. 0
• B. 4
• C. 8
• D. 16
• E. 32

答案

B

同上题

69 根据上一题, 这些失败登录请求来自哪一个网络地址(IPv4 / IPv6)

答案

10.213.45.12

70 根据上一题, 这设备的唯一序列号是什么

答案

20A0SZRA8LYND

不知道这个根据上一题是怎么个根据法...

在 /etc/synoinfo.conf 中有记录, SN 就是 serial number:

71 根据系统日志文件显示在 2025 年 4 月 28 日 00:00 时至 23:59 时(UTC+8)期间, 有多少个删除的操作

选项

• A. 0
• B. 1
• C. 3
• D. 5
• E. 6

答案

6

@syno/@database/synolog/.SMBXFERDB 数据库中记录了所有用户的操作, 题目时间戳范围是 1745769600 到 1745855999:

72 根据上一题, 以下哪一个是其中一个被删除的文件的文件名称

选项

• A. sp57734.exe
• B. sp56735.exe
• C. sp55736.exe
• D. sp54737.exe

答案

A

又是根据上一题...然而上一题的 6 个 delete 操作里面根本没有涉及到删除 exe 文件的操作:

下面有一些关于 exe 的操作, 正好有答案, 呃呃只能写这个了:

73 根据上一题, 根据系统日志文件, 作出这个删除要求的设备与这个 NAS 是否属于同一个子网

选项

• A. 正确
• B. 错误

答案

B

删除操作的 IP:

NAS 的 IP:

嗯, 不一样

74 根据《Manson Investment Strategy for the Second Half of 2025》, 具体投资方案是

选项

• A. Crypto Diversified Fund
• B. Growth AccelerAtor Fund
• C. Liquidity Fortress Fund
• D. Recession Buffer Fund

答案

D

97 在 NAS 中, 有些拥有相同 SHA-256 哈希值的文件, 这些文件是

选项

• A. Poster.jpeg
• B. Poster1.jpeg
• C. Poster 1.jpeg
• D. Poster (1).jpeg

答案

D

没搞懂, 实际 NAS 里面找不到 ABC 选项:

题目意思也没看懂, 是要找那些文件的 SHA256 是相同的? 但是为什么是单选题?

98 根据上一题, 当中有二维码, 其中的资讯值内容

答案

0x548dafDe4B17d7d3C9485E79B3B5018801C7855E

99 根据上一题, 根据系统日志文件, 该 4 个文件何时被存入 NAS (UTC+8)

答案

2025-04-29 15:11:23

没找着上传的操作记录, 可以根据修改时间推断上传时间:

大模型服务器

案情

你留意到网页连接了公司的人工智能大模型, 可以直接访问这个大模型. 你开始分析这个大模型. 请根据参赛材料 manson_server2.e01 回答以下问题.

本部分涉及原题目 131 - 152 题.

131 这个大模型建立在以下哪一个操作系统上

选项

• A. Ubuntu 24.04
• B. Ubuntu 25.05
• C. Debian 11
• D. Debian 12
• E. Window

答案

A

我想先在火眼里仿真一下, 但没有成功.

原因是系统缺少引导分区. 火眼仿真在比赛后的一次更新中修复了 ARM 架构仿真缺少引导的问题, 为系统额外补充了引导. 但其实类似的问题已经在今年的 FIC 比赛中遇到过了, 当时也是缺少了引导, 赛后火眼更新修复了问题. 估计是两个系统使用的引导还是有区别的?

系统信息最后一行, -raspi 表示系统是为树莓派设备(ARM 架构)定制和编译的.

132 Manson Finance 网页聊天机器人当前使用的工作流自动化平台是什么

答案

n8n

这台 linux 服务器中, 在分析出的 docker 信息中有 n8n 的镜像和容器; manson 用户目录下也有 n8n-data 文件夹, 能确定使用的是 n8n.

133 该工作流自动化平台构建在哪种环境上

选项

• A. Docker
• B. VM
• C. Google Cloud Run
• D. Window

答案

A

见上题.

134 该工作流自动化平台使用的部署显示卡型号是什么

选项

• A. NVIDIA GeForce RTX 3090
• B. NVIDIA GeForce RTX 3070
• C. NVIDIA GeForce RTX 3080
• D. NVIDIA GeForce RTX 4060
• E. NVIDIA GeForce RTX 4090

答案

C

见下题.

135 Manson Finance 网页 AI 聊天机器人使用的大语言模型是什么

选项

• A. GPT-4
• B. DeepSeek
• C. Gemini
• D. BERT
• E. Claude

答案

B

Ollama 是一个本地大模型的一键运行工具. 网页服务器 manson_server1.e01 的 C:/Users/admin/.ollama/models/manifests/registry.ollama.ai 路径下, 记录了其使用的模型和体积信息.

既然使用的是本地用 Ollama 运行的大模型, 使用的显卡也应该是这台服务器的显卡. 在硬件信息分析结果中过滤"Nvidia"即可看到服务器安装的显卡:

136 该大语言模型的体积(B)大小是多少

选项

• A. 6B
• B. 7B
• C. 16B
• D. 34B
• E. 52B

答案

B

看到了 7B 和 14B 的模型.

在 server2 检材的 n8n 数据库 database.sqlite 找到了确定 7b 的信息:

137 Manson Finance 网页聊天机器人的工作流自动化平台使用的数据库类型是什么

答案

PostgreSQL

在 /home/manson/n8n-data/docker-compose.yml 中记录了数据库类型、用户名和密码. 据此可完成 137 - 141 题.

也可以直接看火眼分析出的 docker 容器列表, 查看使用的容器信息

没想到竟然密码是明文, 见上图 DB_TYPE 配置项.

138 Manson Finance 网页聊天机器人的自动化平台的主机 IP 和端口号是什么

答案

192.168.80.51:5678

参考 137 题图, WEBHOOK_URL 配置项.

139 Manson Finance 网页聊天机器人当前使用的工作流自动化平台的数据库名称是什么

答案

n8n

参考 137 题图, DB_POSTGRESDB_DATABASE 配置项.

140 该工作流自动化平台使用的数据库的用户名称是什么

答案

manson

参考 137 题图, DB_POSTGRESDB_USER 配置项.

141 该工作流自动化平台使用的数据库的密码是什么

答案

71418@Manson

参考 137 题图, DB_POSTGRESDB_PASSWORD 配置项.

142 Manson Finance 网页聊天机器人当前使用的工作流自动化平台的账户名称是什么

答案

admin@manson.com

在审计日志中, 用户身份标识是 _email 字段, 推断其可能是登录用户名.

以及在 n8n 数据库 database.sqlite 的 usr 表中, 存储用户信息的只有 email, firstname 和 lastname 字段, 所以账户名称应该是admin@manson.com.

或参考下题.

143 Manson Finance 网页聊天机器人当前使用的工作流自动化平台的账户密码是什么

答案

P@ssw0rd!@#

访问网页聊天机器人会在 web 服务器上留下记录.

n8n 是工作流平台, 默认端口 5678, 部署在网页服务器上, 所以通过浏览器访问平台时会留下痕迹.

Edge 浏览器 - 保存的密码中记录了账号和密码. 可以看到网页聊天机器人账号是 admin@manson.com, 密码是 P@ssw0rd!@#:

144 该工作流自动化平台中可发现以下哪些组件

选项

• A. Webhook
• B. Vector Store Tool
• C. Anthropic Chat Model
• D. OpenAI Chat Model
• E. Update profile

答案

A

在 n8n 的日志里有 Webhook 的工作记录.

Webhook 是 Manson Finance 网页聊天机器人的消息发送入口, 用户在网页聊天框里发送请求之后, 浏览器将内容通过 HTTP POST 发送到 n8n 的 Webhook 地址, 触发工作流, 调用 Ollama 和 Deepseek 生成回复, 再返回给用户.

145 Manson Finance 网页聊天机器人模型配置 AI 模型连接时, "Base URL"字段应如何设置才能指向本地部署的 AI 服务

选项

• A. http://localhost:5678
• B. http://192.168.80.50:11434
• C. http://192.168.80.51:5678
• D. http://localhost:5432/db_name
• E. http://192.168.80.50:3000

答案

C

在网页服务器 server1 检材的 /manson/cursor-web-next-app/.env 文件: 这是一个环境配置文件, 用于存储应用程序的敏感信息、服务配置和环境变量.

这个文件的主要信息有:

1. 配置数据库连接信息: 包括用户名是 root, 数据库密码是 manson@MFI, 数据库运行在本地端口 3306, 数据库名称是 mason_finance 等信息.
2. NextAuth.js 配置: 配置 NextAuth.js (Next.js 的身份认证库)的核心参数. 包括NextAuth 的加密密钥、应用程序的基础 url (回调地址、回话跳转依赖此地址).
3. AI 聊天机器人 Webhook 配置: 192.168.80.51:5678 是 ai 服务的主机和端口.
4. 联系表单的 SMTP 配置: 用户提交联系表单后, 自动发送邮件通知.

从这个文件可以看出: 192.168.80.50是前端网页服务器的 ip 地址, 它是聊天机器人的交互入口, 负责管理用户会话和跳转, 接受用户的聊天请求并转发, 并且它使用的模型是 ollama 运行的 deepseek 7b 模型; 192.168.80.51 是大模型服务器的 ip 地址, 它部署了大模型推理服务、暴露 webhook 接口供网页服务器调用, 并生成回复返回给网页服务器.

我们可以把将 web 服务器运行起来.

火眼仿真打开 server1. c 盘项目目录 web-app 下, 先查看 README 文件, 里面介绍了网站的架构、技术栈.

用 vscode 打开这个项目文件夹, 运行网页服务器.

发现网站注册不成功, 没法登录进去, 也没有前端渲染等效果, 只有一个框架, 推断这是未完成的半截项目.

还有另一个目录 cursor-web-next-app, 就是这个了.

发现绑定了运行时的 ip, 那把这些 ip 字段改成仿真时的自己虚拟机的 ip 再运行 npm run dev:

这样就仿真看到了嫌疑人网站前端.

146 Manson Finance 网页聊天机器人当前使用的是工作流自动化平台的聊天模型是用什么 AI 模型

答案

deepseek-r1:7b

本题官方答案(ollama)有误. 参考上述分析过程, 使用的 AI 模型是 deepseek-r1:7b.

147 Manson Finance 网页聊天机器人当前使用的工作流自动化平台的聊天模型的账户名称是什么

答案

Ollama account

工作流平台 n8n 的数据库 database.sqlite 中, 聊天模型在数据库中的账户名称是 Ollama account:

该表的 connection 字段的 ai_languageModel 参数表明目前哪个模型有效, 这个连接有 3 个版本:

版本特征	版本 1 (基础助手)	版本 2 (金融顾问)	版本 3 (金融顾问 + Ollama)
AI Agent 系统提示词	"You are a helpful assistant"(通用助手)	金融顾问角色定义(Mason AI)	金融顾问角色定义(Mason AI)
绑定的模型节点	OpenAI Chat Model(gpt-4o-mini)	OpenAI Chat Model(gpt-4o-mini)	Ollama Chat Model(deepseek-r1:7b)
核心功能	通用对话问答	专业金融投资建议	专业金融投资建议

但由于连接的是本地大模型, 所以用户询问时会使用第三种配置.

148 Manson Finance 网页的聊天机器人目前使用的工作流自动化平台的数据库中有多少张数据表

答案

40

这道题其实有些疑惑点, n8n 同时使用了 SQLite 数据库和 PostgreSQL 数据库, 如果以 PostgreSQL 为准的话就是 98 张表:

比赛当时火眼还不支持该版本的 PostgreSQL 的解析, 只能导出数据之后手动迁移, 或者使用 16 进制查看工具硬看.

149 Manson Finance 网页聊天机器人当前使用的工作流自动化平台的数据库, 哪个表用于存储聊天机器人的聊天历史

答案

n8n_chat_histories

在 PostgreSQL 的 n8n 数据库的 n8n_chat_histories 表中存储着聊天记录:

这道题存在与上题相同的问题, 在 SQLite 数据库中也可以看到 execution_data 表中存储着一些包含用户提问的数据.

150 在 Manson Finance 网页聊天机器人使用的工作流自动化平台数据库中, session_id 为 1745823720823–2u7chh7 的会话共有多少段问答

答案

16

接上题.

每条记录都是一段问答:

151 在 Manson Finance 网页聊天机器人的工作流自动化平台数据库中, session_id 为 1745823720823–2u7chh7 的会话中, 用户曾提出过以下哪些问题

选项

• A. 如何开始投资贵金属？
• B. 贵金属投资是否适合长期持有？
• C. 能否推荐一些高回报的加密币？
• D. 贵金属能否能否短炒？
• E. 如何开始投资贵金属指数基金？

答案

AD

见上题图.

152 在 Manson Finance 网页聊天机器人的工作流自动化平台中的 AI Agent 约束条件(Constraints)中, 明确禁止了哪项操作

选项

• A. 使用通俗易懂的语言解释复利的概念
• B. 根据用户的风险承受能力提供资产配置建议
• C. 存储用户的对话记录以提供连续的上下文
• D. 在未经实时信息验证的情况下，提供具体的市场走势预测
• E. 提供基于人工智能生成的特定股票代码和买入时机建议

答案

D

在 n8n 数据库 database.sqlite 的 workflow_history 中, 节点输入数据中可以看到系统提示词:

153 在 Manson Finance 网页聊天机器人的工作流自动化平台中, AI 助手被设定为一名专业的财务投资顾问. 以下哪项行为是符合其核心准则的

选项

• A. 向用户保证某项投资必然获得高额回报
• B. 推荐特定的个股并预测其下周股价
• C. 建议用户根据自身风险偏好进行多元化资产配置，并提示投资风险
• D. 要求用户提供银行账户密码以进行深度财务分析
• E. 提供基于历史数据和公开信息的教育性市场分析，并明确强调该内容不构成投资建议，鼓励用户咨询持牌顾问

答案

CE

见上题图.

邮件服务器

案情

你开始分析 Manson 公司的外送邮件服务器(SMTP server). 请根据参赛材料 Manson_server3.e01 回答以下问题.

本部分涉及原题目 100 - 114 题.

100 请列出这个电子邮件服务器的安装日期(GMT +8)

答案

2025-04-10

字面意思理解的话, 个人认为"电子邮件服务器的安装日期"指的是服务器系统安装时间, 但出题人指的是软件安装时间.

经 @Noahtie 提醒, 题目是从英语机翻过来的, 因此可能会造成误会. 我们应当逆向思维想一下题目本身是怎么写的.

可以找到 Apache 服务器的安装日志.

或者也可能指的是 hMailServer 的安装时间.

101 请指出外送邮件服务器(SMTP server)中有多少封电子邮件未能成功寄出?

选项

• A. 0
• B. 2
• C. 4
• D. 6
• E. 8

答案

C

数 Message_undeliverable, 即未发送邮件的个数

102 根据已安装的语言包, 以下哪些是这个外送邮件服务器的操作界面可以使用以下哪种语言？

选项

• A. 中文
• B. 英文
• C. 法文
• D. 俄文
• E. 瑞典文

答案

BE

可以在 hMailServer 的配置文件找到语言包信息.

103 在 2025-04-29 至 2025-05-08(GMT +8)期间, 这个外送邮件服务器有多个错误记录表示发送邮件失败, 当中的错误代码是多少

选项

• A. HM5094
• B. HM4354
• C. ⁠HM5010
• D. HM5048
• E. ⁠HM5026

答案

E

通过审阅 hMailServer 的日志文件, 可以看到:

• HM5094 是无法加载MySQL客户端的问题;
• HM4354 是无法连接到数据库服务器的问题;
• HM5010 是无法检测数据库版本的问题;
• HM5048 是文件复制的问题;
• HM5026 是向消息文件写入数据(即发送邮件)的问题.

104 在该电子邮件客户端软件的账户设置中, ceo@manson.com 的用户名称是什么

答案

Hayson.L

查看邮件的发件人信息即可

105 在该电子邮件客户端软件的账户设置, ceo@manson.com 在电子邮件客户端中的"Disk Space"设定, 下列哪一项描述是正确的

选项

• A. 系统会自动删除所有已读取的邮件以释放空间
• B. 系统会保留最近一封邮件, 其余旧邮件会被永久删除
• C. 系统会删除超过一定天数的旧邮件, 但具体天数未设定
• D. 已标记为"已加星号"的邮件永远不会被自动删除
• E. 账户设置为不删除任何邮件, 仅在容量满时发出警告

答案

D

没有人比我更懂偷懒! 我不喜欢翻数据库和配置文件, 于是我们接下来把这个镜像仿真一下.

在我看来, 拿到检材密码的第一时间就应该镜像仿真, 我在正式比赛之前就完成了 RAID 重组与所有服务器的镜像仿真.

题干中的"电子邮件客户端"指的是固定在任务栏的 ThunderBird(雷鸟).

我们按题干描述打开 ceo@manson.com 在电子邮件客户端中的"Disk Space"设定即可.

"Always keep starred messages" 即为永远保留星标的邮件; E 选项中"仅在容量满时发出警告"未在设置中体现.

106 在该电子邮件客户端软件的账户设置, ceo@manson.com 账户的服务器设定, 下列哪一项叙述是正确的

选项

• A. 它使用 POP3 协定来收信, 服务器地址是 mail.manson.com
• B. 账户的安全设置中, 连接安全与身份验证方法均被设定为"未配置"
• C. 它使用 IMAP 协定, 服务器位于本机, 并会每 10 分钟自动检查新邮件
• D. 它禁用了服务器的新邮件即时推送通知功能

答案

C

启动 ThunderBird 时就要求输入邮箱的密码, 因此 B 选项中至少设置了身份验证方法:

在 ThunderBird 的用户配置文件 C:/Users/Administrator/AppData/Roaming/thunderbird/Profiles/j5e2vohh.default-release/prefs.js 中也可以看到, 设置的认证方式为 0 (Normal Password):

其余选项在 ThunderBird 查看设置即可.

107 在该电子邮件客户端(软件)的账户设置, 在 SMTP 设定里, 关于 ceo@manson.com 的外送邮件服务器, 下列哪些叙述是正确的

选项

• A. 服务器名称是 smtp.manson.com
• B. 连接埠设定为 587
• C. 认证方式为"密码, 以不安全方式传输"
• D. 连线安全性为 SSL/TLS

答案

BC

在 ThunderBird 查看设置即可.

选项 B 中的"连接埠"意为"端口".

108 这个电子邮件服务器中使用者 administrator 密码是什么

答案

MFI&MFI123

本题需联系其他检材

我首先尝试了直接寻找明文密码, 不出所料的一无所获. 那么我们从加密文件入手.

我们可以看到最近打开的文件 K:\login.xlsx 与 L:\login.xlsx.

结合桌面的 TrueCrypt 不难想到是在一个容器文件内的. 可惜的是, 本服务器上不包含任何容器文件.

@stellalyRin 在冯子超家中查获的笔记本电脑 Duncan_laptop.e01 的桌面同样看到了 TrueCrypt 及 ManSon 文件, 我们很难不把二者联系起来.

我们从本服务器桌面上的图片 Manson.jpg 入手. 依照图片中的"+3"提示猜测其为凯撒密码, 在 010 中看到其文件尾的 Lzbxk_Mxoh (火眼也能看), 经过偏移为 3 的凯撒密码加密后得到了 Ocean_Park.

用得到的密码在冯子超的笔记本电脑上挂载加密卷 ManSon 即可得到 login.xlsx, 最终得到本题密码.

109 哪个软件被用来向客户发送促销电子邮件

答案

eM Client

服务器上可以发邮件的软件并不多, 随便看看就能在 eM Client 看到向客户发送的促销电子邮件.

110 这个电子邮件服务器是用什么类型的数据库及版本

答案

MySQL 5.7

在火眼的数据库分析结果中可以看到, MySQL 5.7 里有邮件服务器的数据:

111 有多少个 Manson Finance 客户收到了参加密币投资项目的电子邮件邀请？

选项

• A. 0
• B. 2
• C. 3
• D. 5
• E. 9

答案

C

查看邮件内容, 能发现以下有三封邮件是邀请

112 根据上一题, 请列出发出上述电子邮件发件人的邮箱地址

答案

marketing@manson.com

见上题.

113 根据上一题, 这封电子邮件是何时发出(GMT +8)

答案

2025-04-29 18:39:23

接上题. 是这三封邮件中最早的那一封

114 根据上一题, 这些电子邮件中有一封包含附件, 请找出这封电子邮件(eml 文件), 算出它的 MD5 哈希值

答案

B37EEA92E0AE953E6A42F49C287390F1

每封中都有一张 logo 照片, 是嵌入邮件正文的图片而非附件. 唯一带有附件的文件是最早的一封邮件, 跳转到源文件或导出后计算其 md5 值即可

网页服务器

案情

由于 manson 公司网页发现张贴了未经授权的图片, 你开始分析相关的网页服务器. 请根据参赛材料 manson_server1.e01 回答以下问题.

本部分涉及原题目 115 - 130 题.

部分题目可参考第 145 题的分析过程.

115 Manson Finance 网页中 AI 聊天机器人使用的端口号是多少

答案

5678

在 C:/manson/cursor-web-next-app/ 目录中存储着 Manson Finance 的网站服务端, 其中的 README.md 中有相关信息:

在 .env 文件中可以看到 AI ChatBot 使用的 API 地址:

116 Manson Finance 网页服务器的 TCP/IP 主机名是什么

答案

DESKTOP-UMOFBQ9

打开火眼, 点击就送.

117 Manson Finance 网页使用哪种数据库管理工具

选项

• A. phpMyAdmin
• B. Dbeaver
• C. MySQL Workbench
• D. HeidiSQL
• E. Microsoft SQL Server Management Studio

答案

C

查看电脑 Edge 浏览器搜索记录可以找到 MySQL Workbench, 再仿真打开电脑中确实有这个软件, 确实看到了我们之前找到的网站, 从而将答案确定下来

118. Manson Finance 网站的数据库的用户名称是什么

答案

root

见上题, 在 MySQL Workbench 能看见用户名是 root

119 Manson Finance 网站的数据库的密码是什么

答案

manson@MFI

接 115 题. 在 .env 中可以看到连接数据库的 ODBC 连接, 格式为 <DBC>://<USER>:<PASSWD>@<HOST>:<PORT>/<DB_NAME>, 需要对密码进行 URL 解码:

或者写个正则搜一下登录的记录.

120 构建 Manson Finance 网页前端使用的框架工具/语言是什么

答案

nextjs

在文件管理器中, 容易发现左侧最近访问文件有何 web 相关的目录, 应该就是网页的目录, 在 website4 没有发现什么特殊的前端框架之类的

但是在 web-app 和 cursor-web-next-app 中, 发现了 next.js 前端框架(README.md 里面写了是 next.js)

在终端历史记录中也可以看到用户最后用 Cursor 编写了 cursor-web-next-app 目录中的服务端并运行:

但这道题目有些歧义. 应用使用的前端框架为 NextJS, 整体又使用的是 NodeJS 框架, 使用的语言是 JavaScript. 这里真不知道该填哪个了, 第 122 题也有相同的问题.

121 以下哪个指令可以令 Manson Finance 网页的服务器启动

选项

• A. npm run build
• B. npm run start
• C. npm run dev
• D. node server.js
• E. python manage.py runserver

答案

C

• A 用来编译;
• B 用来启动生产环境;
• C 用来启动开发环境;
• D 用来运行 NodeJS 程序;
• E 用来启动开发环境.

然而我们在历史记录里只能搜到 C.

在 115 题中提及到的 README.md 中也可以看到启动服务器的指令是 npm run dev.

122 构建 Manson Finance 网页前端使用的框架工具/语言是用什么版本

答案

15.3.0

在 115 题中提及到的 README.md 中可以看到

在 /node_modules/@next/env/package.json 中也可以看到 Node 模块的描述信息, 其中包含版本:

123 Manson Finance 数据库中有多少个客户

答案

1000

在数据库数据中可以找到有 1000 个账户信息:

124 在 Manson Finance 数据库中, 排除 _prisma_migrations 表后有多少个表

答案

5

125 在 Manson Finance 数据库中, 下列哪一个员工是该公司分析师

选项

• A. 李小明
• B. 王美华
• C. 陈大文
• D. 陈志文
• E. 张志强

答案

B

直接看员工数据表

126 在 Manson Finance 数据库中, 哪个 userID 的余额最高

选项

• A. 77955495-d859-4de9-ab6a-0f0b30cb3c76
• B. 09fac094-bd73-4ad0-8a49-df33bc66e558
• C. 78fds494-df33-sdf4-34as-dfdfasdd4332
• D. 6785254-ase3-df32-sdf1-dfsa123481234
• E. 44fa73f7-676b-4ea5-9f65-cd643cb252d7n

答案

A

用火眼的数据库取证工具, 或者其他数据库工具都可以, 简单查询一下

127 在 Manson Finance 数据库中, 有多少个 userID 买卖贵金属交易次数超过 9 次

答案

102

考察数据库的简单使用, 这里查询统计一下即可

128 在 Manson Finance 数据库中, 以下哪个 userID 交易金额最多

选项

• A. d3c2ce43-A621-4ec8-9386-1d86540af509
• B. 5Se3c6e1-8ab1-4700-93f7-9c7ee93ff655
• C. 44fa73f7-676b-4ea5-9f65-cd643cb252d7n
• D. fe18d1c3-a79a-45e8-968a-a65369af06eb
• E. d6b17d01-3675-4098-8f8e-77842cb5471

答案

B

同样考察数据库使用能力, 求一下和. 不过注意要找到选项中最多的, 因为求和后发现最多的不在选项里, 然后有些选项根本不存在, 找到选项里最多的就行(题目的选项好像有一点点小问题)

129 于 2025 年 5 月 2 日, 在 Manson Finance 的网页多了一张不属于该网站的照片. 而经调查后, 亦于 Duncan 的电脑中发现该相同的照片, 请提供该照片的 SHA256

答案

14BF39205FEE0A16A530F4DD14229018C80FC70315F2339F928FECE4610DF27C

经过寻找, 以及结合之前题目的分析, 再结合日期信息, 找到这张 qrcode.jpeg, 计算 SHA256 即可

130 根据你的分析, 请指出 Manson Finance 网页被人用以下哪一种漏洞入侵

选项

• A. SQL注入
• B. Nginx
• C. Rejetto HTTP 文件服务器
• D. TeamViewer
• E. Apache HTTPd

答案

C

选项 A

经查验 MySQL 相关日志, 没有 OR '1'='1, UNION SELECT, sleep( 等常用 payload, 初步判定为没有被 SQL 注入或攻击手段较为高明.

选项 B

通过初步搜索("SQL" "nginx" "hfs" "teamviewer" "apache" "httpd"), 我们发现本服务器不存在 Nginx.

选项 D

经查验 TeamViewer 相关日志, TeamViewer 没有可疑的外连记录, 初步判定为 TeamViewer 未被利用或攻击手段较为高明.

选项 E

经查验 Apache 相关日志, 没有可疑请求或告警, 初步判定为 Apache 未被利用或攻击手段较为高明.

选项 C

经查验 hfs 相关日志, 以下防火墙条目说明 hfs.exe 被允许接受外部 TCP 连接, 典型的 HFS 用法, 初步断定为利用 CVE-2024-23692 模板注入漏洞进行的攻击.

hfs.exe 被执行的日志.

攻击者通过 hfs.exe 在系统目录写入了文件.

在 %TEMP% 目录下找到多个 RCE vbs 脚本. 不妨随便打开一个审计一下.

这是一个典型的 Dropper, 可以从攻击机(182.239.117.20:8080)下载恶意脚本并在靶机内存执行.

且上述日志均在同一天(2025-04-14)晚上八点左右记录, 时间线吻合, 断定为利用 Rejetto HTTP 文件服务器进行的攻击.

另外, 结合冯子超的计算机检材中的 Kali 虚拟机内 Metasploit 和 Meterpreter 的日志也可以确认攻击者使用的攻击手段.

综合分析

178 在所有参赛材料中, 有多少个镜像文件有安装通讯软件 "Telegram"

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

答案

E

陈民浩的 iPhone 手机中安装有 Telegram:

冯子超的手机中安装有 Telegram:

梁燕玲的手机中安装有 Telegram:

林嘉熙的手机中安装有 Telegram:

梁雪媚的手机中安装有 Telegram:

179 根据上一题, 有多少个已启动并且已登记 UserID (UID)

选项

• A. 1
• B. 2
• C. 3
• D. 4
• E. 5

本题存疑

官方答案: B

200 哪一个手机中有连接 AirTag

选项

• A. FUNG_CC_mobile.zip
• B. CHAN_MH_mobile.zip
• C. LEUNG_YL_mobile.zip
• D. LEUNG_SM_mobile.zip
• E. WONG_CW_mobile.zip

答案

C

根据梁燕玲与陈民浩的 WhatsApp 消息记录可以推断出来, 梁燕玲在陈民浩的行李中安装了 AirTag, 之后该 AirTag 被陈民浩发现:

在陈民浩的 iPhone 手机内的屏幕截图中:

201 该 AirTag 在哪一部手机中曾被发现

选项

• A. FUNG_CC_mobile.zip
• B. CHAN_MH_mobile.zip
• C. WONG_CW_mobile.zip
• D. LEUNG_SM_mobile.zip

答案

B

见上题.

网络流量包

案情

据技术人员黄智华(TITUS WONG)供称, 公司网站、广告显示屏(广告系统)和电子邮件系统有异常情况. 应林嘉熙要求进行网络流量及封包监听检查及停用网络存储服务器(NAS), 请根据参赛材料 CEO_Traffic.pcapng 回答以下问题.

本部分涉及原题目 48 - 58 题.

48 开始抓包的日期及时间(UTC)

选项

• A. 2025-05-08 09:43:16
• B. 2025-05-08 17:43:16
• C. 2025-05-09 09:43:16
• D. 2025-05-09 17:43:16

答案

B

49 根据上一题, 抓包总时长是多少

答案

00:18:44

参考上题图.

50 根据上一题, 共捕获多少数据包

答案

6316

见第 48 题图.

51 根据上一题, 数据链路层中哪个设备的 MAC 地址活跃度最高

答案

a0:b3:cc:29:28:a9

找到在 所有 以太网帧中出现总次数最多的 MAC 地址, 直接 统计-> 端点 -> 协议 选择Ethernet -> 按照分组降序排序:

52 根据上一题, 进行抓包工作的设备使用了哪一个网络接口

选项

• A. 以太网 1
• B. 以太网 2
• C. 以太网 3
• D. 以太网 4

答案

C

解法一

要从一个捕获到的流量包分析设备抓这个包时候利用的是哪个接口, 凭借对文件格式的理解, 这种一般属于元数据类型, 可能会存储在文件头或者文件尾等固定格式块内. 用 010 打开也已经验证了猜想.(如感兴趣, 可移步这篇博客, 写的很细: https://blog.csdn.net/m0_53887937/article/details/133978428 )

直接搜在 ascii 编码区搜 interface 是没有结果的, 考虑一些编码转换的问题. 但万能的 wireshark 或许可以解析, 故而搜索官方的介绍, 得到 Q & A: https://osqa-ask.wireshark.org/questions/34372/referencing-interface-ids/ , 点开统计, 看到文件属性即得解:

解法二

再换个角度想, 用 wireshark 捕捉流量时候选择的接口是 Ethernet 1、WLAN、eth0 等等, 其实对应的是物理层对网卡的选择. 故而分析捕捉流量的接口标识信息, 应该侧重点去找物理层的信息

53 根据上一题, 进行抓包工作设备的网络地址(IPv4)是多少

答案

192.168.20.100

方法一

分析整个流量包的前几帧, 首先是 IPv4 请求 DHCP 服务器分配地址, 紧接着是 IPv6 格式的请求 DHCP 服务器分配地址(补充: 在 现代操作系统和网络协议栈 中非常普遍的一个现象是 IPv4 和 IPv6 地址分配流程通常是并行启动的 ), 紧接着是分配到 IPv4 地址的主机发起 ARP 请求查找网关, 故而得到答案.

ARP包的分析： 客户端（MAC 地址为 HewletPacka_29:28:a9）已经拥有 IP 地址 192.168.20.100，现在它在询问谁是网关 192.168.20.1。

方法二

概览完整个流量包发现 SMB2 协议有异常行为, 怀疑该异常行为的操作者(埠嚎是潶客)即为抓包工作设备. 承接上文分析, 找到最活跃的链路地址对应的 IPv4 是 192.168.20.100, 且可以分析下文 SMB2 协议中, 其对监听到的内网地址 10.213.45.11 进行了攻击, 比如尝试连接文件夹/路径等.

54 哪个IPv4地址不属于公司内网使用？ (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

答案

182.239.117.11

承接上文我们可以看到 ARP 的响应确定了内网网关在 frame19: 192.168.20.1 is at e8:65:5f:1f:55:49 (内网网关的 mac 地址), 这个 IP 地址是路由器在 192.168.20.0/24 子网上的内网接口 IP. 随后观察到另一个内网地址 10.213.45.11 也使用了相同的 MAC 地址.

这表明该网关是一个 多宿主设备, 它可能通过同一个物理接口的不同逻辑配置(如 VLAN 或子接口), 同时服务于 192.168.20.0/24 和 10.213.45.0/24 这两个内网子网. 为了确定哪个地址不属于公司内网(即公网地址), 我们接着对流量包中出现的所有 IPv4 地址进行了排除法分析:

题目解析

该流量包中的所有地址的分类：

截图中的 IP 地址	所属范围	是否内网地址？	结论
\(192.168.20.100\)	C 类私有地址	是	抓包设备（客户端）的 IP
\(182.239.117.11\)	非 RFC 1918 范围	否	公网地址
\(10.213.45.24\)	A 类私有地址	是	另一个内网网段的地址
\(192.168.20.255\)	C 类私有地址	是	本地子网广播地址
\(169.254.69.122\)	Link-Local 地址	是	特殊保留地址（APIPA），用于没有 DHCP 的内网
\(239.255.255.250\)	IPv4 组播地址 (D 类)	否	用于内网 SSDP 服务发现，但技术上**非私有主机地址**
\(224.0.0.252\)	IPv4 组播地址 (D 类)	否	组播地址
\(224.0.0.22\)	IPv4 组播地址 (D 类)	否	IGMPv3 报告专用组播地址
\(0.0.0.0\)	特殊用途（DHCP）	否	不代表可用的主机地址
\(255.255.255.255\)	受限广播地址	否	不代表可用的主机地址

其中观察到定向广播地址 192.168.20.255, 进行流量筛选 ip.dst == 192.168.20.255 (都是在NBNS BROWSWER 等广播报文里), 则推断子网掩码是 255.255.255.0(/16), 则子网环境必然是 192.168.20.0/24, 子网是内网的一个子集.

知识补充

IPv4 地址分类、RFC1918 规定了私有网段(内部网络的地址块)和特殊作用:

类别	首个八位组范围	最高位固定格式	默认子网掩码 (Classful)	私有地址范围 (RFC 1918)	特殊网段作用
A 类	1 到 126	0xxxxxxx	255.0.0.0 (/8)	10.0.0.0 到 10.255.255.255 (10.0.0.0/8)	127.0.0.0/8: 回环地址 (Loopback)，用于本机测试
B 类	128 到 191	10xxxxxx	255.255.0.0 (/16)	172.16.0.0 到 172.31.255.255 (172.16.0.0/12)	169.254.0.0/16: 链路本地地址 (APIPA)，用于无 DHCP 环境
C 类	192 到 223	110xxxxx	255.255.255.0 (/24)	192.168.0.0 到 192.168.255.255 (192.168.0.0/16)	192.0.2.0/24 等: 测试和文档保留
D 类	224 到 239	1110xxxx	不适用	无私有地址	组播 (Multicast): 用于向一组设备发送数据. 例如 224.0.0.0/24 为链路本地组播
E 类	240 到 255	1111xxxx	不适用	无私有地址	保留/实验: 留待未来使用或实验目的

其中根据**组播地址的特殊用途细分：**（按照IANA规定用于特殊用途）

地址范围	名称	用途
224.0.0.0 ~ 224.0.0.255	链路本地组播	仅限于本地链路(子网)内使用, 路由器**不会**转发. 用于 ARP、IGMP、OSPF 等协议的发现和控制
224.0.0.22	IGMPv3 Reports	专门用于接收 IGMP 成员关系报告
239.0.0.0 ~ 239.255.255.255	私有组织范围	用于私人或管理域内的组播, 常用于 UPnP/SSDP 服务发现

55 续接上题, 该 IPv4 地址在哪个端口已建立连接

答案

445

存疑的一个问题是在第一张图里的 source/destination address 和 source/destination port 的对应关系好像反了.

56 续接上题, 共捕获多少通过这个连接传递的数据包

答案

158

做到 56 题时候, 我就在犹豫了, 有以下两个问题:

1. 针对的哪个 IP 和哪个端口
2. 数据包和 frame 之间的关系

所以我是先做下文了, 再回头, 就选中了 6066 帧选择追踪 TCP 流, 选择导出选中的部分再用统计把所有帧数当作数据包的传送数目了(比赛时候我直接导出了, 他会重新 index 从 1 开始计录帧数, 复盘时候发现导出的已显示已经足够了):

57 续接上题, 这个请求曾经尝试连接哪个文件夹

选项

• A. CEO
• B. Meeting
• C. IT
• D. Manson

答案

BD

去翻 SMB2, 可以看到之前的 Request 里 path 的记录

58 续接上题, 那个服务器回应了什么

选项

• A. 未发现
• B. 成功
• C. 失败
• D. 访问被拒绝

答案

A

找到上述两帧的 return frame 直接分析即可

摄像头存储卡

案情

你留意到小米扫地机器人有自动清洁动作, 于是要求警方到现场检材该机器人, 发现垃圾收集箱中有一张存储卡. 请根据参赛材料 CHAN_MH_Cam.e01 回答以下问题.

本部分涉及原题目 235 - 243 题.

235 这张存储卡的实际容量是多少 GB

答案

14.83

本题官方答案有误.

官方给出的答案为 16 GB, 为该存储卡的 标称 容量; 该存储卡的 实际 容量为 14.83 GB.

存储介质的标称容量与实际容量

存储介质的实际容量是以 2^10 进行转换的, 例如, 2^10 B = 1 KB. 系统中显示的即为实际容量.

存储介质的标称容量是以 10 ^ 3 进行转换的, 例如, 10 ^ 3 B = 1 KB, 但实际大小仅为 1000 B ≈ 0.98 KB.

236. 根据上一题, 请列出存储卡的卷标(Volume Label)

答案

MJ_CAM

XWF 或者火眼均可看到:

237 在存储卡中, 找出拍摄到疑似发生争执影像的视频文件, 其完整文件名称

答案

video_0014_0_10_20250516083537_20250516085103.mp4

观看视频后, 可得出

238 根据上一题, 视频文件是用什么的影音串流技术

答案

MPEG-DASH

XWF 进行磁盘快照并验证文件签名之后, 在文件详细中可以看到:

MPEG-DASH 就是一种影音串流技术. 更准确地说, 它是一种自适应比特率串流(ABR, Adaptive Bitrate Streaming)技术, 专门用于通过网络实时传输音频和视频内容.

239 根据上一题, 该视频文件数据在储存设备上的第一磁区号(1^st sector)

答案

3776272

在 XWF 里面可以看到文件的起始位置

240 根据上一题, 请以 16 进位写出该视频文件在文件系统中的偏移地址(FS offset)

答案

ED8BC0

接上题.

241 根据上一题, 请写出该视频在该存储卡的 Unique ID

答案

20

接上题. 在 XWF 详细里面, 内部标识 ID 是系统 / 组件内部使用的私有识别号

Unique ID

参考: Rust Doc - Crate file_id.

Modern file systems assign a unique ID to each file. On Linux and macOS it is called an inode number, on Windows it is called a file id or file index. Together with the device id (Linux, macOS) or the volume serial number (Windows), a file or directory can be uniquely identified on a single computer at a given time.

现代文件系统为每个文件分配一个 UID. 在 Linux 和 macOS 中被称为 inode 编号; 在 Windows 中被称作 file ID 或 file index. 再加上 Device id (在 Linux 和 macOS 中)或 volumn serial number(卷序列号), 即可于某一时间在一台电脑中确定唯一的文件.

242 根据上一题, 该视频在该存储卡的 Unique ID 以 GUID (全局唯一识别码)是什么

答案

e3bd04ac-caae-11f0-bf2b-4c0f3e63056b

题目看不太懂. 我只知道卷有 GUID.

用 FTK 挂载检材, 在 Powershell 中使用命令 Get-WmiObject -class Win32_Volume -computername localhost 即可看到计算机连接的所有卷的信息:

243 根据上一题, 该视频像素值

答案

2304 x 1296

查看视频信息: