2025美亚杯个人资格赛WP

2501_93704251

1339人浏览 · 2026-03-29 15:20:12

2501_93704251 · 2026-03-29 15:20:12 发布

2025美亚杯个人资格赛 WP

2025美亚杯个人资格赛wp

检材下载链接：https://pan.baidu.com/s/1cnGvrFoMa1m6o-W50MU20A?pwd=481p

哈希值：SHA256: ba7a59bda48932ae5507c4872a0492ee080cd8e6222d9e86fad961038801826e

挂载密码：FEYn0MJLYy9zTQRFHlXGRkVqXv3IkE8h

题目链接：https://forensics.didctf.com/

案情介绍

警方接获报案，前往西贡布袋澳处理一宗“伤人”事件。经初步调查，怀疑男子陈民浩以木棍袭击男子冯子超，导致冯子超头部受伤昏迷。冯子超已被送往医院救治，陈民浩则因涉嫌“伤人”罪被警方当场拘捕，被捕后一直保持缄默，拒绝交代案情细节。进一步调查显示，两人冲突疑因女子梁燕玲而起。根据现场迹象推断，梁燕玲曾于事发时在场出现，经警方多方搜索后，至今仍未能与她取得联络。请参赛者根据提供的资料，深入分析线索，寻找梁燕玲下落，并还原事件真相。 Green Technology Supply Co. Ltd.（绿创科技系统有限公司）为本港网络工程公司，主要业务是为企业客户铺设网络服务及安装各类服务器。男子 FUNG Chi-chiu（冯子超），英文名为Duncan，30岁，未婚，香港出生，在Green Technology Supply Co. Ltd.任职工程师。男子 CHAN Man-ho（陈民浩），英文名为Hogan，35岁，未婚，香港出生，在Green Technology Supply Co. Ltd. 任职系统工程师。女子 LEUNG Yin-ling（梁燕玲），英文名为Ling，28岁，未婚，香港出生，现为自由职业平面设计师。梁燕玲与陈民浩为同居情侣关系梁燕玲通过陈民浩认识冯子超三人均为密码学（Crypto）及隐写术（Stego）爱好者陈民浩经常驾车接载三人前往郊区聚餐，并一同钻研相关技术话题

WP:

1、请你使用CHAN_MH.zip检材回答以下问题

这个智能手机是什么操作系统? A

A. iOS 17.1.1

B. iOS 17.2.1

C. iOS 17.3.1

D. iOS 17.0.1

问操作系统

2、在这个手机中，有多少组国际移动设备识别码(IMEI)号码? (请以阿拉伯数字作答) 2个

应该有两个。7zip打开陈民浩手机的zip，找到IMWI可以发现有两个。

3、承上题，以下哪一个才是正确的国际移动设备识别码(IMEI)号码? A

A. 357328098205226

B. 357328097205226

C. 357328096205226

D. 357328095205226

可以看到设备信息里的IMEI值，选A

4、请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID) A

A. 89852122206020998419

B. 89852122205020998419

C. 89852122204020998419

D. 89852122203020998419

可以看到设备信息的ICCID值

5、请指出最后使用的Apple ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

whoishogan@gmail.com

设备信息可看到最后登录ID

6、蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx) f8:38:80:bb:f5:28

火眼里看不到蓝牙地址。进手机zip的iDevice文件里，可以看到蓝牙地址。

7、这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) iPhone

苹果手机不支持修改热点名称。因此默认的热点名称就是设备名称，iPhone.

8、这个智能手机没有连接过以下哪一个服务集标识符(SSID) A

A. Hongn Home

B. CMHK

C. 1010 free wifi

D. ErrorError

SSID其实就看wifi连接记录。这里可以看到C、D都有，下一道题又问名字CMHK的相关信息，说明肯定连接过。因此排除B，选A。

9、请指出首次连接服务集识别码(SSID)名称为" CMHK"的无线区域网络(Wi-Fi)的日期及时间(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

题目出错

10、安装了以下即时哪个通讯软件?i) WhatsAppii) WeChatiii) WhatsApp Businessiv) QQ A

A. 只有 i) 和 ii)

B. 只有 i), ii) 和 iii)

C. 只有 i), ii) 和 iv)

D. 以上皆是

在应用列表里搜索，发现只有1和2.选A

11、承上题，请指出即时通讯软件"WhatsApp"的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

一开始以为就是火眼中的版本号，结果发现答案不对。在文件中找。

地址:CHAN_MH_mobile.tar/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared

往下翻可以看到这个version：2.25.14.79

12、陈民浩的手机中，总共安装3个文件传输软件，封包名称分别为com.apple.Sharing.AirDropUI、com.lenovo.anyshare、com.estmob.paprika，其中有哪一个软件曾经用来传送/接收文件功能? C

A. com.apple.Sharing.AirDropUI

B. com.lenovo.anyshare

C. com.estmob.paprika

在文件中一一搜索可以发现，AirDropUI搜不到，anyshare没有接受文件的信息，只有paprika全有。因此选C。

13、承上题，与其有传送/接收过资料装置的装置ID是多少? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

我是直接在CHAN_MH_mobile.tar/var/mobile/Applications/group.com.estmob.paprika/Library/Preferences这个路径里找，看到一个deviceid是3836403626142的，结果不是（据第15题知，这个是本机设备id）答案如下：

14、承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

15、承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

3836403626142 这个答案就是第13题原先以为的答案。

直接在CHAN_MH_mobile.tar/var/mobile/Applications/group.com.estmob.paprika/Library/Preferences这个路径里找，看到一个deviceid是3836403626142，这个是本机id，并非接收或者传送方id。因此这个就是正确答案。

16、承上题，陈民浩的手机(CHAN_MH_mobile.zip)是传送方或是接收方? B

A. 传送方

B. 接收方

C. 传送及接收方

详情看18题

17、根据传送档案的名称，判断是以下哪一类型? (单选) A

A. 屏幕截图

B. 手机拍摄影片

C. PDF文件

D. zip压缩文件

可以看到是screenshot，截图。选A

18、承上题，接收至哪一个装置? B

A. CHAN_MH_mobile.zip

B. blk0_sda.bin

C. FUNG_CC_mobile.zip

D. LAM_KH_Mobile.zip

E. WONG_CW_mobile.zip

将上述文件搜索，发现最后在B这个装置（陈民浩在家里的手机）里，所以选B，同理，16题因此选接收方，B

19、承上题，传送方是通过此文档传输软件的哪个模式作出传送? C

A. SEND_PARTIALLY

B. SEND_PAPRIKA

C. SEND_DIRECTLY

D. SEND_BYCLOUD

E. SEND_BLUETOOTH

在分析中找到图片后跳转到源文件，可以来到这个图片的保存位置。从中打开data，找到main.db，在transefer history里可以看到传输的mode是C。

20、从来没有安装以下哪个网络浏览器？ BCD

A. Safari

B. Chrome

C. Firefox

D. edge

在应用列表里一个个搜索，发现只有Safari是下载过的。因此选择BCD.

21、承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答) 9

可以看到有9个。

22、承上题，曾经通过Safari浏览器用下列哪一个字词进行过搜索? ABC

A. 非法处理尸体最高刑罚

B. escape room hong kong

C. cypto wallet

D. 非法处理尸体

搜索历史里一个个找。

23、有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答) 2

在CHAN_MH_mobile.tar/var/mobile/Library/Mobile Documents/com~apple~CloudDocs这个文件地址下，可以发现总共用两个jpg的图片文件。icloud文件储存在手机文件中，可以看到有一个clouddocs（云存储），就藏在这个文件夹里面。

24、相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答) 15

在陈民浩的手机里可以看到，有15张照片是屏幕快照（截图）

25、请参考参赛材料FUNG_CC_mobile.zip回答以下问题这部智能手机连接过多少个 Wi-Fi 网络？(请以阿拉伯数字作答)

2个

冯子超的手机里wifi连接记录可知

26、这部智能手机曾经连接过以下哪个无线网络？i) THREE_WIFIii) wanchaiiii)iPhone(2)iv) Router B

A. 只有 i)

B. 只有 ii) 和 iii)

C. 只有 ii), iii) 和 iv)

D. 以上皆是

据上题截图可知，选B

27、这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-15 19:29:23

这里在文件里搜索WiFi，得到如下：

打开第一个plist文件，里面没有什么信息。打开第二个“com.apple.wifi-private-mac-networks.plist”，可得：

找到WiFi名称wanchai字节，下面有一个addedAt，这个字段是表示该WIFI首次被记录的时间。可以看到是

2025-04-15 11:29:23，即首次连接该网络的时间。由于题目问的是请以GMT +8时区作答，因此实际时间为

2025-04-15 19:29:23.

28、承上题，请列出这个连接的服务集识别码(SSID)?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wanchai

其实服务集识别码就是WIFI名称而已。。。。即wanchai

29、承上题，请列出这个连接的登入金钥?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

（为什么我的火眼里面没有分析到冯子超手机里有钥匙串（（（（文件里也没有找到密码

30、相册中有两张图像互换格式图片(gif)「IMG_0057.GIF」及「IMG_0062.GIF」，请指出由哪一个软件拍摄? A

A. Infltr

B. Discreet

C. Meitu

D. Prisma

在图片中找到相对应的文件，可以看到来自A对应的软件。

31、曾经以空投(AirDrop)方式成功传送了文件到另外一个装置，以下哪一个陈述是正确的？ C

A. 传送了一个图片文件

B. 传送了两个图片文件

C. 传送了一个图片文件及一个文件

D. 传送了一个图片文件及两个文件

火眼不能直接分析出来，只能查看记录。（取了学长的一张图片）

在iPhone上，其实有一个存储用户人际互动数据的关键数据库文件

var\mobile\Library\CoreDuet\People（如下所示

导出这个DB文件，用DBbrowser打开，使用SELECT Z_PK, ZBUNDLEID, ZTARGETBUNDLEID FROM ZINTIERACTIONS WHERE ZTARGETBUNDLEID IS NOT NULL;语句查询可得：

即一个图片一个文件，C

32、原生APP「相片」中，有一个图片文件曾经通过空投"AirDrop"方式成功传送，请指出这个图片文件的文件全名(请包含扩展名，依照参赛材料中的原文作答，注意区分大小写、空格及符号)

在文件中搜索photos的sqlite数据库并导出。

33、承上题，请写出这个图片文件的开始传送的日期及时间？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-17 09:10:03

在软件中的ZASSET表中的ZFILENAME一列，直接过滤可得：

在这里面过滤出ZLASTSHAREDDATE（最后一次分享的时间）这列可得时间戳：766545003

转换时间戳可得时间为：2025-04-17 09:10:03

34、请指出哪一个多媒体文件同时储存在APP「文件」(套件识别码: com.apple.DocumentsApp)及APP「照片」(套件识别码: com.apple.mobileslideshow)中？(请包含扩展名，依照参赛材料中的原文作答，注意区分大小写、空格及符号)

IMG_0010.MOV和 IMG_0008.heic

APP文件可以从文件系统中寻找，查到圈中三个多媒体文件。FUNG_CC_mobile.tar/var/mobile/Applications/group.com.apple.FileProvider.LocalStorage/File Provider Storage

再去数据库里找，发现IMG_0010.MOV和 IMG_0008.heic都是。

35、请指出在APP「照片」(套件识别码: com.apple.mobileslideshow)中的图片文件「IMG_0079.JPG」是由哪一个APP拍摄？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Discreet

在照片中可以找到这个JPG文件。

36、承上题，已知该图片文件是由上述APP所拍摄，并其后储存在APP「照片」(套件识别码: com.apple.mobileslideshow)成「IMG_0079.JPG」，请问该图片的原文件名称？ (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

DiscreetCameraApp_1744790959352.png

这个照片是：

大概长这个样子。又知道它是用Discreet拍的，在文件中搜索：

可以看到这个文件和那张照片是同一张，即这个DiscreetCameraApp_1744790959352.png是原文件。

37、承上题，请指出原文件的建立时间？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-16 16:09:19

可以看到这个文件下面就有时间。

38、请指出在APP「照片」(套件识别码: com.apple.mobileslideshow)中，储存多媒体文件「IMG_0014.MOV」与储存「IMG_0016.MOV」之间有没有其他多媒体文件储存到APP「照片」中？ B

A. 有

B. 没有

C. 有拍摄，但没有储存

D. 无法确认

在照片中根据时间进行检索，没有发现在这个时间段内拍摄的其他照片。

39、承上题，以下哪个陈述是正确描述上一题的答案？ C

A. 制作多媒体文件「IMG_0015.MOV」时，直接储存到隐藏相册中

B. 制作作多媒体文件「IMG_0015.MOV」时，直接上传到iCloud

C. 制作多媒体文件「IMG_0014.MOV」时用了缩时摄影

D. 制作多媒体文件「IMG_0015.MOV」时名称被更改为「IMG_0016.MOV」

缩时摄影其实就是延时摄影。在文件中搜索IMG_0015.MOV发现搜索不到，通过照片中延时摄影一栏，可以看到：IMG_0014.MOV位列其中，因此原因是使用了延时摄影。

40、APP「照片」(套件识别码: com.apple.mobileslideshow)中，「IMG_0027.HEIC」的原地理位置信息(WGS84)是？ A

A. (22.2816569, 114.1756115)

B. (22.2826366666667, 114.168503333333)

C. (22.2826216666667, 114.168525)

D. (22.2826216666667, 114.168503333333)

在软件中过滤出IMG_0027.HEIC这一列，

然后在这一行中寻找经纬度：

因此选A。

41、曾经通过网络浏览器「Safari」下载了多少个图片文件？ B

A. 1

B. 2

C. 3

D. 4

图片的应用分类中找safari，可以看到有且仅有两张照片。选B。

42、多媒体文件「 IMG_0004.MOV」曾被修改后再储存成另一个文件，该文件名称是? A

A. IMG_0085.mov

B. IMG_0086.mov

C. IMG_0087.mov

D. IMG_0088.mov

根据学长的WP：

这一题有点麻烦，我们需要先去ZADDITIONALASSETATTRIBUTES表里找一下原始名称是0004.mov的文件，确定其Z_PK，然后再去ASSET找一下现在的.

可以看到其Z_PK是82，再到ZASSET表格中寻找该Z_PK

可以看到是IMG_0085,选A

43、曾经通过人工智能聊天APP "POE"查询一个问题，请列出这个问题的完整句子？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) What's that mean

再应用中搜索POE，得到这个结果，可以得到这个应用的包名。

随后在文件中搜索，找到其数据库。导出。

导入数据分析，可以看到有一个records的表。

写一下SQL执行语句可以得出结论。

44、承上题，请指出提问的日期及时间(答题格式: yyyy-MM-dd HH:mm:ss 作答, GMT+8) 2025-04-16 13:50:06

可以看到这个表后面有一个creationTime，是1744782606792741，直接放到时间戳转换工具里出来的结果是：

猜测这个时间戳是微秒的时间戳。1秒=1000000微秒。向前移6个小数点，”秒转日期“，

可以得到结果：2025-04-16 13:50:06

45、承上题，当时使用的是哪一个机器人?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

gpt4_1_mini

一开始以为就是这个reference里的BOT，发现答案不对，继续往后看：

发现最后一一个author nickname是gpt4_1_mini，即为答案。

46、承上题，当时的使用者名称是？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) Duncan

在刚刚的地方可以看到：

很明显这个并不是用户的真名。因此继续使用SQL查询：

SELECT * FROM records WHERE key like "%PoeUser:UG9lVXNlcjoyOTkzNDM5Mzc1%"

Fullnam即为Duncan

47、请指出即时通讯软件"WeChat"的 "WeChat ID"(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wxid_c9xyspglub7512

火眼梭哈

48、承上题，这个"WeChat ID"关注了多少个「视频号」？ B

A. 1

B. 2

C. 3

D. 4

49、请指出即时通讯软件WhatsApp的WhatsApp ID(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

85254974406@s.whatsapp.net 同样火眼梭哈

50、即时通讯软件WhatsApp中，封存了下列哪个聊天群？ A

A. 凤凰VIP会员心得交流群

B. 币淘群组1

C. Sportsmen

D. Titus Wong Manson Finance

发现只有A ，因此选A。

51、即时通讯软件WhatsApp中，总共追踪了多少个频道？(请以阿拉伯数字作答) 19

美亚梭哈，19个。

52、即时通讯软件「WhatsApp」中，下列哪个是群组 "Investors" 的管理员？i) 85254974406@s.whatsapp.netii) 85260927726@s.whatsapp.netiii) 85254961408@s.whatsapp.net B

A. 只有 i)

B. 只有 i) 和 ii)

C. 只有 ii) 和 iii)

D. 以上皆是

火眼这个群聊里可以看到1、2都是群主、群管理员。因此选B。

53、即时通讯软件「WhatsApp」中，群组 "Investors" 的群组ID？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) 120363417204753192@g.us

同样地，群组列表可直接获得。

54、即时通讯软件「WhatsApp」中，「社群」名称是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) We are 3

有个社群列表，里面有社群名称。

55、承上题，请指出这个社群的群组图案的哈希值（SHA256格式）。 A

A. B1A3706C574F81A3EE084FB9509997E06349E86D904D1DC10B879D1D5ED83125

B. B8BA258402925E139CAFBBBBBC809EC160B70BB03DBD4D0F3063F58F69D0B956

C. E43ADC646295BC5011577D4E733B6289D31A5E11ACB45285BE1FF530260DF383

D. 20E64C78F9926548CEEFB1783991A4AD71A6631F3C86002254342E323A898C6A

在分析的群组中看到这张照片，猜到在文件的jpg文件中应该也能找到。

果然找到这个文件，进入详情信息，可得。

56、即时通讯软件「WhatsApp」中，找出WhatsApp ID:85254961408@s.whatsapp.net曾经是在而现在已经不在的群组，请指出该群组的名称。(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) Sportsmen

看到这个人是陈民浩。在每个群聊依次寻找：

最后发现在这个群聊被移除了。答案是：Sportsmen

57、即时通讯软件「WhatsApp」中，总共出现了多少个「投票」活动？(请以阿拉伯数字作答)

15个

频道消息直接搜索“投票”，可以数到频道消息中共有12条投票消息。

在群聊消息中可以数到共有3条。

因此共有15条投票消息。

59、即时通讯软件「WhatsApp」中，根据群组「 IQ COIN ��」对话内容正在策划，哪一种犯罪计划？ A

A. 诈骗

B. 抢劫

C. 谋杀

D. 以上都不对

阅读聊天记录，可知是诈骗。

60、承上题，该群组建立者的WhatsApp ID是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

85254974406@s.whatsapp.net

同样是火眼直接有的。

61、承上题，该群组的建立时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-25 16:57:55

62、根据你分析结果。三人因感情瓜葛内讧因而发生这次袭击事件。你怀疑梁燕玲曾到袭击现场，你将你的发现通知警察。警察扩大现场搜索范围，终于在案发现场附近，发现陈民浩名下的小汽车，车上发现一部智能手机。请你以参赛材料LEUNG_YL_Mobile.zip回答以下问题参考LEUNG_YL_Mobile.zip，该手机用作注册iCloud的email? A

A. lingleung1502@gmail.com

B. lingleung1502@yahoo.com.hk

C. lingleung1503@gmail.com

D. lingl1502@gmail.com

苹果icloud的注册账号应该和手机的登录id账号是同一个。设备信息里可以看到这个邮箱地址。

63、参考LEUNG_YL_Mobile.zip，文件IMG_0021.HEIC 所拍摄的相机型号是甚么? A

A. iPhone SE (3rd generation)

B. iPhone SE (2nd generation)

C. iPhone 12 mini

D. iPhone XR

拍的照片肯定是自己手机型号阿。选A

64、参考LEUNG_YL_Mobile.zip，文件IMG_0005.JPG所拍摄的座标(WGS 84)是多少？(请以纬度,经度的顺序及以下格式作答xx.xxxxxx,xx.xxxxxx) 22.337655,114.139441

在文件中找到photos的数据库文件，导出，用DB browser for sqlite打开。在zasset表中筛选：

可以得到经纬度。 22.337655,114.139441

65、参考LEUNG_YL_Mobile.zip，文件IMG_0022.JPG是以下哪种方向拍摄? A

A. 不旋转

B. 旋转180度

C. 顺时针90度

D. 逆时针90度

直接找到照片。不旋转。

66、文件IMG_0022.JPG的建立时间(GMT +08:00)是?(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-05-16 11:33:15

梭哈

67、参考LEUNG_YL_Mobile.zip，在WhatsApp 与”85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)是多少?(请以纬度,经度顺序及以下格式作答xx.xxxxxxxxxxxx, xxx.xxxxxxxxxxxx) （22.2760486602783,114.295440673828)

先去ZWAMESSAGE表查看确定好Z_PK，直接定位时间，再去ZWAMEDIAITEM这张表，索引得到坐标。

68、参考LEUNG_YL_Mobile.zip，在WhatsApp 与 "85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)所指的餐厅英文名称是? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号) Fai Kee Seafood Restaurant

69、参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，于2025-04-29 08:31:02，机主传送了一个PDF 文件，该PDF的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638

是这个文件，我们直接打开：发现是空白的。ctrl+A试一下，有内容。复制黏贴到别的地方看看

是这么一串文字：0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638。有可能是虚拟钱包的地址。

70、参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，有多少个参加者？ B

A. 2

B. 3

C. 4

D. 5

群聊后缀有一个We are 3.应该就是3个人。

71、参考LEUNG_YL_Mobile.zip，于2025-04-25 17:11:37 时使用WhatsApp 所拨打的手机号码是多少? C

A. 85254962307

B. 85254961408

C. 85254974406

D. 85254993306

先在聊天记录里找到这个聊天记录，看到接收者是冯子超（......),在电话联系人里找到这个名字。

可以看到手机号就是85254974406，选C。

72、参考LEUNG_YL_Mobile.zip，总共有多少个WhatsApp的通话记录? (包括拨打、接收及未接来电) D

A. 4

B. 5

C. 6

D. 7

7个。

73、参考LEUNG_YL_Mobile.zip，WhatsApp 聊天群组ID 120363400622997111 的群组名称是? D

A. Investors

B. Foodies

C. We are 3

D. Happy Sharing within 3

选D

74、参考LEUNG_YL_Mobile.zip，WhatsApp 聊天群组Happy Sharing within 3 于2025-04-17 10:12:34 传送的WGS 84座标是多少? B

A. 22.323436345441, 113.276894376508

B. 22.326923370361, 114.168403625488

C. 21.239876452236, 115.925422314543

D. 20.124955642236, 114.168403625488

先将时间转化成时间戳。

先去ZWAMESSAGE表查看确定好Z_PK，是547.

再去ZWAMEDIAITEM这张表把Z_PK写到ZMESSAGE，根据这张表来得到坐标

选B。

75、参考LEUNG_YL_Mobile.zip，Instagram 的版本是? C

A. 375.2.0.15.82 (722575504)

B. 376.1.0.14.56 (722575504)

C. 376.1.0.27.82 (722575504)

D. 376.0.0.17.23 (722575504)

在应用里直接看发现不对。

去数据库看看。

选C

76、参考LEUNG_YL_Mobile.zip，社交媒体软件Instagram 的安装时间?(请以GMT+8时区及格式YYYY-MM-DD hh:mm:ss作答)

2025-04-26 11:50:47

同上，在上面那个文件里可以找到“app install date"字样，下面就是时间。由于可以看到事件中有"T、Z"字样，说明使用的是国际标准时间。换算成北京时间，+8H，因此答案为：2025-04-26 11:50:47

77、跟据你的分析，警察在香港西贡蕉坑，找到一个行李箱，内藏一名女子尸体，身上没有任何身份证明文件，裤袋内搜获一个U盘，根据法医初步检验，死者头部及颈部有明显瘀伤，相信曾发生激烈争执，死因为气管受压导致窒息，死亡时间相信是在2025-05-16 0900时至1000时。调查人员初步检查这个U盘，没有发现可疑资料，现在交由你进行电子数据鉴定工作。请参考参赛材料LEUNG_YL_USB.E01，答以下问题参考LEUNG_YL_USB.E01，这个U盘里有多少个分区？(请以阿拉伯数字作答) 2

我们可以先进行U盘的仿真（根据这篇文章挂载镜像）

https://mp.weixin.qq.com/s/_UyMjDHS1G7j_eZ_00VGhQ?scene=1&click_id=1

先用Arsenal Image Mounter 挂载这个.E01镜像文件。

注意选择Write temporary模式。挂载好之后用VMWare新建虚拟机。（新建虚拟机时务必用管理员模式打开！！）

创建磁盘时，磁盘类型选择SATA，并使用物理磁盘。

在前面第一个软件里点开可以看到使用的磁盘是driver2，因此新建虚拟机时选择这个设备。

然后打开镜像即可。

在虚拟机打开此电脑

明显可以发现是2个分区。

78、参考LEUNG_YL_USB.E01，这个U盘里的分区结构是什么？(请以英文大写作答) MBR

在这个软件里可以看到 partition layout（分配结构）写的是MBR。

79、参考LEUNG_YL_USB.E01，以下哪项描述是正确的？i) U盘的总容量是16GBii) 文件系统包括 FAT32、exFAT 和 NTFSiii) exFAT 分区的容量是 16GBiv) 分区标签名是 "SanDisk"

A. 只有 i) 和 ii)

B. 只有 i) 和 iii)

C. 只有 ii) 和 iv)

D. 以上皆非

可以看到两个盘加起来36G，A错。只有exFAT和NTFS，B错。exFAT分区容量28G，C错。因此肯定选D了。

80、参考LEUNG_YL_USB.E01，以下哪项描述是正确的？i) 此U盘曾连接到一台名为 "PC" 的电脑ii) U盘内存有一个已加密的压缩文件iii) 已加密的压缩文件的创建日期系 2025-05-15 C

A. 只有 ii)

B. 只有 iii)

C. 只有 ii) 和 iii)

D. 以上皆是

很明显，这个zip压缩包是加密的。看一眼创建时间：

和题目的相符。2、3是对的，至于1没有找到。选C。

81、承上题，该压缩文件的解压密码是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

54d#e(nm

图片右下角就是密码。

82、参考LEUNG_YL_USB.E01，以下哪项描述是正确的？i) 这是一个可引导U盘ii) 有一个分区标签名为 "EFI"iii) 卷标日期为 2025-05-15 (UTC +8)iv) 有一个分区的总容量小于 500 MB D

A. 只有 i)

B. 只有 i) 和 ii)

C. 只有 i), iii) 和 iv)

D. 以上皆是

Xways里，分区2文件大小小于500MB，很明显iv是对的。因此AB肯定对，就看ii对不对。

在分区2里，有一个EFI。ii也是对的。因此选D。

83、tammy.txt文件的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

due_diligence

打开虚拟机桌面的哪个txt，发现就是tammy.txt。打开就是内容。

84、文件“xcontainer”的加密算法是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

AES(Twofish)

在sunny文件里可以找到。

以此为密钥接一下veracrypt

加密算法就是AES(Twofish)

85、分析文档 "xcontainer" 的属性。关于此磁盘镜像，以下哪项描述是正确的？i) 大小为 4943872 字节ii) 文件系统是 FAT iii) 没有嵌入式备份头iv) 块大小为 128 位 B

A. 只有 i) 和 ii)

B. 只有 ii) 和 iv)

C. 只有 ii), iii) 和 iv)

D. 以上皆是

字节不对。i错。

有嵌入式备份头，iii错。选B

86、WinPE 启动后，系统会自动将核心映像挂载在哪个虚拟机？ C

A. C:

B. D:

C. X:

D. Z:

挂载打开虚拟机之后可以直接看到挂载在X盘。C。

87、下列哪些 Windows PE 指令在预设环境下无法执行？i) Powershellii). Eventvwriii). HostnameiV). Diskpart C

A. 只有 i) 和 ii)

B. 只有 iii) 和 iv)

C. 只有 i), ii) 和 iii)

D. 以上皆是

一个个试过来就好了。发现只有iv是有反应的。因此选C。

88、必须包含哪个文件，才能启动 Windows PE环境？ A

A. WEPE64.wim

B. install.wim

C. WinPE.log

D. hiberfil.sys

在X-Ways里面打开镜像，找到哪个系统文件占用内存空间最大的就好了。可以看到是WEPE64.WIM，选A。

89、若要判断一个U盘是否为可开机的Windows PE，以下哪些文件必须存在？i) WEPE64.wim 或 boot.wim ii) bootmgr iii) EFI\Boot\bootx64.efi iv) hiberfil.sys B

A. 只有 ii 和 iv

B. 只有 i), ii) 和 iii)

C. 只有 i) 和 iv)

D. 以上皆是

理论题。

i是WinPE的核心映像文件，必须存在

ii是Windows的启动管理器，对于传统的BIOS启动是必须的

iii是UEFI的启动文件，是UEFI启动必须的

iv是休眠文件，不怎么必须

所以选B

90、这个 WinPE U盘的操作环境 (Operating Environment) 是基于哪一个 Windows 版本？ C

A. Windows 7

B. Windows 8.1

C. Windows 10 PE

D. Windows 11 PE

看系统截图就可以看出来，Win10 。选C。

91、根据你综合多项通讯软件的对话记录，浏览记录及资料分析，发现冯子超、陈民浩伙同女子梁燕玲共同做了一宗涉及加密货币投资的诈骗案件，因东窗事发打算携赃而逃。女子梁燕玲负责处理有关清洗黑钱事项，警察相信梁燕玲携带同相关材料逃跑，请你运用电子数据鉴定技巧寻找与加密货币相关的材料，尽快启动冻结程序。参考LEUNG_YL_USB.E01，该U盘盘有一个加密的文件，该文件所用的加密软件名称是? (只需回答软件名称，不需要回答软件版本，(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) VeraCrypt