【简要案情】近期某市反诈部门接到多名群众报案均遭遇“投资理财”类电信网络诈骗指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查该犯罪团伙搭建虚假投资平台通过社交软件诱骗受害人充值转账团伙成员分散多地办公使用多种 AI 工具进行违法犯罪活动同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注所有检材及相关数据均为虚拟构造不负法律责任如有侵权请及时告知未经允许不得用于商业用途。检材容器密码2026精武杯/中国人民警察大学CPPU-ISA拓界科技飞鹰小队本篇文章参考https://mp.weixin.qq.com/s/zXvzCMovhjwvz2LQmobyZA?scene1click_id6097010421. 分析嫌疑人在该手机登录的小米账号ID为答案格式以实际为准如12345678903134129162比赛的时候火眼没权限 翻数据库找到的。。2. 嫌疑人设定了一个每周六循环的闹钟该闹钟的备注为答案格式以实际为准如打精武杯取证大师取出来居然是一堆乱码 我还以为是出题人故意的 直到。。 无话可说 答案是给老妈汇款3. 分析嫌疑人使用的VPN软件配置的节点服务器地址是什么答案格式不含端口如192.168.1.1吃了没火眼的亏 考试的时候在数据库里面翻死翻不到4. 接上题上述VPN软件在该手机的桌面位置是什么请写出第几页第几行第几列。答案格式页-行-列如1-2-3这题我实在是不会了 看的WP先在小米里面找到这个软件的数据库听AI讲了一下 原来安卓的软件都会存在这个叫launcher的桌面数据库里面 以后查位置也在里面看了这个要转换一下数据screen数值为3 代表在第三页spanx 通常代表占地面积 普通软件就是1x1 只有小组件要看这个那只要看cellXY了X代表列 Y代表行但是用的是0系坐标系 意思就是不存在0行这种东西所以每一个都要1那就是3-1-3 页码-行数-列数5. 嫌疑人最近一次登录Google账号的日期是什么时候答案格式2026-09-09账号谷歌的来答案是2026-07-076. 在嫌疑人手机相册中发现一张图片文件名异常经分析该图片进行了数据隐写请回答该异常图片的文件名称是什么答案格式XXX.png这题真的没有想到会是这样做 我一直在找手机相册但是因为数据太多放弃了 然后就一直没有思路 原来在这儿。。。解压出来是这种全白照片非常可疑啊 其实就是这个跟旁边二选一 解密下就知道了选密码.png7. 接上题该异常图片中隐写的内容为答案格式feiying666没想到真的有二维码 扫一下答案就藏在这儿答案为qazokm1238. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序请问机主使用该软件拍了几张图片答案格式9在数据库里面 3-1-4代表3-0-3 一看是伪装成了计算机了这个的包名是com.androidx.calculator 粘进去看一眼发现了一个数据库 但是用DB打不开 就只能分析另外一个了这是一个apk文件 用jadx打开看到了sqlcipher 说明这用了 SQLCipher 加密数据库难怪打不开开始解密这边是先找了open or create database这个然后右键看调用记录看到了这个 app data handler那就开另外一个数据库打开data handler那个数据库直接给我转到伪装计算器的那里了 我干脆直接搜key找密码了这一行定义文件叫什么名字这一行决定密码是什么密码在此打开以后只有一张照片 答案为19. 分析使用该密拍软件拍摄的图片其中显示器的型号为答案格式以实际为准如TUOJIE戳一下DATA就可以看见型号了答案是C34H890WGC10. 机主多次通过购票软件查询出行行程在北京时间2026年6月24日20:21:33查询的目的城市为答案格式南京从前面我们在解密的时候就知道是用的叫yipiao的软件定的 所以我们直接搜这个在火眼里找到以后 定位到数据库里面去搜用户信息 开数据库看到了大佬的WP把时间戳直接转化成真实时间了 自己也去试了一下看到是百色11. 请找到机主在2026-09-20 13:41:20打开的表格文件该文件的SM3哈希值后四位是什么答案格式英文大写如12AB我真吐血了被题目坑了 我直接搜的时间线然后刚好就有一个文件时间紧任务重直接算了一下就下一题了 结果不对。在考试的时候就发现了这个不是本地文件就只能开WPS的数据库了没有想到当时只有这个 但是不能肯定就是他我回去取证大师搜了一个打开记录找到了reboot 我知道每次崩溃重启都会记录在里面 然后也也是只有一条打开如下 直奔时间戳看跟题目一不一样对了 但是还是着急了 没看打开的文件名叫什么我看明白了 他就是下载了一个快捷回复-2026-04-14 10-23-48-enterprise.xlsx 的文件 然后记录了打开关闭的时间但是没有搜到 想到只能在backup里面了果然答案是37EA12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为答案格式以实际为准如https://www.baidu.com/abc/123asad这题蛮简单的答案是https://www.douyin.com/video/764116147252615028213. 请分析嫌疑人在抖音中共手动提现多少元至银行卡答案格式100这题居然没对 只能说还是资历太浅了这题我考试的时候看到这个填完1000我就走了 没想到还有第二关但是其实不是这样做的我们先搜提现 结果太多我就换成提现成功 出来这个我在取证大师里面看的更自在一点看到招行提了1000元 但是还没结束后面还有个三元卷 也算提现了 这谁受得了所以答案是1003元14. 请分析机主抖音头像从哪个应用下载的可能性最大该应用的包名是答案格式以实际为准这题其实考试的时候也挺懵的看到是在夸克搜的 结合前面剧情以及后面题目能够看出就是通过伪装精英人士来骗钱答案是 com.quark.browser找到了这张15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”请分析这些照片是使用什么应用进行下载的写出该应用的包名。答案格式以实际为准在那题找文件表格的时候 就发现这个和表格一起导出来了里面就是题目所要求的图片回去搜搜无印找到了 答案是uni.UNI3DFAFCD16. 接上题该应用使用的下载链接来自于哪个应用请写出链接来源应用的包名。答案格式以实际为准去查无印的database应该会有收获看到了是来自抖音图片 那问的应用 就去找抖音的包名就行com.ss.android.ugc.aweme二提示分析办案人员提取的“手机检材-2.zip”回答下列问题17. 该手机的备份密码是多少四位数字答案格式1234去查了一下 这个manifest就是备份文件本身 这道题也是从这儿入手我们决定用passware kit来处理ok了 密码四个一答案是 111118. 该手机的备份时间是什么时候答案格式2026-09-09 09:09:09这里能看到答案答案是2026-09-23 15:02:5019. 该手机的序列号是什么答案格式以实际为准英文大写下面也有‘答案是FD2W71HVJCM020. 该手机的蓝牙MAC地址是多少答案格式英文大写如A0:A1:4E:83:16:B0这个翻数据库就能找到答案是C0:A5:3E:82:06:E021. 分析该手机日志文件该手机电池的激活时间UTC8是什么时候答案格式2022-01-23 15:02:53我们看到battery下面的 先从BDC开始看 bdc是电池数据记录器 里面应该会有我考试找了半天 我一直在文件名那里找 没有注意到这个2021-12-26 12:35:258的话那答案应该是 2021-12-26 20352522. 分析该手机的充电记录该手机最近一次被充至 100% 电量的时间是什么请回答时间戳。答案格式以数据库中记录的原始时间戳为准我们先找到这个电量使用 这个是最可能记录充满电的然后我回取证大师去看了一下这个文件 是数据库导出来找到battery这栏这题要时间戳 我们转回来就行答案是1783544086.853423. 嫌疑人安装蝙蝠.app的时间UTC8是什么答案格式以首次安装请求时间为准如2026-09-09 09:09:09先看安装分析找到源文件的同时 还要找到蝙蝠APP的包名才能定位这个这一行显示在2026-08-12 10:07:21 第一次下载 但是要考虑到UTC8 那么就答案就是 2026-08-12 18:07:2124. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的请写出应用包名。答案格式www.tuojieinfo.com这题本来我是想查 unlock login wake这几个数据库的 但是说实话一无所获 然后就算查到相关的 也跟题目要求差着 最后只能定位到这个 screen state了从这个定位到源文件开数据库找了一圈 终于看到是屏幕相机导致的答案是com.apple.lock-screen做完了 感觉学到了好多新东西 原来手机取证还能那么玩
【简要案情】近期某市反诈部门接到多名群众报案均遭遇“投资理财”类电信网络诈骗指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查该犯罪团伙搭建虚假投资平台通过社交软件诱骗受害人充值转账团伙成员分散多地办公使用多种 AI 工具进行违法犯罪活动同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注所有检材及相关数据均为虚拟构造不负法律责任如有侵权请及时告知未经允许不得用于商业用途。检材容器密码2026精武杯/中国人民警察大学CPPU-ISA拓界科技飞鹰小队本篇文章参考https://mp.weixin.qq.com/s/zXvzCMovhjwvz2LQmobyZA?scene1click_id6097010421. 分析嫌疑人在该手机登录的小米账号ID为答案格式以实际为准如12345678903134129162比赛的时候火眼没权限 翻数据库找到的。。2. 嫌疑人设定了一个每周六循环的闹钟该闹钟的备注为答案格式以实际为准如打精武杯取证大师取出来居然是一堆乱码 我还以为是出题人故意的 直到。。 无话可说 答案是给老妈汇款3. 分析嫌疑人使用的VPN软件配置的节点服务器地址是什么答案格式不含端口如192.168.1.1吃了没火眼的亏 考试的时候在数据库里面翻死翻不到4. 接上题上述VPN软件在该手机的桌面位置是什么请写出第几页第几行第几列。答案格式页-行-列如1-2-3这题我实在是不会了 看的WP先在小米里面找到这个软件的数据库听AI讲了一下 原来安卓的软件都会存在这个叫launcher的桌面数据库里面 以后查位置也在里面看了这个要转换一下数据screen数值为3 代表在第三页spanx 通常代表占地面积 普通软件就是1x1 只有小组件要看这个那只要看cellXY了X代表列 Y代表行但是用的是0系坐标系 意思就是不存在0行这种东西所以每一个都要1那就是3-1-3 页码-行数-列数5. 嫌疑人最近一次登录Google账号的日期是什么时候答案格式2026-09-09账号谷歌的来答案是2026-07-076. 在嫌疑人手机相册中发现一张图片文件名异常经分析该图片进行了数据隐写请回答该异常图片的文件名称是什么答案格式XXX.png这题真的没有想到会是这样做 我一直在找手机相册但是因为数据太多放弃了 然后就一直没有思路 原来在这儿。。。解压出来是这种全白照片非常可疑啊 其实就是这个跟旁边二选一 解密下就知道了选密码.png7. 接上题该异常图片中隐写的内容为答案格式feiying666没想到真的有二维码 扫一下答案就藏在这儿答案为qazokm1238. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序请问机主使用该软件拍了几张图片答案格式9在数据库里面 3-1-4代表3-0-3 一看是伪装成了计算机了这个的包名是com.androidx.calculator 粘进去看一眼发现了一个数据库 但是用DB打不开 就只能分析另外一个了这是一个apk文件 用jadx打开看到了sqlcipher 说明这用了 SQLCipher 加密数据库难怪打不开开始解密这边是先找了open or create database这个然后右键看调用记录看到了这个 app data handler那就开另外一个数据库打开data handler那个数据库直接给我转到伪装计算器的那里了 我干脆直接搜key找密码了这一行定义文件叫什么名字这一行决定密码是什么密码在此打开以后只有一张照片 答案为19. 分析使用该密拍软件拍摄的图片其中显示器的型号为答案格式以实际为准如TUOJIE戳一下DATA就可以看见型号了答案是C34H890WGC10. 机主多次通过购票软件查询出行行程在北京时间2026年6月24日20:21:33查询的目的城市为答案格式南京从前面我们在解密的时候就知道是用的叫yipiao的软件定的 所以我们直接搜这个在火眼里找到以后 定位到数据库里面去搜用户信息 开数据库看到了大佬的WP把时间戳直接转化成真实时间了 自己也去试了一下看到是百色11. 请找到机主在2026-09-20 13:41:20打开的表格文件该文件的SM3哈希值后四位是什么答案格式英文大写如12AB我真吐血了被题目坑了 我直接搜的时间线然后刚好就有一个文件时间紧任务重直接算了一下就下一题了 结果不对。在考试的时候就发现了这个不是本地文件就只能开WPS的数据库了没有想到当时只有这个 但是不能肯定就是他我回去取证大师搜了一个打开记录找到了reboot 我知道每次崩溃重启都会记录在里面 然后也也是只有一条打开如下 直奔时间戳看跟题目一不一样对了 但是还是着急了 没看打开的文件名叫什么我看明白了 他就是下载了一个快捷回复-2026-04-14 10-23-48-enterprise.xlsx 的文件 然后记录了打开关闭的时间但是没有搜到 想到只能在backup里面了果然答案是37EA12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为答案格式以实际为准如https://www.baidu.com/abc/123asad这题蛮简单的答案是https://www.douyin.com/video/764116147252615028213. 请分析嫌疑人在抖音中共手动提现多少元至银行卡答案格式100这题居然没对 只能说还是资历太浅了这题我考试的时候看到这个填完1000我就走了 没想到还有第二关但是其实不是这样做的我们先搜提现 结果太多我就换成提现成功 出来这个我在取证大师里面看的更自在一点看到招行提了1000元 但是还没结束后面还有个三元卷 也算提现了 这谁受得了所以答案是1003元14. 请分析机主抖音头像从哪个应用下载的可能性最大该应用的包名是答案格式以实际为准这题其实考试的时候也挺懵的看到是在夸克搜的 结合前面剧情以及后面题目能够看出就是通过伪装精英人士来骗钱答案是 com.quark.browser找到了这张15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”请分析这些照片是使用什么应用进行下载的写出该应用的包名。答案格式以实际为准在那题找文件表格的时候 就发现这个和表格一起导出来了里面就是题目所要求的图片回去搜搜无印找到了 答案是uni.UNI3DFAFCD16. 接上题该应用使用的下载链接来自于哪个应用请写出链接来源应用的包名。答案格式以实际为准去查无印的database应该会有收获看到了是来自抖音图片 那问的应用 就去找抖音的包名就行com.ss.android.ugc.aweme二提示分析办案人员提取的“手机检材-2.zip”回答下列问题17. 该手机的备份密码是多少四位数字答案格式1234去查了一下 这个manifest就是备份文件本身 这道题也是从这儿入手我们决定用passware kit来处理ok了 密码四个一答案是 111118. 该手机的备份时间是什么时候答案格式2026-09-09 09:09:09这里能看到答案答案是2026-09-23 15:02:5019. 该手机的序列号是什么答案格式以实际为准英文大写下面也有‘答案是FD2W71HVJCM020. 该手机的蓝牙MAC地址是多少答案格式英文大写如A0:A1:4E:83:16:B0这个翻数据库就能找到答案是C0:A5:3E:82:06:E021. 分析该手机日志文件该手机电池的激活时间UTC8是什么时候答案格式2022-01-23 15:02:53我们看到battery下面的 先从BDC开始看 bdc是电池数据记录器 里面应该会有我考试找了半天 我一直在文件名那里找 没有注意到这个2021-12-26 12:35:258的话那答案应该是 2021-12-26 20352522. 分析该手机的充电记录该手机最近一次被充至 100% 电量的时间是什么请回答时间戳。答案格式以数据库中记录的原始时间戳为准我们先找到这个电量使用 这个是最可能记录充满电的然后我回取证大师去看了一下这个文件 是数据库导出来找到battery这栏这题要时间戳 我们转回来就行答案是1783544086.853423. 嫌疑人安装蝙蝠.app的时间UTC8是什么答案格式以首次安装请求时间为准如2026-09-09 09:09:09先看安装分析找到源文件的同时 还要找到蝙蝠APP的包名才能定位这个这一行显示在2026-08-12 10:07:21 第一次下载 但是要考虑到UTC8 那么就答案就是 2026-08-12 18:07:2124. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的请写出应用包名。答案格式www.tuojieinfo.com这题本来我是想查 unlock login wake这几个数据库的 但是说实话一无所获 然后就算查到相关的 也跟题目要求差着 最后只能定位到这个 screen state了从这个定位到源文件开数据库找了一圈 终于看到是屏幕相机导致的答案是com.apple.lock-screen做完了 感觉学到了好多新东西 原来手机取证还能那么玩
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
