电子取证 2025美亚杯

资格赛

Published 2026-04-19 Updated 2026-04-19 37 min

Source path: 电子取证/2025美亚杯/资格赛.md

马上有两大比赛电子取证比赛在4月份，fic去年初赛出的题目有点难评…反过来看这么多取证比赛，还有美亚没有复盘；美亚学生第一的人已经有动力复盘完发出来了，我呢就没那么积极了。成于美亚，败于美亚；正如前言所说，这是个浩大的工程，今天鼓起勇气来复盘掉。

有几点还是想吐槽的，美亚杯的做题系统很烂，一个是不能复制（这还好办），一个是题目非常多、尤其是团队赛的几百道题又不给做划分，以至于我仍记得当年花了半个小时左右划分题目。头疼

秉承着先做一遍，再复盘的原则，这里会先断网做一遍，使用本地ai；时间为2.5小时。

借助ai和网络现有资料再做了点..

救命。就这个完成率。

案情介绍

警方接获报案，前往西贡布袋澳处理一宗“伤人”事件。经初步调查，怀疑男子陈民浩以木棍袭击男子冯子超，导致冯子超头部受伤昏迷。冯子超已被送往医院救治，陈民浩则因涉嫌“伤人”罪被警方当场拘捕，被捕后一直保持缄默，拒绝交代案情细节。进一步调查显示，两人冲突疑因女子梁燕玲而起。根据现场迹象推断，梁燕玲曾于事发时在场出现，经警方多方搜索后，至今仍未能与她取得联络。请参赛者根据提供的资料，深入分析线索，寻找梁燕玲下落，并还原事件真相。 Green Technology Supply Co. Ltd.（绿创科技系统有限公司）为本港网络工程公司，主要业务是为企业客户铺设网络服务及安装各类服务器。男子 FUNG Chi-chiu（冯子超），英文名为Duncan，30岁，未婚，香港出生，在Green Technology Supply Co. Ltd.任职工程师。男子 CHAN Man-ho（陈民浩），英文名为Hogan，35岁，未婚，香港出生，在Green Technology Supply Co. Ltd. 任职系统工程师。女子 LEUNG Yin-ling（梁燕玲），英文名为Ling，28岁，未婚，香港出生，现为自由职业平面设计师。梁燕玲与陈民浩为同居情侣关系梁燕玲通过陈民浩认识冯子超三人均为密码学（Crypto）及隐写术（Stego）爱好者陈民浩经常驾车接载三人前往郊区聚餐，并一同钻研相关技术话题

检材下载

下载链接：https://pan.baidu.com/s/1cnGvrFoMa1m6o-W50MU20A?pwd=481p

哈希值：SHA256: ba7a59bda48932ae5507c4872a0492ee080cd8e6222d9e86fad961038801826e

挂载/解压密码：FEYn0MJLYy9zTQRFHlXGRkVqXv3IkE8h

CHAN_MH.zip

0000

1. 请你使用CHAN_MH.zip检材回答以下问题这个智能手机是什么操作系统?

A. iOS 17.1.1
B. iOS 17.2.1
C. iOS 17.3.1
D. iOS 17.0.1

2. 在这个手机中，有多少组国际移动设备识别码(IMEI)号码? (请以阿拉伯数字作答)

吃一堑长一智，人家问就不太可能只有一个，以下是分析过程：

他直接能分析出来一个，那这个全局搜谁包含了imei号的文件， CHAN_MH_mobile/iDevice_info.txt中包含了两个号码

3. 承上题，以下哪一个才是正确的国际移动设备识别码(IMEI)号码?

A. 357328098205226
B. 357328097205226
C. 357328096205226
D. 357328095205226

4. 请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID)

A. 89852122206020998419
B. 89852122205020998419
C. 89852122204020998419
D. 89852122203020998419

89852122206020998419

5. 请指出最后使用的Apple ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

whoishogan@gmail.com

6. 蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx)

搜索bluetooth相关文件

f8:38:80:bb:f5:28

7. 这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

复盘的时候才顿悟，自己用iPhone打开热点的时候它热点的名称，就是你自己iPhone设置的名称，知道这个之后你只需要去看这个iPhone的设备名称是什么就可以了：

8. 这个智能手机没有连接过以下哪一个服务集标识符(SSID)

A. Hongn Home
B. CMHK
C. 1010 free wifi
D. ErrorError

9. [美亚也没答案]请指出首次连接服务集识别码(SSID)名称为” CMHK”的无线区域网络(Wi-Fi)的日期及时间(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

10. 安装了以下即时哪个通讯软件?

i) WhatsApp
ii) WeChat
iii) WhatsApp Business
iv) QQ
A. 只有 i) 和 ii)
B. 只有 i), ii) 和 iii)
C. 只有 i), ii) 和 iv)
D. 以上皆是

AB
其余也搜不到

11. 承上题，请指出即时通讯软件”WhatsApp”的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

731647702.0不过还是不对 mark一下

A. com.apple.Sharing.AirDropUI
B. com.lenovo.anyshare
C. com.estmob.paprika

根本没找到A的文件夹

联想这个数据库的信息基本为空

推断为B

从后面来看，后面给了一个三星手机里面也安装了这个软件，和这个手机里面出现了相同的图片

13. 承上题，与其有传送/接收过资料装置的装置ID是多少? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

在给的三星手机里面的xml文件找到device_id：5402313593439

14. 承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Samsung SM-G930F

15. 承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

3836403626142

在三星手机中也有对应的记录

16. 承上题，陈民浩的手机(CHAN_MH_mobile.zip)是传送方或是接收方?

A. 传送方
B. 接收方
C. 传送及接收方

三星手机里只有发送记录

17. 根据传送档案的名称，判断是以下哪一类型? (单选)

A. 屏幕截图
B. 手机拍摄影片
C. PDF文件
D. zip压缩文件

米家图片，见上

18. 承上题，接收至哪一个装置?

A. CHAN_MH_mobile.zip
B. blk0_sda.bin
C. FUNG_CC_mobile.zip
D. LAM_KH_Mobile.zip
E. WONG_CW_mobile.zip

这两个问题和答案就是矛盾的…18应该问的是发送的设备

19. 承上题，传送方是通过此文档传输软件的哪个模式作出传送?

A. SEND_PARTIALLY
B. SEND_PAPRIKA
C. SEND_DIRECTLY
D. SEND_BYCLOUD
E. SEND_BLUETOOTH

20. 从来没有安装以下哪个网络浏览器？

A. Safari
B. Chrome
C. Firefox
D. edge

只找到了Safari

21. 承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答)

22. 承上题，曾经通过Safari浏览器用下列哪一个字词进行过搜索?

A. 非法处理尸体最高刑罚
B. escape room hong kong
C. cypto wallet
D. 非法处理尸体

23. 有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答)

在 iLEAPP 的”Files App - Files stored in iCloud Drive”分析报告中能看到存了三个文件

还有种办法是在CHAN_MH_mobile/var/mobile/Library/Mobile Documents/com~apple~CloudDocs/中找到三个文件

综上所述 2张

补充：火眼能直接看到这里的隐写

24. 相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答)

FUNG_CC_mobile.zip

0000

25. 请参考参赛材料FUNG_CC_mobile.zip回答以下问题这部智能手机连接过多少个 Wi-Fi 网络？(请以阿拉伯数字作答)

26. 这部智能手机曾经连接过以下哪个无线网络？

i) THREE_WIFI
ii) wanchai
iii) iPhone(2)
iv) Router
A. 只有 i)
B. 只有 ii) 和 iii)
C. 只有 ii), iii) 和 iv)
D. 以上皆是

27. 这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

跳转到源文件

2025-04-15 19:29:23

28. 承上题，请列出这个连接的服务集识别码(SSID)?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wanchai

29. 承上题，请列出这个连接的登入金钥?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

30. 相册中有两张图像互换格式图片(gif)「IMG_0057.GIF」及「IMG_0062.GIF」，请指出由哪一个软件拍摄?

A. Infltr
B. Discreet
C. Meitu
D. Prisma

31. 曾经以空投(AirDrop)方式成功传送了文件到另外一个装置，以下哪一个陈述是正确的？

A. 传送了一个图片文件
B. 传送了两个图片文件
C. 传送了一个图片文件及一个文件
D. 传送了一个图片文件及两个文件

有一个表格记录了人机交互的记录：interactionC.db

这里我们导入的到navicat中找一下

1 2	SELECT * FROM "ZINTERACTIONS" WHERE ZTARGETBUNDLEID LIKE '%airdrop%';

有查到两个记录，来源于com.apple.mobileslideshow、com.apple.DocumentsApp

根据包名来看是文件和照片

32. 原生APP「相片」中，有一个图片文件曾经通过空投”AirDrop”方式成功传送，请指出这个图片文件的文件全名(请包含扩展名，依照参赛材料中的原文作答，注意区分大小写、空格及符号)

在photo.sqlite中按照查询语句（找到ZLASTSHAREDDATE字段有即可）

SELECT Z_PK,ZFILENAME FROM ZASSET WHERE ZLASTSHAREDDATE IS NOT NULL;

当然其实也可也准备一些ios取证的脚本：专门sql语句分析photo.sqlite

GitHub - ScottKjr3347/iOS_Local_PL_Photos.sqlite_Queries: iOS Photos.sqlite queries that may help with decoding data stored in Photos.sqlite. These queries are based on testing, research and some community published research. These queries were written to work for the Photos.sqlite database stored at: iOS: /private/var/mobile/media/PhotoData/Photos.Sqlite Mac OS: /Users//Pictures/PhotosLibrary.photoslibrary/database/Photos.sqlite

这里先确定这个备份的ios版本：ios16

使用ios16的查询语句

导出之后分析

搜索share，看到zAsset-Last Shared Date列看到只有少数数据

看到了他分享的文件

IMG_0083.HEIC

33. 承上题，请写出这个图片文件的开始传送的日期及时间？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-17 09:10:03.0000000 +08:00

34. 请指出哪一个多媒体文件同时储存在APP「文件」(套件识别码: com.apple.DocumentsApp)及APP「照片」(套件识别码: com.apple.mobileslideshow)中？(请包含扩展名，依照参赛材料中的原文作答，注意区分大小写、空格及符号)

先在文件中找到文件存储的两个文件

转到照片存储的地方，对比两个哈希

应该是IMG_0010.MOV（这应该是硬是要选一个的结果，如果答案是多个的话其实也可以是两个都填，哈希不一样）

35. 请指出在APP「照片」(套件识别码: com.apple.mobileslideshow)中的图片文件「IMG_0079.JPG」是由哪一个APP拍摄？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Discreet

36. 承上题，已知该图片文件是由上述APP所拍摄，并其后储存在APP「照片」(套件识别码: com.apple.mobileslideshow)成「IMG_0079.JPG」，请问该图片的原文件名称？ (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

DiscreetCameraApp_1744790959352.png

37. 承上题，请指出原文件的建立时间？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-16 16:09:19

38. 请指出在APP「照片」(套件识别码: com.apple.mobileslideshow)中，储存多媒体文件「IMG_0014.MOV」与储存「IMG_0016.MOV」之间有没有其他多媒体文件储存到APP「照片」中？

A. 有
B. 没有
C. 有拍摄，但没有储存
D. 无法确认

没有任何记录

39. 承上题，以下哪个陈述是正确描述上一题的答案？

A. 制作多媒体文件「IMG_0015.MOV」时，直接储存到隐藏相册中
B. 制作作多媒体文件「IMG_0015.MOV」时，直接上传到iCloud
C. 制作多媒体文件「IMG_0014.MOV」时用了缩时摄影
D. 制作多媒体文件「IMG_0015.MOV」时名称被更改为「IMG_0016.MOV」

额这个C完全就是和上题没啥关系啊喂

40. APP「照片」(套件识别码: com.apple.mobileslideshow)中，「IMG_0027.HEIC」的原地理位置信息(WGS84)是？

A. (22.2816569, 114.1756115)
B. (22.2826366666667, 114.168503333333)
C. (22.2826216666667, 114.168525)
D. (22.2826216666667, 114.168503333333)

41. 曾经通过网络浏览器「Safari」下载了多少个图片文件？

A. 1
B. 2
C. 3
D. 4

42. 多媒体文件「 IMG_0004.MOV」曾被修改后再储存成另一个文件，该文件名称是?

A. IMG_0085.mov
B. IMG_0086.mov
C. IMG_0087.mov
D. IMG_0088.mov

还是在刚才分析出来的表格中找，筛选IMG_0004.MOV，能找到源文件A

43. 曾经通过人工智能聊天APP “POE”查询一个问题，请列出这个问题的完整句子？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

根据录屏来看软件在3屏第一行第四个

ds软件的布局对得上，应该就是录屏的布局，大概率com.quora.app.Experts就是poe；在数据库中找到聊天记录：

分析一下发现他问了相当多的问题，这道题也搞死了；按照key排序，发现有很多chat:...推测是对话

仔细观察也发现了会话标题，上面有写lastmessage，给了message编号TWVzc2FnZTozNzcwNTE2Mzk2Nzg=；筛选这个能找到查询的句子

    "command": null,
    "contentType": "text_markdown",
    "creationTime": 1744782606792741,
    "hasCitations": false,
    "id": "TWVzc2FnZTozNzcwNTE2MjYzNjY=",
    "isChatAnnouncement": false,
    "isDeleted": false,
    "messageCode": "1mvs4t45lw2et7a3wk4a",
    "messageId": 377051626366,
    "messageStateText": null,
    "reactionCounts": [],
    "referencedMessage": null,
    "responsibleJob": null,
    "sourceType": "chat_input",
    "state": "complete",
    "text": "What’s that mean",
    "viewerCanDelete": true,
    "viewerReaction": null
}

What’s that mean

太耗时间了…

这是ai跑的，只能做复盘用

{
  "main_chats": [
    {
      "chat_key": "Chat:Q2hhdDoxMDY5ODc1MDcw",
      "chat_id": 1069875070,
      "title": "What's that",
      "default_bot": "GPT-4.1-mini",
      "members_count": 2,
      "bot_members_count": 1,
      "last_interaction_cst": "2025-04-16T13:50:07.094187+08:00",
      "viewer_is_owner": true
    }
  ],
  "active_chat_messages": [
    {
      "scope": "active_chat",
      "chat_ref": "Chat:Q2hhdDoxMDY5ODc1MDcw",
      "message_id": 377051626366,
      "role": "user",
      "author": "Duncan",
      "nickname": "human",
      "content_type": "text_markdown",
      "text": "What’s that mean",
      "attachments": [
        "677AEEF8-265B-421C-8273-608A12EE730D.jpg"
      ],
      "attachment_urls": [
        "https://pfst.cf2.poecdn.net/base/image/399308e662c0955f94cf2e6a251fd768e927656542571d66c30b6f3784854345?w=3024&h=4032&pmaid=349471502"
      ],
      "state": "complete",
      "source_type": "chat_input",
      "time_utc": "2025-04-16T05:50:06.792741+00:00",
      "time_cst": "2025-04-16T13:50:06.792741+08:00"
    },
    {
      "scope": "active_chat",
      "chat_ref": "Chat:Q2hhdDoxMDY5ODc1MDcw",
      "message_id": 377051639678,
      "role": "assistant",
      "author": "GPT-4.1-mini",
      "nickname": "gpt4_1_mini",
      "content_type": "text_markdown",
      "text": "The Chinese characters on the box say \"意見箱\" (yì jiàn xiāng), which means \"Suggestion Box\" in English. It is a box where people can leave their feedback, opinions, or suggestions.",
      "attachments": [],
      "attachment_urls": [],
      "state": "complete",
      "source_type": "chat_input",
      "time_utc": "2025-04-16T05:50:07.091463+00:00",
      "time_cst": "2025-04-16T13:50:07.091463+08:00"
    }
  ],
  "shared_messages": [
    {
      "scope": "shared_message",
      "message_id": 39522092,
      "author": "Human",
      "text": "九龍城寨",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:51:49.511595+00:00",
      "time_cst": "2025-04-10T16:51:49.511595+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522093,
      "author": "GPT-4o-mini",
      "text": "九龍城寨曾是香港一個獨特的地區，以其高密度的建築和複雜的社區結構而聞名。這個地方原本是一座軍事要塞，後來逐漸演變成一個沒有正式政府管理的居民區。\n\n### 特點\n- 高密度建築：城寨內的建築物往往重疊並緊密排列，形成一個錯綜複雜的迷宮。\n- 自給自足：居民在城寨內設置商店、餐廳和其他設施，使其幾乎可以自給自足。\n- 社區文化：城寨內的生活方式獨特，形成了濃厚的社區氛圍。\n\n### 歷史背景\n- 清朝末期：最初作為軍事防禦工事。\n- 二戰後：隨著大量難民湧入，城寨人口激增，逐漸形成今日的模樣。\n- 1993年拆除：香港政府決定拆除城寨，並將其轉變為九龍城寨公園，以保存這一歷史遺跡。\n\n今天的九龍城寨公園是遊客了解這一歷史的好去處，並且保留了部分城寨的文化元素。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:51:49.934270+00:00",
      "time_cst": "2025-04-10T16:51:49.934270+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522094,
      "author": "Human",
      "text": "城寨居民在拆除前的生活狀況如何？",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:52:08.340921+00:00",
      "time_cst": "2025-04-10T16:52:08.340921+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522095,
      "author": "GPT-4o-mini",
      "text": "在九龍城寨拆除前，居民的生活狀況相當獨特且多樣化。以下是一些主要特點：\n\n### 生活環境\n- 高密度居住：城寨的空間非常狹小，居民通常住在狹窄的公寓中，數十人共用一個洗手間。\n- 缺乏基礎設施：城寨內缺乏正規的公共服務，如水電供應和垃圾處理，居民多依賴自給自足。\n\n### 社區結構\n- 自足經濟：居民在城寨內經營商店、餐廳和小作坊，形成了一個繁榮的商業環境。\n- 社區互助：居民之間的關係緊密，彼此互相幫助，形成一種獨特的社區文化。\n\n### 社會問題\n- 治安問題：由於缺乏政府管轄，城寨曾經出現過一些社會問題，如黑幫活動和犯罪。\n- 生活困境：雖然城寨有其獨特的社區氛圍，但也面臨貧困和衛生問題。\n\n### 文化特色\n- 多元文化：居民來自不同的背景，形成了多元的文化氛圍，包括飲食、語言和傳統習俗。\n\n總體而言，九龍城寨的生活雖然艱辛，但居民之間的密切關係和自給自足的生活方式，使得這個地方充滿了生機與活力。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:52:08.538865+00:00",
      "time_cst": "2025-04-10T16:52:08.538865+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522096,
      "author": "Human",
      "text": "你有聽過關於他的電影嗎",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:52:44.262593+00:00",
      "time_cst": "2025-04-10T16:52:44.262593+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522097,
      "author": "GPT-4o-mini",
      "text": "是的，關於九龍城寨的電影有幾部引人注目的作品。其中最著名的包括：\n\n### 1. 《九龍城寨》\n這部電影描繪了城寨的生活和社會結構，展示了居民的日常掙扎和社區文化。\n\n### 2. 《黑社會的超級經典》\n這部電影以九龍城寨為背景，講述黑幫和社會問題，展現了城寨的獨特氛圍。\n\n### 3. 《警察故事 4：簡單任務》\n這部成龍的動作片中也有部分場景是在九龍城寨拍攝，突顯了城寨的獨特建築和社會環境。\n\n這些電影不僅展示了九龍城寨的歷史和文化，也讓更多人了解這個獨特的地方。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:52:44.480636+00:00",
      "time_cst": "2025-04-10T16:52:44.480636+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522153,
      "author": "Human",
      "text": "什麼是爛gag?",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:54:27.049664+00:00",
      "time_cst": "2025-04-10T16:54:27.049664+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522154,
      "author": "GPT-4o-mini",
      "text": "「爛gag」是一種幽默形式，通常是指那些簡單、直接或過於老套的笑話，讓人覺得無聊或沒有創意。這些笑話往往使用常見的雙關語、冷笑話或不合時宜的梗，通常會讓人「翻白眼」，但有時也因為其荒謬性而讓人感到好笑。這類笑話在社交場合中可能會引發尷尬的笑聲。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:54:27.577370+00:00",
      "time_cst": "2025-04-10T16:54:27.577370+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522517,
      "author": "Human",
      "text": "說一些有關中國東方神話的重要角色",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:56:45.149944+00:00",
      "time_cst": "2025-04-10T16:56:45.149944+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522518,
      "author": "GPT-4o-mini",
      "text": "中國東方神話中有許多重要角色，以下是幾個著名的人物：\n\n1. 盤古：\n   - 被視為創世神話中的第一位神祇。他用斧頭劈開混沌，創造了天地。\n\n2. 女媧：\n   - 造人和補天的女神。根據傳說，她用黃土造人，並在天地崩塌時用五彩石修補天空。\n\n3. 伏羲：\n   - 被認為是中國的始祖之一，並且是八卦的創造者。他教會人類狩獵、農耕和養殖。\n\n4. 龍：\n   - 中國神話中非常重要的生物，象徵著權力、運氣和水的控制。龍被視為皇帝的象徵。\n\n5. 西王母：\n   - 女神，居住在昆侖山上，掌管長生不老和仙藥。她是女性神祇中的重要角色，常與不朽有關。\n\n6. 嫦娥：\n   - 月亮女神，傳說她因吞下不死藥而飛升月宮，成為月亮上的仙女。\n\n這些角色不僅在神話中扮演重要角色，還影響著中國文化和傳統。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:56:45.565699+00:00",
      "time_cst": "2025-04-10T16:56:45.565699+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522519,
      "author": "Human",
      "text": "還有更多關於中國神話的角色嗎？",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:57:48.895841+00:00",
      "time_cst": "2025-04-10T16:57:48.895841+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39522520,
      "author": "GPT-4o-mini",
      "text": "當然可以，以下是更多中國神話中的重要角色：\n\n7. 太上老君：\n   - 道教中的重要神祇，象徵智慧和長生。他是道教的創始者之一，常被描繪為一位老者。\n\n8. 觀音：\n   - 大慈大悲的菩薩，代表著慈愛和同情。她能夠救助苦難中的人們，廣受信仰。\n\n9. 紅孩兒：\n   - 《西遊記》中角色，為牛魔王和鐵扇公主之子，擁有強大的火焰能力，是個調皮的妖精。\n\n10. 八仙：\n    - 一組著名的仙人，各具特點和神通，包括李鐵拐、張果老等，象徵著各種人性的美德。\n\n11. 黃帝：\n    - 中國古代傳說中的帝王，被尊為中華民族的祖先，與風俗、醫學和文化的發展有關。\n\n12. 夸父：\n    - 一位勇敢的巨人，追逐太陽，象徵著不屈不撓的精神，最終因疲憊而死。\n\n這些角色在中國神話中各具特色，展現了豐富的文化內涵和歷史意義。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-10T08:57:49.131322+00:00",
      "time_cst": "2025-04-10T16:57:49.131322+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39548374,
      "author": "GPT-4o",
      "text": "### 筆記：一般適應症候群與壓力處理\n\n---\n\n#### 一、一般適應症候群 (General Adaptation Syndrome)\n\n1. 階段劃分：\n   - 警報反應階段 (Alarm Reaction): 身體釋放壓力激素，準備應對壓力源。\n   - 抵抗階段 (Resistance): 身體嘗試適應壓力，維持穩定。\n   - 衰竭階段 (Exhaustion): 長期壓力導致身體資源耗竭，可能引發健康問題。\n\n2. 特性：\n   - 適用於長期壓力情境。\n   - 壓力反應無法適應時，容易導致分壓或失衡。\n\n---\n\n#### 二、壓力與表現的關係\n\n1. 壓力與效率曲線：\n   - 適度壓力有助於提高表現。\n   - 壓力過低或過高均會影響效率，可能導致倦怠或過度焦慮。\n\n2. 曲線階段：\n   - 壓力低： 動力不足，效率低。\n   - 壓力適中： 表現最佳。\n   - 壓力過高： 過載，效率下降。\n\n---\n\n#### 三、壓力的處理方法\n\n1. 壓力處理目標：\n   - 目標不在於完全消除壓力。\n   - 重點在於將壓力的負面影響降至最低。\n   - 保持或提升生活品質。\n\n2. 壓力處理技巧：\n   - 生物回饋法： 通過儀器監測身體反應，進行調節。\n   - 心理處理方法： 心理諮商或自我調整。\n   - 呼吸鬆弛法： 深呼吸來放鬆身心。\n   - 漸進式肌肉放鬆法： 逐步放鬆全身肌肉。\n   - 自生訓練法： 自我暗示以穩定情緒。\n   - 視覺意象鬆弛法： 想像放鬆場景來減壓。\n   - 冥想： 專注於當下，釋放壓力。\n   - 有氧運動： 增加運動來釋放壓力激素。\n\n---\n\n#### 四、關鍵重點\n\n1. 壓力管理應注重「適應」而非「消除」壓力。\n2. 適度壓力有助於提升效率，但需避免長期過度壓力。\n3. 採用多種方法調節壓力以維持身心健康及生活品質。\n\n---\n\n這些內容概述了壓力的形成、影響及處理策略，幫助我們更好地應對生活中的挑戰。",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": true,
      "time_utc": "2025-04-10T15:44:52.105441+00:00",
      "time_cst": "2025-04-10T23:44:52.105441+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39742480,
      "author": "Human",
      "text": "請提我寫一段約80字的內容，運用視覺嗅覺聽覺或觸覺描寫蔬菜檔檔\n運用步移法\n需要符合小學四至五年級程度",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": true,
      "time_utc": "2025-04-13T03:34:49.734468+00:00",
      "time_cst": "2025-04-13T11:34:49.734468+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39742481,
      "author": "Assistant",
      "text": "我走進蔬菜檔，五顏六色的蔬菜讓我眼前一亮。紅紅的番茄在陽光下閃閃發光，綠綠的菠菜散發著清新的香氣。走近一點，我能聽到小販熱情地叫賣聲，讓人感到活力十足。我伸手觸摸那些剛摘下的蔬菜，感覺到它們的光滑和清脆，讓我忍不住想要買一些回家吃！",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-13T03:34:49.946014+00:00",
      "time_cst": "2025-04-13T11:34:49.946014+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39860671,
      "author": "Human",
      "text": "",
      "attachments": [
        "A805096D-44E1-4457-B0F0-02284181F9BE.jpg"
      ],
      "attachment_urls": [
        "https://pfst.cf2.poecdn.net/base/image/1ad4256930330cd5b993b1522c020c1f05c4466b9f8b46fae2e0c68362678f16?w=3264&h=2448"
      ],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-14T15:02:35.736468+00:00",
      "time_cst": "2025-04-14T23:02:35.736468+08:00"
    },
    {
      "scope": "shared_message",
      "message_id": 39860672,
      "author": "Assistant",
      "text": "It looks like you've shared an image of a document related to a school anniversary celebration. If you need help with summarizing, editing, or providing feedback on the text, feel free to share the content, and I'll assist you!",
      "attachments": [],
      "attachment_urls": [],
      "is_chat_announcement": false,
      "did_skip_context": false,
      "time_utc": "2025-04-14T15:02:36.019130+00:00",
      "time_cst": "2025-04-14T23:02:36.019130+08:00"
    }
  ]
}

## 44. 承上题，请指出提问的日期及时间(答题格式: yyyy-MM-dd HH:mm:ss 作答, GMT+8) 1744782606792741时间戳转换

2025-04-16 13:50:06.7927410 +08:00

45. 承上题，当时使用的是哪一个机器人?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

gpt4_1_mini

46. 承上题，当时的使用者名称是？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Duncan

我需要再看看别人是怎么做的这个是我让ai给我跑的

47. 请指出即时通讯软件”WeChat”的 “WeChat ID”(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wxid_c9xyspglub7512

48. 承上题，这个”WeChat ID”关注了多少个「视频号」？

A. 1
B. 2
C. 3
D. 4

追踪原db：FUNG_CC_mobile.tar/var/mobile/Applications/com.tencent.xin/Documents/5f1d6cc9474fbbc2fb3dc807008543d5/finder/db/finder_main.db

找到followstate的关注状态

49. 请指出即时通讯软件WhatsApp的WhatsApp ID(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

50. 即时通讯软件WhatsApp中，封存了下列哪个聊天群？

A. 凤凰VIP会员心得交流群
B. 币淘群组1
C. Sportsmen
D. Titus Wong Manson Finance

封存应该是翻译问题，可以理解成归档（archived），如果题目是双语的话（fic那种）可能会更好理解一点

51. 即时通讯软件WhatsApp中，总共追踪了多少个频道？(请以阿拉伯数字作答)

数一下 19个

52. 即时通讯软件「WhatsApp」中，下列哪个是群组 “Investors” 的管理员？

i) 85254974406@s.whatsapp.net
ii) 85260927726@s.whatsapp.net
iii) 85254961408@s.whatsapp.net
A. 只有 i)
B. 只有 i) 和 ii)
C. 只有 ii) 和 iii)
D. 以上皆是

两个

53. 即时通讯软件「WhatsApp」中，群组 “Investors” 的群组ID？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

120363417204753192@g.us

54. 即时通讯软件「WhatsApp」中，「社群」名称是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

We are 3

55. 承上题，请指出这个社群的群组图案的哈希值（SHA256格式）。

A. B1A3706C574F81A3EE084FB9509997E06349E86D904D1DC10B879D1D5ED83125
B. B8BA258402925E139CAFBBBBBC809EC160B70BB03DBD4D0F3063F58F69D0B956
C. E43ADC646295BC5011577D4E733B6289D31A5E11ACB45285BE1FF530260DF383
D. 20E64C78F9926548CEEFB1783991A4AD71A6631F3C86002254342E323A898C6A

这个不是他还有另外一张

坑…

56. 即时通讯软件「WhatsApp」中，找出WhatsApp ID:85254961408@s.whatsapp.net曾经是在而现在已经不在的群组，请指出该群组的名称。(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

牛思…

57. 即时通讯软件「WhatsApp」中，总共出现了多少个「投票」活动？(请以阿拉伯数字作答)

~~3+13 = 16 个 ~~要搜索完整的投票消息，雅虎新闻的投票其实是一个新闻（含有“投票”二字而已）

58. 承上题，总共在多少个「投票」活动中作出了投票？(请以阿拉伯数字作答)

直接在原始数据库中搜索是搜不到的，我们追踪一下上下文

搜索Suport you（这条消息前一条就是投票）

他对应的messagetype是46，所以筛选出所有46的信息：

刚好和前面15条对应上了

西电写的是3/q写的是1/didctf是2 牛思…（我不想上美亚那个平台查答案了）

59. 即时通讯软件「WhatsApp」中，根据群组「 IQ COIN 💰💰💰💰」对话内容正在策划，哪一种犯罪计划？

A. 诈骗
B. 抢劫
C. 谋杀
D. 以上都不对

60. 承上题，该群组建立者的WhatsApp ID是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

85254974406@s.whatsapp.net

61. 承上题，该群组的建立时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-04-25 16:57:55

LEUNG_YL_Mobile.zip

1234

62. 根据你分析结果。三人因感情瓜葛内讧因而发生这次袭击事件。你怀疑梁燕玲曾到袭击现场，你将你的发现通知警察。警察扩大现场搜索范围，终于在案发现场附近，发现陈民浩名下的小汽车，车上发现一部智能手机。请你以参赛材料LEUNG_YL_Mobile.zip回答以下问题参考LEUNG_YL_Mobile.zip，该手机用作注册iCloud的email?

A. lingleung1502@gmail.com
B. lingleung1502@yahoo.com.hk
C. lingleung1503@gmail.com
D. lingl1502@gmail.com

63. 参考LEUNG_YL_Mobile.zip，文件IMG_0021.HEIC 所拍摄的相机型号是甚么?

A. iPhone SE (3rd generation)
B. iPhone SE (2nd generation)
C. iPhone 12 mini
D. iPhone XR

64. 参考LEUNG_YL_Mobile.zip，文件IMG_0005.JPG所拍摄的座标(WGS 84)是多少？(请以纬度,经度的顺序及以下格式作答xx.xxxxxx,xx.xxxxxx)

照片原始是没有位置的，在火眼的位置这里能找到同时间的地址

22.337655,114.139441

65. 参考LEUNG_YL_Mobile.zip，文件IMG_0022.JPG是以下哪种方向拍摄?

A. 不旋转
B. 旋转180度
C. 顺时针90度
D. 逆时针90度

exif照片可以用IrfanView软件直接看信息，源码信息是 "Orientation": 6,对于这个的理解见下文

图片Exif 信息中Orientation的理解和对此的处理 - csonezp - 博客园

参数	0行（未旋转上）	0列（未旋转左）	旋转（方法很多）
1	上	左	0°
2	上	右	水平翻转
3	下	右	180°
4	下	左	垂直翻转
5	左	上	顺时针90°+水平翻转
6	右	上	顺时针90°
7	右	下	顺时针90°+垂直翻转
8	左	下	逆时针90°

顺时针90°

66. 文件IMG_0022.JPG的建立时间(GMT +08:00)是?(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)

2025-05-16 11:33:15

67. 参考LEUNG_YL_Mobile.zip，在WhatsApp 与”85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)是多少?(请以纬度,经度顺序及以下格式作答xx.xxxxxxxxxxxx, xxx.xxxxxxxxxxxx)

22.278848726819984（22°1643.8554″）114.29062196271781（114°1726.2391″）

(22.278848726819,114.29062196271)

22.278848726819984,114.29062196271781

68. 参考LEUNG_YL_Mobile.zip，在WhatsApp 与 “85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)所指的餐厅英文名称是? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Fai Kee Seafood Restaurant

69. 参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，于2025-04-29 08:31:02，机主传送了一个PDF 文件，该PDF的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638

70. 参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，有多少个参加者？

A. 2
B. 3
C. 4
D. 5

71. 参考LEUNG_YL_Mobile.zip，于2025-04-25 17:11:37 时使用WhatsApp 所拨打的手机号码是多少?

A. 85254962307
B. 85254961408
C. 85254974406
D. 85254993306

72. 参考LEUNG_YL_Mobile.zip，总共有多少个WhatsApp的通话记录? (包括拨打、接收及未接来电)

A. 4
B. 5
C. 6
D. 7
D

73. 参考LEUNG_YL_Mobile.zip，WhatsApp 聊天群组ID 120363400622997111 的群组名称是?

A. Investors
B. Foodies
C. We are 3
D. Happy Sharing within 3

A. 22.323436345441, 113.276894376508
B. 22.326923370361, 114.168403625488

A. 22.278848726819, 114.290621962717
C. 21.239876452236, 115.925422314543
D. 20.124955642236, 114.168403625488

75. 参考LEUNG_YL_Mobile.zip，Instagram 的版本是?

A. 375.2.0.15.82 (722575504)
B. 376.1.0.14.56 (722575504)
C. 376.1.0.27.82 (722575504)
D. 376.0.0.17.23 (722575504)

76. 参考LEUNG_YL_Mobile.zip，社交媒体软件Instagram 的安装时间?(请以GMT+8时区及格式YYYY-MM-DD hh:mm:ss作答)

2025-04-26 11:50:47.2850000 +08:00

LEUNG_YL_USB.E01

77. 跟据你的分析，警察在香港西贡蕉坑，找到一个行李箱，内藏一名女子尸体，身上没有任何身份证明文件，裤袋内搜获一个U盘，根据法医初步检验，死者头部及颈部有明显瘀伤，相信曾发生激烈争执，死因为气管受压导致窒息，死亡时间相信是在2025-05-16 0900时至1000时。调查人员初步检查这个U盘，没有发现可疑资料，现在交由你进行电子数据鉴定工作。请参考参赛材料LEUNG_YL_USB.E01，答以下问题参考LEUNG_YL_USB.E01，这个U盘里有多少个分区？(请以阿拉伯数字作答)

78. 参考LEUNG_YL_USB.E01，这个U盘里的分区结构是什么？(请以英文大写作答)

这个可以本地ai以下，其实就两种MBR/GPT

MFR

79. 参考LEUNG_YL_USB.E01，以下哪项描述是正确的？

i) U盘的总容量是16GB
ii) 文件系统包括 FAT32、exFAT 和 NTFS
iii) exFAT 分区的容量是 16GB
iv) 分区标签名是 “SanDisk”
A. 只有 i) 和 ii)
B. 只有 i) 和 iii)
C. 只有 ii) 和 iv)
D. 以上皆非

80. 参考LEUNG_YL_USB.E01，以下哪项描述是正确的？

i) 此U盘曾连接到一台名为 “PC” 的电脑
ii) U盘内存有一个已加密的压缩文件
iii) 已加密的压缩文件的创建日期系 2025-05-15
A. 只有 ii)
B. 只有 iii)
C. 只有 ii) 和 iii)
D. 以上皆是

i 网上查的wp竟然都是说没找到相关日志（行吧..）

81. 承上题，该压缩文件的解压密码是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

54d#e(nm

82. 参考LEUNG_YL_USB.E01，以下哪项描述是正确的？

i) 这是一个可引导U盘
ii) 有一个分区标签名为 “EFI”
iii) 卷标日期为 2025-05-15 (UTC +8)
iv) 有一个分区的总容量小于 500 MB
A. 只有 i)
B. 只有 i) 和 ii)
C. 只有 i), iii) 和 iv)
D. 以上皆是

83. tammy.txt文件的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

解压u盘中的wim文件，直接能找到

due_diligence

84. 文件“xcontainer”的加密算法是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

牛逼还得是wiki大手子，行吧，这个是vc的密码

AES(Twofish)

85. 分析文档 “xcontainer” 的属性。关于此磁盘镜像，以下哪项描述是正确的？

i) 大小为 4943872 字节
ii) 文件系统是 FAT
iii) 没有嵌入式备份头
iv) 块大小为 128 位
A. 只有 i) 和 ii)
B. 只有 ii) 和 iv)
C. 只有 ii), iii) 和 iv)
D. 以上皆是

86. WinPE 启动后，系统会自动将核心映像挂载在哪个虚拟机？

A. C:
B. D:
C. X:
D. Z:

发现是X盘

87. 下列哪些 Windows PE 指令在预设环境下无法执行？

i) Powershell
ii). Eventvwr
iii). Hostname
iV). Diskpart
A. 只有 i) 和 ii)
B. 只有 iii) 和 iv)
C. 只有 i), ii) 和 iii)
D. 以上皆是

或者直接看，在\Windows\System32下有无powershell.exe、eventvwr.exe、mmc.exe、 diskpart.exe

只有 diskpart.exe

88. 必须包含哪个文件，才能启动 Windows PE环境？

A. WEPE64.wim
B. install.wim
C. WinPE.log
D. hiberfil.sys

A（文件体积也是最大的嘛）

89. 若要判断一个U盘是否为可开机的Windows PE，以下哪些文件必须存在？

i) WEPE64.wim 或 boot.wim
ii) bootmgr
iii) EFI\Boot\bootx64.efi
iv) hiberfil.sys
A. 只有 ii 和 iv
B. 只有 i), ii) 和 iii)
C. 只有 i) 和 iv)
D. 以上皆是

90. 这个 WinPE U盘的操作环境 (Operating Environment) 是基于哪一个 Windows 版本？

A. Windows 7
B. Windows 8.1
C. Windows 10 PE
D. Windows 11 PE

010editor分析.wim发现本质是压缩包，找到C:\Windows\System32\config\SOFTWARE

搜索 ProductName 字段查看

windows10

91. 根据你综合多项通讯软件的对话记录，浏览记录及资料分析，发现冯子超、陈民浩伙同女子梁燕玲共同做了一宗涉及加密货币投资的诈骗案件，因东窗事发打算携赃而逃。女子梁燕玲负责处理有关清洗黑钱事项，警察相信梁燕玲携带同相关材料逃跑，请你运用电子数据鉴定技巧寻找与加密货币相关的材料，尽快启动冻结程序。

参考LEUNG_YL_USB.E01，该U盘盘有一个加密的文件，该文件所用的加密软件名称是? (只需回答软件名称，不需要回答软件版本，(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

VeraCrypt

92. 参考LEUNG_YL_USB.E01，请列出与IQ Coin有关的虚拟钱包的地址(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

0x548dafDe4B17d7d3C9485E79B3B5018801C7855E

jelly
pudding
vibrant
guitar
enable
creek
harmony
dragon
olive
sunset
rookie
fabric

93. 承上题，这个钱包属于哪一种加密货币(请以英文大写作答)

好习惯记下了

这里有个zip，至于密码就是0x548dafDe4B17d7d3C9485E79B3B5018801C7855E（92题）

94. 承上题，这个钱包总共有多少次存入记录？(请以阿拉伯数字作答)

图片里面看，to的对象就一个是0x54的

95. 承上题，存入款项的支账地址是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Address: 0x548dafde…801c7855e | BscScan

这个当时断网怎么看…

0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A

96. 承上题，这项交易传送了多少BEP-20 IQ Coin?(请以阿拉伯数字依照参赛材料中的原文作答，注意区分大小写、空格及符号和不用标点符号 )

97. 助记词是由加密货币钱包生成的一系列单词，帮助用户恢复其私钥。助记词通常由12到24个单词组成

A. 正确
B. 错误

正确

98. 根据你的信息警察查知这个加密钱包涉及近期一宗巨额诈骗案，请你查出这个钱包余额额度，警察将会进行冻结程序请指出包含有疑似助记词的文件的希哈值(MD5格式)(请以阿拉伯数字和英文大写作答)

183B8E0C6365FEE834479269141A3F91