一、手机取证

1.机主微信 ID 号为？（答案按照实际填写，字母全小写）

wxid_gvlyzqeyg83o22

2.机主在 2023 年 12 月登录宝塔面板使用的验证码为？（填写数字，答案格式如：1234）

482762

3.小众即时通讯 “鸽哒” 应用程序的最后更新时间为？（答案格式如：1970-01-01 00:00:00）

查看详细信息

但这是修改时间，题目要更新时间。另寻他处：

找到包名文件夹，data看updatetime

2024-09-20 09:25:19

4.该手机中记录的最后一次开机时间。（答案格式如：1970-01-01 00:00:00）

2024-10-24 11:27:14

5.该手机中高德地图 APP 应用的登录 ID 为？（答案按照实际填写）

950980338

6.对手机镜像进行分析，该手机中高德地图 APP 应用登录账号头像的 SHA-256 值前 8 位为？（答案格式：大写字母与数字组合，如：D23DDF44）

路径 /media/0/Android/data/com.autonavi.minimap/files/autonavi/httpcache/imageajx/ 是 高德地图应用在 Android 系统中用来缓存网络图片的文件夹。

路径解析：

/media/0/Android/data/：Android设备上应用程序专属的外部存储目录，media/0 通常表示设备的默认存储分区。

com.autonavi.minimap：高德地图的应用包名，每个应用都会有自己的独立存储空间。

files/autonavi/httpcache/imageajx/：高德地图的文件子目录：

httpcache：表示存储HTTP请求的缓存数据。

imageajx：特定于图片资源的缓存目录。

右键计算SHA256： 572589DAE711B4EA79672E2763A2F54D3D283E5739091779C52324D4B6F241BB

但是错了。

该题答案8F8A68A3

图片在两个路径存储

1.分区4/media/0/Android/data/com.autonavi.minimap/files/autonavi/avatar

2.分区4/media/0/Android/data/com.autonavi.minimap/files/autonavi/httpcache/imageajx

这边能先确定头像长什么样，但是这个源文件是高德地图的用户配置文件

不过我们可以定位一下应该就在这个24CS_Phone.E01/分区4/data/com.autonavi.minimap/files里

8F8A68A3

7.对手机镜像进行分析，其中 20220207-20230206 的微信账单文件的解压密码为？（答案格式：按实际值填写）

847905

8.机主在手机中存储的一张复古土砌矮墙照片的拍摄地为哪个城市？（答案格式：北京市）

图片取证+地理位置溯源

景德镇市

9.通过 AI 合成的人脸照片中，有几张照片是通过本机当前安装的 AI 照片合成工具生成，并有对应记录的 ？（填写数字，答案格式如：1234）

有可疑的前缀thumb（前面没有前缀_的是下载的图片，带img的是拍照的，screenshot是截图）

初步推测是3。查看对应包名，去软件的数据库文件验证：

3

10.对手机镜像进行分析，统计出通讯录号码归属地第二多的省份是？（答案格式：广东）

数据少的话直接归属地排序看，但这数据有些庞大。

使用火眼把通讯录导出

方法一：

方法二：

  • 选中包含该内容的单元格，然后点击菜单栏中的 “数据” 选项卡。
  • 在 “数据” 选项卡中找到 “分列” 按钮并点击。
  • 点击智能分列

福建

11.找出 “季令柏” 身份证号后 4 位为？（答案格式：1234)

十六进制编辑器打开文件头损坏：0000000000000000，89504E470D0A1A0A修复png

8043

12.找出接收 “葵花宝典 1.doc” 文件使用的应用程序的第一次安装时间为？（答案格式如：1970-01-01 00:00:00）

2024-09-20 09:29:40

13.机主使用的小众即时通讯应用使用的服务器 IP 为？（答案格式：127.0.0.1）

依旧鸽哒。

法一：打开雷电智能APP通用抓包：

或者法二：cache缓存里看

甚至可以法三：放入jadx反编译apk搜http

163.179.125.64

14.机主在哪个平台上发布过转让传奇游戏币的信息，请写出该平台应用 APP 的包名？（答案格式：com.abcd）

有些可疑，搜搜看

手机里仅有的交易平台，八九不离十

com.jiuwu

15.其中有一 “双色球” 网页的玩法规则中定义的 “三等奖” 的奖金是多少？（填写数字，答案格式如：1234）

不行。

答案很偏。最后是在备忘录软件，查看数据库文件找到的

https://www.lottery.gov.cn/dlt/index.html

https://www.lottery.gov.cn/jc/index.html

https://www.lottery.gov.cn/cz/index.html

https://www.lottery.gov.cn/xdgg/

https://www.lottery.gov.cn/plwf/index.html

https://www.lottery.gov.cn/qxc/index.html

https://www.cwl.gov.cn/fcpz/yxjs/ggl/

https://www.cwl.gov.cn/fcpz/yxjs/fc3d/

https://www.cwl.gov.cn/fcpz/yxjs/kl8/

发现有个网址带有ssq，打开：

3000

15.找出手机连接过的米家摄像头终端设备的用户 ID 为？（答案格式：答案按照实际填写）

2968704175

16.找出手机连接过的米家摄像头终端设备的 IP 地址为？（答案格式：127.0.0.1）

192.168.110.106