2026-04-29 04:43:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详细记录了2026年FIC网络空间取证大赛初赛服务器与手机部分的解题思路，使用Hermes自动化取证框架分析E01镜像和移动设备数据。服务器部分涉及操作系统识别、Docker镜像时间、网站配置提取等15项技术点；手机取证涵盖应用安装时间、数据库解密、权限分析等17个题目。文档提供了完整的取证流程和方法，但部分答案未经验证仅供参考。 综合评分： 85 文章分类： 漏洞分析,应急响应,移动安全,CTF,逆向分析

cover_image

2026 年第六届 FIC 全国网络空间取证大赛初赛解题思路|服务器与手机部分|Hermes自动化分析

原创

0xSec笔记本 0xSec笔记本

0xSec笔记本

2026年4月25日 17:31 浙江

在小说阅读器读本章

去阅读

📢 免责声明

本文所述技术仅用于合法授权的安全研究、教学演示及防御机制开发。作者及发布平台不承担因读者误用、滥用本内容所导致的任何法律责任。请严格遵守《中华人民共和国网络安全法》及相关法律法规。

本文使用 Hermes 自动化取证框架对赛题进行分析，完整还原从 E01 镜像到交易数据提取的全流程。

感觉现在取证 AI Agent 单论分析优势实在是太强了！！！

检材3（服务器）& 检材2（手机）思路|答案未验证，仅供参考

检材3 – 服务器取证

题目1：该服务器主机操作系统版本为

解题思路： 挂载 EWF 镜像后，直接读取 /etc/os-release 文件，从 PRETTY_NAME 字段获取完整版本信息。

答案：Debian GNU/Linux 13 (trixie)

题目2：该服务器根分区硬盘的uuid号为

解题思路： 读取 /etc/fstab，找到挂载点为 / 的条目，提取其 UUID= 字段值。

答案：3231e52f-5e15-44c4-b224-e29cb4201c0e

题目3：服务器中最新的docker镜像的创建时间为

解题思路： 从 Docker 数据目录中查找容器配置文件（hostconfig.json 或 config.v2.json），提取其中的 Created 字段时间戳。

答案：2026-04-16T10:09:05.106037938Z

题目4：该服务器根观光路径为

解题思路： 读取 Nginx 配置文件 /etc/nginx/sites-available/default，找到 root 指令所指向的路径。

答案：/var/www/html/maccms10

题目5：网站后台管理入口对应的文件名为

解题思路： 查看 Nginx 配置中的 index 指令，结合 rewrite 规则，确认实际入口文件。后台控制器位于 application/admin/controller/Index.php，对应入口为 Index.php。

答案：Index.php

题目6：网站设置的icp备案号为

解题思路： 读取站点主配置文件 /var/www/html/maccms10/application/extra/maccms.php，提取 site_icp 字段。

答案：icp1919810

题目7：网站主域名

解题思路： 同上，从 maccms.php 中提取 site_url 字段。

答案：www.2026fic.forensix

题目8：分类3的英文标识

解题思路： 读取运行时缓存文件（/var/www/html/maccms10/runtime/cache/ 目录下的 PHP 缓存），搜索 分类3 关键字，找到对应的 type_en 字段。

答案：fenlei3

题目9：站点设置页面模板路径

解题思路： 查看后台 System.php 控制器，找到 fetch('admin@system/config') 调用，对应模板文件实际路径为 application/admin/view/system/config.html。

答案：/var/www/html/maccms10/application/admin/view/system/config.html

题目10：伪静态规则配置文件的 SM3 哈希值

解题思路： 对 application/route.php 执行 openssl dgst -sm3 命令，直接计算 SM3 摘要。

答案：959a39b5ed4304ef1a60ec3db463f07b438c14c4c1b748cceae80309262d6dea

题目11：数据库服务器 IP 地址

解题思路： 先从 application/database.php 中获取数据库主机名 mytidb，再读取 /etc/hosts 文件，找到 mytidb 对应的 IP 映射。

答案：10.0.3.100

题目12：使用的容器技术

解题思路： 检查 /etc/docker/daemon.json 文件是否存在且内容合法，确认系统安装并配置了 Docker，data-root 指向 /data。

答案：Docker

题目13：4000 端口备份数据库版本

解题思路： 在可读的镜像文件范围内，遍历日志、配置、服务文件等，搜索 TiDB 相关版本字符串及 4000 端口信息，未能从当前可读证据中定位到有效版本号。

答案： 未能从当前可读证据中确定

题目14：注册行为最多的日期

解题思路： 遍历所有 Nginx 访问日志（含 .gz 压缩文件），用正则匹配包含 register、/user/reg、signup 等关键词的请求路径，按日期统计请求次数，取最高频日期。

答案：15/Apr/2026

题目15：后台最后登录的 IP 地址

解题思路： 遍历所有 Nginx 访问日志，筛选路径中含 /user.php/admin/ 的请求，按时间排序后取最后出现的 IP 地址。

答案：192.168.226.1

题目16：根分区文件系统类型

解题思路： 从 /etc/fstab 中，根分区挂载条目的文件系统类型字段即为答案。

答案：Btrfs

题目17：已安装的数据库服务软件

解题思路： 读取 /var/lib/dpkg/status，依次搜索 mariadb-server、postgresql-18、redis-server、sqlite3 等包名，确认状态为 install ok installed。

答案：MariaDB、PostgreSQL、Redis、SQLite

检材2 – 手机取证

题目1：手机型号

解题思路： 读取 ThunderForensic.json 取证报告，提取 Device.Model 字段。

证据：/home/kali/Desktop/检材2-手机/ThunderForensic.json

答案：Redmi Note 7 Pro

题目2：计划前往迪拜的日期

解题思路： /home/kali/Desktop/检材2-手机/data/user/0/com.miui.notes/databases/todo.db

命中内容： 2026.06.06 乘坐飞机去 dubai

答案： 2026.06.06

题目3：与网站搭建人员沟通所用 APP 的安装日期

解题思路： 从 /data/system/packages.xml 中找到包名 com.talk.uuuim，提取其 it（install time）字段的十六进制时间戳 19d8b6fd571，转换为 Unix 毫秒时间戳后换算为 UTC 时间。

答案：2026-04-14 10:00:55.409 UTC（北京时间 2026-04-14 18:00:55.409）

题目4：沟通所用 APP 的聊天数据库路径

解题思路： 定位包名 com.talk.uuuim 的数据目录，在 databases/ 子目录下找到以哈希命名的 SQLite 数据库文件。

答案：/data/user/0/com.talk.uuuim/databases/9628874a3c6b403593766496fa985893.db

题目5：囤积数据的数据库解密密码

解题思路： 定位 com.livevideo.hotclub 的本地数据库 hotclub_data.db，尝试直接打开，发现无需密码即可读取表结构与数据，不存在 SQLCipher 加密。

答案： 未检出独立数据库解密密码

题目6：云服务器商家收款备用钱包地址

解题思路： 分析 HotClub_v2.1.6.apk，提取 assets/config.dat，根据代码中的解密逻辑（AES/ECB/PKCS5Padding，密钥 hotclub_2026_sec）解密后，从 JSON 结果中提取 wallet 字段。

答案：TXqH7sVn8bR4kL2mN9pW6xJ3cY5dF1gA

题目7：给网站架构人员第一次路由的交易哈希前6位

解题思路： 在聊天数据库、日志文件、相关文本中搜索交易哈希/txid 等关键词，未发现可直接确认的首笔交易哈希记录。

答案： 未检出

题目8：李安弘主动向 AI 提问次数

解题思路： 打开 com.pocketpalai/pocketpalai.db，查询 messages 表，筛选 author 字段为用户 ID（y9d7f8pgn）的记录并计数。

答案：5次

题目9：AI 软件调用的本地模型及版本

解题思路： 在 pocketpalai.db 中查询 local_pals 表的 default_model 字段，提取模型名称与文件名。

答案：SmolVLM-500M-Instruct (Q8_0)（完整标识：ggml-org/SmolVLM-500M-Instruct-GGUF/SmolVLM-500M-Instruct-Q8_0.gguf）

题目10：无人机飞行所在县

解题思路： 遍历 dji.go.v5 数据目录下的数据库与缓存文件，尝试提取飞行坐标记录并反查行政区划，未能抽取到确定落点的县级数据。

答案： 未检出县级地点

题目11：最近安装的视频类 APP 声明的敏感权限

解题思路： 对最近安装的视频 APP（HotClub_v2.1.6.apk，包名 com.livevideo.hotclub）进行 APK 解包，解析 AndroidManifest.xml，提取所有涉及用户隐私的 uses-permission 条目。

答案：

• READ_CONTACTS
• READ_SMS
• READ_CALL_LOG
• READ_PHONE_STATE
• ACCESS_FINE_LOCATION
• ACCESS_COARSE_LOCATION
• CAMERA
• READ_EXTERNAL_STORAGE
• WRITE_EXTERNAL_STORAGE

题目12：网络不可用时加载的本地离线页面路径

解题思路： 逆向分析 HotClub APK 的 MainActivity，找到 WebView.loadUrl() 调用，提取网络不可用时的回退 URL。

答案：file:///android_asset/www/index.html

题目13：上传地址编码方式及完整 URL

解题思路： 在 HotClub APK 的 DataUploader 类中找到 Base64.decode 调用，提取编码字符串 aHR0cHM6Ly9hcGkuc3AtbGl2ZTg4LmNvbS9jb2xsZWN0L3VzZXJkYXRh，Base64 解码得到完整 URL。

答案： 编码方式：Base64；完整 URL：https://api.sp-live88.com/collect/userdata

题目14：存储用户信息的表名

解题思路： 直接打开 hotclub_data.db，查看建表语句，找到包含 device_id、imei、phone_number、contacts_data 等隐私字段的表。

答案：user_collection

题目15：config.dat 解密后的 USDT 钱包地址

解题思路： 从 APK 代码中定位解密逻辑：算法为 AES/ECB/PKCS5Padding，密钥种子为 hotclub_2026_sec，对 assets/config.dat 解密后解析 JSON，提取 wallet 字段。

答案：TXqH7sVn8bR4kL2mN9pW6xJ3cY5dF1gA

题目16：APP JS 层暴露的获取通讯录方法

解题思路： 分析 APK 中的 NativeBridge 类，提取通过 addJavascriptInterface 暴露给 WebView JS 层的方法签名，找到与通讯录相关的方法。

答案：getContactsList()

题目17：主上传服务器不可用时的备用服务器域名和端口

解题思路： Java 层代码中确认备用地址来自 native 方法 DataUploader.getBackupEndpoint()，实际逻辑位于 lib/arm64-v8a/libsecurity.so。需对该 SO 文件进行 JNI 逆向分析提取字符串，当前步骤未完成。主上传域名已确认为 api.sp-live88.com。

答案： 未完全提取，需进一步逆向 libsecurity.so

PS：里面的题目与答题格式可能存在偏差，欢迎指正！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0xSec笔记本 0xSec笔记本 0xSec笔记本《2026 年第六届 FIC 全国网络空间取证大赛初赛解题思路|服务器与手机部分|Hermes自动化分析》