文章总结： 本文详解2026年美亚杯电子数据取证竞赛备赛策略，涵盖报名截止9月23日、官方免费培训安排、赛制规则及近五年真题演化趋势。核心发现是检材重心从理论题全面转向手机取证，2025年iOS题量占比高达77.6%，建议选手重点强化移动端数据分析能力并掌握AI工具离线应用技巧。 综合评分： 82 文章分类： 安全培训,实战经验,CTF,安全工具,其他
2026年“美亚杯”赛前备赛篇
原创
小谢 小谢
小谢取证
2026年9月21日 18:21 宁夏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
2026 备赛专刊 · 赛前篇
2026年“美亚杯”赛前备赛篇
从近五年真题里长出来的备考路线图——2021 到 2025 的考点演化、工具清单、冠军方法论与临场清单
先说最要紧的一件事：2026年“美亚杯”赛前培训已开放报名，报名截止 9 月 23 日 18:00（免费，钉钉扫码，联系人 魏老师 15710609472）。培训 9 月 28 日开班，专门复盘 2023—2025 三届个人赛与团体赛。这是官方口径的“近三年重点题拆解”，性价比远高于自己啃。如果你今年要参赛或带队，先把这个报名做掉，再回来读本文。
一、2026年美亚杯的时间线
美亚杯的日程节奏五年没变过：9 月下旬开放报名、10 月底截止、11 月中旬开赛。官网 meiyacup.sdic.com.cn是唯一报名通道（注意：验证码严格区分大小写，这是每年被吐槽最多的一条），报名审核通过后必须加入钉钉选手群——检材下载地址、解压密码、试用授权、培训课程、成绩查询全部在群里发布，不在群里等于半个弃赛。
| 时间 | 事项 | 状态 | | — | — | — | | 9月23日 18:00 | 2026年赛前培训报名截止（免费） | 官方已发布 | | 9月28日 | 培训开班：内存取证 / 网络流量 / AI 赋能电子数据取证 | 待开课 | | 9月29日 | 2023 个人赛解析 + 2023 团体赛解析 | 待开课 | | 9月30日 | 2024 个人赛解析 + 2024 团体赛解析 | 待开课 | | 10月9日 | 2025 个人赛解析 + 2025 团体赛解析（1–99 题） | 待开课 | | 10月10日 | 2025 团体赛解析（100–201 题 / 202–264 题） | 待开课 | | 9月下旬 — 10月底 | 第十二届正式报名（参照第十一届：9月25日—10月31日） | 待官方公告 | | 11月中旬 | 第十二届开赛（参照第十一届：11月14—17日，正式比赛日 11月15日；厦门线下主赛场 + 线上同步） | 待官方公告 |
题解站：forensics.xidian.edu.cn/writeups —— 2021 至 2025 五届美亚杯个人赛、团体赛题解齐全，是中文圈最完整的公开题解集合。
四、近三届资格赛拆解：检材 · 通讯软件 · 解题手法
个人赛就是资格赛——先过这一关，才有团体赛的资格。所以这一节把 2023、2024、2025 三届资格赛（100 / 100 / 98 题）全部拆开：题量压在哪些检材上、哪几个通讯软件年年出现、以及一个绕不开的问题——哪些题综合取证软件点几下就出答案，哪些题必须自己开数据库、翻表、写 SQL。
数据来源是西电 XD Forensics Wiki 三届个人赛题解的逐题复盘（含解题过程描述），不是猜的。
4.1 检材比重：手机从两成涨到近八成
先把三届的题量按检材类型摊平（括号内为占该届总题数比例）。
| 检材类型 | 2023（100 题） | 2024（100 题） | 2025（98 题） | | — | — | — | — | | 手机 iOS 检材 | 14（14%） | 24（24%） | 76（77.6%） | | 手机 Android 检材 | 7（7%） | 34（34%） | 6（交叉印证） | | 计算机镜像（Windows／macOS） | 30（30%） | 10（10%） | 0 | | U 盘／移动存储 | 0 | 10（10%） | 15（15.3%） | | 内存镜像 | 0 | 4（4%） | 0 | | 服务器／网络设备 | 7（7%） | 0 | 0 | | 流量包 | 2（2%） | 0 | 0 | | 程序逆向／加密容器 | 0 | 8（8%） | 含在 U 盘部分 | | 区块链／虚拟货币 | 0 | 10（10%） | 7（7.1%） | | 理论题（网络／Web／运维／数据库） | 40（40%） | 0 | 0 |
一句话结论：2023 年还是「理论题＋多种检材平均撒开」的老打法，2024 年突然收拢到手机为主（58%），2025 年直接把近八成的分数堆在手机上——3 台 iPhone 备份撑起 76 道题，另有 6 道要靠陈民浩那台三星安卓机的数据交叉印证。手机取证的熟练度，基本决定了你能不能进团体赛。
一个最容易数错的细节：2025 年安卓检材并没有消失。 2025 个人赛题解按检材分了 5 个小节（3 台 iPhone ＋ 1 个 U 盘 ＋ 虚拟货币截图），只看小节标题会误以为「只剩 iOS」。但陈民浩名下还有一台三星安卓手机（Samsung SM-G930F，团体赛里的独立检材 blk0_sda.bin），个人赛至少 第 7、14—18 题要读它的数据来作答或印证：第 15 题的 Send Anywhere 设备 ID 要去安卓侧 /data/com.estmob.android.sendanywhere/databases/main.db 的 devices 表核对，第 16、17 题要靠安卓机里的截图目录确认「截图是从安卓机发给 iPhone 的」。 教训：检材数量不能只数题解的分节标题——题干点名的、甚至选项里出现的文件名，都要单独确认一次。
三届的具体模块与题号分布如下，可以直接拿去对照题解做专项练习。
| 2023 第九届 · 模块 | 题号 | 题量 | | — | — | — | | 手机（Android） | 1–7 | 7 | | VPN 服务器 | 8–14 | 7 | | 流量分析 | 15–16 | 2 | | 理论题：计算机网络与 Nmap | 17–24 | 8 | | 计算机（macOS 虚拟磁盘 .img） | 25–31 | 7 | | 计算机（Windows） | 32–45 | 14 | | 理论题：Web 安全 | 46–52 | 7 | | 手机（iOS） | 53–66 | 14 | | 理论题：运维／组网／Linux 基础 | 67–87 | 21 | | 计算机（Windows 10） | 88–89 | 2 | | 计算机（Windows 7） | 90–96 | 7 | | 理论题：内存取证与数据库 | 97–100 | 4 |
| 2024 第十届 · 模块 | 题号 | 题量 | | — | — | — | | Emma 的手机（iOS，文件集合） | 1–24 | 24 | | Clara 的手机（Android 镜像） | 25–48 | 24 | | David 的手机（Android 文件集合） | 49–58 | 10 | | 内存取证（RAM .raw） | 59–62 | 4 | | David 的 U 盘（8GB E01） | 63–72 | 10 | | 剧情 4：BitLocker.exe 程序逆向 | 73–80 | 8 | | David 的笔记本电脑（64GB E01） | 81–90 | 10 | | 案件综合分析（区块链交易追溯） | 91–100 | 10 |
| 2025 第十一届 · 模块 | 题号 | 题量 | | — | — | — | | 陈民浩的手机（iOS） | 01–24 | 24 | | 陈民浩的手机（安卓，交叉印证） | 07、14—18 | 6 | | 冯子超的手机（iOS） | 25–61 | 37 | | 梁燕玲的手机（iOS） | 62–76 | 15 | | 梁燕玲的 U 盘（WinPE／加密容器） | 77–91 | 15 | | 虚拟货币截图 | 92–98 | 7 |
三条趋势，2026 大概率延续： ① 手机是主战场——占比 21% → 58% → 77.6%，投入产出比最高，先练这个。 ② iOS 备份解析从「可选项」变成「必选项」——2025 三台主检材手机全是 iOS 备份，且都被人为设置了备份密码（伪加密），要么弱口令爆破、要么改 Manifest.plist 标志位绕过。但安卓并没有退出：陈民浩那台三星 SM-G930F 安卓机在个人赛要用于交叉印证，在团体赛里更是独立检材（第 218—234 题，另加智能家居第 169—177 题）。 ③ 理论题归零——2023 有 40 道理论题，2024、2025 全部改成实操。别再背题库，练手。
4.2 常考的即时通讯软件：WhatsApp 与微信是双主力
三届真题里作为正式检材（不是背景道具）出现过的通讯类软件，按出现频率整理如下。
| 软件 | 出现届次 | 数据文件与典型路径 | 三届高频考点 |
| — | — | — | — |
| WhatsApp | 2023／2024／2025 三届全勤 | iOS： group.net.whatsapp.WhatsApp.shared/ ChatStorage.sqlite | 账号 ID（[email protected]）、群组与社群、管理员与群主、频道关注数、投票活动、通话记录（含未接）、位置消息经纬度、群组创建时间 |
| 微信 WeChat | 2023／2024／2025 三届全勤 | iOS：com.tencent.xin/…/ message_*.sqlite（消息）、 finder/db/finder_main.db（视频号） Android：com.tencent.mm/MicroMsg/
给你省点时间：钉钉、飞书、企业微信、Skype、Zoom、ToDesk 这些只出现在 2025 年选手复盘提到的「监考软件黑名单」里——那说明大家电脑上装着，但不代表它们会作为检材考你。备赛期把力气压在 WhatsApp 和微信的两个数据库上，收益最高。
4.3 哪些题工具能直接解，哪些必须人工解析
这是三届复盘里最容易被忽略、但影响临场节奏的一件事。先说总的经验比例（按 2024、2025 两届题解的解题叙述口径估算）：综合取证软件自动解析能直接出答案的约六成，必须打开数据库／配置文件人工解析的约三成，剩下约一成要靠脚本、专用工具或逆向。
一、工具直接解出（自动解析即可）
这类题的共同点是「答案已经被工具解析成结构化字段」，你要做的是找对位置、筛对条件。
-
设备与系统基本信息
：操作系统版本、IMEI／ICCID、Apple ID、序列号、时区、系统安装时间。
-
网络痕迹
：曾连接的 Wi-Fi 列表（SSID 与首次连接时间）、蓝牙配对设备、个人热点名称、DHCP 服务器地址。
-
应用层
：已安装应用列表与版本号、浏览器历史与书签、通讯录、通话记录、短信。
-
聊天软件的「列表级」信息
：账号 ID、会话／群组列表、群组名称、消息条数、频道关注数——火眼的「微信」「WhatsApp」分析结果里能直接看到。
-
文件层
：文件清单与路径、回收站内容、USB 设备连接记录、图片 EXIF 与拍摄参数、分区格式（火眼文件目录里能翻出 GPT Header）。
-
内存
：进程列表与 PID、进程导出、哈希值、SID。
代表题：2025 年第 1–9 题（设备基本信息一整组）、第 47／49 题（微信与 WhatsApp 账号直接可见）、2024 年第 7 题、2023 年第 3 题（超级取证大师按包名过滤非预装应用）。
二、必须人工解析（数据库／配置文件／底层结构）
工具给不出答案，或者给的是错的、半截的——这类题目才是拉开差距的地方。按三届出现过的形态分成六类：
| 类型 | 为什么工具不行 | 三届典型题 | | — | — | — | | 问数据库文件名／表名／字段名 | 工具界面不暴露表结构，只给你结果 | 2023-Q64 哪份表格显示通话记录 2024-Q41 哪个数据库文件存微信消息 2024-Q42 WhatsApp 消息存在哪个 .db | | 需要按字段过滤或跨表关联 | 工具只做常规解析，不认业务字段 | 2025-Q58 投票活动（ZWAMESSAGE 与 ZWAMESSAGEINFO 联表＋Protobuf 解码） 2025-Q74 位置消息（ZWMEDIAITEM 表 Z_PK=504） 2024-Q22 实况照片（Photos.db 的 ZVIDEOCPDURATIONVALUE 字段） | | 工具没有解析出来的库 | 格式特殊或缺 schema，解析直接跳过 | 2024-Q29 bigTopDataDB（火眼未解析，需 CyberChef 解码） | | 工具忽略了关键字段 | 开发者按常规场景取舍了展示项 | 2024-Q8 蓝牙 UUID（火眼只给 MAC 地址） 2025-Q48 视频号关注数（需跳转源文件看 finder_main.db 的 followState 字段） 2025-Q74 火眼给出的 GPS 与库中原始值不一致 | | 文件系统底层结构 | 自动解析只到文件级，不到簇／记录级 | 2024-Q63~72 簇大小、Run List、DataRun 的 Offset／Length（010 Editor 或 MFT Browser） 2025-Q77／78 分区表（FTK Imager、X-Ways 技术细节报告） | | 加密容器与程序逆向 | 属于另一个工种 | 2025-Q84／91 VeraCrypt 加密容器（密钥文件挂载） 2024-Q73~80 BitLocker.exe 逆向（x64dbg／IDA／010 Editor 打补丁） |
三、按检材模块看倾向
| 检材模块 | 工具直出 | 人工解析 | 说明 | | — | — | — | — | | 手机 · 设备与系统信息 | 主 | — | 操作系统、IMEI／ICCID、Apple ID、Wi-Fi 列表、个人热点、蓝牙（UUID 字段除外） | | 手机 · 应用与浏览器 | 主 | — | 已装应用列表与版本、浏览器历史与书签、搜索关键词 | | 手机 · 通讯录／通话／短信 | 主 | — | 联系人字段、按时间段的通话次数、短信验证码 | | 手机 · 聊天记录细节 | 部分 | 主 | 群组与社群、管理员、频道、投票、位置消息、被删除的消息——多数要落到库和字段 | | 手机 · 图片与视频元数据 | 部分 | 全部 | 拍摄参数、GPS 工具能看；一旦问「多少张／多少段」就得用 SQL 过滤 | | U 盘／磁盘镜像 · 文件级 | 主 | — | 文件清单与路径、回收站、删除的文件、分区格式 | | U 盘／磁盘镜像 · 文件系统底层 | — | 全部 | 簇大小、DataRun、Run List、Offset／Length、分区表技术细节 | | 内存镜像 | 主 | 部分 | 进程列表、进程导出、哈希、SID；账户哈希需指定插件 | | 加密容器 | — | 全部 | VeraCrypt 容器识别与密钥文件挂载 | | 程序逆向 | — | 全部 | x64dbg／IDA 定位校验逻辑、内存偏移、打补丁 | | 区块链／虚拟货币 | — | 全部 | 链上浏览器查交易、助记词还原地址、交易次数与金额统计 | | 服务器／流量包 | 部分 | 主 | 日志与配置文件、端口与服务、Nmap 扫描识别、协议分析 |
四、还要留一手：拿不到入口的题
2025 届的两个「毒点」值得单独记一下（当年不少选手卡在这里）： ① iOS 备份伪加密——检材其实是解密后的文件，但提取工具写了个假的加密标志，直接用软件挂载会问你要密码。解法：用 Plist Editor 把 Manifest.plist 的加密标志改成 false，或删掉 Manifest.db 再挂载；也可以 0000／1234 弱口令爆破。但现在超级取证大师的手机解析已经默认会跑常见的密码，即直接加载即可。2022团体赛的苹果备份文件也进行了加密，可以使用passwarekit对Manifest.plist文件进行爆破即可，就能得到密码2022 ② 压缩包密码没给出——要把自己整理的重要信息（生日、纪念日、钱包地址、各题答案）随手记成一个 txt，爆破时当字典用，配合弱口令字典和 6 位以下数字掩码。
4.4 人工解析必练的四类操作
| 操作 | 工具 | 必须会做的事 | | — | — | — | | SQLite 数据库查询 | DB Browser for SQLite Navicat Premium Realm Studio | 打开库看表结构；按字段过滤；跨表 JOIN；时间戳转换（iOS 用 Cocoa Core Data 时间戳，2001-01-01 起算；Android 常用 Unix 时间戳）。Realm 用于发送文件类 App（如 Send Anywhere）。 | | 配置文件与 plist | Plist Editor Pro VS Code（Plist 插件） | 读备份与系统配置；改 iOS 备份加密标志位；从 com.apple.wifi*.plist 里取 Wi-Fi 细节；从应用 plist 取版本号与账号。 | | 编码与解码 | CyberChef 010 Editor | Protobuf 十六进制还原（WhatsApp 投票记录）、Base64、微信消息 XML 里的 aeskey；十六进制编辑器用于文件系统底层与程序补丁。 | | 脚本化处理 | Python 3 HashMyFiles | 批量时间戳转换、批量哈希计算与比对、BIP-39 助记词校验、导出结果去重排序。三届里凡是「多少个」「第几条」的计数题，脚本都比手点靠谱。 |
4.5 按这个优先级练，性价比最高
-
第一优先：iOS 备份解析全流程
——解压、处理备份加密标志、挂载成文件集合、用自动分析先跑一遍。2025 年三台主检材手机全是 iOS 备份，这是门票；安卓侧的数据（如陈民浩的三星机）要随时能调出来交叉印证。
-
第二优先：WhatsApp 与微信的数据库
——ChatStorage.sqlite 的会话／消息／媒体三张主表，微信的 message_*.sqlite 与 finder_main.db。把表名和字段名抄在纸上，临场省时间。
-
第三优先：Photos.sqlite 与图片元数据
——三届都考，且极易出「按条件计数」题，必须用 SQL 过滤而不是肉眼翻。
-
第四优先：文件系统底层
——簇大小、DataRun、Run List、分区表。用 010 Editor 和 MFT Browser 各练一遍。
-
兜底技能：弱口令字典与爆破
——iOS 备份密码（0000／1234）、压缩包密码、VeraCrypt 容器。准备好自己的字典文件。
五、跨届重复考点：第十一届（2025年）考过、历届也考
把 2021—2025 五届个人赛（也就是资格赛）的题解逐题拆开、按知识点重新聚类，一共 424 道题。目的只有一个：找出哪些知识点是反复考的。结论很直接——有 15 类考点五届一场都没落下，另有 3 处几乎是原题照搬。
5.1 五届全勤榜：这些考点一届都没落过
下表按「跨届次数」排序。✓ 表示该届有题目命中这个知识点（题干或解法里出现）。排名靠前的，就是不管你练哪一届题都得会的东西。
| 考点 | 2021 | 2022 | 2023 | 2024 | 2025 | 跨届 | | — | — | — | — | — | — | — | | 隔空投送 AirDrop | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 蓝牙与蓝牙设备 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 地理位置与经纬度 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 相册与照片元数据 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 浏览器与上网记录 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 即时通讯软件 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 邮件与邮箱 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 密码、口令与爆破 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 数据库表与字段 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 时间戳与 UTC 时区换算 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 删除与数据恢复 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 哈希校验 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 系统痕迹与日志 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 隐写与多媒体元数据 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | 应用安装信息（版本 / 包名） | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 | | IMEI / ICCID 等设备标识 | ✓ | ✓ | — | ✓ | ✓ | 4 届 | | 云备份与 iCloud | ✓ | ✓ | ✓ | — | ✓ | 4 届 | | 虚拟货币与钱包 | ✓ | ✓ | — | ✓ | ✓ | 4 届 | | 服务器与虚拟化 | ✓ | ✓ | ✓ | — | ✓ | 4 届 | | 恶意程序与 APK | ✓ | — | ✓ | ✓ | ✓ | 4 届 | | 转账与支付记录 | ✓ | ✓ | — | ✓ | ✓ | 4 届 | | WiFi 连接记录 | ✓ | — | — | ✓ | ✓ | 3 届 | | 内存取证 | — | — | ✓ | ✓ | ✓ | 3 届 | | 通话与短信 | — | — | ✓ | ✓ | ✓ | 3 届 | | 外接设备与 U 盘 | — | — | ✓ | ✓ | ✓ | 3 届 |
三点读法：
-
跨 5 届的 15 类里，AirDrop、蓝牙、地理位置、相册、浏览器、即时通讯这六类是手机检材的「必修课」，练熟它们等于稳拿手机部分的大半分数。
-
时间戳与 UTC 时区换算
五届全勤，而且是纯送分题——只需要记得加 8 小时。但五届都有人错。
-
外接设备与 U 盘
从 2023 年起连续三届出现，2025 一次出了十几题（分区表、WinPE、加密文件），明显是在加码。
5.2 三处「原题复现」：题干几乎照搬
这是本文最有价值的一节。把五届题干两两做相似度比对后，有三组题目的问法、选项结构、考的知识点几乎完全一致——只是换了年份和检材里的人名。这种题，背下解法就是白送分。
| | | 早期版本 | | — | — | — | | ① 照片源信息判断 重合度最高 | 2021 第七届 Q37 阿力士 iPhone XR 中相片档 IMG_0056.HEIC 提供了什么电子数据取证的信息？ A. 此相片由隔空投送得到 B. 此相片由 iPhone XR 拍摄 C. 拍摄时间为 2021-10-21 17:45:48(UTC+8) D. 拍摄时间为 2021-09-08 17:35:00(UTC+8) | 2024 第十届 Q21 Emma 的 iPhone XR 中相片文件「IMG_0009.HEIC」提供了什么电子证据信息？ A. 此相片由隔空投送得到 B. 此相片由 iPhone XR 拍摄 C. 拍摄时间为 2024-08-05 13:38:15(UTC+8) D. 拍摄时间为 2024-08-06 08:30:52(UTC+8) 答案 BC：机型看元数据，时间要转 UTC+8 | | ② 装了哪些即时通讯软件 | 2022 第八届 Q2 王晓琳的手机安装了什么即时通讯软件？ A. WhatsApp B. WeChat C. LINE D. Signal E. QQ 答案 A | 2023 第九届 Q2 李大辉的手机安装了什么即时通讯软件？ A. WhatsApp B. LINE C. 微信 D. Signal E. QQ 答案 A 题干、选项结构、答案位置完全一致 | | ③ 蓝牙设备的 UUID | 2021 第七届 Q9 以下哪个蓝牙装置的 UUID 曾连接过工地主管的手机？（多选） 解法：跳转源文件数据库，看连接过的记录 | 2024 第十届 Q8 Emma 手机的蓝牙设备名称「ELK-BLEDOM」的通用唯一标识符（UUID）是什么？ 答案 8D13F23C-… 火眼界面只显示 MAC，UUID 要去 com.apple.MobileBluetooth.ledevices.other.db 里取 |
这三组题说明了出题逻辑：美亚杯的题库是有「母题」的。同一个母题隔两三届换个人名、换个检材就再考一次。所以刷题不要只记答案，要记住母题的解法路径——比如第 ① 组，只要看到「某张照片提供了什么取证信息」，就固定做三件事：查元数据看拍摄机型、查时间字段并转 UTC+8、查来源判断是否为 AirDrop／第三方 App 传入。
5.3 第十一届考点逐项对回历届
下面这张表以第十一届（2025）的考点为基准，逐项对回 2021—2024 出现过的地方，并标出数据位置和五届的考法变化。左列是 2025 的题号，可以直接拿去对题。
| 考点（第十一届题号） | 历届同考点题号 | 数据位置 / 手法 | 五届演进 | | — | — | — | — | | 空投传输记录 Q12、Q31—Q33 | 2021 Q2、Q37 2022 Q35 2023 Q65 2024 Q21 | com.apple.sharingd.plist（本机 AirDrop ID） CoreDuet/People/interactionC.db → ZINTERACTIONS.ZTARGETBUNDLEID Photos.sqlite → ZSHARE（分享次数） | 从「报 AirDrop ID」升级为「从传输记录反推传了哪些文件」 | | 蓝牙 Q6 | 2021 Q9 2022 Q35（干扰项） 2023 Q79 2024 Q8 | iDevice_info.txt（蓝牙 MAC） DB/com.apple.MobileBluetooth. ledevices.other.db（UUID 字段） | 从「哪些 UUID 连过手机」到指定设备查 UUID，再到直接问 MAC | | WiFi 与热点 Q7—Q9、Q26—Q28 | 2021 Q6、Q39 2024 Q51、Q88、Q89 | com.apple.wifi-private-mac- networks.plist com.apple.wifi.plist Preferences（热点密码） | 从「连过哪个、密码多少」升级为隐私 MAC、EAP、时间换算 | | 即时通讯与登录 Q10、Q11、Q47—Q57、Q71 | 2022 Q2—Q5 2023 Q2、Q4、Q5 | Manifest.plist（版本号） ChatStorage.sqlite （会话、社群、投票、通话） message_*.sqlite、finder_main.db | 从「装了哪个软件」升级为登录 ID、认证短码、通话号码 | | 相册与图片元数据 Q23、Q24、Q30—Q36、 Q38—Q41、Q63—Q65 | 2021 Q26—Q28、Q31、Q34、Q36—Q37 2022 Q8—Q9、Q13—Q14、Q17、Q23、Q27—Q28、Q33—Q36 2023 Q3、Q7、Q58—Q59 2024 Q15—Q24、Q37、Q43—Q46 | Media/PhotoData/Photos.sqlite ZASSET / ZSHARE / ZMEDIAANALYSISATTRIBUTES 三表 JOIN | 从「看一眼图片属性」升级为写 SQL 关联查询、按导入应用反查 | | 浏览器与上网记录 Q20—Q22 | 2021 Q5、Q14、Q18、Q53 2022 Q12、Q44—Q46 2023 Q8、Q47、Q50、Q52 2024 Q9、Q14、Q32、Q86、Q91 | History.db（Safari / Chrome） 浏览器扩展存储目录 | 五届全勤；2024 起新增「浏览器装了哪些扩展」这类题 | | 时间戳与 UTC+8 换算 Q27、Q33 | 2021 Q37、Q40 2024 Q21 | 各处数据库时间字段、plist 时间戳 | 五届全勤，也五届都有人在这里丢分。 给 UTC 时间必须自己加 8 小时 | | 设备标识 IMEI Q2—Q4 | 2021 Q4 2022 Q1 2024 Q7（ICCID） | Info.plist（1 个 IMEI） iDevice_info.txt（2 个 IMEI） | 2025 加码：两个文件给出不同 IMEI，需自行判断哪个对 | | iCloud 与 Apple 账号 Q62 | 2021 Q40 2022 Q10 | 设备信息中的备份记录 AppDomainGroup 备份目录 | 从「iCloud 最后备份时间」到「iCloud 注册邮箱」 | | 虚拟货币与钱包 Q92—Q97 | 2022（2 题） 2024 Q13—Q18、Q56、Q58 | 钱包地址、助记词、链上转账记录 | 2024 起成为主线（盗币案），2025 进团体赛（IQ Coin） | | 加密容器与压缩包 Q81、Q84、Q91 | 2024 Q79、Q80 | VeraCrypt 容器、BitLocker Key 内存偏移、加密压缩包 | 从「内存里找 BitLocker 密钥」到「识别 xcontainer 加密算法」 | | U 盘与外接存储 Q77—Q80、Q89—Q91 | 2023 Q31、Q39 2024 Q63—Q72 | 分区表、簇大小、DataRun、WinPE 结构 | 2025 大幅加码：分区数量与类型、可否开机、WinPE 版本 |
5.4 从重复规律看 2026
把重复规律和 2025 的加码方向叠在一起，可以给出几个比较确定的判断：
-
手机基础题仍是最稳的分仓
：AirDrop、蓝牙、WiFi、相册、浏览器、即时通讯这六类连续五届出现，2026 基本不可能跳过。练法是固定动作——遇到照片就想元数据三件事，遇到蓝牙就去找 ledevices 数据库。
-
「多来源冲突」是新趋势
：2025 的 IMEI 题给了两个文件、两个不同值，让你判断哪个对。这类题在 2026 很可能扩散到其他信息上（WiFi 列表、设备名称、时间字段），要养成「交叉验证」的习惯而不是取第一个看到的值。
-
U 盘／外接存储会继续加
：2023 只有 2 题，2024 扩到 10 题，2025 直接十几题，还上了分区表和 WinPE。用 010 Editor + MFT／分区工具各练一遍，性价比很高。
-
虚拟货币与加密容器已成常态
：2022 零星出现，2024 成为主线（窃取虚拟货币），2025 直接进团体赛。钱包地址、助记词、链上交易三件事至少要有一次完整实操经验。
-
反向提醒
：输入法／剪贴板类考点五届命中数为 0，别在这上面花时间；流量分析只在 2023 集中出现过一次，个人赛优先级也不高。
六、考点权重：把时间花在哪儿
| 模块 | 五年定位 | 2026 建议投入 | | — | — | — | | 手机取证（iOS / 安卓） | 年年是主力，题量最大，占总分三成以上 | 最优先。iOS 与安卓都要能脱离商业软件手翻数据库 | | 服务器与组网取证 | 从 2021 的 FTP，到 Docker / 宝塔 / RAID / ESXi / NAS / 邮件服务器 / 大模型服务器 | 高。这是团体赛的主战场，也是历年冠军的强项 | | 虚拟货币链上分析 | 2021 只是零星一问，2024 已成整块剧情，2025 贯穿两场 | 高。地址派生、交易图、浏览器查链要滚瓜烂熟（离线！） | | 内存取证 | 2023 起以理论题＋实操题双形态稳定出现，2024 考 NTLM / SID | 中高。Volatility 命令要能背，注册表 hive 要会单独提 | | 逆向与文件系统底层 | 2024 的 x64dbg 改汇编、DataRun 手工解析；2025 的 WinPE 启动链 | 中。这块是拉开差距的地方，中等水平选手普遍丢分 | | 理论题（网络 / Web / Linux / 云 / 脚本） | 2023 一届就出了 50 多道，之后成为固定配额 | 性价比最高。不用检材、不烧机器，纯知识，白送的分 | | 隐写 / 密码学 / 大模型取证 | 2025 案情明确把主角设定为“密码学与隐写术爱好者”，官方培训 2026 单列“AI 赋能电子数据取证” | 上升明显。这是 2026 最可能加码的方向，别当冷门 |
七、工具清单（2025 届选手实战版）
这份清单来自第十一届个人赛与团体赛的实战复盘，是赛场当天真正用过的工具，不是网上抄的“装备大全”。赛前务必把每一类都跑通一遍，尤其注意离线可用性。
| 类别 | 工具 | | — | — | | 介质取证 | 超级取证大师、X-Ways Forensics、FTK Imager、UFS Explorer Professional Recovery、iLEAPP、Autopsy | | 数据库 / 数据格式 | DB Browser for SQLite、Navicat Premium、Realm Studio、Plist Editor Pro、Realm / plist 专用查询脚本 | | 虚拟机 / 环境 | VMware Workstation Pro、WSL2（Arch / Debian） | | 编辑器 / 十六进制 | VS Code（Plist 插件）、010 Editor、Plist Editor Pro、福昕高级 PDF 编辑器 | | 逆向 / 隐写分析 | IDA Pro、JADX、Frida、x64dbg、DetectItEasy、pdfid、binwalk | | 加密 / 密码 | VeraCrypt、TrueCrypt、HashCat、Passware、CyberChef、BIP-39 助记词工具 | | 本地大模型 | Qwen3.6 35B A3B+ Workbuddy 等本地前端(见文章：AI取证实战第09期：利用本地离线大模型做题的优化实践) | | 团队协作 | 局域网 + FTP Server（Windows 资源管理器自带即可）、HedgeDoc 协同笔记 | | 杂项 | Python 3.13、HashMyFiles、IrfanView、Utools（二维码 / 翻译插件）、QR Research、Thunderbird、UmiOCR_Paddle、WhisperKit（离线字幕）、WindowsRegistryRecovery |
2025 届的两条“毒点”，2026 极可能复现：
① iOS 备份伪加密。提取工具导致所有 iOS 检材挂载时要求密码，但实际内容已是解密后的文件。多数检材密码是 4 位弱口令（0000 / 1234），用 Passware 或 HashCat 掩码爆破即可；也可以把带 _DEC 后缀的解密文件覆盖原始加密文件、或直接改 Manifest.plist 的加密标志位来绕过。团体赛有一台手机不是弱口令，爆破不出来。
② 压缩包密码未给出。虚拟货币截图检材的压缩包密码需要猜或结合已有信息爆破。所以——离线弱口令字典必须自备。
八、方法论：冠军和冠军战队怎么做
第十届个人赛冠军戴熙来：先统筹、再稳打、后深挖
-
开赛先扫一遍全部题目，
摸清案子结构和关键线索，再分配时间。不然容易陷进一道题耽误全局。
-
先易后难、抓大放小。
初期跳过复杂镜像分析，先吃掉简单题；简单题做完，整个案情的基本认知框架就搭起来了，后面分析才有方向。
-
准确比快更重要。
漏一个细节，整道题白做。
-
由面到点。
先理人物关系和案件脉络，再回头细挖具体文件。
-
提炼题目里的中英文关键词，用全局搜索定位。
这是商业化软件解析不了时最有效的一招。
-
复盘时把每道题的分析步骤都记下来，
尤其服务器重构这类高频考点——针对宝塔、Docker、K8s、ESXi 各自整理出专属取证流程，比赛时就能快速响应、迅速搭环境。
-
硬件是战斗力。
全局关键词搜索、服务器集群环境、手机模拟器 APK 动态调试、密码暴力破解、海量数据 SQL 查询、本地大模型运行——电脑一卡顿，节奏就崩。
第十一届团体赛冠军西电战队：两条被组委会点赞的经验
-
自建局域网提协作效率。
赛场队友之间拉一个本地局域网，FTP 互传检材与中间结果，避免各自重复解压几十上百 GB 的镜像。
-
依据案情信息预测题目。
官方赛前会发布案情与背景资料，读完就能推断出题人想考什么——顺着人物关系和公司结构把考点列出来，命中率不低。
团队分工：先定框架，随案情动态调配
早期团体赛习惯按检材分（计算机 / 手机 / 服务器），但近两届题目的交叉度大幅提高，2025 届甚至按人员身份分块更合理。更实用的做法是：开局按熟悉的领域初步分工，案情清晰后立即重新分配。检材是死的，案子是活的。第十届冠军队总结得很直白：“一开始分好工只是起点，真正重要的是比赛中能根据新发现快速重新分配任务。”
还有一条血的教训：团体赛有大量题目直接复用个人赛检材。所以——个人赛打完，千万别删容器。
三轮解题法（适合个人赛）
第一轮快速扫过所有题目，把能直接答的、有把握的全部拿下；第二轮集中处理需要软件解析的中等题；第三轮再攻硬骨头。核心是先确保基础分拿稳，别在开头就死磕。
四个高发坑
-
字符编码。
Windows 中文系统产出的文件常乱码，命令行工具前加
LANG=zh_CN.UTF-8。 -
时区。
取证工具默认 UTC，题目通常要本地时间，注意显式指定时区（如 +8:00）。
-
哈希。
算哈希要用取证工具自带的哈希功能，确保算的是原始镜像，不是挂载后的文件。
-
内存分析卡死。
大内存镜像直接分析容易崩，先用
hivelist缩小范围，只提关键注册表 hive。
九、2026 备考路线图（仅供参考）
| 阶段 | 任务 | | — | — | | 9月23日前 | 报名 2026 赛前培训；下载钉钉并进群；同步确认单位/学校的正式报名安排 | | 9月28日 — 10月10日 | 跟完培训（内存取证 / 流量 / AI 赋能 + 2023—2025 六场解析），当天同步把对应届次的题解原文读一遍，培训讲的是思路，题解给的是细节 | | 10月中旬 | 补 2021、2022 两届（老题但考点仍在考）；做专项：内存取证（Volatility）、服务器重构（Docker / 宝塔 / RAID / NAS）、虚拟货币地址派生与交易图、逆向（IDA / JADX / x64dbg）、文件系统底层（MFT / DataRun） | | 10月下旬 | 理论题集中刷：Nmap、DHCP、Web 安全、AWS 云、Linux 运维与 LVM / RAID、PowerShell、数据库 SQL。这部分不需要检材，是投入产出比最高的分 | | 11月上旬 | 全流程模拟：按正式时长做一整套旧赛题，训时间分配；压测机器（大镜像挂载、全局搜索、本地大模型）；团体赛队伍走一遍局域网协作与分工切换 | | 赛前一周 | 下载检材并核对 SHA-256；提前解压（注意分卷压缩）；内置硬盘与移动硬盘各备一份；导出离线字典与脚本；确认监考软件兼容性 |
十、临场清单
赛前一天
-
参加赛前会议（指导老师与队长必须到场，规则与答疑都在这里）。
-
检材 SHA-256 与组委会提供的一致 → 容器密码公布后立刻解压验证。
-
检材双备份
（内置硬盘 + 移动硬盘）。往年出现过比赛当天检材容器损坏无法挂载的情况。
-
确认监考软件版本与账号，提前把常用工具跑一遍——监考软件误杀是真实发生过的。
个人赛
- 开局 5—10 分钟通读题面，画出案情与检材地图，标记“送分题”。
- 先扫易题建立案情框架，再进复杂镜像；不要一上来就啃最大的那个容器。
- 卡住超过预定时间就跳过，最后回来。
- 留 10—15 分钟复核对齐（时间格式、大小写、单位）。
团体赛
- 开局 15 分钟内定分块，把个人赛留下的检材和结论摆到共享目录。
- 局域网 + FTP 互传；协同笔记（HedgeDoc 之类）实时记结论与编号，避免口头传递丢信息。
- 案情明朗后立即重分配任务，别守死最初的分工。
- 安排一人负责答案口径统一与提交，避免同一事实三种写法。
⚠️ 风险预案不是形式主义。第十一届开赛前 30 分钟，有队伍才发现团体赛镜像下的是分卷压缩、根本没解压。赛前把“检材损坏 / 未解压 / 密码未公布 / 监考软件冲突”四种情况各准备一个应对方案。
十一、资源清单
| 类型 | 入口 | 说明 | | — | — | — | | 官方 | meiyacup.sdic.com.cn | 唯一报名通道；竞赛概况-资料下载可拿邀请函；个人中心可查成绩与靶场账号 | | 官方学习 | 美课平台（选手钉钉群内入口） | Windows 取证、iOS 取证、Linux 取证、内存取证、智能手机取证、数据恢复与分析 | | 题解 | 西电 Forensics Wiki（forensics.xidian.edu.cn/writeups） | 2021—2025 五届个人赛 + 团体赛题解；另有盘古石杯、龙信杯、FIC、数证杯等他赛题解 | | 练习平台 | 官方练习平台：取证云平台(包含靶场与答案和详细解题思路：团队赛高分密码公开！取证云平台上架第十一届美亚杯团体赛参考题解)、DIDCTF 电子数据取证综合平台（forensics.didctf.com） | 可刷题、看 Writeup、跟踪国内取证实战赛事日历 | | 社区 | “DFIR蘇小沐”、“取证与溯源”、“电子取证 wiki” | 工具与前辈复盘，多元解题思路（冠军本人推荐的三个） | | 往届检材 | 官方网盘分享（每年随赛程在选手钉钉群发布，链接会更新） | 只练题解不碰检材等于纸上谈兵，检材必须真挂载真翻库 |
十二、写在最后
把近五年的题摊开看，美亚杯的命题逻辑其实很稳定：用一个连贯的刑事案件串起一堆形态各异的电子设备，考你能不能在时间压力下把散落的数据重新拼成一条完整的证据链。它不考花活，考的是覆盖面和稳定性——你能不能在没有互联网、没有现成软件解析的角落里，靠基本功把分抠出来。
2026 年值得额外留意的两个方向：一是官方培训单列了“AI 赋能电子数据取证”，加上 2025 案情里已经把主角设定成“密码学与隐写术爱好者”、检材里出现了本地大模型服务器，AI 相关考点继续加码是大概率；二是服务器取证的口径在持续变宽，从 FTP、Docker 一路走到 NAS、邮件服务器、大模型服务器，会搭环境的人优势越来越明显。
最后借第十届冠军的那句话收尾——“放平心态，按自己的节奏来，平时一点一滴的积累，该用上的时候，自然就用上了。”
最后附上超级取证大师四个月免费授权官方链接：
2026下半年取证备赛利器！超级取证大师免费试用4个月
推荐阅读：AI取证实战第13期:2025美亚杯 · 第十一届中国电子数据取证大赛（个人赛）复盘-AI版
资料整理自：第十一届“美亚杯”官方赛事通报与大赛指南、国投智能（美亚柏科）2026 年赛前培训通知、第十届个人赛冠军专访、西电 Forensics Wiki 2021—2025 五届个人赛／团体赛题解及选手复盘。2026 年正式比赛时间以组委会官方公告为准。
敬请各位大佬关注：小谢取证
扫取二维码获取
更多精彩
小谢取证
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：小谢取证 小谢 小谢《2026年“美亚杯”赛前备赛篇》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论