2026-10-24 14:57:20 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

2025美亚个人赛

原创

Qiuguo
Qiuguo

沉思安全

2026年10月22日 15:05
河南

去阅读

2025美亚个人赛

容器信息

容器密码: FEYn0MJLYy9zTQRFHlXGRkVqXv3IkE8h

SHA-256 哈希: ba7a59bda48932ae5507c4872a0492ee080cd8e6222d9e86fad961038801826e

1.这个智能手机是什么操作系统?

A. iOS 17.1.1

B. iOS 17.2.1

C. iOS 17.3.1

D. iOS 17.0.1

2.在这个手机中，有多少组国际移动设备识别码(IMEI)号码?%20(请以阿拉伯数字作答)

IMEI:InternationalMobileEquipmentIdentity

iDevice\_info中搜索InternationalMobileEquipmentIdentity出现两个，火眼里面只分析出一个

3.承上题，以下哪一个才是正确的国际移动设备识别码(IMEI)号码?

A.%20357328098205226

B.%20357328097205226

C.%20357328096205226

D.%20357328095205226

直接看火眼

在Info.plist里面能搜到

4.请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID)

A.%2089852122206020998419

B.%2089852122205020998419

C.%2089852122204020998419

D.%2089852122203020998419

5.请指出最后使用的Apple%20ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

[email protected]

6.蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx)

f8:38:80:bb:f5:28

iDevice\_info搜索Bluetooth

7.这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

iPhone

对于iOS来说是不支持本身改热点名的，热点名就是和设备名保持一致，直接输设备名就行，若%20iPhone%20手机未登录%20Apple%20ID%20或未设置用户名,%20则热点的%20SSID%20将为 iPhone.

在iDevice_info.txt中搜索ssid可以看到热点密码

冯子超的手机连接过iPhone的wifi

8.这个智能手机没有连接过以下哪一个服务集标识符(SSID)

A.%20Hongn%20Home

B.%20CMHK

C.%201010%20free%20wifi

D.%20ErrorError

CD排除，只能在AB里面选，下一题又说CMHK，所以只能选A

9.请指出首次连接服务集识别码(SSID)名称为\"%20CMHK\"的无线区域网络(Wi-Fi)的日期及时间(请以GMT%20+8时区及以下格式作答:%20yyyy-MM-dd%20HH:mm:ss)

给ai做，他说答案是2025-04-09%2013:10:59，但是提交给DIDCTF说打错了，也没找到wp有写答案

ai给的依据：检材中唯一带时间戳的%20\"CMHK\"%20记录在 com.apple.networkserviceproxy.plist 的网络状态时间线里（StartTime%20=%20NS.time%20765868129.001448，即%202025-04-09%2005:08:49%20UTC），换算%20GMT+8%20即%2013:08:49。

10.安装了以下即时哪个通讯软件?i)%20WhatsAppii)%20WeChatiii)%20WhatsApp%20Businessiv)%20QQ

A.%20只有%20i)%20和%20ii)

B.%20只有%20i),%20ii)%20和%20iii)

C.%20只有%20i),%20ii)%20和%20iv)

D.%20以上皆是

11.承上题，请指出即时通讯软件\"WhatsApp\"的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

2.25.14.79

看var\mobile\Applications\group.net.whatsapp.WhatsApp.shared\Library\Preferences\的group.net.whatsapp.WhatsApp.shared.plist这个文件

12.陈民浩的手机中，总共安装3个文件传输软件，封包名称分别为com.apple.Sharing.AirDropUI、com.lenovo.anyshare、com.estmob.paprika，其中有哪一个软件曾经用来传送/接收文件功能?

A.%20com.apple.Sharing.AirDropUI

B.%20com.lenovo.anyshare

C.%20com.estmob.paprika

三个包名全部在应用列表里面搜索，只有com.estmob.paprika出现了个文件传输

(看manifest.plist，在里面搜索这些包名，可以查找到他们的路径)

13.承上题，与其有传送/接收过资料装置的装置ID是多少?%20(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

5402313593439

可以在\temp\CHAN\_MH\_mobile\var\mobile\Applications\路径下找到这些应用的文件夹

使用数据库工具看com.estmob.paprika\library里面com.estmob.sendanywhere.sdk.database.realm（这是realm数据库）

看TransferInfoEntity可以查传输记录，其中peerdeviceid是传输对象

14.承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Samsung%20SM-G930F

其实这个装置也就是陈民浩的另外一台安卓手机

15.承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

3836403626142

16.承上题，陈民浩的手机(CHAN\_MH\_mobile.zip)是传送方或是接收方? A.%20传送方

B.%20接收方

C.%20传送及接收方

看18题

17.根据传送档案的名称，判断是以下哪一类型?%20(单选)

A.%20屏幕截图

B.%20手机拍摄影片

C.%20PDF文件

D.%20zip压缩文件

根据文件名称Screebshot，大概率就是截图

18.承上题，接收至哪一个装置?

A.%20CHAN\_MH\_mobile.zip

B.%20blk0\_sda.bin

C.%20FUNG\_CC\_mobile.zip

D.%20LAM\_KH\_Mobile.zip

E.%20WONG\_CW\_mobile.zip

可以看到这是米家的截图，而安卓手机里面有米家，猜测是安卓机发送给苹果手机的截图

19.承上题，传送方是通过此文档传输软件的哪个模式作出传送?

A.%20SEND\_PARTIALLY

B.%20SEND\_PAPRIKA

C.%20SEND\_DIRECTLY

D.%20SEND\_BYCLOUD

E.%20SEND\_BLUETOOTH

安卓的包名在data路径下

在data目录下找到传输文件的包名com.estmob.android.sendanywhere

里面的main.db数据库是关键，在transfer%20history

20.从来没有安装以下哪个网络浏览器？（多选）

A.%20Safari

B.%20Chrome

C.%20Firefox

D.%20edge

BCD

在应用列表里面搜索，除了safari其他都没找到

21.承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答)

22.承上题，曾经通过Safari浏览器用下列哪一个字词进行过搜索?（多选）

A.%20非法处理尸体最高刑罚

B.%20escape%20room%20hong%20kong

C.%20cypto%20wallet

D.%20非法处理尸体

ABC

23.有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答)

火眼看不到iCloud

用iLEAPP可以看到有两个图片

24.相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答)

25.请参考参赛材料FUNG\_CC\_mobile.zip回答以下问题这部智能手机连接过多少个%20Wi-Fi%20网络？(请以阿拉伯数字作答)

见26题

26.这部智能手机曾经连接过以下哪个无线网络？i)%20THREE\_WIFIii)%20wanchaiiii)iPhone(2)iv)%20Router

A.%20只有%20i)

B.%20只有%20ii)%20和%20iii)

C.%20只有%20ii),%20iii)%20和%20iv)

D.%20以上皆是

27.这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT%20+8时区及以下格式作答:%20yyyy-MM-dd%20HH:mm:ss)

2025-04-15%2019:29:23

火眼里面只能看最后一次连接的时间

因为问的是非热点的wifi，所以去查wanchai的热点最早连接的时间即可

里面找到

但是这是UTC时间（协调世界时）2025-04-15T11:29:23Z

计算GMT（格林威治时间）+8是2025-04-15%2019:29:23

code

ISO%208601%20标准时间表示

在%20ISO%208601%20中规定了%202%20种标准的时间表示方式:

形如%201970-01-01T00:00:00.000Z:%20该时间为%20UTC%20时间.
形如%201970-01-01T00:00:00.000+00:00:%20该时间格式包含时区信息,%20时区前的时间为该时区的当地时间

28.承上题，请列出这个连接的服务集识别码(SSID)?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wanchai

见上题图，SSID就是这个WiFi的名字

29.承上题，请列出这个连接的登入金钥?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

hellowanchai

30.相册中有两张图像互换格式图片(gif)「IMG\_0057.GIF」及「IMG\_0062.GIF」，请指出由哪一个软件拍摄?

A. Infltr

B. Discreet

C. Meitu

D. Prisma

37.承上题，请指出原文件的建立时间？(请以GMT%20+8时区及以下格式作答:%20yyyy-MM-dd%20HH:mm:ss)

2025-04-16%2016:09:19

同37题，看修改时间

38.请指出在APP「照片」(套件识别码:%20com.apple.mobileslideshow)中，储存多媒体文件「IMG\_0014.MOV」与储存「IMG\_0016.MOV」之间有没有其他多媒体文件储存到APP「照片」中？

A.%20有

B.%20没有

C.%20有拍摄，但没有储存

D.%20无法确认

B.没有

因为数据库中\"IMG\_0014.MOV\"和\"IMG\_0016.MOV\"的 Z_PK 字段值是连续的,%20因此这两个文件之间没有数据写入到数据库中.

39.承上题，以下哪个陈述是正确描述上一题的答案？

A.%20制作多媒体文件「IMG\_0015.MOV」时，直接储存到隐藏相册中

B.%20制作作多媒体文件「IMG\_0015.MOV」时，直接上传到iCloud

C.%20制作多媒体文件「IMG\_0014.MOV」时用了缩时摄影

D.%20制作多媒体文件「IMG\_0015.MOV」时名称被更改为「IMG\_0016.MOV」

A.%20即使存储在隐藏相册中,%20也应该在 photos.sqlite 数据库中留下记录.

B.%20iCloud%20中的%20WhatsApp%20应用数据中只有并没有上传\"IMG\_0015.MOV\"文件.

C.%20查看视频文件可以发现,%20视频确实使用了延时摄影拍摄.

D.%20若修改了文件名,%20应该可以在 ZCLOUDMASTER 表的 ZORIGINALFILENAME 字段中看到更改前的文件名.

40.APP「照片」(套件识别码:%20com.apple.mobileslideshow)中，「IMG\_0027.HEIC」的原地理位置信息(WGS84)是？

A.%20(22.2816569,%20114.1756115)

B.%20(22.2826366666667,%20114.168503333333)

C.%20(22.2826216666667,%20114.168525)

D.%20(22.2826216666667,%20114.168503333333)

但是不对

41.曾经通过网络浏览器「Safari」下载了多少个图片文件？

A.%201

B.%202

C.%203

D.%204

42.多媒体文件「%20IMG\_0004.MOV」曾被修改后再储存成另一个文件，该文件名称是?

A.%20IMG\_0085.mov

B.%20IMG\_0086.mov

C.%20IMG\_0087.mov

D.%20IMG\_0088.mov

需要先去ZADDITIONALASSETATTRIBUTES表里找一下原始名称是0004.mov的文件，确定其Z\_PK，然后再去ASSET找一下现在的

Z\_PK是82

43.曾经通过人工智能聊天APP%20\"POE\"查询一个问题，请列出这个问题的完整句子？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

What's%20that%20mean

首先需要找到这个APP的包名，搜索POE

然后根据包名找数据库，在分析-其他应用里面，找到他的数据库

key里面搜索“Message”，过滤出用户的交互：

SELECT%20\*
FROM%20records
WHERE%20key%20LIKE%20'%Message%';

完整句子是

code

{\"isDeleted\":false,\"text\":\"What’s%20that%20mean\",\"chat\":{\"$reference\":\"Chat:Q2hhdDoxMDY5ODc1MDcw\"},\"bot\":null,\"creationTime\":1744782606792741,\"attachments\":[{\"$reference\":\"MessageAttachment:TWVzc2FnZUF0dGFjaG1lbnQ6MzQ5NDcxNTAy\"}],\"reactionCounts\":[],\"command\":null,\"messageCode\":\"1mvs4t45lw2et7a3wk4a\",\"authorNickname\":\"human\",\"viewerReaction\":null,\"responsibleJob\":null,\"messageStateText\":null,\"viewerCanDelete\":true,\"hasCitations\":false,\"canvasTabs\":[],\"id\":\"TWVzc2FnZTozNzcwNTE2MjYzNjY=\",\"contentType\":\"text\markdown\",\"\\_typename\":\"Message\",\"authorUser\":{\"$reference\":\"PoeUser:UG9lVXNlcjoyOTkzNDM5Mzc1\"},\"messageId\":377051626366,\"isChatAnnouncement\":false,\"sourceType\":\"chat\_input\",\"state\":\"complete\",\"referencedMessage\":null}

所以

code

SELECT%20\*%20FROM%20records
WHERE%20record->>'$.sourceType'%20=%20'chat\_input';

这个也能查

44.承上题，请指出提问的日期及时间(答题格式:%20yyyy-MM-dd%20HH:mm:ss%20作答,%20GMT+8)

2025-04-16%2013:50:06

同43题，时间戳就在后面

45.承上题，当时使用的是哪一个机器人?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

gpt4\_1\_mini

code

SELECT%20\*%20FROM%20records
WHERE%20record->>'$.sourceType'%20=%20'chat\_input';

搜索出来还有另一条

code

{\"messageCode\":\"1mvs30asnwy9ak8k3r3v\",\"text\":\"The%20Chinese%20characters%20on%20the%20box%20say%20\\"意見箱\\"%20(yì%20jiàn%20xiāng),%20which%20means%20\\"Suggestion%20Box\\"%20in%20English.%20It%20is%20a%20box%20where%20people%20can%20leave%20their%20feedback,%20opinions,%20or%20suggestions.\",\"creationTime\":1744782607091463,\"viewerReaction\":null,\"bot\":{\"$reference\":\"Bot:Qm90OjMwMzc=\"},\"responsibleJob\":{\"$reference\":\"PoeJob:UG9lSm9iOjU4Mzc4NDM2MTE=\"},\"hasCitations\":false,\"isChatAnnouncement\":false,\"messageId\":377051639678,\"attachmentTruncationState\":\"not\truncated\",\"attachments\":[],\"authorUser\":null,\"sourceType\":\"chat\_input\",\"state\":\"complete\",\"id\":\"TWVzc2FnZTozNzcwNTE2Mzk2Nzg=\",\"referencedMessage\":null,\"chat\":{\"$reference\":\"Chat:Q2hhdDoxMDY5ODc1MDcw\"},\"command\":null,\"\\_typename\":\"Message\",\"isDeleted\":false,\"contentType\":\"text\_markdown\",\"followupActions\":[{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.0\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.1\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.2\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.3\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.4\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.5\"},{\"$reference\":\"Message:TWVzc2FnZTozNzcwNTE2Mzk2Nzg=.followupActions.6\"}],\"messageStateText\":null,\"reactionCounts\":[],\"viewerCanDelete\":true,\"canvasTabs\":[],\"authorNickname\":\"gpt4\_1\_mini\"}

\"authorNickname\":\"gpt4\_1\_mini\"

46.承上题，当时的使用者名称是？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Duncan

之前找出来有PoeUser:UG9lVXNlcjoyOTkzNDM5Mzc1

在key里面搜一下

code

SELECT%20\*%20FROM%20records
WHERE%20key%20LIKE%20'%UG9lVXNlcjoyOTkzNDM5Mzc1%';

”fullName\":\"Duncan“

code

{\"bio\":null,\"id\":\"UG9lVXNlcjoyOTkzNDM5Mzc1\",\"fullName\":\"Duncan\",\"uid\":2993439375,\"profilePhotoUrl(size:small)\":\"https:\/\/qph.cf2.poecdn.net\/main-thumb-2993439375-50-tymoksragfztjqazsfsxyawptkcjfhek.jpeg\",\"profilePhotoUrl(size:large)\":\"https:\/\/qph.cf2.poecdn.net\/main-thumb-2993439375-200-tymoksragfztjqazsfsxyawptkcjfhek.jpeg\",\"viewerIsFollowing\":false,\"viewerIsFollowedBy\":false,\"\_\_typename\":\"PoeUser\",\"isFollowable\":false,\"isPoeOnlyUser\":true,\"profilePhotoUrl(size:tiny)\":\"https:\/\/qph.cf2.poecdn.net\/main-thumb-2993439375-25-tymoksragfztjqazsfsxyawptkcjfhek.jpeg\",\"profilePhotoUrl(size:medium)\":\"https:\/\/qph.cf2.poecdn.net\/main-thumb-2993439375-100-tymoksragfztjqazsfsxyawptkcjfhek.jpeg\",\"handle\":null,\"viewerIsUser\":true}

47.请指出即时通讯软件\"WeChat\"的 \"WeChat ID\"(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

wxid\_c9xyspglub7512

火眼直接看

48.承上题，这个\"WeChat%20ID\"关注了多少个「视频号」？

A.%201

B.%202

C.%203

D.%204

火眼里面视频号查看源文件，在数据库finder\_main.db里面的finderContactTable3里面，followState列如果是1则说明关注，有两条（开头有一个，翻下面还有一个）

49.请指出即时通讯软件WhatsApp的WhatsApp%20 ID(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

[email protected]

50.即时通讯软件WhatsApp中，封存了下列哪个聊天群？

A.%20凤凰VIP会员心得交流群

B.%20币淘%20群组1

C.%20Sportsmen

D.%20Titus%20Wong%20Manson%20Finance

封存应该指%20Archive%20功能,%20大陆地区一般常翻译成\"存档\".

51.即时通讯软件WhatsApp中，总共追踪了多少个频道？(请以阿拉伯数字作答)

52.即时通讯软件「WhatsApp」中，下列哪个是群组%20\"Investors\"%20的管理员？i)%[email protected])%[email protected])%[email protected]

A.%20只有%20i)

B.%20只有%20i)%20和%20ii)

C.%20只有%20ii)%20和%20iii)

D.%20以上皆是

53.即时通讯软件「WhatsApp」中，群组%20\"Investors\"%20的群组ID？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

[email protected]

54.即时通讯软件「WhatsApp」中，「社群」名称是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

We%20are%203

55.承上题，请指出这个社群的群组图案的哈希值（SHA256格式）

A.%20B1A3706C574F81A3EE084FB9509997E06349E86D904D1DC10B879D1D5ED83125

B.%20B8BA258402925E139CAFBBBBBC809EC160B70BB03DBD4D0F3063F58F69D0B956

C.%20E43ADC646295BC5011577D4E733B6289D31A5E11ACB45285BE1FF530260DF383

D.%2020E64C78F9926548CEEFB1783991A4AD71A6631F3C86002254342E323A898C6A

在/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile里面发现两个与社群群组团相同的图片，两个都算出来之后，只有一个匹配

SHA-256:b1a3706c574f81a3ee084fb9509997e06349e86d904d1dc10b879d1d5ed83125

56.即时通讯软件「WhatsApp」中，找出WhatsApp%20ID:[email protected]曾经是在而现在已经不在的群组，请指出该群组的名称。(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

Sportsmen

[email protected]是陈民浩

57.即时通讯软件「WhatsApp」中，总共出现了多少个「投票」活动？(请以阿拉伯数字作答)

虽然搜出来是3+13=16个

但是有一条不是投票消息（如图）

所以是15个

58.承上题，总共在多少个「投票」活动中作出了投票？(请以阿拉伯数字作答)

火眼可以看到

可以看到发起了三个投票，但是真正做出投票的不知道有几个

翻数据库，\"ZCHATSESSION\"%20=%2027的是这个群聊里面的消息（根据消息对应出来的）

根据时间顺序Z\_PK=809这就是一个投票消息，对应关系如下，可以看到投票消息ZMESSAGETYPE=46

筛选出三条消息的Z\_PK

ZWAMESSAGEINFO表的%20ZRECEIPTINFO%20字段是以protobuf形式存储的投票的正文

在ZMESSAGE里面搜索上面的三个Z\_PK，然后分析里面的%20ZRECEIPTINFO字段

找ai翻译一下

分析一下三条投票的结果

带%20JID%20的票 =%20别人投的，只有%20stanzaId、没有%20JID%20的票 = 机主自己投的

59.即时通讯软件「WhatsApp」中，根据群组「%20IQ%20COIN%20💰💰💰💰」对话内容正在策划，哪一种犯罪计划？

A.%20诈骗

B.%20抢劫

C.%20谋杀

D.%20以上都不对

火眼能看到

60.承上题，该群组建立者的WhatsApp%20ID是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

[email protected]

火眼能翻到

61.承上题，该群组的建立时间是什么？(请以GMT%20+8时区及以下格式作答:%20yyyy-MM-dd%20HH:mm:ss)

2025-04-25%2016:57:55

火眼能翻到

62.根据你分析结果。三人因感情瓜葛内讧因而发生这次袭击事件。你怀疑梁燕玲曾到袭击现场，你将你的发现通知警察。警察扩大现场搜索范围，终于在案发现场附近，发现陈民浩名下的小汽车，车上发现一部智能手机。请你以参赛材料LEUNG\_YL\_Mobile.zip回答以下问题参考LEUNG\_YL\_Mobile.zip，该手机用作注册iCloud的email?

63.参考LEUNG\_YL\_Mobile.zip，文件IMG\_0021.HEIC%20所拍摄的相机型号是甚么?

A.%20iPhone%20SE%20(3rd%20generation)

B.%20iPhone%20SE%20(2nd%20generation)

C.%20iPhone%2012%20mini

D.%20iPhone%20XR

64.参考LEUNG\_YL\_Mobile.zip，文件IMG\_0005.JPG所拍摄的座标(WGS 84)是多少？(请以纬度,经度的顺序及以下格式作答xx.xxxxxx,xx.xxxxxx)

22.337655,114.139441

67.参考LEUNG\_YL\_Mobile.zip，在WhatsApp%20与”[email protected]”聊天对话中，于2025-05-16%2011:33:39时的信息所传送的座标(WGS%2084)是多少?(请以纬度,经度顺序及以下格式作答xx.xxxxxxxxxxxx,%20xxx.xxxxxxxxxxxx)

22.27604866027832,114.29544067382812

[email protected]是冯子超

转换一下时间戳

769059219

查看数据库LEUNG\_YL\_mobile.tar/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ChatStorage.sqlite

定位到Z\_PK为1416

在ZWAMEDIAITEM里看到经纬度

68.参考LEUNG\_YL\_Mobile.zip，在WhatsApp%20与%20\"[email protected]”聊天对话中，于2025-05-16%2011:33:39时的信息所传送的座标(WGS%2084)所指的餐厅英文名称是?%20(请依照参赛材料中的原文作答，注意区分大小写、空格及符号

Fai%20Kee%20Seafood%20Restaurant

69.参考LEUNG\_YL\_Mobile.zip，在WhatsApp%20中聊天群组ID%20120363401289578356里，于2025-04-29%2008:31:02，机主传送了一个PDF%20文件，该PDF的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638

打开发现是一片空白，但是文件本身有大小49kb

但是可以看到有内容可以选中

用WPS等工具打开，全选，复制粘贴出来就看到了

0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638

70.参考LEUNG\_YL\_Mobile.zip，在WhatsApp%20中聊天群组ID%20120363401289578356里，有多少个参加者？

A.%202

B.%203

C.%204

D.%205

71.参考LEUNG\_YL\_Mobile.zip，于2025-04-25%2017:11:37%20时使用WhatsApp%20所拨打的手机号码是多少?

A.%2085254962307

B.%2085254961408

C.%2085254974406

D.%2085254993306

72.参考LEUNG\_YL\_Mobile.zip，总共有多少个WhatsApp的通话记录?%20(包括拨打、接收及未接来电)

A.%204

B.%205

C.%206

D.%207

73.参考LEUNG\_YL\_Mobile.zip，WhatsApp%20聊天群组ID%20120363400622997111%20的群组名称是?

A.%20Investors

B.%20Foodies

C.%20We%20are%203

D.%20Happy%20Sharing%20within%203

74.参考LEUNG\_YL\_Mobile.zip，WhatsApp%20聊天群组Happy%20Sharing%20within%203%20于2025-04-17%2010:12:34%20传送的WGS%2084座标是多少?

A.%2022.323436345441,%20113.276894376508

B.%2022.326923370361,%20114.168403625488

C.%2021.239876452236,%20115.925422314543

D.%2020.124955642236,%20114.168403625488

同67题，但是好像和题目的数字不是完全符合，我是只看小数点前选出来的选项

75.参考LEUNG\_YL\_Mobile.zip，Instagram%20的版本是?

A.%20375.2.0.15.82%20(722575504)

B.%20376.1.0.14.56%20(722575504)

C.%20376.1.0.27.82%20(722575504)

D.%20376.0.0.17.23%20(722575504)

一开始翻看了Manifest.plist，但是只看到了722575504.0，而4个答案按全都带，只能去看看包名下的文件了

找到了LEUNG\_YL\_mobile.tar/var/mobile/Applications/com.burbn.instagram/Library/Preferences/com.burbn.instagram.plist

76.参考LEUNG\_YL\_Mobile.zip，社交媒体软件Instagram%20的安装时间?(请以GMT+8时区及格式YYYY-MM-DD%20hh:mm:ss作答)

2025-04-26%2011:50:47

还是同一个文件，搜索install，找到

但是要注意GMT+8，所以应该是2025-04-26%2011:50:47

77.跟据你的分析，警察在香港西贡蕉坑，找到一个行李箱，内藏一名女子尸体，身上没有任何身份证明文件，裤袋内搜获一个U盘，根据法医初步检验，死者头部及颈部有明显瘀伤，相信曾发生激烈争执，死因为气管受压导致窒息，死亡时间相信是在2025-05-16%20 0900时至1000时%20。调查人员初步检查这个U盘，没有发现可疑资料，现在交由你进行电子数据鉴定工作。请参考参赛材料LEUNG\_YL\_USB.E01，答以下问题参考LEUNG\_YL\_USB.E01，这个U盘里有多少个分区？(请以阿拉伯数字作答)

直接放进xway

78.参考LEUNG\_YL\_USB.E01，这个U盘里的分区结构是什么？(请以英文大写作答)

MBR

79.参考LEUNG\_YL\_USB.E01，以下哪项描述是正确的？i)%20U盘的总容量是16GBii)%20文件系统包括%20FAT32、exFAT%20和%20NTFSiii)%20exFAT%20分区的容量是%2016GBiv)%20分区标签名是%20\"SanDisk\"

A.%20只有%20i)%20和%20ii)

B.%20只有%20i)%20和%20iii)

C.%20只有%20ii)%20和%20iv)

D.%20以上皆非

i)%20U盘的总容量是16GB，错

文件系统包括%20FAT32、exFAT%20和%20NTFS，错FAT32、exFAT%20和%20fat16

exFAT%20分区的容量是%2016GB，错，27.65GB（见上图）

分区标签名是%20\"SanDisk\"，错，看“名称”可以得出

80.参考LEUNG\_YL\_USB.E01，以下哪项描述是正确的？i)%20此U盘曾连接到一台名为%20\"PC\"%20的电脑ii)%20U盘内存有一个已加密的压缩文件iii)%20已加密的压缩文件的创建日期系%202025-05-15

A.%20只有%20ii)

B.%20只有%20iii)

C.%20只有%20ii)%20和%20iii)

D.%20以上皆是

可以看到ii，iii都是对的，排除法选C

81.承上题，该压缩文件的解压密码是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

54d#e(nm

AP3\_LEUNG\_YL\_USB.E01/TIM/WEPE/WALLPAPER.JPG

82.参考LEUNG\_YL\_USB.E01，以下哪项描述是正确的？i) 这是一个可引导U盘ii) 有一个分区标签名为 \"EFI\"iii) 卷标日期为 2025-05-15 (UTC +8)iv) 有一个分区的总容量小于 500 MB

A. 只有 i)

B. 只有 i) 和 ii)

C. 只有 i), iii) 和 iv)

D. 以上皆是

可以找到AP3\_LEUNG\_YL\_USB.E01/EFI/EFI/BOOT/bootx64.efi

83.tammy.txt文件的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

due\_diligence

全局没搜索到tammy.txt，看了网上wp知道这是个启动盘

找到AP3\_LEUNG\_YL\_USB.E01/EFI/WEPE/WEPE64.WIM

这是个压缩包/映像

WIM（Windows Imaging Format）是一种由微软开发的基于文件的系统映像格式，自 Windows Vista 起用于存储和部署多个 Windows 操作系统版本，支持压缩、单实例存储和离线维护等特性

可以直接解压分析

美亚可以直接扔进去分析出来

WIM仿真起来也可以看到，桌面上有个txt是指向tammy.txt的

仿真脚本（AI写的）放在“WIM挂载脚本”文章了

用微PE工具也可以仿真，但是正版需要花钱

84.文件“xcontainer”的加密算法是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

AES(Twofish)

在U盘找到一个密钥文件

解压Sunny.zip，发现一个xcontainer，大小64B，使用刚刚发现的密钥文件挂载起来

85.分析文档 \"xcontainer\" 的属性。关于此磁盘镜像，以下哪项描述是正确的？i) 大小为 4943872 字节ii) 文件系统是 FAT iii) 没有嵌入式备份头iv) 块大小为 128 位

A. 只有 i) 和 ii)

B. 只有 ii) 和 iv)

C. 只有 ii), iii) 和 iv)

D. 以上皆是

86.WinPE 启动后，系统会自动将核心映像挂载在哪个虚拟机？

A. C:

B. D:

C. X:

D. Z:

87.下列哪些 Windows PE 指令在预设环境下无法执行？i) Powershellii). Eventvwriii). HostnameiV). Diskpart

A. 只有 i) 和 ii)

B. 只有 iii) 和 iv)

C. 只有 i), ii) 和 iii)

D. 以上皆是

一条一条试就行了

88.必须包含哪个文件，才能启动 Windows PE环境？

A. WEPE64.wim

B. install.wim

C. WinPE.log

D. hiberfil.sys

镜像就是用WEPE64.wim仿真起来的

89.若要判断一个U盘是否为可开机的Windows PE，以下哪些文件必须存在？i) WEPE64.wim 或 boot.wimii) bootmgriii) EFI\Boot\bootx64.efiiv) hiberfil.sys

A. 只有 ii 和 iv

B. 只有 i), ii) 和 iii)

C. 只有 i) 和 iv)

D. 以上皆是

但是ai说iii是错的，解释如下：

ii) bootmgr 不必须——这是本题的陷阱。bootmgr 是 BIOS 引导链的加载器，教科书式 U 盘（微软官方安装盘那种布局）根目录确实有它；但你的检材正好反证：

• UEFI 路径根本不用 bootmgr——bootx64.efi 本质就是 bootmgr 的 EFI 版，直接接管；

• WePE 这类隐藏分区盘连 BIOS 路径也不用可见的 bootmgr——它的 BIOS 引导代码藏在盘头那 300MB 隐藏区里（我们第一次分析时看到的间隙），文件系统里全盘搜不到 bootmgr，照样开机。

作者也不理解，大家仁者见仁智者见智

90。这个 WinPE U盘的操作环境 (Operating Environment) 是基于哪一个 Windows 版本？

A. Windows 7

B. Windows 8.1

C. Windows 10 PE

D. Windows 11 PE

91根据你综合多项通讯软件的对话记录，浏览记录及资料分析，发现冯子超、陈民浩伙同女子梁燕玲共同做了一宗涉及加密货币投资的诈骗案件，因东窗事发打算携赃而逃。女子梁燕玲负责处理有关清洗黑钱事项，警察相信梁燕玲携带同相关材料逃跑，请你运用电子数据鉴定技巧寻找与加密货币相关的材料，尽快启动冻结程序。参考LEUNG\_YL\_USB.E01，该U盘盘有一个加密的文件，该文件所用的加密软件名称是? (只需回答软件名称，不需要回答软件版本，(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)

VeraCrypt

就是VC加密容器，加载之后还有虚拟币的图片，肯定是了