通过近五年美亚杯推演2026年美亚杯
原创
小谢
小谢
小谢取证
2026年10月28日 19:58
广东
去阅读
AI 取证实战 · 第 37 期 · 五年复盘 × 2026 推演
案情背景就是出题脚本：五年美亚杯，推演今年考什么
1198 道真题 × 五届案情 → 5 条规律 → 2026 五个阶段的考点预测
美亚杯的案情背景从来不是装饰。它是出题脚本——写进背景里的每一件设备、每一个情节节点，最后都会被翻译成几道题。这句话不是感悟，是能算出来的：我把%202021—2025%20五届十场%201198%20道题，一道一道标回它对应的那句案情，对齐完发现比例硬得很。
今年（2026）的官方资料已经发了：故事大纲、流程图、人物关系图、证物对应图、17%20个带%20SHA256%20的镜像清单，还有一张%2021%20类的建议软件清单。题还没出，但脚本已经摆在桌上——这意味着今年和往年最大的不同是：你可以提前知道该练什么。
所以这篇不写\"五年回顾\"，写\"五年怎么用\"。前半段用五年数据把「案情怎么写、题就怎么出」拆成%205%20条规律；后半段拿这%205%20条规律去读今年那份还没开考的背景，给出五个阶段的考点预测、置信度，和一张能直接照着练的清单。
数据口径：2021—2025%20五届十场共%201198%20道题（个人%20430%20/%20团体%20768），逐份对过官方题目表；考点矩阵收录题次%20739，去重%20634，覆盖%2053%。2026%20尚未开赛，本文所有预测均标注依据与置信度，属概率判断，不是押题。
做法很土：拿官方题目表，逐题看它问的是哪件检材、对应背景里的哪句话，然后在表上加一列。做完十场，你就能看到一件事——案情背景里没有一句废话。凡是写进背景的设备，一定有题；凡是写进背景的时间，一定有用。
举个最干净的样本，2025%20团体赛：
| 背景里写了什么 | 给了哪件检材 | 几题 | 具体问什么 |
|---|---|---|---|
| Arjun%20Sharma%20收到一封邀请他投资%20IQ%20Coin%20的邮件 | Arjun\_Sharma\_email.zip | 16 | 附件结构、MIME%20编码、哪两个附件藏币地址、原始发件人%20vs%20显示发件人、ARC%20验证、时间戳是否被改 |
| CEO%20否认开过会，怀疑有人用%20AI%20换脸混进会议 | 梁燕玲的笔记本镜像 | 13 | Chrome%20记录、DeepFaceLive、虚拟摄像头、变声软件、换脸源材料、Photoshop%20安装时间 |
| 公司把客户资料整合进了%20AI%20系统 | Manson\_server2.e01 | 23 | 工作流平台、显卡型号、模型体积、数据库账密、会话表、Agent%20约束条件 |
三句话，五十二道题。这就是\"脚本\"的意思——背景里提一个物件，题目就沿着这个物件把它的配置、日志、账号、时间全问一遍。背景决定检材，检材决定题量，题量决定你该练什么。链条就这么短。
| 届次 | 团体检材数 | 团体题量 | 题/件 | 最重的一块 |
|---|---|---|---|---|
| 2021 | 14 | 105 | 7.5 | 常威%2057（54%） |
| 2022 | 10 | 130 | 13.0 | 王景浩电脑%2027（21%） |
| 2023 | 19 | 139 | 7.3 | 陈大昆%20Win10%2025（18%） |
| 2024 | 13 | 130 | 10.0 | Ben%20笔记本%2043（33%） |
| 2025 | 17 | 264 | 15.5 | 冯子超手机%2044（17%） |
| 均值 | 14.6 | 153.6 | 10.7 | — |
检材数口径：题目表里出现的独立设备／镜像，同一人的手机与电脑分开算，NAS%20多块盘算一件，不含背景资料。
两个趋势叠在一起看更有意思。一是密度在涨：每件检材从%207.5%20题涨到%2015.5%20题，2025%20是\"一件挖到底\"的极致（冯子超手机一台出%2044%20题）。二是分配在摊平：2021%20光常威一个人的设备就吃了半场（54%），到%202025%20最重的一块只占%2017%——题量在往\"每台设备都挖一遍\"的方向走。
个人赛反过来：题量从%202023%20起就锁死在%2098—100，跟检材数没关系——所以检材越少，每件挖得越深。2025%20个人赛只给%203%20件，平均每件%2033%20题。
这条规律直接能用：看官方清单里有几个镜像，就能估出题量。17%20个镜像，个人赛拿%203—5%20件撑%20100%20题，剩下%2012—14%20件归团体，按%2010—15%20题/件算，团体%20120—210%20题，两场合计约%20220—310%20题。而且按\"摊平\"趋势，最重的单件大概%2035—45%20题，不会出现某台机器吃半场的情况。
这条在%202024%20看得最清楚。同一批人、同一条时间线：个人赛问%20Emma%20欠了多少债、Clara%20最后在哪、David%20的币怎么被偷；团体赛问%20Alice%20拉了多少人、Ben%20的%20APK%20连哪个%20C2、John%20的%20NAS%20归集了什么、钱最后进了哪个地址。赛制不是难度分级，是视角分级。
落到检材上也很明显：个人赛五年十场里，服务器只出现过一次（2021%20阿力士那台%20FTP%20服务器），其余全是\"个人设备\"——手机、笔记本、U%20盘、内存镜像。团体赛则是服务器、NAS、跳转站、邮件服务器、大模型服务器轮着上。看到背景里出现\"公司服务器\"，基本可以确定那是团体赛的题。
这是五年里最稳的一条。把每届\"第一次出现\"的物件和它的题量摆一起：
| 届次 | 首次出现的物件 | 对应题量 |
|---|---|---|
| 2021 | 矿机%20/%20无人机飞航记录%20/%20Docker%20/%20APFS%20容器 | 8%20/%208%20/%203%20/%201 |
| 2022 | 树莓派%20VPN%20/%20比特币钱包与%20NFT%20/%20Proxmox | 7%20/%2024%20/%2012 |
| 2023 | 特斯拉哨兵%20/%20NAS%20/%20DeepFaceLab%20换脸 | 8%20/%207%20/%209 |
| 2024 | VR%20头显%20/%20跳转站%20/%20内存镜像%20/%20U%20盘逆向 | 6%20/%204%20/%204%20/%2018 |
| 2025 | 大模型服务器%20/%20独立邮件服务器%20/%20摄像头存储卡%20/%20AirTag | 23%20/%2015%20/%209%20/%202 |
五年，二十多个\"新物件\"，零例外，全部出题，最少%202%20题，最多%2023%20题。这条规律最值钱：拿到官方清单，先找你不认识的设备名——那就是今年的新题型，也是你最容易拉开差距的地方。
2023%20那台特斯拉最典型：死者%209%20月末已经死了，车却在%2010%20月%202%20日还在开，哨兵模式录到了人。这个矛盾在%208%20道题里至少占%202%20道。同一届还有%20Kali%20虚拟机的时区跟香港不一样，单独一题问时区；2025%20的链上交易是%20UTC，手机记录是%20UTC+8，跨检材对时间全靠换算。
还有一类是\"时间窗口切片\"：2024%20个人赛「8%20月%2030%20日下午两点后%20Emma%20共致电%20Clara%20多少次」、2025%20团体赛「2025-04-29%20至%2005-08%20期间有多少次登入」。背景里凡是出现\"某日之后\"\"离港期间\"\"已经死了\"这类限定词，就有一道题卡在这个窗口上。
同一个犯罪动作，换了载体，题路可以照搬。钓鱼骗卡：2022%20是假网站，让受害人自己填资料；今年的脚本里是\"连上讲座现场%20WiFi%20后卡被盗刷\"——动作一样，载体从网页换成热点，题就从\"看浏览器记录\"换成\"看%20WiFi%20连接记录和树莓派%20DHCP%20租约\"。
反过来，全新的动作五年里没人考过，只能靠通用技能硬扛。所以读脚本时先分类：能搬的照搬，搬不了的补基础。这是本文后半段推演的方法论。
规律说完了，下面把五届的案情、检材、题量摊开。看的时候别只看\"那年考了什么\"，看\"那句话最后变成了几道题\"——这才是能迁移的东西。
| 届次 | 题量%20个人/团体 | 案情一句话 | 这届第一次出现 |
|---|---|---|---|
| 2021%20第七届 | 62%20/%20105 | 工地主管电脑被%20TeamViewer%20远程控制，E%20盘被%20BitLocker%20加密，文件经%20FTP%20外传，对方要比特币；团体赛接着查两名工地职员电脑被加密、网页服务器被传可疑文件。 | 矿机与挖矿、无人机飞航记录、Docker、APFS%20容器 |
| 2022%20第八届 | 70%20/%20130 | 市民收到伪冒快递邮件，在假网站填了卡资料被盗刷；团体赛是%20AGC%20集团被%20RDP%20入侵，王景浩负责打进去、朗尼用树莓派%20VPN%20和比特币钱包洗钱。 | 邮件钓鱼链、树莓派%20VPN、比特币钱包与%20NFT |
| 2023%20第九届 | 100%20/%20139 | 个人赛是三名大学同学（李大辉、浩贤、Elvis%20CHUI）组成的电诈集团；团体赛从一宗凶杀案切入，死者李哲图的联系人牵出一个诈骗组织。 | 无人机航拍、特斯拉哨兵、NAS、AI%20换脸（DeepFaceLab） |
| 2024%20第十届 | 100%20/%20130 | Emma%20报案姐姐%20Clara%20失联；查到姐夫%20David%20涉嫌杀妻，再牵出%20Alice、Ben、John%20的诈骗组织。 | 内存镜像、U%20盘逆向绕过、VR%20头显、跳转站 |
| 2025%20第十一届 | 98%20/%20264 | 西贡布袋澳伤人案，冯子超被打伤、梁燕玲失踪；团体赛接到曼森金融投资诈骗，核心是「CEO%20否认开过会」的实时换脸。 | 大模型服务器、独立邮件服务器、摄像头存储卡 |
\*%20题量以官方题目表逐份核对为准：62／105、70／130、100／139、100／130、98／264，合计%201198。2022%20团体赛官方题解是完整的%20130%20题，「题解不全」的旧说法不成立。
背景只有一句：「工地主管的计算机被加密，收到勒索通知」。这一句拆出%2062%20题。手机%209%20题、电脑%2010%20题、路由器%207%20题、两部%20iPhone%2016%20题、阿力士电脑%2010%20题、FTP%20服务器%2010%20题。注意最后那%2010%20题——同一台%20FTP%20服务器，问%20Docker%20装了什么、内核什么版本、文件系统是哪个、哪个目录改过权限。这不是找文件，是让你把一整套系统讲出来。
团体赛背景写「元材原料几名员工的财务资料在网上被公开」，落到官方清单%2016%20项（含%202%20份背景资料）、14%20件数字检材、105%20题。工地那边只给了%20A、B%20两台办公室计算机（8+10%20题），两套问的东西还不一样：A%20问恢复密钥标识符和%2048%20位密钥，B%20问%20MAC、ProfileID、CD%20Key、分区表、services.exe%20的%20PID。特普%2020%20题（手机木马版本%202020033001%20+%20电脑病毒%208%20题），常威%2057%20题（手机、Mac、Windows、Linux、U%20盘、矿机、无人机全给了）。
这一届给今年留下的是「一台设备挖到底」的题路：只要背景里点名一台机器，就会有一串题沿着它的系统信息往下走——版本号、分区表、容器、文件系统。今年清单里的两台树莓派，就是同一套问法。
个人赛背景是伪冒快递邮件骗卡。四件终端%2070%20题，最后一题是行为定性。这届埋了两个小机关：李大辉手机里那个%20order.xlsx%20被单独加了密，解密钥匙要自己找（2022I-Q21）；还有一张照片的元数据被改过，拍摄时间对不上（2022I-Q23）。故事讲盗刷，题却落在\"这份文件什么时候被谁动过\"。
团体赛是五年里唯一一届\"服务器当主角\"：AGC-CS%20被%20RDP%20打进来，下载%20NIMSCAN%20扫内网，AGC\_Server%20上跑%20Proxmox，黑客留了加密程序；王景浩负责入侵盗数据（计算机%2027%20题、iPhone%20XR%205%20题、SD%20卡%2010%20题、U%20盘%205%20题），朗尼负责洗钱（树莓派%20VPN%207%20题、计算机与手机%2024%20题）。
这届留给今年的是两件东西：一是\"读邮件头\"的题路——发件地址、发信%20IP%20单独设问（2022I-Q19／Q20）；二是树莓派作为%20VPN%20/%20网关的取证范式——hostname、VPN%20端口、syslog、登录统计、被删目录，七道题正好是一套标准流程。今年清单里有两台树莓派，这七题的路子可以直接搬。
个人赛背景是三个大学同学搞电诈，8%20件检材%20100%20题。浩贤那份最绕：Server%20文件夹里套着%20Meiya\_VPN.vmdk。\"先认出嵌套检材、挂上、再进去找\"从此成了肌肉记忆。这届还有个信号：理论题突然成块，39%20题、接近四成（Linux%20与云%2021、网络与%20Nmap%208、Web%20与数据库%205、脚本与内存%204）。
团体赛是凶杀案牵出诈骗组织，139%20题。潘志辉的计算机%2022%20题全在换脸软件上，陈大昆的%20Win10%2025%20题全在%20Opensea%20和以太坊合约上，陈大昆%20MacBook%20里还塞了两个加密%20.7z，解开是二进制，最后%206%20题直接问函数个数。检材套检材，压缩包套二进制。
这届留给今年的是「时间矛盾」的题型：特斯拉哨兵%208%20题里，核心是\"死者%209%20月末已死、车%2010%20月%202%20日还在开\"；Kali%20虚拟机时区跟香港不同，单独一题问时区。今年脚本里\"投资人几天后卡被盗刷\"\"CEO%20在外地休假期间开会\"，都是同一类矛盾。
个人赛%206%20件终端%20100%20题：Emma%20手机%2024、Clara%20手机%2024、David%20手机%2010、David%20笔记本%2010、David%20U%20盘%2018、内存镜像%204，最后%2010%20题资金流综合分析。一台服务器都没有——这个分配从%202022%20就定了，服务器全留给团体赛。
真正的大题是那块%20U%20盘。前%2010%20题手工算%20NTFS：每簇多少字节、已删除文件数、Run%20List%20偏移量、簇运行长度、被删图片的像素值和拍摄机型。后%208%20题是一把锁：x64dbg%20找字符串、找到判断登录成功的跳转、改汇编绕过、拿内存偏移量解%20BitLocker%20密钥。从\"找文件\"跨到\"改程序\"，五年里个人赛第一次把逆向当主菜。（顺带纠正一个流传很广的说法：内存大题其实只有%204%20题，不是%2022%20题。）
团体赛%2013%20件检材%20130%20题，第一次把\"一个人的设备\"拆成\"一个组织的工作流\"：Ben%2043%20题（AhMyth%20APK%2015%20+%20AES%20加密%20Excel%207%20+%20黑客痕迹%2018）、John%20的%20NAS%2013%20题、VR%20头显%206%20题、跳转站%204%20题、Alice%20手机还加了赛后%206%20题\"二周目\"。
这届留给今年的是两件事：一是\"跳转站\"这种只做出入口的机器怎么查（IP/掩码、访问%20ID、下载时间、几个%20ID%20连过）；二是\"二周目\"——单机结论必须放回多人关系里验证。今年的三层人物分工，几乎必然会用到这个套路。
个人赛%203%20件检材%2098%20题，密度最高的一年：陈民浩%20iOS%20备份%2024、冯子超手机%2037、梁燕玲手机加%20U%20盘%2037。三人都是密码学与隐写术爱好者——这句话不是背景板，它决定了梁燕玲那条线的题：WinPE%20启动盘、xcontainer%20加密镜像、钱包地址、助记词、最后还有个要逆向的%20SecretSeed.exe。
团体赛%2017%20件检材%20264%20题，是五届最大的一届。核心矛盾是\"CEO%20否认开过会\"，落点却在钱上：邮件材料%2016%20题（信本身）+%20外送邮件服务器%2015%20题（信怎么走的）+%20链上交易%209%20题（钱怎么动的）+%20大模型服务器%2023%20题（AI%20系统怎么搭的）+%20冯子超手机%2044%20题（谁在群里）+%20摄像头存储卡%209%20题（底层字节）。
这届留给今年的是「同一个物件，正反两面都问」：邮件既问内容也问投递链路，币既问地址也问交易，AI%20既问模型也问数据库。今年脚本里的\"隐藏平台\"，很可能也是这个问法——既问平台业务数据，也问它的技术栈。
把十四期专题的题号按年份摊开，就是这张\"库存表\"。横着看是某类考点这些年的兴衰，竖着看是某一届的分数构成。今年出题，也是从这些抽屉里拿——只是换了个由头。
| 考点 | 2021 | 2022 | 2023 | 2024 | 2025 | 合计 |
|---|---|---|---|---|---|---|
| 手机数据库 | 7 | 10 | 19 | 22 | 42 | 100 |
| 代码分析 | 19 | 3 | 24 | 33 | 9 | 88 |
| 邮件与通信 | 6 | 9 | 7 | 12 | 45 | 79 |
| 虚拟货币 | 6 | 2 | 28 | 23 | 18 | 77 |
| Windows%20痕迹 | 4 | 3 | 23 | 22 | 21 | 73 |
| 网络流量 | 8 | 3 | 13 | 14 | 19 | 57 |
| CTF%20与%20Misc | 3 | 6 | 11 | 13 | 20 | 53 |
| 数据库分析 | 1 | 5 | 12 | 10 | 24 | 52 |
| 文件系统与%20NTFS | 8 | 0 | 13 | 12 | 8 | 41 |
| 数据分析 | 1 | 2 | 4 | 14 | 19 | 40 |
| 日志分析 | 8 | 3 | 8 | 1 | 8 | 28 |
| 内存与进程 | 11 | 3 | 6 | 4 | 3 | 27 |
| 加密与容器 | 2 | 2 | 4 | 3 | 2 | 13 |
| APK%20解析 | 1 | 0 | 4 | 2 | 4 | 11 |
口径：前十三行为专题成品收录的%20qid%20归集；虚拟货币一行为该专题逐题统计（口径更宽，专收币类题），故各行相加%20739%20会大于去重总数%20634。表中数字用于看趋势，不作为精确题量。
三个趋势跟今年直接相关：数据库分析五年从%201%20涨到%2024，而今年软件清单里出现了%20Realm%20Studio——说明库类型要换，题还会加；邮件与通信%202025%20干到%2045，今年清单里有%20XstReader（读%20.ost/.pst%20客户端档案），邮件题可能从服务器转向客户端；网络流量稳步爬（8→19），今年现场抓包几乎是明牌。
2026%20的官方资料比往年厚：故事大纲之外还有流程图、人物关系图、证物对应图、带%20SHA256%20的镜像列表，和一张%2021%20类的建议软件清单。案子拆成五个阶段——公司成立招徕投资、公司运作分工、讲座后信用卡被盗刷、隐藏平台毒品交收、拘捕与证据重构，个人赛前三段，团体赛后两段。
下面按五个阶段，用前面五条规律逐个推。每个阶段给三样东西：背景里写了什么、往年哪一届对得上、今年大概率怎么问（带置信度）。
阶段一｜公司成立与招徕投资（个人赛）
背景写了什么：注册公司、招徕投资人、会员与客户资料建档。这一段的任务是把\"钱从哪来\"铺好。
往年对得上：2025%20团体赛%20mason\_finance%20数据库%2016%20题（客户数、分析师是谁、余额最高%20userID、交易超%209%20次的%20userID）；2024%20团体赛资金流与综合分析%207%20题（集资目的、归集地址、流向、谁掌管、最终地址）；2023%20团体赛陈好的云端主机与%20MYSQL。
今年会怎么问：数据库表结构与业务字段（★★★）、客户数量与资金排序（★★★）、公司/账户注册时间与登录%20IP（★★）、会员等级或投资额度分布（★★）。
这一段是整场最稳的送分区，因为\"公司化诈骗\"这个模型%202023—2025%20连考三年，问法几乎没变：数一遍、排个序、找极值。唯一的变数是库类型——Realm%20Studio%20出现在软件清单里，意味着今年可能不是%20SQLite。打不开的库先换工具，别在第一步卡死。
阶段二｜公司运作分工（个人赛）
背景写了什么：三层人物分工——拉人的、交收的、侵吞的。人物关系图把这三层画出来了。
往年对得上：2024%20团体赛四人一人一套%2013%20件检材，靠\"角色—设备\"对应分题；2025%20个人赛%20WhatsApp%20群组题（群成员、建立者、建立时间、改名记录、群头像%20SHA256）；2024%20团体赛「谁向%20Alice%20发了那个%20xlsx、MD5%20是多少」。
今年会怎么问：人物—设备—账号三角映射（★★★）、某文件由谁发、经哪个应用、MD5%20是多少（★★★）、群组建立者与建立时间（★★★）、某角色名下有几个账号/几台设备（★★）、聊天记录里的分工自述（★★）。
这一段是跨检材题的主战场。2024%20的\"二周目\"设计本质就在这：单机结论必须放回多人关系里验证。今年背景直接给了三层分工，等于把\"人—设备—账号\"这张表提前摊开了。开考第一件事，先画这张表，后面所有跨检材题都能往里填。
阶段三｜讲座后信用卡被盗刷（个人赛%20·%20今年最大的坑）
背景写了什么：投资人参加讲座，连上现场%20WiFi，几天内信用卡陆续被盗刷。人物关系图里另有一句——技术支援方带了个树莓派攻击装置（RaspPi）。
往年对得上：2022%20个人赛李大辉那条线（钓鱼邮件%20→%20假网站%20→%20填卡资料%20→%20盗刷，Q18—Q21）；2022%20团体赛朗尼的树莓派当%20VPN（7%20题：hostname、VPN%20端口、syslog、几个%20IP%20登过、几个%20root%20撞过密码、被删子目录）；2025%20团体赛现场抓包%2011%20题。
今年会怎么问：树莓派取证——hostname、网卡、DHCP%20租约、dnsmasq%20日志（★★★）、现场抓包分析——时长、包数、连接、传输内容（★★★）、WiFi%20连接记录——SSID、BSSID、首次连接时间（★★★）、\"哪些设备连过这个%20AP\"的跨检材计数（★★★）、信用卡号与交易时间金额（★★）、热点是否伪造/同名混淆（★★）。
这一段是今年的核心变数，也是最该提前练的。注意它的结构：动作是老的（骗卡盗刷，2022%20考过），载体是新的（从假网站换成假热点）。按规律五，这属于\"老动作%20+%20新载体%20=%20送分题\"——题路可以搬，只是换了个入口。
具体怎么搬：2022%20是\"受害人自己填了资料\"，所以要查浏览器记录、邮件里的短链、发件%20IP；今年是\"连上%20WiFi%20就被截\"，所以要查%20WiFi%20连接记录、AP%20的%20DHCP%20租约、以及那台树莓派上有没有跑抓包。把\"谁在什么时候连上了哪个%20BSSID\"和\"树莓派上哪个时间段有抓包文件\"两条时间线一对，人就出来了。
另外别忽略一个细节：树莓派在%202022%20是当%20VPN%20用的（服务端），今年是当攻击热点用的（伪造%20AP）。同一台设备，两种角色，考点完全不同——前者查服务端配置与登录日志，后者查%20DHCP%20租约、dnsmasq、以及有没有%20rogue%20AP%20的痕迹。
阶段四｜隐藏平台与毒品交收（团体赛%20·%20真增量）
背景写了什么：一个隐藏平台承接毒品订单，用提货码%20+%20时效二维码完成交收，图片里可能藏信息。
往年对得上：五年零命中——没有一届考过提货码、时效二维码、毒品交收流程。沾边的只有：2023%20团体赛李哲图用%20key.bmp 藏文字（1 题）、2024 团体赛\"满汉全席\"图片隐写差异（1 题）、2025 团体赛 PDFStego 藏文件（9 题）、2025 团体赛二维码里藏钱包地址（2 题）、2024 团体赛 Ben 的 Tor 书签（4 题）。
今年会怎么问：二维码批量解码——内容、坐标、链接（★★★）、图片隐写——尾部附加数据、Exif 异常、LSB（★★★）、平台数据库——订单、提货状态、时效（★★★）、Tor/暗网访问痕迹（★★）、提货码生成规则或校验逻辑（★）。
按规律五，这属于\"新动作 + 新载体 = 真空档\"。但别慌——真空档不等于没法准备，因为它的底层技能是通用的：二维码就是解码，隐写就是\"文件大小对不上\"。这两个动作你练两小时就能上手，而它的分值可能不小（参考 2025 那 9 题 PDFStego）。
这里有个隐藏线索值得注意：五年里\"隐写\"一直没断过，2023 有 key.bmp、2024 有图片差异、2025 有 PDFStego，但每年都只有 1—9 题，从没成块。今年背景里同时出现\"二维码\"和\"图片藏信息\"两个信号，很可能是隐写第一次成块。如果只押一个方向，我押这个。
阶段五｜拘捕与证据重构（团体赛 · 最能照搬）
背景写了什么：抓人之后把钱追回来。变数在\"黑吃黑\"——张美的 MacBook 里发现注入脚本，要证明她改过资金分配。
往年对得上：2024 团体赛 IDFC 资金流 7 题（集资目的、哪个地址归集、之后流向哪、谁掌管、最终存储地址）；2023 团体赛以太坊合约与助记词推算地址；2025 团体赛链上交易 9 题 + 助记词藏匿（PDF 藏文件 9 题 + SD 卡 exe 逆向 9 题）。
今年会怎么问：收款地址数量、流向、归集地址（★★★）、助记词/私钥的藏匿与还原（★★★）、交易哈希与时间线（★★★）、数据库快照 diff——篡改前后对比（★★）、注入脚本的分析与执行时间（★★）、\"同源地址\"证明谁真正拥有（★★）。
这一段是唯一能整套照搬的。2024 那条资金链最完整：多少收款地址、流向哪、谁管、最后归集到哪——四步走完，题就答完了。今年的新东西是\"黑吃黑\"：张美改过资金分配，要证明她改过，就得拿篡改前后的数据库快照去对。
这里有个方法论要点：同源才能证明\"拥有\"，不然只证明\"用过\"。2023 考过\"哪些地址由同一个恢复短语生成\"，2024 考过\"哪些地址由同一 Recovery Seed 生成\"——今年大概率还是这一手，只是从\"证明受害人的钱去哪\"变成\"证明嫌疑人的手伸到哪\"。
押题清单：20 个预测，按置信度排
| # | 预测题型 | 阶段 | 置信 | 依据 |
|---|---|---|---|---|
| 1 | 树莓派取证：hostname／网卡／DHCP 租约／dnsmasq | 三 | ★★★ | 2022G 树莓派 7 题 + 今年明确有 2 台 |
| 2 | 现场抓包分析：时长／包数／连接／内容 | 三 | ★★★ | 2025G 11 题；盗刷必留流量 |
| 3 | WiFi 连接记录：SSID／BSSID／首次连接时间 | 三 | ★★★ | 2021I、2025I、2025G 均考 |
| 4 | 跨检材计数：「多少台设备连过这个 AP」 | 三 | ★★★ | 2025G-Q178「多少个镜像装了 Telegram」 |
| 5 | 数据库业务字段：客户数／余额／交易次数排序 | 一 | ★★★ | 2025G 16 题；Realm Studio 信号 |
| 6 | 群组：成员／建立者／建立时间／改名记录 | 二 | ★★★ | 2025I-Q60、2025G 群组题 |
| 7 | 文件流转：谁发的、经哪个应用、MD5 | 二 | ★★★ | 2024G-Q3／Q4 |
| 8 | 二维码批量解码：内容／坐标／链接 | 四 | ★★★ | 2025G-Q98／Q214；背景明写「时效二维码」 |
| 9 | 图片隐写：尾部附加／Exif 异常／LSB | 四 | ★★★ | 2023G key.bmp、2024G、2025G PDFStego |
| 10 | 资金归集：地址数／流向／最终地址 | 五 | ★★★ | 2024G 7 题、2025G 9 题 |
| 11 | 助记词／私钥的藏匿与还原 | 五 | ★★★ | 2024I、2025G（PDF 藏文件＋exe 逆向） |
| 12 | 时区换算：UTC vs UTC+8 | 全 | ★★★ | 2023 Kali 虚拟机、2025 链上交易 |
| 13 | 时间窗口切片：「某日之后」「某期间内」 | 全 | ★★★ | 2024I-Q2、2025G-Q77 |
| 14 | 平台数据库：订单／提货状态／时效 | 四 | ★★ | 2025G mason\_finance 模式可迁移 |
| 15 | Tor／暗网访问痕迹 | 四 | ★★ | 2024G-Q60—Q63 |
| 16 | 数据库快照 diff：篡改前后对比 | 五 | ★★ | 无直接先例，但「黑吃黑」必须靠它证明 |
| 17 | 脚本／注入代码分析 | 五 | ★★ | 2021G 网页脚本、2024G 黑客脚本 |
| 18 | .ost／.pst 客户端邮件档案解析 | 一/五 | ★★ | XstReader 出现在软件清单 |
| 19 | 信用卡号／交易时间／金额 | 三 | ★★ | 2022I 盗刷线 |
| 20 | 提货码生成规则或校验逻辑 | 四 | ★ | 五年零先例，纯新题 |
置信度说明：★★★ 有直接先例且今年检材对应；★★ 有类似先例、载体变化；★ 五年零先例，只能靠通用技能。概率判断，不是押题。
六、做减法：今年可能不考的
规律三还有个反面：清单里没有的物件，今年大概率不考。按现在公布的 17 个镜像清单，往年这几个热点没有对应载体：
| 往年热点 | 当年题量 | 今年判断 |
|---|---|---|
| 无人机飞航记录 | 8 + 4 | 清单里没有无人机，可少花时间 |
| 特斯拉哨兵模式 | 8 | 没有车辆检材，可跳过 |
| VR 头显 | 6 | 没有 Quest 类设备，可跳过 |
| 矿机挖矿 | 8 | 没有矿机，可跳过 |
| 大模型／GPU 服务器 | 23 | 今年是普通公司服务器＋两台树莓派，可降到低优先 |
这条减法省下的时间，全砸到阶段三（树莓派 + 抓包 + WiFi）和阶段四（二维码 + 隐写）上——那才是今年的增量。但要留个后手：赛前如果补充资料加了设备，随时回来。
另外提醒一句体量的事：17 个镜像共 418GB，公司服务器一台 296GB 占七成；两台受害人手机加起来不到 20MB，王华那台才 25MB。题量跟体积不成正比，小检材往往装着一句话就能问出答案的东西。个人赛先啃两台树莓派（8.9GB，密度最高），团体赛先摸服务器库表。
七、照着练：一份可执行的清单
把上面二十个预测压成动作，按\"能立刻上手\"排序：
① 树莓派（优先级最高） 挂载镜像 → /etc/hostname、/etc/dnsmasq.conf、/var/lib/misc/dnsmasq.leases、/var/log/syslog、/etc/hostapd/。目标：说出这台机器是服务端还是热点、几个设备连过、什么时候连的。
② 抓包capinfos 看时长包数 → tshark -q -z conv,ip 看会话 → 导出对象看传输内容。目标：五分钟内说出\"谁和谁、什么时候、传了什么\"。
③ WiFi 记录 手机端找连接历史（SSID / BSSID / 首次连接时间），Windows 端看 WLAN 配置文件与事件日志。目标：能对上\"哪台设备连过现场那个 AP\"。
④ 二维码 + 隐写zbarimg 批量解码；binwalk／foremost／exiftool／steghide 四件套。目标：图片\"大小对不上\"能立刻判断并取出内容。
⑤ 数据库三件套 SQLite / Realm / MySQL 各跑一遍，重点是\"客户数、排序、极值\"这三类问法。Realm 一定要提前摸，别在考场现学。
⑥ 邮件两端 服务器端看投递日志与退信；客户端用 XstReader 读 .ost/.pst；手读邮件头（SPF / DKIM / ARC / 时间戳）。
⑦ 资金四步 地址数 → 流向 → 归集地址 → 同源证明（助记词/私钥）。加一步：数据库快照 diff。
⑧ 时间纪律 所有时间戳先标 UTC 再换，跨检材对时间先统一时区；遇到\"某日之后\"\"某期间\"立刻切窗口。
如果只有一天时间：上午树莓派 + 抓包（阶段三，今年最大增量），下午二维码 + 隐写（阶段四，五年真空档），晚上把 2024 团体赛那条资金链重做一遍（阶段五，唯一能整套照搬）。数据库和邮件是基本功，平时就该熟。
写在最后
五年 1198 道题真正教的，不是某个工具怎么用，是「看到一句案情，脑子里能弹出三四种问法」。2021 那句\"电脑被加密\"，弹出的是恢复密钥、加密程序、远程控制时长、勒索币种；2025 那句\"CEO 否认开过会\"，弹出的是换脸软件、虚拟摄像头、会议录屏、登录 IP。
所以今年这份背景，我读的不是故事，是脚本。五个阶段、二十个预测、八个动作，都是从往年那道题里长出来的——没有一条是凭空猜的。案情背景是脚本，题是台词；脚本先给你了，台词也就猜得八九不离十。
最后说句实话：预测的价值不在\"押中\"，在\"排序\"。押不中很正常，但按这个顺序练，你至少保证分值最密的那几块不会空着。真到了考场，看到树莓派和二维码，你会庆幸自己提前摸过。
口径：五届十场 1198 道题（个人 430 / 团体 768）；收录题次 739，去重 634，覆盖 53%；2026 只做推演。所有往年题号可逐条回查官方题目表；2026 部分基于已公布的背景资料与检材清单，预测为概率判断，赛前如有补充资料需重新校准。
敬请各位大佬关注：小谢取证
扫取二维码获取
更多精彩
小谢取证
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论