2024盘古石取证比赛（手机）

题目列表

使用软件：盘古石手机取证分析软件
分析伏季雅三星zip包

1. 分析伏季雅的手机检材，手机型号是：[答案格式：HUAWEI-FL56T][★☆☆☆☆]

也可以自己找，该值会存储在/data/system/user/0/settings_secure.xml:

SM-G996N

2. 分析伏季雅的手机检材，其和受害人视频通话的时间是：[答案格式：2024-01-01-04-05][★☆☆☆☆]

2024-04-24-20-46-39

3. 分析伏季雅的手机检材，手机中安装了一款记账APP，该记账APP存储记账信息的数据库名称是：[答案格式：abcabc，区分大小写][★☆☆☆☆]

定位数据库位置
Samsung.zip\data\data\com.bookmark.money\databases

MoneyLoverS2

4. 接上题，该记账APP登录的邮箱账号是：[答案格式：abc@abc.com][★★★☆☆]

carleenloydlyis40@gmail.com

5. 接上题，该记账APP中记录的所有收入金额合计是：[答案格式：1234][★★★☆☆]

分析数据库的表，发现transactions为交易数据

1.去重
select DISTINCT cat_id from transactions;
 

2.确定交易类型(在label表)
SELECT search_name FROM label WHERE label_id IN (select DISTINCT cat_id from transactions);
 

只有salary为收入，去label表里找，id为36
 

SELECT sum(amount) FROM transactions WHERE cat_id=36

279002

6. 接上题，分析该记账APP中的消费记录，统计从2022-3-1（含）到2023-12-1（含）期间，用于交通的支出费用合计是：[答案格式：1234][★★★☆☆]

SELECT SUM( transactions.amount ) FROM "transactions", categories WHERE categories.cat_id == transactions.cat_id AND categories.cat_type == 2 AND categories.cat_id == 19 AND transactions.created_date >= '2022-03-01' AND transactions.created_date <= '2023-12-01';

6042

7. 分析毛雪柳的手机检材，手机中有一个记账APP，该APP的应用名称是：[答案格式：Telegram，区分大小写][★☆☆☆☆]

在手机安装应用列表中搜索关键词cost、money、bill等关键词:
 

icost

8. 分析义言的手机检材，手机中登录的谷歌邮箱账号是：[答案格式：abc@gmail.com][★★☆☆☆]

a2238346317@163.com

9. 分析义言的手机检材，手机的MTP序列号是：[答案格式：大写字母和数字][★★☆☆☆]

如手动找需要查看检材压缩包里的文件 Pixel.zip\Basic\Adlockdown.json.

FA6A80312283

10. 分析义言的手机检材，除系统自带的浏览器外，手机中安装了一款第三方浏览器，该浏览器的应用名称是：[答案格式：百度浏览器][★★☆☆☆]

悟空浏览器

11. 接上题，上述浏览器最后一次搜索的关键字是：[答案格式：百度][★★☆☆☆]

方法1：
盘古石很多题目只有用他的软件会方便一点
 

方法2：
火眼里试试
 

 

过程类比上面第三题
Pixel.zip\data\data\com.cat.readall\databases
 

 

方法3
在\data\media\0\Android\data\com.cat.readall\files\Documents目录下的multi_windows.dat中也可以看到保存的历史记录.

ai写文章生成器

12. 接上题，该浏览器最后一次收藏的网址是：[答案格式：https://baidu.com/acc/123412341234123/][★★★☆☆]

用盘古石软件做很轻松
 

自己找有点麻烦，这里收藏的书签是按照behot_time排序.

http://toutiao.com/a7361678286282490403

13. 分析义言的手机检材，其所购买的公民信息数据，该数据提供者的手机号码是：[答案格式：13012341234][★☆☆☆☆]

这题如果用火眼只能自认倒霉了，当时找这个找了半天，结果应该是当时的软件没有分析出来，不过看其他大佬有做出来

13265159824

14. 接上题，卖家的收款地址：[答案格式：小写字母和数字][★☆☆☆☆]

上面图片里

bc1pvunxx2eytoljpzs9wp9tcrrdvssra97nnwls563hxpf3xm69zms3yak85

15. 接上题，购买上述公民信息，义言一共支付了多少钱：[答案格式：0.000123BTC][★☆☆☆☆]

可以看到交易的哈希: 4630a72ad8e7339e553cdba67a1dc7d33716a1db0cf7b44ec281ae08ac6249f8
用交易的哈希在区块链查询网站上查找以下交易信息:
比特币BTC浏览器 | 区块链浏览器 ｜ OKLink

0.07364352 BTC

16. 接上题，该笔交易产生的手续费是多少：[答案格式：0.000123BTC][★★☆☆☆]

0.00010670 BTC

总结

这次复盘了盘古石手机部分，感觉题目偏向与后台数据库的查询。大部分题目用盘古石手机分析软件会很方便，可以说是齐安信一贯的套路了，不然就自己去数据库里找。当然以后实战会偏向于后者，不然全部机关单位都得用他的软件……
学无止境，继续加油！！！