2020美亚杯个人赛头脑风暴

个人赛

## 案情介绍：

2020年9月，数名信用卡持有人向警方报案，指他们的信用卡被不知名人士在一家本地网上商店购买手机。订单大部分来自海外的网络地址，但有一宗订单来自本地。警方经调查后发现该本地网络地址的注册地址。上门后在该处发现陈慧贤，她否认与案件有关。

警方在现场检获一部笔记本计算机、一部手提电话及一个外置储存装置。在场的初步应变小队在检取证物前，曾为现场环境及证物拍照。另外, 调查队伍亦由网络供货商及网上商店取得了一些与案有关的资料。现在你被委派处理这宗案件, 请由以下的资料分析陈慧贤在本案中有否犯罪, 还原事件经过。

资料:
(1) 网络地址登记人纪录
(/Meiya Cup 2020/調查報告/互联网服务供货商检查报告_陈慧贤 (Alice).pdf)
(2) 证物照片
(/Meiya Cup 2020/Photo/Alice)
(3) 笔记本计算机的数码法理档案
(/Meiya Cup 2020/Image/Alice/Alice Laptop/Alice_Laptop.e01)
(4) 及外置储存装置的数码法理档案
(/Meiya Cup 2020/Image/Alice/Alice USB/ALICE_USB.e01)
(5) 手提电话的数码法理档案
(/Meiya Cup 2020/Image/Alice/Alice LG Phone/MMC(0x0-0x0747C00000).bin)
(6) 初步应变小队的调查报告
(/Meiya Cup 2020/調查報告/案件调查报告- 被捕人陈慧贤 (Alice).docx)
调查报告如下：

头脑风暴

黑色笔记本计算机（一部） 没有提及苹果，那一般就是Windows镜像 取证大师（备不同厂家的取证大师） 金色手提电话（一部） Android镜像， 手机取证大师 外置储存装置，USB存储介质，容量4G,标有：imation 可能是加密容器，密码可能就是imation

现场环境及证物照片

包装盒信息

正常解析，

备份分析文件

镜像挂载工具

本地网络地址的注册地址

IP地址

地点：香港 可能考你时区（世界协调时间：北京是东八区，领先UTC时间八个小时）

信用卡

邮件解析

路由器日志 取证大师，小程序

恶意程序，木马，APP找到程序，逆向

APP

包名

域名或IP

权限

流量包

Windows，Mac OS

Android镜像

正常解析，

备份分析文件

镜像挂载工具

一些常用解题技巧（19美亚个人赛）

1.逻辑区块地址(LBA）是描述计算机存储设备上数据所在区块的通用机制，一般用在像硬盘这样的辅助记忆设备。LBA可以意指某个数据区块的地址或是某个地址所指向的数据区块。
方法：FMP证据文件 -> 展开镜像 -> 选中 分区X -> 摘要 -> 查看 物理位置：但是这个内存物理地址的单位是字节（Byte），而一个逻辑区块占用512位，所以要将这个值除以512，算出来与答案。

2.硬盘操作系统分区的大小:
方法：FMP证据文件 -> 展开镜像 -> 选中 分区X->在摘要里查看设备大小：48.73GB 该数值乘以 2^20之后算出来的字节大小与答案最接近。

3.MFT，即主文件表,是NTFS文件系统的核心，每个文件和目录的信息都包含在MFT中，每个文件和目录至少有一个MFT项。正常情况MFT以元文件的形式存储在相应磁盘分区的根目录中，但是是隐藏的。FMP可以直接访问到该文件。
方法：FMP证据文件 -> 展开镜像 -> 选中 分区X -> 选中 $MFT -> 摘要 查看物理扇区位置

4.世界协调时间：北京是东八区，领先UTC时间八个小时

5.SID为用户标识 （Security Identifiers）标识用户、组和计算机帐户的唯一的号码
方法：（1）可以直接在FMP的 取证结果 -> 系统痕迹 -> 用户信息 -> 摘要 里找到用户SID号，取后四位。
（2）可以使用注册表编辑器（CMD下输入regedit）查看。但是因为只有镜像文件，还是直接用FMP比较方便

6.（1）取证结果 -> 系统痕迹 -> 系统信息 -> 无线上网 里面的“接口GUID”应该是该机器网卡的GUID；
所以要分析系统连接WIFI的日志情况，需要找到日志文件然后用事件查看器来找GUID。
（2）也可以在 取证结果 -> 密码/密钥检索 -> 无线账号 里面找到对应星巴克WIFI的网络GUID。

7.分派得到的IP地址
方法：取证结果 -> 系统痕迹 -> 系统信息 -> 网络配置 -> 网络连接，找到DHCPIP地址一栏有D选项的IP地址，得到答案。

8.文件最后存取日期，考虑到.exe文件一般不会被写，所以这个日期应该是最后的访问时间

9.MBR解析包含DBR，一个DBR 521字节。
分区总容量：*512

10.时区：

11.不同备份文件路径

12.下载文件：用下载路径-user-dowlons

13.暗网取证：新版取证大师小程序；手工分析：sqlite分析（无加密）——origins文件下

14.网页跳转：A网站到B网站

15.内存镜像：volatility,

16.TCP连接命令：volatility——netscan

17.注册表虚拟地址：

18.APK（本质就是压缩包）
手机模拟器——ADB.exe（手机调试）
查看APP包名：dumpsys activity top I grep ACTIVITY
获取APP的APK完整命令：pm path +“恶意程序包名”
adb push 电脑-手机
adb pull 手机-电脑 手机文件路径+电脑保存路径

在线分析平台：哈勃、微步
静态分析：用jadx分析.dex
DC-5300模拟器脱壳