2021美亚杯个人赛记录

一、检材

1.案件背景

个人赛

2021年10月某日早上，本市一个名为“大路建设”的高速公路工地主管发现办公室的计算机被加密并无法开启，其后收到了勒索通知。考虑到高速公路的基建安全，主管决定报警。警方调查人员到达现场取证，发现办公室内有三部个人计算机，通过一个老款路由器接入互联网。
经调查相关电子证据后，警方怀疑一位本地男子–阿力士与本案有关，并将他拘捕。现在你被委派处理这起案件,请由以下资料分析阿力士在本案中的违法犯罪行为, 并还原事件经过。

2.镜像文件

一个压缩包和一个加密容器，检材指路：链接: 2021第七届美亚杯中国电子数据取证大赛详解write up

二、做题部分

（1-9题目检材：VTM iPhone 6.ufdr）
Cellbrite Reader 中文设置：

1. [单选题] 工地主管电话的微信账号是什么? (1分)

A. Kasier751111

B. Kasierlee751111

C. Kasierlee

D. 以上皆非

答：D，只找到Whatsapp的账号

2. [填空题] 工地主管的隔空投送装置编号是什么? (请以英文全大写及阿拉伯数字回答) (1分)

答：780F624DF099

3. [单选题] 工地主管电话的哪一个应用程序有关于于经纬度24.490474, 118.110220的纪录? (2分)

A. 照片

B. WhatsApp

C. Apple Maps

D. 以上皆非


答：C

4. [多选题] 工地主管的手提电话中下列哪些数据正确? (1分)

A. iOS 版本为 12.5.4

B. IMEI 为 454120637213361

C. Apple ID 为 kaiserlee3660@gmail.com

D. 手机曾经安装dropbox 应用程序

答：AC，ABC看设备信息，D看应用程序安装信息，没找到

5. [填空题] 工地主管的电话最常使用的浏览器是什么? (请以英文全大写回答) (1分)

答：Safari，看浏览器历史记录

6. [单选题] 工地主管的电话连接过哪一个WiFi? (1分)

A. Kaiser Lee

B. Kaiser

C. Free Wifi

D. Kaiser Home

答：A，看无线网络。

7. [多选题] 工地主管与Alex Chan的Whatsapp 对话中，曾提及以下哪个TeamViewer的用户号码? (3分)

A. 435334881

B. 453851521

C. 435475200

D. 456874155

E. 435270306

答：看聊天记录，发现TeamViewer号码是通过图片发送的，查看聊天记录中的附件，不难发现ACE，应该没有漏吧。

8. [填空题] 工地主管的WhatsApp中有多少个黑名单的记录? (请以阿拉伯数字回答) (2分)

答：0，随便看一个图片的源文件，查看WhatsApp的数据库位置，跟着找到ZWABLACKLISTITEM（黑名单项目）。

9. [多选题] 以下哪个蓝牙装置的Uuid 曾连接过工地主管的手机? (2分)

A. 7F1FE70D-2B15-C245-853D-4196F13CC446

B. 1B057C1D-83D3-99A6-D2B1-EC54846C7CEE

C. 134ACD1-83D3-99A6-D2B1-EC54846C7CEE

D. 7D1BE70D-2C16-D246-851D-491613DD776

答：查看已连接设备，发现蓝牙有两个，但是UUID未显示，手工找数据库位置查看，AB

（10-19题目检材：工地主管计算机镜像）

10.[填空题] 工地主管计算机的E盘的Bitlocker修复密钥标识符是甚么? (请以英文全大写及阿拉伯数字回答，不用输入"-") (1分)

答：取证大师挂载工地主管计算机的镜像文件，选中E盘右键Bitlocker解密。36EBC180-95F7-41FF-BE5B-4E56E7AF48B1。
注：我做的时候没意识去解密E盘，实际上可以搜索关键字找到解密txt文本，从而解密，指路：链接: 2021美亚个人赛复盘

11.[填空题] 工地主管计算机內的FTP程序FileZilla的用户名称是甚么? (请以英文全大写及阿拉伯数字回答) (3分)

答：直接找，ALEX

12. [填空题] 工地主管的Team Viewer ID 是甚么? (请以英文全大写及阿拉伯数字回答) (2分)

答：取证大师里面没看见，回想刚刚手机里提取的聊天记录中有提到，435270306.

13. [填空题] 工地主管的Team Viewer与哪一个ID连接? (请以英文全大写及阿拉伯数字回答) (3分)

答：查看取证大师信息，420190768 。

14. [多选题] 工地主管曾用计算机浏览器作搜寻，以下哪一个关键词他曾经搜寻? (3分)

A. tiktok

B. web whatsapp

C. facebook

D. lihkg

E. hkgolden

F. web wechat

答：方法一：直接实时搜索，用;多个关键词搜索好像不行，只能一个一个搜，还好不多。
方法二：看浏览器里的搜索记录再挨个筛选，不过这主管有三个浏览器，比较浪费时间。
最后答案：BC

15. [填空题] 工地主管计算机的Windows系统的产品标识符是甚么? (请以英文全大写及阿拉伯数字回答，不用输入"-") (1分)

答：看系统信息，003311000000001AA962。

16.[填空题] 工地主管曾用计算机使用WhatsApp，他曾和以下哪个电话号码沟通? (请以阿拉伯数字回答) (2分)

答：没找到。

17. [多选题] 工地主管计算机的用户名称是甚么? 其用户标识符是甚么? (2分)

A. 用户名称: PC1

B. 用户名称: PC2

C. 用户名称: PC3

D. 用户标识符: 0x000003E7

E. 用户标识符: 0x000003E8

F. 用户标识符: 0x000003E9

答：AF，1001要16进制转换一下。

18. [单选题] 工地主管计算机的预设浏览器是甚么? (2分)

A. Chrome

B. Firefox

C. Safari

D. 以上皆否

答：没有用虚拟机模拟，不知道，盲猜A。

19.[填空题] 工地主管计算机的其中一个分区被人加密，分区内的电子表格Material3.xlsx的哈希值(SHA1)是甚么? (请以英文全大写及阿拉伯数字回答) (1分)

答：如题10解密分区，然后搜索文件，计算哈希值，自带小工具40418B21F6C3E4AF306D5EF3B80A776DA72FC1D2

（20-26题目检材：路由器日志）

20. [多选题] 路由器的记录中显示以下有哪些IP是公司的电子器材? (3分)

A. 192.168.40.128
B. 192.168.40.129
C. 192.168.40.130
D. 192.168.40.131
E. 192.168.40.132

答：ABCD。提到路由器，第一反应就是日志，excel导入，空格分列，可以先排序筛重，确定大部分答案，再搜索。

21.[填空题] 路由器的记录中显示公司的计算机下载了FTP软件，该下载网站的IP是什麼?(请以亚拉伯数字作答，省去"."符号) (3分)

答：49.12.121.47。尝试搜索FTP，没有结果，然后看取证结果，发现安装了一款FileZilla Client的软件，尝试看安装时间反推log看ip地址，也没有结果。最后，搜索文件名，发现答案。
PS：看见有其他的博主通过端口查找下载网址——访问网页下载使用HTTPS服务端口号443，以/443为关键词查找，可得IP。指路链接: 2021美亚杯资格赛WP

22.[多选题] 路由器的记录中显示公司计算机的资料用FTP软件传到了甚么IP地址及利用端口? (2分)

A. IP地址: 2*.2*.2*.114
B. IP地址: 8*.8*.1*.20
C. IP地址: 1*.1*.0*.13
D. 端口: 21
E. 端口: 80

答：取证大师看连接记录，AD

23. [多选题] 路由器的记录中显示以下哪些关键词是表示公司计算机与外界网络联机? (2分)

A. destination
B. ICMP echo request
C. inside
D. outside
E. 以上皆是

答：AD

24. [单选题] 路由器的记录中显示哪一个IP曾以teamviewer 连接公司计算机? (1分)

A. 110.152.0.14
B. 52.152.117.114
C. 180.152.0.13
D. 83.26.80.131

答：B。我先搜teamviewer无结果，在取证大师看记录无IP，接下来的思路是先搜teamviewer一般用的哪个端口，百度结果4538，再在log日志里搜4538,得到IP。

25. [多选题] 路由器的记录中显示以下哪一个有可能是以teamviewer 遥控公司计算机的时间? (3分)

A. 09:31, 09:37
B. 0933, 09:39
C. 10:29, 10:36
D. 10:40
E. 10:42
答：ACE.如24题图，挨个看。

26. [填空题] 路由器的记录中显示有多少电子器材有可能曾被入侵? (请以阿拉伯数字作答) (2分)

答：没思路。

（27-题目检材：ALEX iphone 12 pro）

27. [多选题] 阿力士iPhone 12 pro电话 于2021年10月21日，以下哪一张相片可能曾被分享 (UTC+8)? (3分)

答：没做出来

28. [单选题] 阿力士iPhone 12 pro电话中哪一张相片可能曾被修改拍摄时间? (2分)

A. IMG_0011.HEIC
B. IMG_0010.HEIC
C. IMG_0009.HEIC
D. IMG_0008.HEIC

答：没做出来

29、[填空题] 阿力士iPhone 12 pro 的GSM媒体访问控制地址是什么? (请以英文全大写及阿拉伯数字回答，不用输入"😊 (2分)

答：百度搜索，GSM媒体地址就是MAC地址，再百度一下手机的mac地址，e0:6d:17:38:24:20

30. [单选题] 阿力士的iphone 12 pro以什么屏幕密码保护? (1分)

A. 6位阿拉伯数字密码

B. 4位阿拉伯数字密码

C. 图形密码

D. 以上皆非

答：无思路，看大佬解析，找到manifest.plist文件，搜索结果有三个，第一个才是正确的文件路径，我打开是乱码，正常打开搜passcode，看WasPasscodeSet的值是什么。

31. [多选题] 阿力士iphone 12 pro内以下哪一张相片是实况相片(live Photos)? (2分)

A. IMG_0011.HEIC

B. IMG_0010.HEIC

C. IMG_0012.HEIC

D. IMG_0009.HEIC

答：ABD，live就是动态图片啦，随便选一张图先跳转文件路径，然后看DCIM下的图片。

32. [单选题] 以下哪一个是阿力士iphone 12 pro可能曾经连接的装置名称? (2分)

A. Chris’s MacBook Pro

B. Chirs’s iPhone

C. Chirs’s Computer

D. Chirs’s Linux

答：A，联系人里。

33. [多选题] 接上题，记录连接时间是什么时候(UTC+8)? (2分)

A. 2021年10月21日 00:58:01

B. 2021年10月21日 08:58:01

C. 2021年10月21日 00:58:29

D. 2021年10月21日 08:58:29

答：B，上题选中所在列表，右键转到时间线，有坑，注意了这里的时间线是UTC+0，题目问的是UTC+8，时区不同。

（34-42题目检材：ALEX iphone XR）

34. [多选题] 阿力士iPhone XR中在软件WhatsApp中工地主管与阿力士的对话中曾提到：[佢叫我俾钱喎，BTC係唔係呢个啊？]。在进行电子数据取证分析后，以下哪一个是有可能关于此对话的正确描述？ (2分)

A. 此对话被Kariser Lee删除
B. 此对话的附件为一张图片文件
C. 此对话被Alex Chan 删除
D. 此对话是引用Alex Chan 回复

答：AB,看聊天记录，我只能确定B，因为是多选，只看见了Kariser Lee的名字，蒙了一下AB。

35. [填空题] 阿力士iPhone XR的WhatsApp对话中，阿力士曾要求工地主管支付多少个BTC? (请以阿拉伯数字回答) (1分)

答：10，同上图。

36. [多选题] 阿力士iPhone XR中 “IMG_0056.HEIC"的图像与"5005.JPG”(MD5: 96c48152249536d14eaa80086c92fcb9)" 看似为同一张相片，在电子数据取证分析下，以下哪样描述是正确? (2分)

A. 储存在不同的.db 里

B. 有不同哈希值

C. IMG_0056.HEIC 为原图, 5005.JPG(MD5: 96c48152249536d14eaa80086c92fcb9)为缩略图

D. IMG_0056.HEIC 曾被开启过，所以在IOS系统中创建了缩略图5005.JPG(MD5: 96c48152249536d14eaa80086c92fcb9)

答：直接搜索，得到两张图片的基本信息，BC对，AD其实我都不太确定。

37. [多选题] 阿力士iPhone XR中相片檔IMG_0056.HEIC提供了什么电子数据取证的信息? (3分)

A. 此相片是由隔空投送 (Airdrop)得来

B. 此相片由iPhone XR拍摄

C. 此相片的拍摄时间为2021-10-21 17:45:48(UTC+8)

D. 此相片的拍摄时间为2021-09-08 17:35:00(UTC+8)

答：AD。同上题，搜索，D必选，因为多选，AB选一个，可以看到不是ipone XR拍的，选A。

38. [单选题] 阿力士iPhone XR中阿力士的电邮账户Alexc19851016@gmail.com的密码有可能是什么? (1分)
    A. Ac19851016
    B. Alex1985!
    C. Aa475869!
    D. 以上皆非
    答：C，直接搜索关键字，挨着看。
    

39.[填空题] 阿力士iPhone XR曾经连接Wifi "Alex Home"的密码是什么? (请以英文全大写及阿拉伯数字回答) (1分)
答：12345678，这答案我都不太相信。

40. [单选题] 阿力士iPhone XR经iCloud备份的最后时间是什么?(UTC+8)? (1分)
    A. 2021-10-21 17:51:38(UTC+8)
    B. 2021-10-21 18:02:13 + (UTC+8)
    C. 2021-10-21 09:51:38(UTC+8)
    D. 2021-10-21 10:02:13 + (UTC+8)

答：A，时区几个字我都说累了。

41. [填空题] 阿力士iPhone XR中的iBoot版本是iBoot-__________? (请以阿拉伯数字回答，不用轮入“.”) (1分)

答：无思路，看大佬解题，iphone信息在PhoneInfo.xml里面找。这个软件好像不能直接搜索关键字，那就导出再搜。

42. [多选题] 阿力士iPhone XR中的WhatsApp群组『团购-新鲜猪肉牛肉-东涌群组-9/30』有以下哪一个成员? (2分)

A. 85260617332@s.whatsapp.net

B. 85260452579@s.whatsapp.net

C. 85248791565@s.whatsapp.net

D. 85264630956@s.whatsapp.net
答：AD，看聊天记录，看着这个要多一排字就比较可疑，详细信息里有群组，就是这个群。

（43-52题，检材：Alex_Windows_Computer.e01）

43. [单选题] 阿力士的计算机显示曾于hongkongcard.com 的论坛登记成为会员，以下哪个是他的帐户密码? (3分)

A. Aa475869!
B. Bb475869!
C. Cd475869!
D. 以上皆非

答：搜索得到登录账户名，关联38题，A。

44. [单选题] 阿力士的计算机显示阿力士曾用什么方法进入受害者(主管)的计算机? (1分)

A. 远程操控
B. 特洛伊木马程序
C. 勒索软件
D. 恶意软件

答：A，之前手机聊天有提到过用的TeamViewer。

45. [单选题] 续上题，阿力士最后一次进入受害者(主管)计算机的时间是什么? (2分)

A. 于 2021 年 10 月 18 日 10 时 36 分
B. 于 2021 年 10 月 18 日 18 时 36 分
C. 于 2021 年 10 月 18 日 6 时 53 分
D. 于 2021 年 10 月 18 日 18 时 42 分
答：D

46. [填空题] 阿力士的计算机显示他曾经使用FTP程序，FTP的主机IP地址是什麼?(请以亚拉伯数字作答，省去“.”符号) (2分）

答：218255242114

47. [填空题] 阿力士的计算机显示于2021年9月至2021年11月期间，计算机曾被登入过多少次? (请以阿拉伯数字回答) (1分)

答：30

48. [填空题] 阿力士计算机所安装的Microsoft Office 2007 是以下哪一个版本? (请以亚拉伯数字作答，省去“.”符号) (2分)

答：不知道，

49. [填空题] 以下是阿力士计算机中的Basic data partition (EFI 3) 的Volume ID? (请以英文全大写及阿拉伯数字回答) (2分)

答：Volume ID即硬盘序列号，

50. [填空题] 阿力士计算机的Window product ID是什么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)

答：003311000000001AA411

51. [单选题] 阿力士计算机曾经下载一张猴子的图片，以下哪一项描述正确? (1分)

A. 该图片是由
“https://encrypted-tbn0.gstatic.com/images?q=tbn:ANd9GcSgn6ABvcqTfFPjcIbjc9hdx1
H4PtQsAuVyTQ&usqp=CAU”下载的
B. 该图片经过加密
C. 该图片于 2021-09-30 下载
D. 该图片是由 GIF 档转换成 PNG 檔

答：A，以A选项为关键字搜索，看到这张图。

52. [填空题] 阿力士计算机所安装的Microsoft Office 2007 的密钥是甚么? (请以英文全大写及阿拉伯数字回答，不用输入”-“) (1分)

答：V77WQRPVP67MTPGWH3G9D44MJ

（53-62题，检材：FTP.e01）

53. [单选题] 阿力士FTP 服务器用户使用命令行安装了甚么程序? (1分)

答：docker

54. [多选题] 以下哪些档案于阿力士FTP 服务器曾重复出现? (3分)

A. Material1
B. Material2
C. Material3
D. Staff1
E. Staff2
F. Staff3

答：DEF，直接搜索

55. [填空题] 在阿力士FTP服务器中，文件夹___________曾被用户变更了访问权限(请以英文全大写及阿拉伯数字回答) (2分）

答：Dangerous_Project，熟悉Linux语言就完事。

56. [填空题] 在阿力士FTP 服务器建设后，有______个额外用户被加入 (请以阿拉伯数字回答) (2分)

答:1个，这个我确实不熟，看了一下他人解题思路。pure命令是用来创建虚拟用户的，搜一下。

57. [单选题] 根据阿力士FTP服务器设定显示，此服务器是以_____方式连接网络，且是一个_______网络状态 (1分)

A. 无线 , 公开
B. 无线 , 私人
C. 有线 , 公开
D. 有线 , 私人
答：D，不太确定公开or私人，wired代表有线。

58. [填空题] 阿力士FTP 服务器设定最多使用者数目是_____ (请以阿拉伯数字回答) (2分)

答：50，搜索“ftpd.conf”，看配置文件，ftpd是用户名，前面创建的。

59. [填空题] 阿力士FTP服务器使用Docker安装了一个FTP程序为___________。(例如 space docker /1.1，请输入 spacedocker/1.1，不要输入空格) (2分)

答：stilliard/pure-ftpd，要熟悉docker命令，docker pull 后面一般跟的是拉取的程序镜像。

60. [多选题] 阿力士FTP 服务器曾使用过甚么版本的Linux内核? (2分)

A. linux-headers-5.11.0-16
B. linux-headers-5.11.0-17
C. linux-headers-5.11.0-36
D. inux-headers-5.11.0-37
E. linux-headers-5.11.0-40

答：AD，搜索就完事。但是没搞清楚为什么文件名和后面的版本号对不上、

61. [多选题] 阿力士FTP 服务器的磁盘分区，有以下哪一种文件系统? (2分)

A. FAT16
B. FAT32
C. ExFAT
D. HFS+
E. Ext4
答：AC

62. [填空题] 阿力士FTP服务器用户输入了指令_____________去检查现存的Docker容器 (例如 netstat lntp，请输入 netstatlntp，不要输入空格) (3分)

答：dockercontainerps-a