【简要案情】近期，某市反诈部门接到多名群众报案，均遭遇“投资理财”类电信网络诈骗，指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查，该犯罪团伙搭建虚假投资平台，通过社交软件诱骗受害人充值转账，团伙成员分散多地办公，使用多种 AI 工具进行违法犯罪活动，同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注：所有检材及相关数据均为虚拟构造，不负法律责任，如有侵权请及时告知，未经允许不得用于商业用途。检材容器密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队本篇文章参考：https://mp.weixin.qq.com/s/zXvzCMovhjwvz2LQmobyZA?scene=1&click_id=6097010421. 分析嫌疑人在该手机登录的小米账号ID为？（答案格式：以实际为准，如1234567890）3134129162比赛的时候火眼没权限 翻数据库找到的。。2. 嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？（答案格式：以实际为准，如打精武杯）取证大师取出来居然是一堆乱码 我还以为是出题人故意的 直到。。 无话可说 答案是给老妈汇款3. 分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？（答案格式：不含端口，如192.168.1.1）吃了没火眼的亏 考试的时候在数据库里面翻死翻不到4. 接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。（答案格式：页-行-列，如1-2-3）这题我实在是不会了 看的WP先在小米里面找到这个软件的数据库听AI讲了一下 原来安卓的软件都会存在这个叫launcher的桌面数据库里面 以后查位置也在里面看了这个要转换一下数据screen数值为3 代表在第三页spanx 通常代表占地面积 普通软件就是1x1 只有小组件要看这个那只要看cellXY了X代表列 Y代表行但是用的是0系坐标系 意思就是不存在0行这种东西所以每一个都要+1那就是3-1-3 页码-行数-列数5. 嫌疑人最近一次登录Google账号的日期是什么时候？（答案格式：2026-09-09）账号谷歌的来答案是2026-07-076. 在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？（答案格式：XXX.png）这题真的没有想到会是这样做 我一直在找手机相册但是因为数据太多放弃了 然后就一直没有思路 原来在这儿。。。解压出来是这种全白照片非常可疑啊 其实就是这个跟旁边二选一 解密下就知道了选密码.png7. 接上题，该异常图片中隐写的内容为？（答案格式：feiying666）没想到真的有二维码 扫一下答案就藏在这儿答案为qazokm1238. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？（答案格式：9）在数据库里面 3-1-4代表3-0-3 一看是伪装成了计算机了这个的包名是：com.androidx.calculator 粘进去看一眼发现了一个数据库 但是用DB打不开 就只能分析另外一个了这是一个apk文件 用jadx打开看到了sqlcipher 说明这用了 SQLCipher 加密数据库（难怪打不开）开始解密这边是先找了open or create database这个然后右键看调用记录看到了这个 app data handler那就开另外一个数据库打开data handler那个数据库直接给我转到伪装计算器的那里了 我干脆直接搜key找密码了这一行定义文件叫什么名字这一行决定密码是什么密码在此打开以后只有一张照片 答案为19. 分析使用该密拍软件拍摄的图片，其中显示器的型号为？（答案格式：以实际为准，如TUOJIE）戳一下DATA就可以看见型号了答案是C34H890WGC10. 机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？（答案格式：南京）从前面我们在解密的时候就知道是用的叫yipiao的软件定的 所以我们直接搜这个在火眼里找到以后 定位到数据库里面去搜用户信息 开数据库看到了大佬的WP把时间戳直接转化成真实时间了 自己也去试了一下）看到是百色11. 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？（答案格式：英文大写，如12AB）我真吐血了被题目坑了 我直接搜的时间线然后刚好就有一个文件时间紧任务重直接算了一下就下一题了 结果不对。在考试的时候就发现了这个不是本地文件就只能开WPS的数据库了（没有想到当时）只有这个 但是不能肯定就是他我回去取证大师搜了一个打开记录找到了reboot 我知道每次崩溃重启都会记录在里面 然后也也是只有一条打开如下 直奔时间戳看跟题目一不一样对了 但是还是着急了 没看打开的文件名叫什么我看明白了 他就是下载了一个快捷回复-2026-04-14 10-23-48-enterprise.xlsx" 的文件 然后记录了打开关闭的时间但是没有搜到 想到只能在backup里面了果然答案是37EA12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？（答案格式：以实际为准，如https://www.baidu.com/abc/123asad）这题蛮简单的答案是：https://www.douyin.com/video/764116147252615028213. 请分析嫌疑人在抖音中共手动提现多少元至银行卡？（答案格式：100）这题居然没对 只能说还是资历太浅了这题我考试的时候看到这个填完1000我就走了 没想到还有第二关但是其实不是这样做的）我们先搜提现 结果太多我就换成提现成功 出来这个我在取证大师里面看的更自在一点看到招行提了1000元 但是还没结束后面还有个三元卷 也算提现了 这谁受得了所以答案是1003元14. 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？（答案格式：以实际为准）这题其实考试的时候也挺懵的看到是在夸克搜的 结合前面剧情以及后面题目能够看出就是通过伪装精英人士来骗钱答案是 com.quark.browser找到了这张15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。（答案格式：以实际为准）在那题找文件表格的时候 就发现这个和表格一起导出来了里面就是题目所要求的图片回去搜搜无印找到了 答案是uni.UNI3DFAFCD16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。（答案格式：以实际为准）去查无印的database应该会有收获看到了是来自抖音图片 那问的应用 就去找抖音的包名就行com.ss.android.ugc.aweme（二）提示：分析办案人员提取的“手机检材-2.zip”回答下列问题：17. 该手机的备份密码是多少？（四位数字，答案格式：1234）去查了一下 这个manifest就是备份文件本身 这道题也是从这儿入手我们决定用passware kit来处理ok了 密码四个一答案是 111118. 该手机的备份时间是什么时候？（答案格式：2026-09-09 09:09:09）这里能看到答案答案是2026-09-23 15:02:5019. 该手机的序列号是什么？（答案格式：以实际为准，英文大写）下面也有‘答案是FD2W71HVJCM020. 该手机的蓝牙MAC地址是多少？（答案格式：英文大写，如A0:A1:4E:83:16:B0）这个翻数据库就能找到答案是：C0:A5:3E:82:06:E021. 分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？（答案格式：2022-01-23 15:02:53）我们看到battery下面的 先从BDC开始看 bdc是电池数据记录器 里面应该会有我考试找了半天 我一直在文件名那里找 没有注意到这个2021-12-26 12:35:25+8的话那答案应该是 2021-12-26 20：35：2522. 分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。（答案格式：以数据库中记录的原始时间戳为准）我们先找到这个电量使用 这个是最可能记录充满电的然后我回取证大师去看了一下这个文件 是数据库导出来找到battery这栏这题要时间戳 我们转回来就行答案是1783544086.853423. 嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？（答案格式：以首次安装请求时间为准，如2026-09-09 09:09:09）先看安装分析找到源文件的同时 还要找到蝙蝠APP的包名才能定位这个这一行显示在2026-08-12 10:07:21 第一次下载 但是要考虑到UTC+8 那么就答案就是 2026-08-12 18:07:2124. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。（答案格式：www.tuojieinfo.com）这题本来我是想查 unlock login wake这几个数据库的 但是说实话一无所获 然后就算查到相关的 也跟题目要求差着 最后只能定位到这个 screen state了从这个定位到源文件开数据库找了一圈 终于看到是屏幕相机导致的答案是com.apple.lock-screen做完了 感觉学到了好多新东西 原来手机取证还能那么玩
【简要案情】近期，某市反诈部门接到多名群众报案，均遭遇“投资理财”类电信网络诈骗，指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查，该犯罪团伙搭建虚假投资平台，通过社交软件诱骗受害人充值转账，团伙成员分散多地办公，使用多种 AI 工具进行违法犯罪活动，同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注：所有检材及相关数据均为虚拟构造，不负法律责任，如有侵权请及时告知，未经允许不得用于商业用途。检材容器密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队本篇文章参考：https://mp.weixin.qq.com/s/zXvzCMovhjwvz2LQmobyZA?scene=1&click_id=6097010421. 分析嫌疑人在该手机登录的小米账号ID为？（答案格式：以实际为准，如1234567890）3134129162比赛的时候火眼没权限 翻数据库找到的。。2. 嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？（答案格式：以实际为准，如打精武杯）取证大师取出来居然是一堆乱码 我还以为是出题人故意的 直到。。 无话可说 答案是给老妈汇款3. 分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？（答案格式：不含端口，如192.168.1.1）吃了没火眼的亏 考试的时候在数据库里面翻死翻不到4. 接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。（答案格式：页-行-列，如1-2-3）这题我实在是不会了 看的WP先在小米里面找到这个软件的数据库听AI讲了一下 原来安卓的软件都会存在这个叫launcher的桌面数据库里面 以后查位置也在里面看了这个要转换一下数据screen数值为3 代表在第三页spanx 通常代表占地面积 普通软件就是1x1 只有小组件要看这个那只要看cellXY了X代表列 Y代表行但是用的是0系坐标系 意思就是不存在0行这种东西所以每一个都要+1那就是3-1-3 页码-行数-列数5. 嫌疑人最近一次登录Google账号的日期是什么时候？（答案格式：2026-09-09）账号谷歌的来答案是2026-07-076. 在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？（答案格式：XXX.png）这题真的没有想到会是这样做 我一直在找手机相册但是因为数据太多放弃了 然后就一直没有思路 原来在这儿。。。解压出来是这种全白照片非常可疑啊 其实就是这个跟旁边二选一 解密下就知道了选密码.png7. 接上题，该异常图片中隐写的内容为？（答案格式：feiying666）没想到真的有二维码 扫一下答案就藏在这儿答案为qazokm1238. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？（答案格式：9）在数据库里面 3-1-4代表3-0-3 一看是伪装成了计算机了这个的包名是：com.androidx.calculator 粘进去看一眼发现了一个数据库 但是用DB打不开 就只能分析另外一个了这是一个apk文件 用jadx打开看到了sqlcipher 说明这用了 SQLCipher 加密数据库（难怪打不开）开始解密这边是先找了open or create database这个然后右键看调用记录看到了这个 app data handler那就开另外一个数据库打开data handler那个数据库直接给我转到伪装计算器的那里了 我干脆直接搜key找密码了这一行定义文件叫什么名字这一行决定密码是什么密码在此打开以后只有一张照片 答案为19. 分析使用该密拍软件拍摄的图片，其中显示器的型号为？（答案格式：以实际为准，如TUOJIE）戳一下DATA就可以看见型号了答案是C34H890WGC10. 机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？（答案格式：南京）从前面我们在解密的时候就知道是用的叫yipiao的软件定的 所以我们直接搜这个在火眼里找到以后 定位到数据库里面去搜用户信息 开数据库看到了大佬的WP把时间戳直接转化成真实时间了 自己也去试了一下）看到是百色11. 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？（答案格式：英文大写，如12AB）我真吐血了被题目坑了 我直接搜的时间线然后刚好就有一个文件时间紧任务重直接算了一下就下一题了 结果不对。在考试的时候就发现了这个不是本地文件就只能开WPS的数据库了（没有想到当时）只有这个 但是不能肯定就是他我回去取证大师搜了一个打开记录找到了reboot 我知道每次崩溃重启都会记录在里面 然后也也是只有一条打开如下 直奔时间戳看跟题目一不一样对了 但是还是着急了 没看打开的文件名叫什么我看明白了 他就是下载了一个快捷回复-2026-04-14 10-23-48-enterprise.xlsx" 的文件 然后记录了打开关闭的时间但是没有搜到 想到只能在backup里面了果然答案是37EA12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？（答案格式：以实际为准，如https://www.baidu.com/abc/123asad）这题蛮简单的答案是：https://www.douyin.com/video/764116147252615028213. 请分析嫌疑人在抖音中共手动提现多少元至银行卡？（答案格式：100）这题居然没对 只能说还是资历太浅了这题我考试的时候看到这个填完1000我就走了 没想到还有第二关但是其实不是这样做的）我们先搜提现 结果太多我就换成提现成功 出来这个我在取证大师里面看的更自在一点看到招行提了1000元 但是还没结束后面还有个三元卷 也算提现了 这谁受得了所以答案是1003元14. 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？（答案格式：以实际为准）这题其实考试的时候也挺懵的看到是在夸克搜的 结合前面剧情以及后面题目能够看出就是通过伪装精英人士来骗钱答案是 com.quark.browser找到了这张15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。（答案格式：以实际为准）在那题找文件表格的时候 就发现这个和表格一起导出来了里面就是题目所要求的图片回去搜搜无印找到了 答案是uni.UNI3DFAFCD16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。（答案格式：以实际为准）去查无印的database应该会有收获看到了是来自抖音图片 那问的应用 就去找抖音的包名就行com.ss.android.ugc.aweme（二）提示：分析办案人员提取的“手机检材-2.zip”回答下列问题：17. 该手机的备份密码是多少？（四位数字，答案格式：1234）去查了一下 这个manifest就是备份文件本身 这道题也是从这儿入手我们决定用passware kit来处理ok了 密码四个一答案是 111118. 该手机的备份时间是什么时候？（答案格式：2026-09-09 09:09:09）这里能看到答案答案是2026-09-23 15:02:5019. 该手机的序列号是什么？（答案格式：以实际为准，英文大写）下面也有‘答案是FD2W71HVJCM020. 该手机的蓝牙MAC地址是多少？（答案格式：英文大写，如A0:A1:4E:83:16:B0）这个翻数据库就能找到答案是：C0:A5:3E:82:06:E021. 分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？（答案格式：2022-01-23 15:02:53）我们看到battery下面的 先从BDC开始看 bdc是电池数据记录器 里面应该会有我考试找了半天 我一直在文件名那里找 没有注意到这个2021-12-26 12:35:25+8的话那答案应该是 2021-12-26 20：35：2522. 分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。（答案格式：以数据库中记录的原始时间戳为准）我们先找到这个电量使用 这个是最可能记录充满电的然后我回取证大师去看了一下这个文件 是数据库导出来找到battery这栏这题要时间戳 我们转回来就行答案是1783544086.853423. 嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？（答案格式：以首次安装请求时间为准，如2026-09-09 09:09:09）先看安装分析找到源文件的同时 还要找到蝙蝠APP的包名才能定位这个这一行显示在2026-08-12 10:07:21 第一次下载 但是要考虑到UTC+8 那么就答案就是 2026-08-12 18:07:2124. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。（答案格式：www.tuojieinfo.com）这题本来我是想查 unlock login wake这几个数据库的 但是说实话一无所获 然后就算查到相关的 也跟题目要求差着 最后只能定位到这个 screen state了从这个定位到源文件开数据库找了一圈 终于看到是屏幕相机导致的答案是com.apple.lock-screen做完了 感觉学到了好多新东西 原来手机取证还能那么玩