2025数证杯初赛参考解题思路（详细版）

点击上方蓝字“小谢取证”一起玩耍

前言

   

小谢取证本期荣幸邀到我们的老朋友--胡师傅。胡师傅给大家带来一期在2025年11月1日刚完赛的数证杯初赛的参考解题思路。

本解题思路主要是针对比赛题目进行分析，只进行知识分享，是参考的解题思路，不具一定的实战能力，切勿用于违法犯罪活动。也欢迎各位大佬在评论区共同探讨题目的不同解法。

数证杯官方所提供的检材链接：

计算机取证方向

分析计算机检材，计算机Build版本号是？（答题格式：19000）答案： 19044

解析：计算机基础信息中查看

分析计算机检材，操作系统设置的账户密码最长存留期为多少天？（答题格式：10）答案：68

解析：计算机基础命令net accounts，或在本地组策略编辑器查看

分析计算机检材，用户2登陆密码NT哈希值后8位是？（答题格式：后8位字符、字母全大写且按照实际情况填写）答案：BEA9C708

解析：查看计算机用户信息

分析计算机检材，蓝牙mac地址是多少？（答题格式：9C-B6-D0-04-C9-CC）答案：9C-B6-D0-04-C9-CC

解析：查看计算机网络配置信息

分析计算机检材，SafeImager的产品序列号是？（答题格式：0200403210879030200000000 ）？答案：02004032108790302000009C4

解析：查看计算机USB设备相关信息

分析计算机检材，123.VHD所处的结束扇区是？（答案格式：19276305 ）答案：27445255

解析：全局搜索123.vhd后查看文件详细信息

分析计算机检材，用户在BitLocker加密分区最后修改的文件是?（答题格式：abcd.txt ）答案：资料1.txt

解析：仿真后解锁bitlocker盘符，查看修改日期

分析计算机检材，用户连接192.168.114.129时用的会话名称是？（答题格式：按照实际情况填写）答案：连接阿里云

解析：仿真后点击Xshell进行查看

分析计算机检材，用户创建存储虚拟币钱包地址页面的时间是？（答题格式：10月10日）答案：10月7日

解析：打开小众笔记应用后发现虚拟钱包单词，确定此应用存放虚拟币钱包地址，点击历史版本记录，看到创建日期为10月7日

分析计算机检材，用户的虚拟币钱包地址是？（答题格式：按照实际情况填写）答案：3HrdpWM8ZrBVw9yu8jx1RoNNK6BZxwsHd9

解析：根据高亮提示，共有34个字符，可试用base64多次转码，最后转为34个字符。

分析计算机检材，用户VC加密容器的密码是？（答题格式：按照实际情况填写）答案：SHUZHENGBEIctzy2025

解析：在邮件附件中可以找到3个分片，在用户1的回收站中有一个真的有一个假的分片。在禁用的用户2文档存中放一个分片。 5个分片都找到后，用邮件中提示的密码进行解压。解压后发现有一个联系人.docx，还有一个解密的软件。将联系人.docx所有字体颜色换为蓝色，即可以看到VC加密容器密码SHUZHENGBEIctzy2025

分析计算机检材，用户在生活中使用的昵称是？（答题格式：按照实际情况填写）答案：小胖 

解析：桌面上有代号文件，在/公司资料/新建文件夹 (2)/目录下看到声纹.7z文件，将其解压后发现破解声纹隐写工具。

分析计算机检材，李安东的银行卡归属哪个银行？（答题格式：农业银行）答案：交通银行

解析：在公司资料里，找到银行卡，根据银行卡密码爆破提示文件，进行6位数字爆破，爆破密码为688561，后看到银行卡

分析计算机检材，请分析某市10月6日最高气温是？（答题格式：25）答案：21

解析：此题为zip伪加密，正常解压文件会提示有解压密码。将50 4B 03 04 14 00 09 00改为 50 4B 03 04 14 00 00 00; 50 4B 01 02 1F 00 14 00 09 00 变成 50 4B 01 02 1F 00 14 00 00 00 即可解开伪加密

分析计算机检材，用户的BitLocker密码是？（答题格式：按照实际情况填写）

答案：SZBJSJTM2025

解析：在邮件附件中发现扬帆起航图片，将图片导入隐写软件（在admin的下载中）进行解密。

分析计算机检材，用户办公室的门禁密码是？（答题格式：按照实际情况填写）答案：147963258

解析：使用VC密码打开secret加密容器。发现其中的门禁密码图片但是此图片被加密，使用分片中的解密工具进行解密后可使用winhex进行查看发现其密码

分析计算机检材，用户使用的以D开头的解密程序的MD5值后六位是？（答题格式：按照实际情况填写）答案：3a892e

分析计算机检材，木马程序运行至系统断点前加载了几个动态链接库？（答题格式：10）答案：5

解析：x32dbg.exe运行木马程序，点击日志。

分析计算机检材，木马产生的程序名称是什么？（答案格式：abc.exe）答案：Wins.exe

解析：管理员运行木马程序，发现木马程序会突然消失。查看计划任务发现创建了Windups，查看其属性发现其创建的木马程序名称为 Wins.exe

分析计算机检材，木马尝试访问的域名是什么？（答案格式：按照实际情况填写）答案：edu-image.nosdn.127.net

解析：wireshark抓包

分析计算机内存检材，此内存镜像制作时的系统时间是？（答题格式：2025-07-10）答案：2025-10-16

解析：使用取证工具加载内存镜像后运行imageinfo命令

分析计算机内存检材，用户Yiyelin的用户表示后4位是？（答题格式：1005）答案：1002

解析：使用取证工具加载内存镜像后点击系统信息.txt可查看，或volatility -f memdump.mem --profile= Win10x64_10586 printkey -K "SAM\Domains\Account\Users\Names"

分析计算机内存检材，计算机的CPU型号是什么？（答题格式： i9-1110U）答案：i7-8550U

解析：使用内存取证工具MemproES 挂载后查看硬件信息或 volatility -f win7.raw --profile= Win10x64_10586 cpuinfo

分析计算机内存检材，wps.exe的PID是？（答题格式：5000）答案：5888

解析：volatility命令：memdump.mem --profile=Win10x64_10586 pslist --output=json --output-file=output/output_vol2_pslist.json 

分析计算机内存检材，此计算机开机自启动的远控软件名称是？（答题格式：Xshell.exe）答案：SunloginClient.exe

解析：使用lovelymem挂载后点击开机启动项可以查看或命令：volatility -f win10.raw --profile= Win10x64_10586 autoruns

手机取证方向

1.对手机检材进行取证分析，分析检材中微信ID:wxid_f4s0jmpvrc522对应的手机号。【参考格式：13800000000】

答案：17859628390

解题思路：取证结果查看

2.对手机检材进行取证分析，分析检材中“华为应用市场”第一次安装日期。【参考格式：2025-08-24】

答案：2025-09-24

解题思路：取证结果查看

3.对手机检材进行取证分析，分析出检材中钱包APP，请列出该APP中ETH地址后八位。【字母全大写，参考格式：A12B34D5】

答案：503FE61F

解题思路：取证结果查看

4.对手机检材进行取证分析，分析出检材中包含“南昌西站”的图片，计算该图片的MD5后六位？【参考格式：A12B34】

答案：85A51D

解题思路：图片OCR识别，通过关键词在“智能分析”——“数据挖掘”中搜索关键词“南昌西站”

5.对手机检材进行取证分析，手机相册中有张“imtoken助记词1.PNG”图片被破坏，请修复该图片，列出该图片中第三个单词。【参考格式：abcd】

答案：boost

解题思路：在取证结果的图库中，有张助记词片段图片，修复该图片长宽信息后查看。

6.对手机检材进行取证分析，找出一张PNG图片，该图片上显示“助记词2”，请列出该图片上显示的第二个单词。【参考格式：abcd】

答案：delay

解题思路：在该检材上有个“虚拟大师”APP，该图片在/data/data/com.yiqiang.xmaster/vprom/sys/sys01/storage/emulated/0/importFile/sdcard/importFile目录下

7.对手机检材进行取证分析，找出检材中显示“助记词3”的文档，列出该文档中记录的第三个助记词单词。【参考格式：abcd】

答案：quarter

解题思路：在“/data/media/0/files/”目录下有个文件“备忘录”，通过文件签名得知是个WORD文档，打开文档后只显示“助记词3”，通过winhex打开，发现在文件尾部有“助记词3”的内容。

8.对手机检材进行取证分析，分析出该组助记词正常顺序中最后一个单词（已知助记词1、助记词2、助记词3中的单词顺序有被调整）。【参考格式：abcd】

答案：segment

解题思路：综合题4、6、7、8使用工具“钱包恢复工具.exe”进行恢复

9.对手机检材进行取证分析，分析出邮箱中收件人QQ号为“850563586”的姓名。【参考格式：张三】

答案：刘佳雨

解题思路：解析隐私空间目录下的QQ应用/data/data/com.yiqiang.xmaster/vprom/sys/sys01/data/data，在QQ应用的好友列表中有备注

10.对手机检材进行取证分析，得知机主通过某个应用给HHshAL发送了一个文档，该应用的数据包名是什么？【参考格式：com.test.abc】

答案：dingtong.saichuang

解题思路：根据后续题目分析可知使用的是叮通，数据包名dingtong.saichuang。

11.接上题，对手机检材进行取证分析，该应用聊天记录数据库的打开密码是什么？【参考格式：ABCabc123】

答案：@1@#!aajsk1*JKJ

解题思路：

1. 经分析，叮通聊天记录保存在加密数据库“\databases\dingtong.db”；

2. 使用jadx加载叮通的APK，搜索dingtong.db，定位到相关代码；

1. 逐级分析f55931a的引用，确认f55932b字符串的值“@1@#!aajsk1*JKJ”便是数据库密码。

12.接上题，机主发送的这个加密文档，打开密码是什么？【参考格式：ABCabc123】

答案：QWERT666

解题思路：

1. 在聊天记录表中看到机主发送了一个文档，并发了疑似密码的文本；

1. 根据文档路径在数据包里找到该文件，修改后缀名为xlsx并打开（也可以使用data字段里的URL，用浏览器下载）；

1. 文档需要密码，尝试使用“--.-/.--/./.-./-/-..../-..../-..../”却无法打开；

2. 发现该密码疑似为摩斯密码，使用解码工具转成明文“QWERT666”，经验证该密码可以正常打开加密文档。

13.对手机检材进行取证分析，厉明的身份证地址登记的门牌号是多少？【参考格式：123】

答案：722

解题思路：

1. 在“\sdcard\Android\com.android.mxt\files\zip”目录下发现加密文件“身份证_f33.mxt”；

2. 密信助手中记录了该文件的解压密码为“bwX2ZEfE9”；

1. 使用密码解压出身份证图片，得到厉明的身份证地址中门牌号为722。

14.对手机检材进行取证分析，分析出“important1.xlsx”文件中体现的“金达欣”银行卡后六位？【参考格式：123456】

答案：935629

解题思路：

①在/media/0/files目录下有个文件：important1.xlsx

1. 在密信助手的PassWord表发现important1.xlsx密码为“3;s=]-”，打开得知。

15.接上题，保存“important1.xlsx”打开密码数据的应用，启动密码是什么？（答案格式：1234）

答案：1596

解题思路：

1. 经分析，密信助手的启动密码疑似保存在“\shared_prefs\Hawk2.xml”文件中，MXT_PWD、R_PWD、LOCK属性记录的内容可能与密码有关，但将内容里的base64数据解码后均为密文，无法确认密码是什么；

1. 使用jadx加载密信助手的APK，搜索几个关键字，逐层分析后最终无法进入与解密相关的算法代码；

2. 经过对检材的深入分析。修改代码中analyzeHawk2传入参数为实际的Hawk2.xml文件路径、“\shared_prefs\crypto.KEY_256.xml”记录的cipher_key的内容，运行脚本得到一串JSON内容，可知应用启动密码即LOCK属性的值1596。（如本地无运行该python脚本的环境，也可通过分析代码中decrypt函数逻辑，使用其他支持AES_256_GCM解密的工具来得到答案）

通过搜索cipher_key定位iv，key，tag等长度

确认aes_gcm所需的值

服务器取证

依次按顺序仿真镜像node1、node2、data1、master将vm虚拟机的网段调整至192.168.50.0

kubectl get nodes 命令判断所有节点都正常启动，data1不是节点

kubectl get pods -A 命令查看所有pod的情况

处理面板的报错问题，问题提示是镜像拉取错误。分别到各个工作节点通过docker images 命令查看，镜像都存在。可能是镜像拉取规则问题

kubectl get deployment -n kubernetes-dashboard 通过该命令获取配置文件

kubectl edit deployment kubernetes-dashboard -n kubernetes-dashboard 通过该命令编辑配置文件

将Always改为Never。 保存后等待即可，发现没拉起来，原因是镜像不存在，这时候从node2找到registry.cn-hangzhou.aliyuncs.com/google_containers/dashboard镜像，导出到本地然后传入到node1中

然后删除拉起失败的pod  命令如下kubectl delete pod kubernetes-dashboard-569f7c88d5-tvzqn -n kubernetes-dashboard

删除完成后，面板的pod会自动新建一个，就能够运行了。接下来获取面板登录IP

 使用 kubectl get svc -A 

可知面板的端口是30001

浏览器访问

获取token的命令 kubectl create token dashboard-admin  --namespace kube-system

使用token登录。

登录后发现很多pod都是爆红的，先处理nfs的

这个错误是无法连接到共享服务。通过命令检测发现是网络问题

考虑可能是防火墙，把data1的防火墙关闭后正常

这时候redis的pod也正常了。接着处理captcha-bo的pod。根据报错信息是无法连接数据库

在集群中没有发现数据库，可能是被删除了。在master的root目录下发现数据库的配置文件

根据mysql-d.yaml 发现数据库的挂载的mysql80的pvc。 mysql80-pvc.yaml文件中找到了目录。在data1节点上定位到这个目录

数据还在，只需要创建pod即可，使用上述的配置文件，先创建pvc卷 kubectl apply -f mysql80-pvc.yaml

接下来执行kubectl apply -f mysql-d.yaml 创建成功mysql的pod。 

尝试连接mysql， 使用navicate连接，IP是192.168.50.80 端口 30627

账号root 密码LKKD23mjakl213dmmm

连接成功！

接下来处理发卡网站的重构：

在Deployments中未发现发卡网站，可能已经删除

pvc中发现有这个卷，根据pvc的卷找到对应的目录，未发现有网站代码

猜测可能是删除了网站代码，还有Deployments。

在data1节点的root目录下，发现dujiaoka.tar备份，还原到对应的目录

使用docker images检查node1 node2节点的镜像都没有配置文件需要的 webdevops/php-nginx:7.4 镜像

在master节点发现有这个镜像。把这个镜像导出然后传输到工作节点导入

分别导入node1 node2

导入完成后，运行php-nginx-deployment.yaml 配置文件创建pod

发现缺失configmap，执行kubectl apply -f dujiaoka-c.yaml 创建configMap。然后在面板中重启发现还是报错，

是镜像有关

原因是导入的镜像标签名字是空的

通过docker tag ac09 webdevops/php-nginx:7.4 修改标签名字。这时候。发卡网站就成功启动了。

captcha-bot由于没有互联网。是无法正常启动，这无需处理

接下来访问网站

成功还原整个集群，

解题思路

1. 请分析服务器镜像文件，node1节点的磁盘设备SHA256值是？(答案格式：AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA)答案：FC9A341213AC06448213480AA639834A472D7138B70FA9A3A495A469B0281BE5 解析：

1. 请分析服务器镜像文件，集群配置了多少个node节点？（答案格式：1）答案：2 解析：使用kubectl get nodes

1. 请分析服务器镜像文件，嫌疑人于什么时间修改master节点的root密码？（答案格式：12:13:00）答案：09:35:59

1. 请分析服务器镜像文件，Docker的安装日期是？（答案格式：1月1日）答案：4月8日 在历史命令中发现docker是通过yum安装的。所以找yum.log日志文件。

在master节点上执行 grep "Installed:" /var/log/yum.log | grep docker-ce

1. 请分析服务器镜像文件，Docker通过配置守护进程以使用全局代理，该代理地址的端口是？（答案格式：22）答案：4780 仿真master节点，输出docker.service文件的内容即可

1. 请分析服务器镜像文件，发卡网站使用的Mysql数据库对外访问端口是？（答案格式：22）（答案格式：22）答案：30627 按上述方法把集群搭建起来，再在master节点上执行 kubectl get svc -A获取到发卡网站的端口号

1. 请分析服务器镜像文件，发卡网站部署使用的镜像名称是？（答案格式：xxx/xxx）答案：webdevops/php-nginx 按上述方法重构集群，打开发卡网站的deployment的配置文件，可以看到镜像的信息

1. 请分析服务器镜像文件，当前Telegram群管机器人使用的容器ID是？回答前六位。（答案格式：9daced）答案：8fadf5 由于重构仿真后集群会重新拉起新的容器，所以借助静态分析。拿到上一次运行的容器ID

1. 请分析服务器镜像文件，发卡网站使用的缓存数据库是？（答案格式：elasticsearch）答案：redis 查看集群存在redis，并且根据后续网站env配置中发现缓存配置

1. 请分析服务器镜像文件，集群中配置的发卡网站代码运行所在的物理目录是？（答案格式：/root/www/xxx/xxx）答案：/data/k8s_data/default/dujiaoka 根据pvc的配置文件，发现配置的文件夹名称是 dujiaoka 根据nfs的配置路径是 /data/k8s_data/ default

再加上配置文件的dujiaka，即可获取完整的路径   

1. 请分析服务器镜像文件，Telegram群管机器人配置的API代理域名是？（答案格式：xxx.xxx.com）答案：kk.xilika.cc 在data1节点上的/data/k8s_data/default/captchaBot/config/  中的配置文件

1. 请分析服务器镜像文件，嫌疑人在Telegram上创建的群名称是？（答案格式：xx群）答案：西门庆交流群 按开头的方式修复数据库，连接数据查看captchabot数据库，telegram_chat_name字段为群聊名称

1. 请分析服务器镜像文件，统计嫌疑人在Telegram上创建的群中2025年6月之后成功入群的人数为？（答案格式：100）答案：2422 分析数据库字段和数据，发现captcha_status = 1的数据为成功加群。 SELECT count(*) FROM captchabot.user_captcha_record AS ucr WHERE captcha_status = 1 AND captcha_success_time >= '2025-06-01 00:00:00';

1. 请分析服务器镜像文件，据嫌疑人交代曾在发卡网上删除过一条订单数据，请找出该删除订单的订单号是？（答案格式：xxxxxxxxxxxxxxxx）答案：4V8XNK8Q0wMD5D2R 通过静态分析找到binlog文件，

通过navicat找到mysql的版本号是8.0.43。下载MySQL8.0.43 的版本安装到Windows机器。注意，版本一定要对应否则无法正确解析

通过命令把binlog文件转为sql文件 mysqlbinlog --no-defaults -vv --base64-output=DECODE-ROWS C:\Users\xxx\Desktop\binlog.000002 > D:/demo.sql

打开sql文件，拉到最后即可看到删除的订单信息

1. 请分析服务器镜像文件，发卡网站上2025年6月之后订单交易成功的总金额是？删除数据不计入计算（答案格式：100）答案:295202 解析：

1. 请分析服务器镜像文件，发卡网站的后台访问路径是？（答案格式：/xxx）答案：/admin 查看网站根目录下的.env文件

1. 请分析服务器镜像文件，计算出用户密码算法中Salt的值，并进行Base64编码，结果是？（答案格式：XXX=）答案：lAID2ktDeRlGbcg= 查看/vendor/laravel/framework/src/Illuminate/Hashing/BcryptHasher.php 文件

随便找个php环境修改一下代码，然后运行代码

1. 请分析服务器镜像文件，发卡网站配置的邮件发送人地址是？（答案格式：xxx@xx.com）答案：ituzz@qq.com根据上题的代码文件，进行绕密修改。

即可实现任意密码登录后台。登录后台后找到系统设置拿到配置的邮件服务的账号

1. 请分析服务器镜像文件，当前发卡网站首页仪表盘中显示的发卡网站版本为？（答案格式：1.1.1）答案：2.0.5 解析：登录到页面即可看到

1. 请分析服务器镜像文件，当前发卡网站中绑定的订单推送Telegram用户id为（答案格式：11112）

答案：6213151597

解析：查看系统设置中的配置

物联网方向

打印机的主机名称是什么？【答题格式：www】

答案：print

解析：基础系统分析，找到系统配置，etc/hostname

打印文件存储在哪个目录？【/home/www/123】

答案：/var/log/cups/page_log

解析：分析打印服务的配置 ，/etc/cups/cups-files.conf

同一天，打印两份文件的用户是谁？【答题格式：test】

答案：alice

解析：分析日志文件，/var/log/cups/page_log

打印机中的木马运行后，自身产生的进程ID是多少？【答题格式：1111】

答案：2177

解析：通过日志分析，/etc/var/log/syslog

系统中存在一个非标定时任务，这个任务每隔多久执行？【答题格式：2分钟】

答案：10分钟

解析：通过分析系统定时任务，/etc/cron.d/healthcheck

木马程序会窃取文档暂存在隐藏目录，这个目录的绝对路径是什么？【/root/home】

答案：/tmp/.cache/

解析：通过上题找到木马，分析木马程序，解出答案。

发现是关键代码是加密，注释中有一段base32的加密，解密后找到加密代码的方法是URL 编码 -> Base64 编码 -> 字符串反转，根据这个方法制作解密脚本

显示出加密内容，得到结果。

打印任务在发送后、打印前，被暂存在哪个目录，其绝对路径是什么？【/root/home】

答案：/var/spool/cups/

解析：通过分析木马程序得出结果，同上题

根据木马程序，它监视的关键字是什么？【答题格式：Wdedfed Fdfgdedsdg】

答案：Project Dragonfire

解析：通过分析木马程序得出结果，同上题。

流量分析题目解析

1. 黑客攻击的目标路由器SSID为？ （格式：TPlink） 答：laozhaoWIFI 解析：

根据第三题可以知道黑客成功捕获了WPA的协议包，因此可以过滤对应的协议EAPOL，过滤之后发现对应的wifi的mac地址，根据mac进行过滤，过滤出源地址或目的地址是该Mac的内容，在过滤出的内容中搜索SSID，可以得到对应的值为“laozhaoWIFI”

1. 黑客成功捕获了WIFI中WPA协议握手包，其中有效握手包组数(完整握手为一组)（格式：2） 答：4 解析：

直接搜索WPA对应的握手包，发现有效握手包组数为4

1. 黑客爆破得出的WiFi密码为（密码为password和后4位数字组成）（格式：password1234） 答：password1110 解析： 方法一： 爆破WPA协议密码需要握手包前两包（message1 和 message2）的认证参数就够了。 此时过滤eapol，找到第一组完整的握手包。 message1：25420包处查看相关认证信息

Message2：25421包处查看相关认证信息

根据Message1和Message2的认证信其息，编写密码爆破解密脚本如下

解密结果如下：

方法二： 上面直接构造WPA验证流程的代码太过复杂，不太好写，我们结合后面的题目，已知黑客后面获取到了路由器的管理后台，可以猜测管理后台中存在wifi的密码，我们直接追踪HTTP流量进行查看

直接追踪流，搜索password，可以看到对应的key是password110，可以推测该密码即为路由器密码。

1. 黑客成功连接Wifi后，发现路由器操作系统为？（答案格式：iStoreOS）

2. 答：ImmortalWrt 

3. 解析： 追踪http流量，找到其访问成功的位置后将其html代码拷贝到文件中，直接查看网页，可以看到对应的操作系统ImmortalWrt

1. 黑客对路由器后台进行爆破攻击，该路由器后台密码为？（格式:hello） 答：password 解析： 已经爆破路由器后台密码，肯定在获取数据之前，并且是使用http协议，直接进行过滤。追踪流后搜索password，发现该数据为多次发送和单次批量响应，直接查看

失败的时候会响应Invalid username and/or password! Please try again.

根据这个逻辑找到对应的密码为password

1. 黑客通过修改路由器设置，将被劫持的域名为（格式：www.baidu.com）
   

2. 答：www.qq.com 

3. 解析：

过滤dns之后发现黑客查询了很多的域名，如果说他劫持了一个域名，那么查询的时候应该是，响应域名存在，并且响应的域名IP为内网IP，我们直接过滤dns协议并且响应成功的内容

发现被劫持的域名为www.qq.com

1. 黑客在路由器管理后台发现FTP服务配置，FTP登录密码为？（答案格式：abc123） 

2. 答：mast 

3. 解析： Wireshark过滤ftp的流量，可以看到对应的登录密码。

1. 黑客通过FTP上传了一个压缩包文件，该文件内容为（格式：code:12345） 答：code:123456789 解析：

过滤上传zip文件的命令之后导出追踪流，导出对应的zip压缩包，爆破压缩包的密码为4321，直接解压可以看到对应的内容。

1. 黑客通过路由器执行shell脚本，反弹shell的监听端口为（格式：8080）

2.  答：4445 

3. 解析：

推测ftp最后上传的文件是反弹shell相关的文件，对其传输成功的流量打个标签，并且在其之后搜索http协议，并且携带的内容中存在/bin/sh的内容，发现访问的监听端口为4445。

1. 黑客通过反弹shell成功控制目标路由器后，总共执行了多少条命令(格式：1)

答：4

解析：

追踪上一题流量的tcp流，根据上一题携带的内容可以看出其是使用的nc进行的远程连接，后续应该会采用tcp传输数据，不断切换流，在切换到918的时候，找到了对应的流量，发现一共执行了4条命令  APK取证方向

apk 的版本名称为？ （答案格式：1.1.1）

答案：3.0.12

解析：解包apk-> AndroidManifest.xml里versionName属性即可看到

TimeFetcher类中，如果需要获取本地系统的时间戳，应该调用哪个方法？（答案格式：x() ）

答案：a()

解析：a函数实现了通过System.currentTimeMillis()函数获取准确的本地时间，所以选a()

apk运行后getVer()的返回值是多少？（答案格式：1.0.0）

答案：4.56.23

解析：根据第四题解析做即可

apk运行后需要通过一个http get请求才能打开第二个界面，给出该请求URL？ （答案格式：URL格式，PATH无编码转换）

答案：http://localhost:60723/K0pQvBZ38ykL26OzfshqYTHC2f7RUJYIgrmIF6GcORU=?hash=983f8a605d16530190c09b0884d7cef1&ver=4.56.23&ts=1727899789

解析：分析代码，可知其启动了一个http服务，端口60723，

分析其channelRead0函数，开头限制了，因此只能localhost访问，后面的String.format函数显示了URL的构造格式

apk第二界面的8位授权码是什么？（答案格式：88888888）

答案：84572399 

解析：分析代码，可知核心逻辑就是获取输入值的hashcode进行比较

根据输入格式要求，8位纯数字，可以直接暴力遍历即可

一、EXE取证

1. 安装该程序后，运行桌面的快捷方式会执行恶意exe，请给出这个exe程序的相对路径？（答案格式：v2rayN\b\a.exe）答案：v2rayN\bin\proxy\v2ray.exe 解析： 根据快捷方式得知执行的exe，为v2rayN\bin\proxy\v2ray.exe

1. 解密文件名为RnRGaWxlcy5lZGIiL的文件时所使用的密钥是什么？（答案格式：MTIzNDU2Nzg5MDEy）答案：1Njc2NTQ2Mzc0NTc 解析：使用IDA反汇编v2ray.exe,

分析sub_140001BF0

根据多次256特征推测是rc4算法，根据rc4算法的特征可以得到key。

1. 解密文件RnRGaWxlcy5lZGIiL成功后，请分析并给出解密后的文件的入口点地址？（答案格式：0x180000000）答案：0x180002730 解析： Rc4解密，然后保存文件。

使用DIE查看PE信息，

1. 加密文件名为6c051a72b91a1的文件时所使用的密钥是多少？（答案格式：MTIzNDU2Nzg5MDEy）答案： cgDSb6VOegeF7EuW 解析：分析内存加载函数，

最终调用了SDGHY3a9DK3t14Fg1hSGH56U函数。 解密第三题中的文件，是一个pe文件，这是一个在内存中加载的dll，使用ida反汇编，分析得出使用的aes加密。

分析aes加密函数。

设置文件后缀为.1 根据函数sub_180001000中的常量特征可推测这是aes加密。

得知key为cgDSb6VOegeF7EuW Iv为 ：

1. 6c051a72b91a1.1文件解密后的md5值是多少？（答案格式：c4ca4238a0b923820dcc509a6f75849b）

答案： aa4a6a26e3e33cedf846ae3bbaff74e8

解析：此处的aes加密非标准加密，分析算法，编写解密脚本解密得到图片。

在key扩展函数sub_180001920中分析，

最终会将扩展后的密钥进行位置交换。

第n次加密就将w[0] 和 w[n] 进行交换。

每11次是一次小循环，每（4096/ 16） 次是一次大循环。

只加密满16字节的数据，不足16字节不加密。

主要修改部分为下，添加了交换扩展key位置的代码：

下面是python解密脚本：

对解密出的文件计算其md5值。

数据分析方向

通过对检材“01-lott.sql”文件进行分析，统计庄家"188"在2021-05-10当日的电子投注总笔数（答案格式：1111）

答案：2299

解析：基础统计。电子投足表t_trade_betrecord中筛选庄家Keeper，投注时间CreateTime。

参考语句

1. 通过对检材“01-lott.sql”文件进行分析，统计t_trade_betrecord中庄家"188"记录中彩票类型为"jnd28"且期号在t_lottery_jnd表中存在的记录数。（答案格式：100）答案：92842 

2. 解析：有效期号投注统计。

3.  参考语句     

4. 
   

5. 
   

6. 
   

7. 通过对检材“01-lott.sql”文件进行分析，统计庄家"188"的玩家在2021-05-10当日：电子投注内容出现频率最高的电子投注内容是什么？（答案格式：297小）答案：500单 

8. 解析：投注表t_trade_betrecord中，庄家Keeper为188的玩家行为分析。 

9. 参考语句 

10. 
    

11. 
    

12. 
    

13. 通过对检材“01-lott.sql”文件进行分析，关联t_trade_betrecord与t_lottery_jnd表，分析庄家"188"在2021-05-10投注"jnd28"时：当开奖结果为"大"时，玩家投注包含"小"的笔数占比（答案格式：50.44%）
    

14. 答案：44.88% 

15. 解析：投注策略分析,Keeper = '188',LotteryType = 'jnd28',R_B_M='大'。 

16. 参考语句

17. 
    

18. 
    

19. 
    

20. 通过对检材“02-crime_records.sql”分析，统计相邻两次作案时间间隔在1天之内的城市和该城市两次作案时间间隔在1天之内的案件总数量，找出案件总数最多的城市名及案件总数量。（答案格式为:城市,案件总数量，案件总数量的统计【如相同城市案件时间10月1号8点，10月2号7点，10月3号6点，总数量为2】，例如：南京,110）（逗号为英文输入格式。）
    

21. 答案：苏州,2287

22. 解析：窗口函数应用，代码如下：

23. 
    

24. 
    

25. 
    

26. 通过对检材“02-crime_records.sql”分析，根据案件的损失金额和伤情等级，将案件分为 “轻微案件”“一般案件”“重大案件”“其他”四类（分类规则如下），并统计 2023 年各类型案件的数量。轻微案件：损失金额≤10000 元且无人员受伤（injury_level 为空或未提及）；一般案件：损失金额 10001-50000 元，或有轻微伤；重大案件：损失金额 > 50000 元，或有轻伤或有重伤；其他：非上述情况。（按照案件数量的降序输出答案，答案格式为：40/30/20/10）
    

27. 答案：13107/4590/2058/222 

28. 解析：使用casewhen函数对每个类别进行分类处置，代码如下：

29. 
    

通过对检材“02-crime_records.sql”分析，统计 2021-2023 年期间（含2021年和2023年），每年处理结果为 “移送起诉” 的案件里，每一年中损失总额最高的案件类型对应的损失总额为？（答案格式：按 2021 - 2023 年顺序连接损失总额，连接符号使用/,小数点保留2位 格式为 ：1.37/2.21/3.45）

答案：325806042.91/344804883.98/352132431.37 

解析： 

1. 通过对检材“03-案件卡串号数据”表分析，该表每条数据的“卡串号(IMSI)”字段值存在问题，不可信。真实可信的卡串号值在“溯源”字段中（溯源字段的值格式均为“{手机号=[待获取的卡串号->手机卡串号(IMSI)使用过的手机号->当前]}”），请统计分析出该表中哪个真实卡串号出现过的次数最多？（答案填写卡串号）
   

2. 答案：460017709683511 

3. 解析：先通过正则表达式提取出正确的卡串号，再使用pandas进行数据统计，

4.  

5. 分列 筛选

1. 
   

2. 通过对检材“04-涉诈案件信息表“分析，统计每个分局2024-2025年每月被骗总额环比大于30%的月份个数（环比定义：（这个月的数据-上个月的数据）/上个月数据。特殊情况，例如某分局2025年1月被骗金额总和为100，若该分局2024年12月没有被骗金额，则该分局2025年1月也符合题目要求，应增加一个月份。2024年1月不需要计算与上个月的环比情况），请写出环比大于30%的月份个数最多的分局名称为？（答案填写分局ID即可）
   

3. 答案：

4. A675 

5. 解析：Pandas数据处理和数据统计以常识应用分析，代码如下： 

6. 
   

7. 
   

8. 
   

9. 
   

10. 通过对检材“05-人像卡口信息表”和“06-涉毒前科人员信息表”（两表均无重复数据，直接要求答题即可。感知时间字段格式均为yyyy-MM-dd HH:mm:ss；传感器ID（人像卡口点位）值不同则代表不同的摄像点位），为摸排疑似涉毒的窝点，请分析出在00:00:00~06:00:00(含0点跟6点)人像记录中，哪个传感器点位抓拍到最多的不同涉毒前科人员？（答案填写点位ID）答案：350203103 解析：sql字段截取和聚合统计应用，代码如下： 

11. 
    

12. 
    

13. 
    

14. 接上题，为摸排潜在的涉毒人员，请分析出有多少个非涉毒前科人员至少跟3个不同的涉毒前科人员同行过？（本例题的“同行”指：两人在同一个人像卡口点位感知时间差在10（含）秒内）（答案填写数字即可）答案：4 

15. 解析：sql中时间处理应用 

1. 
   

2. 近几年架设简易GOIP设备进行群呼诈骗的案件屡见不鲜。架设和维护该设备的人员通常会频繁更换酒店【只住一天然后更换酒店】以此躲避公安的侦察打击。请根据”07-旅店住宿信息表“（该表无重复数据，直接要求答题即可。时间相关的字段格式均为yyyy-MM-dd HH:mm:ss），筛选出2024和2025年的住宿记录（以“入住时间”为准），频繁更换酒店的人员有几个？（答案填写数字即可）

答案：7

解析代码如下：

后台回复“初赛”关键词获取纯题目版本。

 

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证