2020美亚个人赛复盘

个人赛veracrypt密码：aWJ^64Sxt*[email protected]&yB2zsfkn

案件背景：

2020年9月，数名信用卡持有人向警方报案，称他们的信用卡被不知名人士在一家本地网上商店购买手机。订单大部分来自海外的网络地址，但有一宗订单来自本地。警方经调查后发现该本地网络地址的注册地址。上门后在该处发现陈慧贤，她否认与案件有关。

警方在现场扣押一部笔记本计算机、一部手机及一个USB存储设备。在场的初步应变小队在扣押证物前，曾为现场环境及证物拍照。另外, 调查队伍也从网络供货商及网上商店取得了一些与本案有关的资料。现在你被委派处理这宗案件, 请由以下的资料分析陈慧贤在本案中有否犯罪, 还原事件经过。

网络地址登记人记录	/Meiya Cup 2020/调查报告/互联网服务供货商检查报告_陈慧贤 (Alice).pdf
证物照片	/Meiya Cup 2020/Photo/Alice（电脑照片上两个密码，G889#h，QPzm!#8∅@#）
笔记本计算机的镜像文件	/Meiya Cup 2020/Image/Alice/Alice Laptop/Alice_Laptop.e01
USB设备的镜像文件	/Meiya Cup 2020/Image/Alice/Alice USB/ALICE_USB.e01
手机的镜像文件	/Meiya Cup 2020/Image/Alice/Alice LG Phone /MMC(0x0-0x0747C00000).bin
初步应变小队的调查报告	/Meiya Cup 2020/調查報告/案件调查报告- 被捕人陈慧贤 (Alice).docx

1-10

1、Alice的笔记本计算机已成功被取证并制作成镜像(Forensic Image), 下列哪个是镜像的SHA-1哈希值?

EB4854774B68058E5B327907DB2AC40AAA2E7DED

2、Alice的笔记本计算机安装了哪个操作系统(Operating System)?

Windows 10 Pro

3、在Alice的笔记本, 创建用户帐户的SID是甚么？

S-1-5-21-1017277147-4095180158-1226650532-1001 

4、在Alice的笔记本,用户的最后登录时间是甚么时候？(本地时间)

2020-09-30 10:13:44 

5、在Alice的笔记本,最后登录的用户名称是甚么？

Alice 

6、Alice笔记本计算机的名称是甚么？

DESKTOP-DJFFBL6 

7、在Alice的笔记本, 最后登录的用户何时更改了Windows登录密码？ （当地时间）

2020-09-16 02:22:20

8、Alice笔记本计算机的时区是甚么？

A:UTC;B:DST;C:CST;D:CDT;E:HKT

 C

9、在Alice的笔记本, OS分区的文件系统是甚么？

NTFS

OS分区是操作系统分区，C盘

10、计算机上预设安装了甚么浏览器？

A:Firefox;B:Chrome;C:Safari;D:Internet Explorer;E:Opera

D

IE、Edge应该都是预装的，但是没有Edge选项

11-20

11、在Alice的笔记本,哪个是最常用的浏览器？

A:Firefox;B:Chrome;C:Safari;D:Internet Explorer;E:Opera

D

根据历史记录应该是Edge，但是没有这个选项

12、在Alice的笔记本, 最常用的浏览器是甚么版本？

Internet Explorer version 11 

13、在Alice的笔记本, Alice浏览了哪个在线商店的网站

A:Sunnings, Apple 及 Microsoft;

B:Microsoft, Apple 及 Fortress;

C:Sunnings, Boardway 及 Fortress;

D:Sunnings, Apple 及 Fortress;

E:Sunnings, Apple 及 Boardway

D

Sunnings

 Apple

Fortress

14、在Alice的笔记本, 受害人的信用卡号是甚么?（Ho PCKYI-电子邮件：[email protected]）

5411 2210 0121 7741

仿真后在电子邮件里找到

15、在Alice的笔记本, 受害人的信用卡CSC号码是甚么（何PCKYI-电子邮件：[email protected]）

112 

16、除了上述在USB 找出ZIP文件,请找出相同ZIP文件的路径？

A:Partition 3\Users\Alice\Desktop\Downloads;

B:Partition 3\Users\Alice\Desktop\Temp;

C:Partition 3\Users\Alice\Recent;

D:Partition 3\Users\Alice;

E:Partition 3\Users\Alice\Downloads

E

计算机里面

USB里面

17、ZIP文件的哈希值（SHA-256）是甚么？

88F68F8755E1F76107D6EE2134ED32BABBSHAC91F0B44C7C0EE3850BBA74B7E59B8 

18、ZIP文件的修改时间是多少?(当地时间)

2020-09-29 18:46:54

19、USB驱动器在Alice笔记本计算机上的最后插入时间是何时？(当地时间)

A:2020-09-28 1800 hrs;B:2020-09-27 1802 hrs;C:2020-09-29 1801 hrs;D:2020-09-16 1803 hrs;E:2020-09-29 1202 hrs

C

计算机里的时间都不对 

WPSettings.dat文件最后的修改时间就是

20、解压的ZIP文件内有哪些文件？

log1nx.txt, R3ZZ.txt, WhatsApp Image 2020-09-29 at 18.35.25.jpeg, WhatsApp Image 2020-09-29 at 18.37.47.jpeg

21-30 

21、"“ ZIP文件中发票的哈希值（SHA 256）是多少=发票（1）名称：WhatsApp Image 2020-09-29 at 18.35.25.jpeg”"

F4C391A38AB82AD19EDB2B7402DA31F52006C3B4B018F859A451B839878D3EE4

22、"“ ZIP文件中发票的哈希值（SHA 256）是多少=发票（2）名称：WhatsApp Image 2020-09-29 at 18.37.47.jpeg”"

2DAFCC2552A7337844B90F0AB5CDA85BF2F5A71A635E0D3B05731C95937D21F5

23、Alice笔记本计算机上安装了哪种电子邮件软件？

Outlook 

24、Alice笔记本计算机上的电子邮件软件的版本是甚么？

Outlook  2016

仿真 

25、Alice笔记本计算机登录电子邮件软件的电子邮件帐户是甚么？

[email protected] 

26、Alice在上述电子邮件对话中获得了哪些数据/文件？

log1ns.txt, R3ZZ.txt

27、该电子邮件的发信者的电子邮件地址是甚么？

[email protected]

28、上述已收的电子邮件, 发件人的IP地址是甚么？

209.85.220.41

29、在笔记本, Alice的电子邮件地址是甚么？

[email protected] 

30、除了Alice，还有其他电子邮件地址与该骗局有关吗？

[email protected]

31-40

31、哪些人有AP和主脑之间的电子邮件记录？有文件传输吗？

A:Alice and Cole, re log1ns.txt and R3ZZ.txt;

B:Alice and Tommy, re log1ns.txt and R3ZZ.txt;

C:Alice and Bob, re log1ns.txt and R3ZZ.txt;

D:Alice and Chris, re log1ns.txt and R3ZZ.txt;

E:Alice, Bob and Cole, re log1ns.txt and R3ZZ.txt

C

32、在ZIP 文件中, 有多少受害人的信用卡数据被盗?

7

R3ZZ.txt里面有7个受害人

33、已被黑客盗用其信用卡资料购买的受害者是谁?

A:TONG TO ON;B:YUEN MING TIM;C:TSE KONG LON;D:TSE WONG YIN;E:LEE YOI TEI

C

仿真里面的发票照片

34、被盗用的内容是甚么？

A:Name, ccc code, credit card number;B:Name, ccc code, HKID;C:Name, credit card number, aged;D:Name, credit card number, CSC;E:Nil

D

35、Alice的手机型号是甚么？

A:Model:LG-D855(G3 Global);B:Model:LG-D755(G3 Global);C:Model:LG;D:Model:LG-D855(G4 Global);E:Model:LG-BB55(G3 Global)

A

美亚的手机大师我用着不太顺，弘连没取出来，盘古石手机取证系统取出来了

36、Alice手机的操作系统版本是甚么？

Android 6.0

37、Alice手机的总储存空间是多少?

32G

38、在Alice 手机, IMG-20200929-WA0002的创建时间是甚么？(本地时间)

2020-09-29 18:24:40

39、在Alice 手机,IMG-20200929-WA0004的创建时间是甚么？(本地时间)

2020-09-29 18:25:49

40、IMG-20200929-WA0002和IMG-20200929-WA0004的元数据和相机型号是甚么？

A:Manufacturer: LG Electronics, Model:        LG-DD55;

B:Manufacturer: Apple, Model:        A1687;

C:Manufacturer: LG Electronics, Model:        LG-D855;

D:Manufacturer: Samsung, Model:        SM-N7105;

E:Manufacturer: MI, Model:        MI8

C

把图片提取出来，然后用MagicEXIF分析数据

41-50 

41、在Alice 手机, 预设浏览器浏览历史记录的文件在哪里？

A:\Partition43[hda41]\data\com.android.browser\databases\browser2.db(Mobile Forensics System V2);

B:\Partition40[hda41]\data\com.android.chrome\app_chrome\Default\History(Mobile Forensics System V2);

C:\Partition41[hda41]\data\com.android.chrome\app_chrome\Default\History(Mobile Forensics System V2);

D:\Partition42[hda41]\data\com.android.chrome\app_chrome\Default\History(Mobile Forensics System V2);

E:\Partition44[hda41]\data\com.android.chrome\app_chrome\Default\History(Mobile Forensics System V2)

A

两个浏览器，手机浏览器就是预设浏览器

42、储存Chrome浏览历史记录的文件是甚么？

A:\Partition40[hda41]\data\com.android.browser\databases\browser2.db(Mobile Forensics System V2);

B:\Partition41[hda41]\data\com.android.browser\databases\browser2.db(Mobile Forensics System V2);

C:\Partition42[hda41]\data\com.android.browser\databases\browser2.db(Mobile Forensics System V2);

D:\Partition43[hda41]\data\com.android.chrome\app_chrome\Default\History(Mobile Forensics System V2);

E:\Partition44[hda41]\data\com.android.browser\databases\browser2.db(Mobile Forensics System V2)

D

43、Alice手机的Whatsapp ID和账户名称是甚么？

[email protected]，Alice

44、与Bob和Cole的最后WhatsApp的时间是甚么？(本地时间)

2020-09-26 18:47:34

45、主脑的名字是甚么？

Bob、Cole

主脑应该是除了Alice以外的其他主犯

46、Alice，Bob和Cole之间的WhatsApp群组的ID和名称是甚么?

[email protected]，Big Big club

47、哪一个表，显示了聊天群组“ Big Big Club”的创建时间？(本地时间)

A:Table:chat;B:Table:chat_list;C:Table:chat_group;D:Table:chat-group;E:Table:chatting_list

B

从聊天群组跳转源文件，将数据库导出，用navicat连接，chat表或者chat_list表

creation创建时间

created_timestamp创建时间戳 

说实话感觉两个都对，选chat_list更靠谱 

48、聊天群组“ Big Big Club”是甚么时候创建的？(本地时间)

2020-09-18 09:34:38

49、Alice是否曾经登陆whatsapp网站？如果有的话，她是在何时登入? 所用的是甚么浏览器？ （提示：在移动取证图像上找到结果）(UTC +0)

A:No;B:Yes. Windows Edge.  2020-09-29, 18:43:44;C:Yes. Windows Edge.  2020-09-29, 10:43:44;D:Yes. Firefox.  2020-09-29, 10:25:44;E:Yes. Firefox.  2020-09-29, 16:43:44

B

50、Alice如何收到这笔钱？钱包地址是甚么？

A:通过比特币钱包:1L6fKWpEYvUi8FeG6BnXqfh1joAgmJA1h1;

B:通过比特币钱包:2L6fKWpEYvUi8FeG6BnXqfh1joAgmJA1h2;

C:通过比特币钱包:3A6fKWpEYvUi8FeG6BnXqfh1joAgmJAlh1;

D:通过比特币钱包:666fKWpEYvUi8FeG6BnXqfh1joAgmJA1h1;

E:通过比特币钱包:FF6fKWpEYvUi8FeG6BnXqfh1jOAgmJA1h1

A

51-61 

51、“Deleted by the sender”的media_wa_type是甚么?

15

So what's next后面，Shell前面就是删除的消息 

在表里找到，media_wa_type是15 

52、Alice手机的Wifi MAC地址是甚么？

A:Intf0MacAddress=000AF58989FF;

B:Intf0MacAddress=0012AF58989FF;

C:Intf0MacAddress=000BF58989FF;

D:Intf0MacAddress=110AF5B989FF;

E:Intf0MacAddress=222AF589B9FF

A

在wifi连接记录里跳转源文件，跳转到wpa_supplicant.conf里，但是里面没有，在上面的WCNSS_qcom_cfg.ini文件里找到了mac地址

53、Alice USB驱动器内的ZIP档案的密码是甚么? (某些字符被刻意用*遮盖)

A:QP**!#80**;B:[email protected]****;C:QP******@!;D:**98#*;E:**89#h

A

54、Alice USB驱动器内的哪一个程序是用作储存秘密数据?

A:mytracker.apk;

B:com_cleanmaster_mguard_7.4.6_02_09_2020.apk;

C:crypto_aliens_bch_1.0.2_05_11_2020.apk;

D:de_schildbach_wallet_8.03_06_09_2020.apk;

E:Messagesecure.apk

D

mytracker我的追踪器，Messagesecure信息安全，储存秘密数据应该是D

开启一个雷电模拟器，把导出的apk安装进去，打开确认就是它

55、打开秘密讯息的密码是甚么? (某些字符被刻意用*遮盖)

A:**89#h;B:Qpzm!#****;C:QP******@#;D:**98#*;E:**8#9*

A 

56、USB驱动器内，其中一个档案的秘密讯息是甚么? (某些字符被刻意用*遮盖)

A:Password is ****;B:Alice is the mastermind;C:*****phone pw is ****;D:Alice and Bob are masterminds;E:Phone is ********

C

把USB里面唯一一张图片导出，扔进模拟器里，点击上半部分，然后DECODE，输入图片和密码，解出秘密讯息

57、贴在笔记本计算器机上的密码有甚么用途?

A:Alice笔记本电脑的Bitlocker密码;

B:Alice的USB驱动器的密码;

C:Alice的电子银行密码;

D:从文件恢复安全消息;

E:Alice的手机密码

D

58、Alice USB驱动器内的档案有甚么种类?

A:PNG, ZIP, APK, DOC;B:PNG, ZIP, APK;C:PNG, ZIP, APK, 7Z;D:PNG, DOC, APK, 7Z;E:PNG, ZIP, DOC, 7Z

C

APK

 PNG

ZIP、7Z

59、Alice USB驱动器的哈希值（SHA-256）是甚么？

528D94ED83F41C356B0588C2C21ECF563E9D8CA66ED6D97A3D57C26291854DFF 

60、在USB驱动器中找到的ZIP文件（Downloads.7z），它的哈希值（SHA-256）是甚么？

88F68F8755E1F76107D6EE2134ED32BABBC91F0B44C7C0EE3850BBA74B7E59B8

61、在Alice的USB内, ZIP文件的最后修改时间是？

2020-09-29 18:46:54