24美亚杯（david手机取证）

49. [ 填空题 ] 你在查看 Clara 的⼿机镜像后，确定 Clara 是 David 的妻⼦，调查员通过查询酒店预订记录确认了这⼀点。他们现在定位 David 的住所，以进⾏进⼀步调查。你⾸先分析 David 的⼿机。参考 David_Smartphone_1.zip ，根据 Contents.db ， David ⼿机接收了通讯软件 "Telegram" 的验证短信，该验证码是多少？ (3 分 )

告诉了我们要找的数据库，那直接定位Contents.db

同时，axiom已经把短信信息解析出来了，所以我们直接找解析出来的短信就行了

50. [ 填空题 ] 参考 David_Smartphone_1.zip ， David 把⼿机设置为个⼈热点，请找出个⼈热点的密码。 (3 分 )

/data/misc/wifi/softap.conf：这是通用且主要的存储位置。该文件通常以明文形式存储热点的名称(SSID)和密码(Passphrase)。

/data/misc/apexdata/com.android.wifi/WifiConfigStoreSoftAp：在高版本的Android系统中，热点配置也可能存储于此。

/data/misc/wifi/WifiConfigStore.xml 或 wpa_supplicant.conf：需要注意的是，这两个文件主要存储的是手机曾经连接过的Wi-Fi网络的密码，而非其作为热点时向外广播的密码。

找了一下，没找到softap.conf，好奇怪

看了一下别人的wp，发现有softap.conf在HOTSPOTSETTING文件夹底下，那为什么xways我没搜到呢

51. [ 判断题 ] 参考 David_Smartphone_1.zip, David ⼿机曾连接名为 "MTR Free Wi-Fi" 的 Wi-Fi ｡ (2 分 )

做上一题的时候误打误撞做出了这一题hhh

52. [ 填空题 ] 参考 David_Smartphone_1.zip ，根据 com.tencent.mm_preferences.xml ， David 的⼿机最后登录微信的微信 ID 是？ (3 分 )

既然已经告诉我们要找的文件，那我们先找一下

貌似解析出了点问题，我们导出来看看

com.tencent.mm_preferences.xml 的作⽤

这是微信的⽤⼾配置 / 偏好⽂件，不包含聊天记录，但在取证中主要有两个⽤途： 1. 确认⽤⼾⾝份：明⽂存储了登录的⼿机号、微信 ID 、昵称、 UIN 等关键信息，让你快速锁定机主是谁。 2. 辅助后续取证：其中的 UIN 是解密微信加密数据库的关键参数之⼀； isLogin 可判断提取时登录状态；图⽚路径可提供时间线线索。

53. [ 填空题 ] 参考 David_Smartphone_1.zip ，请指出哪⼀张图⽚是于 2024 年 8 ⽉ 28 ⽇利⽤屏幕截取的。 ( 答案格式 :ABC_123.jpg) (3 分 )

Clara的手机取证中做到过找截图的题目，位置是在screenshot文件夹中

我对这个dcim文件夹很好奇，里面存放了什么，怎么都是照片文件，和picture有什么区别呢？

54. [ 填空题 ] 参考 David_Smartphone_1.zip ，根据 Contents.db ， David ⼿机的型号 (Model) ？ ( 答案格式 : ⼤写英⽂字⺟和符号 '-' 混合组成 ) (2 分 )

这个数据库又是存放什么东西的呢，怎么又有短信，还有设备信息？

Contents.db并非通用系统文件，而是与特定案件或应用相关的数据。（保持怀疑）

55. [ 填空题 ] 参考 David_Smartphone_1.zip 的 Contents.db ， David 所使⽤的⼿机 SIM 卡的序号？ ( 答案格式 : 只需要⽤阿拉伯数⽬字回答 ) (1 分 )

看了看师兄的wp，里面也提到了这个数据库的作用，这个解释比ds的解释我觉得好多了

56. [ 填空题 ] 参考 David_Smartphone_1.zip ， David ⼿机安装了应⽤程序 "MetaMask" 。根据 persist-root 中， "MetaMask" 钱包内有多少个账号？ (3 分 )

这个文件存放了metamask的账号信息，钱包，转账信息等

57. [ 单选题 ] 参考 David_Smartphone_1.zip ，根据 persist-root 中，何时从应⽤程序 "MetaMask" 发送虚拟货币⾄以下地址 : 0X10A4F01B80203591CCEE76081A4489AE1CD1281C (3 分 ) A. 2024-08-11 1249(GMT+8) B. 2024-08-14 1658 (GMT+8) C. 2024-08-14 1659 (GMT+8) D. 2024-08-16 1724 (GMT+8)

直接在记事本中搜索这个地址

猜测后面的内容是时间戳。

58. [ 单选题 ] 参考 David_Smartphone_1.zip ， David 曾利⽤⼿机应⽤程序 "MetaMask" 三次发送虚拟货币失败。根据 persist-root ，发送虚拟货币失败的原因是什麼？ (3 分 ) A. ⽹络连接问题 B. 应⽤程序权限被拒 C. 接收地址错误 D. ⼿续费不⾜

在阅读的时候发现了failed和confirmed，猜测这是发送失败或者成功的标识，于是搜索failed

果然，搜出来三个failed和三次发送失败对上

找到了这句话{\"code\":-32000,\"message\":\"insufficient funds for gas * price + value: balance 36167000000000, tx cost 163797000000000, overshot 127630000000000\",\"cause\":null}}

第一个数加第三个数正好是第二个数，而且第二个数是tx cost猜测是类似税的钱，所以答案：D

24美亚杯（david手机取证）

50. [ 填空题 ] 参考 David_Smartphone_1.zip ， David 把⼿机设置为个⼈热点，请找出个⼈热点的密 码。 (3 分 )

51. [ 判断题 ] 参考 David_Smartphone_1.zip, David ⼿机曾连接名为 "MTR Free Wi-Fi" 的 Wi-Fi ｡ (2 分 )

52. [ 填空题 ] 参考 David_Smartphone_1.zip ，根据 com.tencent.mm_preferences.xml ， David 的⼿ 机最后登录微信的微信 ID 是？ (3 分 )

53. [ 填空题 ] 参考 David_Smartphone_1.zip ，请指出哪⼀张图⽚是于 2024 年 8 ⽉ 28 ⽇利⽤屏幕截 取的。 ( 答案格式 :ABC_123.jpg) (3 分 )

54. [ 填空题 ] 参考 David_Smartphone_1.zip ，根据 Contents.db ， David ⼿机的型号 (Model) ？ ( 答 案格式 : ⼤写英⽂字⺟和符号 '-' 混合组成 ) (2 分 )