24美亚杯clara手机取证部分

作者：t1mM9的笔记 发布：2026-09-03 23:01 收录：2026-09-16 12:28 1 次阅读 约 3030 字
摘要：24美亚杯 clara 手机取证
推荐理由：本文围绕「手机取证」、「ART」、「API」等主题展开。

25. [ 单选题 ] 依据你在 Emma 的⼿机上找到的照⽚，你告诉调查员 Clara 最后的位置是在湾仔的⼀ 家酒店。根据你提供的信息，调查员发现 Clara 在酒店去世， Clara 的⼿机在她的附近，你对 Clara 的⼿机进⾏取证。请根据取证结果回答以下问题｡ 参考 Clara_Smartphone.bin ， Clara ⼿ 机的 Android 操作系统版本是？ (1 分 ) A. 8.0.0 B. 9.0.0 C. 8.1.0 D. 7.0.0

在安卓系统中，操作系统的版本信息一般位于build.prop文件中，这个文件，存储了以下信息：
1. 系统版本与构建信息
  • ro.build.version.release：Android 版本号（如 14）
  • ro.build.version.sdk：API 级别（如 34）
  • ro.build.version.codename：版本代号（如 REL、UpsideDownCake）
  • ro.build.version.incremental：增量编译号
  • ro.build.version.security_patch：安全补丁日期
  • ro.build.display.id：构建显示 ID
  • ro.build.fingerprint：系统指纹（包含厂商、产品、设备、版本、构建号等）
  • ro.build.date/ro.build.date.utc：构建时间
  • ro.build.type：构建类型（user、userdebug、eng）
  • ro.build.tags：构建标签（release-keys、test-keys 等）
2. 设备与硬件标识
  • ro.product.model：设备型号（如 Pixel 8 Pro）
  • ro.product.brand：品牌（如 Google）
  • ro.product.device：设备代号（如 husky）
  • ro.product.name：产品名称
  • ro.product.manufacturer：制造商
  • ro.board.platform：芯片平台（如 sdm845、tensor）
  • ro.hardware：硬件平台名称
  • ro.soc.model：SoC 型号
  • ro.boot.hardware：内核启动硬件标识
3. 系统功能特性开关
  • ro.config.low_ram：是否低内存设备
  • ro.config.nocheckin：是否禁用统计
  • persist.sys.*：持久化系统属性（如语言、时区、显示参数）
  • ro.telephony.default_network：默认网络模式
  • ro.ril.*：无线接口层相关属性
  • ro.crypto.state：加密状态（encrypted/unencrypted）
4. 性能与内存参数
  • dalvik.vm.heapsize：虚拟机堆大小
  • dalvik.vm.heapgrowthlimit：堆增长限制
  • dalvik.vm.heapstartsize：初始堆大小
  • dalvik.vm.heaptargetutilization：堆目标利用率
  • ro.sf.lcd_density：屏幕密度
  • ro.config.ringtone：默认铃声
  • ro.config.notification_sound：默认通知音
5. 网络与连接参数
  • ro.kernel.android.checkjni：是否检查 JNI
  • ro.secure：是否启用安全模式
  • ro.debuggable：是否可调试
  • ro.allow.mock.location：是否允许模拟位置
  • net.bt.name：蓝牙设备名称
  • wifi.interface：Wi-Fi 接口名称
6. 定制 ROM 与厂商特有属性
  • 厂商自定义的属性前缀（如ro.miui.、ro.emui.、ro.coloros.*等）
  • 运营商定制信息（如ro.carrier）
  • 是否解锁 Bootloader 的痕迹（如ro.boot.flash.locked、ro.boot.vbmeta.device_state）
  • Root 环境相关属性（如ro.build.selinux、ro.build.tags中若为 test-keys 可能表明非官方构建
现在，我们要找到这个文件，打开axiom中的文件系统，发现和ios手机的文件系统又很大的区别，怎么又这么多的partition呢
这是安卓系统架构与安全模型长期演进的结果，与 iOS 的呈现方式有显著不同，但 iOS 内部其实也存在多个卷。
Partition 1到Partition 18是 Android 系统的标准分区结构（MTK/高通等芯片方案）。根据它们的大小和文件系统类型（EXT-family），可以大致推断出以下作用（注：具体对应关系需结合该手机的特定分区表，以下是通用规律）：
·Partition 18 (EXT-family, 6.24 GB) system：          这是系统分区。存放着手机的操作系统（Android 系统文件、预装应用等）。图中的system标签已经明确了它的身份，这是手机正常运行的基础。
·Partition 14、15、16 等 (EXT-family, 8MB~32MB)：          这些通常是用户数据分区（Userdata）或者缓存分区（Cache）的组成部分，也可能包含Vendor（厂商定制库）或OEM分区。取证的核心目标（如通讯录、短信、照片、应用数据）通常就存放在这些EXT-family分区中。
·Partition 1、2、7、8 等 (48MB, 32MB, 66MB)：          这些大小不一的分区通常用于存放引导加载程序（Bootloader）、内核（Boot）、恢复模式（Recovery）、基带固件（Modem）等底层系统文件。这些分区一般不包含用户数据，主要用于手机的开机和系统修复。
·Partition 10~13 等 (512 KB)：          这些是非常小的分区，通常是Persist（持久化分区，存有WiFi/MAC地址等）、Misc（杂项分区，存有系统启动状态）、Metadata等系统关键配置信息。
我们要找的build.prop很明显是系统文件，我们去18分区里找找。
直接找到了。答案：A

26. [ 填空题 ] 参考 Clara_Smartphone.bin ， Clara ⼿机的版本号 (Build Number) 是什么？ (1 分 )

同样试问版本号，猜测一个跟上一题在同一个文件中。找到了这样一段：
应该就是答案了：OPR1.170623.026

27. [ 填空题 ] 参考 Clara_Smartphone.bin ， Clara ⼿机的 IMEI 号码是多少？ ( 答案格式 : 只填写阿拉 伯数字部分 ) (1 分 )

这道题找了非常非常久，在axiom中没有找到全局搜索，于是用xways
太阴了，在咸鱼的应该文件里。。。

28. [ 填空题 ] 参考 Clara_Smartphone.bin ， Emma 的微信账号是？ (2 分 )

直接在使用痕迹中找

29. [单选题] 参考Clara_Smartphone.bin,Clara的第一封电子邮件记录的日期? (2分)          

系统默认的邮件一般存储在/data/data/com.android.email/databases/EmailProvider.db中

Gmail一般存储在/data/data/com.google.android.gm/databases/
没找到com.android.email这个文件夹，猜测在gmail里面
好消息：gmail杯axiom正确的解析出来了喜喜，我们可以直接知道时间。
看了一下别人用xways的wp发现他们做这道题很有意思
他们在bigtopdatadb数据库中的item表中找到item_summary_proto列，然后用cyberchef解析，让我来操作一下。
操作之前，先问问ai
Bigtopdatadb数据库中有两个比较重要的表1.item2.item_message两个表的内容相似，item将同一主题的往来邮件归拢在一起， item_message这个表存储的是每一封独立邮件的详细信息。_item_summary_proto_字段存储的是Protocol Buffers（protobuf）序列化后的二进制数据。
Axiom还是很仁慈的帮我们解析好了好耶
猜测4是时间戳

30. [ 单选题 ] 参考 Clara_Smartphone.bin ，在通讯录中 "David" 的联系⼈信息还包括什么 ? (2 分 ) A. 出⽣⽇期 B. LinkedIn C. 电⼦邮件 D. 地址

主要在contact2数据库中查找，找到这样一一条url
很明显答案：B
在contacts2.db数据库中，raw_contacts表和data表是存储联系人核心信息的两张主表，它们通过raw_contact_id字段关联。

31. [ 单选题 ] 参考 Clara_Smartphone.bin ， David 和 Clara 之间通话次数 ? (2 分 ) A. 0 B. 8 C. 10 D. 24

在raw_contact表中，可以很明显发现是0次
如果你和我一样都是这么想的，那么你也错了》
有没有被阴到/////
我们找到同一个目录下的calllog数据库call表，筛选号码
其中type字段值得注意
其他字段基本都能懂什么意思。

32. [ 单选题 ] 参考 Clara_Smartphone.bin ， Clara 在 Chrome 浏览器搜索中哪天使⽤了关键 词 "popmart 炒价 "? (2 分 ) A. 2024-08-10 B. 2024-08-15 C. 2024-08-20 D. 2024-08-25

好奇怪，居然没有答案？？？
我们去它数据库中找找看在history数据库中
没有时间，只能根据url_id到别的表中找了
找到了这四个时间，根据时间戳转换就能得到答案

33. [ 单选题 ] 参考 Clara_Smartphone.bin ， 2024 年 7 ⽉ 30 ⽇共收到多少封电⼦邮件？ (2 分 ) A. 2 B. 3 C. 4 D. 5

前面知道了手机主要用的是gmail，gmail正好能被axiom解析，那这道题就很简单了。
数一下是5封
巴特，有些人说是4封，我没懂

34. [ 填空题 ] 参考 Clara_Smartphone.bin ， Clara 的 Gmail 账号是 ? (2 分 )

很明显吧

35. [ 单选题 ] 参考 Clara_Smartphone.bin ， Clara 的⼿机安装了哪个版本的 WhatsApp ？ (2 分 ) A. 241676000 B. 241676001 C. 241676004 D. 241676007

好熟悉的感觉，之前苹果手机的软件版本是在manifest.plist中（也有说实在info.plist）那安卓的软件版本在哪里呢？
用过安卓手机的朋友们肯定知道，下载的时候会有一个apk，这里肯定有软件的版本。的确，在apk中的AndroidManifest.xml就有，除此之外，系统文件中的packages.xml类似与注册表信息中也会有。如果是谷歌商店下载的frosting.db中也会有。
一些人在寻找的时候可能会发现
为什么这里没有apk文件呢？？
因为com.whatsapp是WhatsApp的核心数据目录，存放着聊天记录(msgstore.db)、账号信息(key)等这是私有的数据目录。
而安装目录通常是whatsapp后面跟一长串字符的
找了好久，哎
用java反编译打开这个apk就能阅读里面的xml文件
第二种方法，去system中找package.xml文件
试试第三种方法
貌似没有

36. [ 填空题 ] 参考 Clara_Smartphone.bin ， Clara 的 WhatsApp 账号？ ( 答案格式 : 只需填写 11 位阿拉 伯数字 ) (2 分 )

找到了别人的whatsapp账号，但是没有自己的
没想到痕迹里直接就有了
那么如果要找，要到哪里找呢？
Axiom说是在startup_prefs.xml中找到的，但是里面没有a
com.whatsapp_preferences_light.xml在这里发现。
用ai总结一下

37. [ 单选题 ] 参考 Clara_Smartphone.bin ， Clara 的⼿机在什么时候安装了⼩红书 APP ？ (2 分 ) A. 2024-07-10 B. 2024-07-16 C. 2024-07-20 D. 2024-07-30

可以直接找小红书apk中的AndroidManifest.xml

38. [ 单选题 ] 参考 Clara_Smartphone.bin ， 2024 年 8 ⽉ 21 ⽇ David 的虚拟貨幣钱包⾥有多少 IDFC ？ (3 分 ) A. 5022915.66 B. 3212695.22 C. 210355633.91 D. 以上皆不是

Emm微信里有，而且在emma的手机取证好像有这道题目吧

39. [ 填空题 ] 参考 Clara_Smartphone.bin ， Clara 注册的微信账号验证码是多少？ (2 分 )

40. [ 填空题 ] 参考 Clara_Smartphone.bin ， David 为庆祝结婚周年纪念预订了哪家酒店？提⽰ : 请使 ⽤⼤写英⽂字⺟作答，例如 :HONG KONG HOTEL) (3 分 )

找微信聊天记录
这个安卓手机居然能吧图片直接在聊天中解析出来，我服了。。。我在图片哪里找了半天

41. [ 填空题 ] 参考 Clara_Smartphone.bin ，哪个数据库⽂件存储了微信消息？ ( 答案格式 : 只需使⽤ 全部⼤写回答 , 例如 :ABC.DB)

这个很简单，只要随便选择一条微信消息，看一下证据源就ok了

42. [ 填空题 ] 参考 Clara_Smartphone.bin ，哪个数据库⽂件 (.db) 存储了 WhatsApp 訊息？ (3 分 )

同上
这两题直接问ai（聪明的ai）应该都可以吧

43. [ 单选题 ] 参考 Clara_Smartphone.bin ， Clara 在 2024 年 8 ⽉ 29 ⽇拍了多少张照⽚？ (2 分 ) A. 0 B. 3 C. 4 D. 5

最后一张被删了，3张

44. [ 单选题 ] 参考 Clara_Smartphone.bin ， Emma 在 2024 年 8 ⽉ 6 ⽇通过微信发送了多少张照⽚给 Clara? (2 分 ) A. 0 B. 1 C. 5 D. 12

直接看聊天记录吧

45. [ 填空题 ] 参考 Clara_Smartphone.bin ，照⽚ 20240829_144717.jpg 的拍摄相机型号是什么？ (2)

很显然，检查exif信息就行

46. [ 单选题 ] 参考 Clara_Smartphone.bin ， 20240821_121435.jpg 的储存路径是什么？ (2 分 ) A. /media/0/DCIM/Camera B. /media/1/DCIM/Camera C. /media/00/DCIM/Camera D. /media/11/DCIM/Camera

47. [ 填空题 ] 参考 Clara_Smartphone.bin ， 2024 年 8 ⽉ 20 ⽇有多少张截图？ (2 分 )

安卓：/storage/emulated/0/Pictures/Screenshots/
苹果：/var/mobile/Media/DCIM/

48. [ 单选题 ] 参考 Clara_Smartphone.bin ， 2024 年 8 ⽉ 22 ⽇被删除微信消息的类型是？ (3 分 ) A. 照⽚ B. 视频 C. ⽂本 D. 以上都不是

吐槽一下，做到这的时候axiom没响应，axiom我觉得最大的缺点就在于太占内存导致使用的时候太太太太太慢了。
实话实说，我没找到这个，我看网上师傅的wp是根据emma的手机一起看，emma微信中有一条照片，而clara手机上没有，使用时照片。
Emmm有点意思

转载声明：本文转载自原发布平台 （作者：t1mM9的笔记）， 原文标题《24美亚杯clara手机取证部分》， 查看原文。 版权归原作者及原发布平台所有，本站仅作收录与展示，未对正文内容作实质性修改； 若涉及侵权请联系本站处理。
24美亚杯（david手机取证） →