案件背景：于 2024⽉8⽉某⽇，警⽅接获⼀名本地⼥⼦ Emma 报案，指她的姐姐 Clara 失联多天，希望报告⼀宗失踪⼈⼝的案件。现在你被委派处理这宗案件。于处理该案件期间，你在 Emma 的同意下提取了她⼿机的资料，并且协助警⽅对 Clara 及其丈夫 David 的电⼦装备进⾏取证⼯作。请分析以下的资料，还原事件经过。

本章节主要是关于Emma_Mobile.zip这个材料，涉及题目1-24题。主要用到的工具是magnet axiom取证工具。

开始前的碎碎念：这是我第一次接触取证，我是打算在接下来2年主攻取证以及ctf的比赛，不追求为校争光（其实是没能力））但要增加自己网安方面的知识储备&增强实战能力。

废话就说到这，接下来我们看题：）

1. [ 单选题 ] Emma 已经⼏天没有收到她姐姐 Clara 的消息了，报警失踪，她焦虑地将⼿机提交给警察，希望能找到线索。警察将⼿机交给你进⾏电⼦数据取证。你成功提取了 Emma ⼿机的镜像。请根据取证结果回答以下问题。根据 Emma_Mobile.zip ， Emma 和 Clara 的微信聊天记录， Emma 最后到警署报案并拍摄写有报案编号的卡⽚，拍摄时的经纬值是多少？ (2 分 )

A. 22.451721666667, 114.171853333333

B. 22.451553333333, 114.172845

C. 22.451928333333, 114.170503333333

D. 22.451638333333, 114.16993

题目中提到Emma和Clara的聊天记录，很明显让我们看微信的聊天记录，找到左侧的微信消息点击，再点击中间的发送人来排序，之后点击任意一条Emma和Clara的聊天，最右侧就能出现完整的聊天记录。可以轻松发现里面基本上全是她们两的聊天记录。（第一次见这个聊天记录的时候感觉好爽<>

所有的聊天记录由于篇幅过长就不为大家单独提取了，大致事情经过就是Emma因为投资，赌博等一系列事情导致欠债，在姐姐Clara的旁敲侧击下获得姐夫David的银行账户密码，偷偷用了卡里的钱，并被姐夫发现。姐夫在结婚纪念日当天邀请姐姐去就酒店给她一个惊喜，后面的事情我们就无从得知了。

回到这道题上，由于微信图片的一些机制，取证工具没法直观的在聊天记录里添加图片，所以只能在别的地方找图片。当然这个相当轻松。因为在聊天记录下面就有图片的图标，直接点击即可。

这时候，肯定有疑问，为什么不是上面那个？

上面的“图片媒体信息”中的内容是图片的解析后的一些信息，比如说：exif属性，文件属性，关联内容等等。而图片中的内容是的的确确出现在手机中的图片论是手机自带相机拍摄的，还是微信里保存的、网页上截图的、别人通过 AirDrop 传过来的、甚至是已经删除但恢复出来的，只要是图片文件（如 JPG、PNG），都会被存放在“图片”分类里。

接下来我们可以一张图片一张图片的直接找，也可以根据微信最后的聊天的时间来找，反正照片不多，都可以迅速找到。

第一种做法：根据时间信息，检索相近时间的使用痕迹，可以直接在图片媒体信息找到这个文件，并且直接包含了我们要找的经纬度信息。

第二种做法：如果没有axiom这样的工具，比如用的是比较传统的xways可以用以下的方法。

有了照片还不够，题目问我们经纬度信息，这种信息在哪里可以找到呢？我问了问ai

很明显，这是苹果手机，于是在photos.sqlite中查找。在查找前，我们先了解了解这个数据库是存放什么内容的。它是iOS 设备的系统照片数据库，其中要关注的ZASSET表，包括了一下的内容

此外，ZEXTRAATTRIBUTE / ZADDITIONALASSETATTRIBUTES也要关注，里面有很多扩展属性。还有很多重要的表，可以问问ai

我们先记住图片的时间信息，再到photo. Sqlite数据库中根据时间找到对应文件。

所以，这道题的答案是C

2. [ 单选题 ] 根据 Emma_Mobile.zip ， 2024 年 8 ⽉ 30 ⽇下午两点后 Emma 共致电 Clara 多少次？ (1 分 ) A. 85 B. 86 C. 87 D. 88

这道题明显让我们找通话记录，一般通话记录在callhistory.storedata.db中，安卓手机一般存储在calllog.db中

在这个数据库中，有这三张表值得注意：第一张，倒数第二，倒数第一张，其中callrecord记录了时间，handle记录了号码，第一张则记录了时间，号码两张表的对应关系。

说一个题外话，我对这里callrecord的105条数据有点疑惑，不应该跟其他两张表一样吗，为什么就他多了两行，会不会是没接通或者挂断了？问了一下deepseek（以后会换ai，xixi）

除了这张表之外，我们还不知道emma的电话号码是多少，我们要i去通讯录数据库中找找，iOS中数据库名字是CallHistoryDB / AddressBook 数据库，安卓中是contacts2数据库。

我的axiom不知道出现什么问题了，不能打开addressbook这个数据库悲

通过提取文件，用dbbrowser打开在abperson表中查询到电话号：6379 1704

答案：D

3. [ 单选题 ] 根据 Emma 和 Clara 的微信聊天记录， Clara 失踪前曾告诉 Emma 会到哪⾥？ (1 分 ) A. 到酒店和丈夫 David 庆祝结婚周年 B. 吃⾃助餐 C. 约了朋友⻅⾯ D. 去旅⾏

在axiom的使用痕迹中很容易就能找到微信聊天记录

答案：A

4. [ 填空题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 内微信应⽤程序的版本是多少？ (2 分 )

软件的版本信息iOS存放在plist中，而安卓有些特殊，在其对应的软件包的文件夹中的xml里，具体后面clara的手机取证会涉及到。

打开plist文件夹，发现其中有三个plist，这三个plist都存放了什么呢

很明显，要在manifest中查找

答案：8.0.50

5. [ 多选题 ] 参考 Emma_Mobile.zip ， Emma ⼿机中下列哪个选项是正确的？ (2 分 ) A. iOS 版本为 17.6.1 B. IMEI 为 356414106484705 C. Apple ID 为 Emma1761@gmail.com D. ⼿机曾经安装 Metamask 应⽤程式

首先，我们来找版本号，借用师兄写的文章：

我们直接在plist中搜索ProductVersion，这是ios的标准默认键名，就可以找到

可以看出，这个plist文件中存放了很多东西，让我们详细了解了解这个plist存放的内容：

[0] BackupKeyBag（备份密钥包，保存字节）：存放着用于解密该备份的核心加密密钥（KBAG）。它包含了不同文件系统的加密密钥，是取证工具解密备份内具体文件数据的“总钥匙”。

[1] Version = 10.0：备份格式的版本号（注意：它不是 iOS 系统版本，而是 iTunes/Finder 用于记录备份数据结构的格式版本）。版本越高，备份的解析方式可能越复杂。

[2] Date = 2024/9/3 2:05:57：备份创建的时间戳。这是取证中极其重要的时间线证据，精确记录了对该设备进行备份的准确时间。

[3] SystemDomainsVersion = 24.0：系统域（System Domains）的版本号。它代表了设备底层系统数据的结构版本，通常与具体的 iOS 大版本（例如 iOS 17、iOS 18）直接挂钩，用于告诉解析工具应该用什么样的格式读取系统文件。

[4] ManifestKey（清单密钥，保存字节）：用于加密和解密该 Manifest.plist 文件本身的密钥。

[5] WasPasscodeSet = False：是否设置过锁屏密码。这里显示为 False（没有）。这意味着设备当时未设置屏幕锁密码；如果为 True，则表明备份（很可能）是加密备份，提取数据时需要提供密码。

[6] Lockdown（锁定/设备信息）：这是一个折叠的字典，存放着设备硬件身份信息。通常包括：设备序列号（Serial Number）、UDID（唯一设备标识符）、产品类型（如 iPhone15,2）、具体的 iOS 版本号（ProductVersion）以及内部构建号（BuildVersion）。（这就是你上一个问题里，Manifest 中有 iOS 版本号的地方！）

[7] Applications（应用程序）：这是一个折叠的字典，存放着应用映射表。它以应用包的 Bundle ID（如 com.tencent.xin 等）为键，对应着该应用在备份数据（Manifest.db）中的具体数据库文件 ID（哈希值）。通过它，可以精准定位和分析某个具体 App 的数据。

[8] IsEncrypted = True：备份是否已加密。这里显示为 True，说明这是一个加密备份（通常伴随设置过备份密码）。因为这把锁，前面 [0] 的 BackupKeyBag 也受到了密码保护，如果没有密码，虽然能看到这个清单，但无法直接解密其中的具体文件内容。

在应用程序中

第一，它存放应用的标识信息

第二，版本信息

我们继续来看接下来的选项，IMEI是什么呢？IMEI（International Mobile Equipment Identity，国际移动设备识别码）是手机等移动设备的唯一身份识别码，相当于手机的“电子身份证”。它由15位数字组成，用于在移动网络中识别设备（注意区分：IMSI 是识别SIM卡的，UDID/Android ID 是识别系统的）。

iOS中一般存放在com.apple.commcenter.plist中，安卓则存放persist.radio.imei

接下来，查看appleid

最后，是曾经安装 Metamask 应⽤程式，在之前的manifest中直接搜，可以搜到，说明现在还安装了这个软件。

答案：BD

6. [ 填空题 ] 参考 Emma_Mobile.zip,Emma ⼿机中 Apple ID 的注册电⼦邮箱是多少？ (2 分 )

7. [ 填空题 ] 参考 Emma_Mobile.zip ，在 2024 年， Emma ⼿机上曾记录的电话卡集成电路卡标识符 (ICCID) 是多少？ ( 答案格式 : 只需使⽤阿拉伯数字回答 )(2 分 )

ICCID 是集成电路卡识别码，也就是通常说的 SIM 卡卡号。它相当于这张 SIM 卡的唯一“身份证号”，一般由 20 位数字组成。通过这串号码的前六位，通常能识别出运营商信息。iOS中com.apple.commcenter.plist中能找到，安卓中telephony.db能找到

查找的时候，还意外发现在蜂窝数据使用情况数据库同样也找到了iccid，而且更全。

显示了两张sim卡的iccid

8. [填空题] 参考Emma_Mobile.zip,Emma 手机的蓝牙设备名称 "ELK-BLEDOM" 的通用唯一标识符 (UUID) 是什么? (1分)

｡参考Emma_Mobile.zip,Emma 手机内Safari浏览记录中网页"https://racing.hkjc.com/"的网站标题是什么? (1分)

10. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 向 Clara 透露什么原因令 Emma ⽋下巨债？ (1 分 ) A. 投资孖展 B. 虚拟货币失利 C. ⽹上赌博 D. 以上皆是

答案：D

11. [ 单选题 ] 参考 Emma_Mobile.zip ，收债⼈要求 Emma 还款数量？ (1 分 ) A. 港币 786,990 B. 港币 878,990 C. 港币 786,980 D. 港币 745,330

这种信息一般都通过短信发吧，我们先去看看短信

果然，答案：C

12. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 发送了多少张 .PNG 图⽚给 Clara ，证明⾃⼰正被⼈追债？ (2 分 ) A. 6 B. 7 C. 8 D. 9

聊天记录都还原了，这道题应该不难吧。

答案：B

13. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma ⽤来浏览虚拟货币的⽹址？ (2 分 ) A. B. Google.com Facebook.com C. IntellaX.io D. Yahoo.com

这个intellaX跟wallet钱包有关，肯定和虚拟货币有关

答案：C

而且可以上网查查看吧bushi

14. [ 单选题 ] 参考 Emma_Mobile.zip 的浏览器记录，有多少⽹址与 bet365 有关？ (2 分 ) A. 3 B. 13 C. 9 D. 12

看了半天浏览记录，结果说在标签里。。。。。。。

SafariTabs.db 存储 Safari 浏览器当前打开的标签⻚、标签⻚组及上次会话的标签⻚信息，⽤于还原⽤⼾的浏览状态。 2. Bookmarks.db 存储⽤⼾保存的书签数据，包括⽹址、名称及收藏⽅式，⽤于查看⽤⼾主动收藏的⽹⻚。

SELECT url FROM bookmarks WHERE url LIKE '%bet365%';在两个数据库搜一下

答案：A

15. [ 单选题 ] 你还发现了⼀些与不当使⽤他⼈加密钱包相关的痕迹。参考 Emma_Mobile.zip ， Emma ⽤了哪些恢复短语 (Recovery Phrase) 进⼊ David 的虚拟货币账⼾？ (2 分 ) A. stock,avocado,grab,clay B. light,sadness,segment,ancient C. toe,talk,elder,oil D. 以上皆

。。。。。。。。。。。。。。。

这是个啥啊。。。

16. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 从 David 处窃取的虚拟货币的名称是什么？ (2 分 ) A. IDFC B. ICAC C. INIC D. IFCC

聊天记录中提到过喜喜

答案：A

17. [ 单选题 ] 参考 Emma_Mobile.zip ， Clara 偷拍的照⽚中， David 的虚拟货币余额是多少？ (2 分 ) A. 3266378.99 B. 1044749.22 C. 5022915.66 D. 7822468.44

非常简单，直接找图片就ok了

答案：C

18. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 在偷窃 David 的虚拟货币前， Emma 曾向 Clara 透露有什么事发⽣在 Emma ⾝上？ (1 分 ) A. 中彩票 B. ⽋债 C. 升职 D. 失业

答案：B

19. [ 多选题 ] ( 你查看了 Emma ⼿机中的⼀些照⽚数字信息，以获取更多与失踪案件的信息 )Emma 的 iPhone XR 中 "IMG_0008.HEIC" 的图像与相⽚名字为的 "5005.JPG" 看似为同⼀张相⽚，在数码法理鉴证分析下，以下哪样描述是正确？ (3 分 ) A. 储存在不同的 .db 档案⾥ B. 有不同哈希值 C. IMG_0008.HEIC 为原图， "5005.JPG" 为并⾮原图 D. IMG_0008.HEIC 和名字 "5005.JPG" 是同⼀张相⽚

先找一找图片吧，IMG_0008很好找，在photo.sqlite里面，很明显，在这个数据库里没有5005.jpg这张图。两个文件的文件类型不一样，他们的文件头和文件尾就一定不同，所以哈希值就一定不一样。

看到.heic有点疑惑，这到底是说明文件呢？.heic（High Efficiency Image File Format，高效图像文件格式）是苹果公司从 iOS 11 开始，在 iPhone 和 iPad 上默认采用的照片存储格式，用来取代传统的 JPEG 格式。

既然这样，.jpg就不可能和.heic是同一张图片。首先他们的压缩技术就不一样，其次就算视觉上是一样的他们的哈希值有肯定不一样，不能是同一张图片。

答案：BC

20. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 中 "IMG_0009.HEIC" 的图像显⽰拍摄参数怎样？ (2 分 ) A. iPhone XR back camera 4.25mm f/1.8 B. iPhone XR back camera 4.25mm f/2.8 C. iPhone XR back camera 4.25mm f/2 D. iPhone XR back camera 4.25mm f/1.6

根据前几道题的经验，这个要去photo.sqlite里面找

在 iOS 的 Photos.sqlite 数据库中，拍摄装置的信息主要存放在 ZEXTENDEDATTRIBUTES 表中的 ZLENSMODEL 字段里。

21. [ 多选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 中相⽚⽂件 IMG_0009.HEIC 提供了什么电⼦证据信息？ (3 分 ) A. 此相⽚是由隔空投送 (Airdrop) 得来 B. 此相⽚由 iPhone XR 拍摄 C. 此相⽚的拍摄时间为 2024-08-05 13:38:15(UTC+8) D. 此相⽚的拍摄时间为 2024-08-06 08:30:52(UTC+8)

A中我们在数据库中都找到了拍摄时间等信息，肯定不是个隔空投送得到的，B在上一道题目中看到了。

结合这个时间信息，答案：BC

22. [ 多选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 内以下哪张照⽚是实况照⽚ (Live Photos) ？ (2 分 ) A. IMG_0002.HEIC B. IMG_0005.HEIC C. IMG_0004.HEIC D. IMG_0006.HEIC

select * from ZASSET where ZPLAYBACKSTYLE=3直接查询，或者看后缀，后缀是heic就是实况（原来还能这样）

23. [ 单选题 ] 参考 Emma_Mobile.zip, ⼿机⾥有多少张照⽚是⽤⼿机后置摄像镜头拍摄的 ? (2 分 ) A. 5 B. 6 C. 7 D. 8

我们看看20题的选项中Phone XR back camera 4.25mm f/1.8有back camera 所以我们还是在原来的表中直接搜索就行

答案：B

24. [单选题] 参考Emma_Mobile.zip的通讯记录,MesLocalID 224是什么类的文件? (3分)

在微信聊天记录⾥， MesLocalID 就是每条消息在你⼿机本地数据库⾥的唯⼀编号。它是微信在你发送消息时当场⽣成的（⽐如时间戳 + 随机数），⽤来在没⽹或服务器还没回包时，先让消息在本地 “ 占个位 ” 。等消息成功发出去，服务器会返回⼀个正式的 SvrID （服务器 ID ），本地 ID 会和它做映射，主要⽤于本地排序、去重和发送状态管理。

是一张图片

根据时间戳信息，我可以找到这个照片

正好名称也是224

答案：A

以上是Emma_Mobile.zip的全部题目了写这个花了好长时间

体验下来发现axiom软件有一个非常大的缺陷，就是它不能全局搜索，也可能是我没找到），导致很多东西找起来比较麻烦。

第二个是deepseek确实不大好用。之前做ctf的时候，它给我的回复是

太难泵了?/!@#

Emma_Mobile.部分

开始前的碎碎念：这是我第一次接触取证，我是打算在接下来2年主攻取证以及ctf的比赛，不追求为校争光（其实是没能力））但要增加自己网安方面的知识储备&增强实战能力。

A. 22.451721666667, 114.171853333333

B. 22.451553333333, 114.172845

C. 22.451928333333, 114.170503333333

D. 22.451638333333, 114.16993

2. [ 单选题 ] 根据 Emma_Mobile.zip ， 2024 年 8 ⽉ 30 ⽇下午两点后 Emma 共致电 Clara 多少次？ (1 分 ) A. 85 B. 86 C. 87 D. 88

3. [ 单选题 ] 根据 Emma 和 Clara 的微信聊天记录， Clara 失踪前曾告诉 Emma 会到哪⾥？ (1 分 ) A. 到酒店和丈夫 David 庆祝结婚周年 B. 吃⾃助餐 C. 约了朋友⻅⾯ D. 去旅⾏

4. [ 填空题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 内微信应⽤程序的版本是多少？ (2 分 )

5. [ 多选题 ] 参考 Emma_Mobile.zip ， Emma ⼿机中下列哪个选项是正确的？ (2 分 ) A. iOS 版本为 17.6.1 B. IMEI 为 356414106484705 C. Apple ID 为 Emma1761@gmail.com D. ⼿机曾经安装 Metamask 应⽤程式

6. [ 填空题 ] 参考 Emma_Mobile.zip,Emma ⼿机中 Apple ID 的注册电⼦邮箱是多少？ (2 分 )

7. [ 填空题 ] 参考 Emma_Mobile.zip ，在 2024 年， Emma ⼿机上曾记录的电话卡集成电路卡标识 符 (ICCID) 是多少？ ( 答案格式 : 只需使⽤阿拉伯数字回答 )(2 分 )

8. [填空题] 参考Emma_Mobile.zip,Emma 手机的蓝牙设备名称 "ELK-BLEDOM" 的通用唯一标识符 (UUID) 是什么? (1分)

｡ 参考Emma_Mobile.zip,Emma 手机内Safari浏览记录中网页"https://racing.hkjc.com/"的网站标题是什么? (1分)

10. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 向 Clara 透露什么原因令 Emma ⽋下巨债？ (1 分 ) A. 投资孖展 B. 虚拟货币失利 C. ⽹上赌博 D. 以上皆是

11. [ 单选题 ] 参考 Emma_Mobile.zip ，收债⼈要求 Emma 还款数量？ (1 分 ) A. 港币 786,990 B. 港币 878,990 C. 港币 786,980 D. 港币 745,330

12. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 发送了多少张 .PNG 图⽚给 Clara ，证明⾃⼰正被⼈追 债？ (2 分 ) A. 6 B. 7 C. 8 D. 9

13. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma ⽤来浏览虚拟货币的⽹址？ (2 分 ) A. B. Google.com Facebook.com C. IntellaX.io D. Yahoo.com

14. [ 单选题 ] 参考 Emma_Mobile.zip 的浏览器记录，有多少⽹址与 bet365 有关？ (2 分 ) A. 3 B. 13 C. 9 D. 12

16. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 从 David 处窃取的虚拟货币的名称是什么？ (2 分 ) A. IDFC B. ICAC C. INIC D. IFCC

17. [ 单选题 ] 参考 Emma_Mobile.zip ， Clara 偷拍的照⽚中， David 的虚拟货币余额是多少？ (2 分 ) A. 3266378.99 B. 1044749.22 C. 5022915.66 D. 7822468.44

18. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 在偷窃 David 的虚拟货币前， Emma 曾向 Clara 透露有 什么事发⽣在 Emma ⾝上？ (1 分 ) A. 中彩票 B. ⽋债 C. 升职 D. 失业

20. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 中 "IMG_0009.HEIC" 的图像显⽰拍摄 参数怎样？ (2 分 ) A. iPhone XR back camera 4.25mm f/1.8 B. iPhone XR back camera 4.25mm f/2.8 C. iPhone XR back camera 4.25mm f/2 D. iPhone XR back camera 4.25mm f/1.6

22. [ 多选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 内以下哪张照⽚是实况照⽚ (Live Photos) ？ (2 分 ) A. IMG_0002.HEIC B. IMG_0005.HEIC C. IMG_0004.HEIC D. IMG_0006.HEIC

23. [ 单选题 ] 参考 Emma_Mobile.zip, ⼿机⾥有多少张照⽚是⽤⼿机后置摄像镜头拍摄的 ? (2 分 ) A. 5 B. 6 C. 7 D. 8

24. [单选题] 参考Emma_Mobile.zip的通讯记录,MesLocalID 224是什么类的文件? (3分)

7. [ 填空题 ] 参考 Emma_Mobile.zip ，在 2024 年， Emma ⼿机上曾记录的电话卡集成电路卡标识符 (ICCID) 是多少？ ( 答案格式 : 只需使⽤阿拉伯数字回答 )(2 分 )

｡参考Emma_Mobile.zip,Emma 手机内Safari浏览记录中网页"https://racing.hkjc.com/"的网站标题是什么? (1分)

12. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 发送了多少张 .PNG 图⽚给 Clara ，证明⾃⼰正被⼈追债？ (2 分 ) A. 6 B. 7 C. 8 D. 9

18. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 在偷窃 David 的虚拟货币前， Emma 曾向 Clara 透露有什么事发⽣在 Emma ⾝上？ (1 分 ) A. 中彩票 B. ⽋债 C. 升职 D. 失业

20. [ 单选题 ] 参考 Emma_Mobile.zip ， Emma 的 iPhone XR 中 "IMG_0009.HEIC" 的图像显⽰拍摄参数怎样？ (2 分 ) A. iPhone XR back camera 4.25mm f/1.8 B. iPhone XR back camera 4.25mm f/2.8 C. iPhone XR back camera 4.25mm f/2 D. iPhone XR back camera 4.25mm f/1.6