2026年“美亚杯”赛前备赛篇

作者：小谢取证 发布：2026-09-21 18:20 收录：2026-09-21 19:41 2 次阅读 约 11512 字
摘要：把 2021—2025 五届 424 道资格赛真题逐题拆开：手机题占比 21%→77.6%，15 类考点五届全勤，3 处几乎原题照搬。附 2026 时间线、常考 IM 软件、工具直出与人工解析的比例、备考路线图与临场清单。
推荐理由：本文涵盖「培训」、「报名」、「个人赛」等多个主题，重点关注 培训。

2026 备赛专刊 · 赛前篇

2026年“美亚杯”赛前备赛篇

从近五年真题里长出来的备考路线图——2021 到 2025 的考点演化、工具清单、冠军方法论与临场清单

先说最要紧的一件事：2026年“美亚杯”赛前培训已开放报名，报名截止 9 月 23 日 18:00（免费，钉钉扫码，联系人 魏老师 15710609472）。培训 9 月 28 日开班，专门复盘 2023—2025 三届个人赛与团体赛。这是官方口径的“近三年重点题拆解”，性价比远高于自己啃。如果你今年要参赛或带队，先把这个报名做掉，再回来读本文。

一、2026年美亚杯的时间线

美亚杯的日程节奏五年没变过：9 月下旬开放报名、10 月底截止、11 月中旬开赛。官网 meiyacup.sdic.com.cn 是唯一报名通道（注意：验证码严格区分大小写，这是每年被吐槽最多的一条），报名审核通过后必须加入钉钉选手群——检材下载地址、解压密码、试用授权、培训课程、成绩查询全部在群里发布，不在群里等于半个弃赛。

时间
事项
状态
9月23日 18:00
2026年赛前培训报名截止（免费）
官方已发布
9月28日
培训开班：内存取证 / 网络流量 / AI 赋能电子数据取证
待开课
9月29日
2023 个人赛解析 + 2023 团体赛解析
待开课
9月30日
2024 个人赛解析 + 2024 团体赛解析
待开课
10月9日
2025 个人赛解析 + 2025 团体赛解析（1–99 题）
待开课
10月10日
2025 团体赛解析（100–201 题 / 202–264 题）
待开课
9月下旬 — 10月底
第十二届正式报名（参照第十一届：9月25日—10月31日）
待官方公告
11月中旬
第十二届开赛（参照第十一届：11月14—17日，正式比赛日 11月15日；厦门线下主赛场 + 线上同步）
待官方公告
2026年美亚杯赛前培训报名信息

原文链接：真题拆解+干货精析！2026年“美亚杯”赛前培训，助您高效备赛

（报名走钉钉扫码通道，联系人 魏老师 15710609472，钉钉同号。）

二、赛制：近五年基本定型

赛事由教育部网络安全与执法专业虚拟教研室主办，国投智能（原厦门市美亚柏科）承办，教育部相关教学指导委员会与中国刑事科学技术协会指导。出题阅卷一直由第三方专业取证实战团队承担，近十余年固定有香港警务处网络安全及科技罪案调查科 + 香港大学参与命题——这也是为什么美亚杯的题目中文常有繁体表达。

几条硬规则，五年没松过：

  • 个人赛＝资格赛。
    所有选手必须先通过个人赛，才能参加团体赛。个人赛没及格，团体赛连门都进不去。
  • 线上线下是两个赛道。
    分别计分与奖励，线上证书带“线上”字样，不参与线下排名。匿名参赛可在官网查成绩，但不排名不颁奖。
  • 团体赛每队限 3 人
    每个单位队伍数量不限，不允许跨单位组队。
  • 工具规则：允许本地部署的 AI 工具，禁止使用互联网上的外部资源。
    这条从 2024 届收紧，2025 届写进官方规则。意味着赛场上断网，靠的是你离线电脑里的字典、脚本、本地模型和脑内知识。
  • 检材由组委会统一发放
    取证设备与工具自备。第十一届个人赛加密容器 34GB、团体赛加密容器 548GB。

2025 届开始的三个大变化（2026 大概率延续）

变化
具体内容
对你的意义
个人赛获奖率大幅提高
线下个人赛获奖比例由往届 2%／4%／6% 提升至 15%／20%／30%；线上由 1%／2%／3% 调整为 3%／4%／6%
个人赛从“陪跑资格赛”变成真正值得全力打的赛道
新增三项荣誉称号
“取证大师”“取证精英”“取证能手”，授予前 102 名（含并列）；奖品含“恢复大师”“取证大师”“智能自动化取证精灵”专业礼包
荣誉覆盖面扩大，冲进前 100 就有可写的履历
“美亚精英计划”
自第十一届试点，向线下个人赛前 20 名颁发就业直通卡或实习直通卡
对学生：这已是就业通道，不再是单纯比赛

规模上，赛事从 2015 年首届 13 所公安院校、39 名学生，涨到 2024 年第十届 超 3000 人、2025 年第十一届 326 家单位、982 支队伍、近 3000 名选手。参赛主体早已不只是警校：武大、西电、中国政法、公安大学、刑警学院、警察大学，加上各地公安、检察、市监、税务、纪委监委、海关、司法鉴定与企业。竞争强度逐年抬升。

三、近五年真题画像（2021—2025）

下面两张表是我把五届题解逐题过了一遍之后压缩出来的，个人赛与团体赛分开列——很多人看题解时会漏掉这个区分，而它直接决定你该练什么。看的时候注意两件事：一是检材构成怎么膨胀的，二是新考点每年往哪个方向长。

个人赛（同时也是资格赛，先过这一关才能进团体赛）

届次／年份
案件主线
检材构成
当年的标志性考点
第七届
2021
工地主管遭远程入侵，被索要比特币赎金
iPhone 12 Pro ＋ iPhone XR ＋ Windows 计算机镜像 ＋ 路由器日志 ＋ Linux（FTP／Docker）服务器
路由器日志回溯、BitLocker 修复密钥标识符、TeamViewer ID 跨终端关联、HEIC 与 Live Photo、FTP 服务器的 Docker 指令与 Linux 内核版本
第八届
2022
诈骗团伙与钓鱼网站（王晓琳、李大辉、林浚熙）
安卓手机 ×3 ＋ Windows 计算机 ＋ 虚拟机 ＋ 假网站 ＋ Docker 内的 MySQL
App 数据库逐库翻表（MTR Mobile、KMB 1933）、图片 EXIF 拍摄时间篡改、钓鱼站 process.php 源码倒推密码、虚拟机＋Docker＋MySQL 环境取证
第九届
2023
多服务器、多终端混合案件
安卓 ＋ iOS ＋ macOS 虚拟磁盘 ＋ Windows 10／Windows 7 ＋ VPN 服务器 ＋ 流量包
大规模理论题登场（Nmap、DHCP、Web 安全、AWS 云、Linux 运维、内存取证、PowerShell）、MFT 簇分配、APFS 与 HFS+ 分区结构、符号链接
第十届
2024
Emma 报案牵出 Clara 失踪，进而查出 David 账户内虚拟货币被盗
iOS ＋ 安卓 ＋ Windows（E01）＋ U 盘（E01）＋ 内存（raw）
链上资金流分析（BSC／IDFC）、恢复短语推导派生地址、内存取证提取 NTLM Hash／SID／PID、U 盘 NTFS DataRun 手工解析、x64dbg 改汇编绕过登录校验
第十一届
2025
伤人案 ＋ 虚拟货币投资诈骗，剧情与同年团体赛连贯
iOS ×3 ＋ 安卓 ×1（交叉印证）＋ U 盘（WinPE）＋ 加密容器／加密文件
iOS 备份伪加密绕过、AirDrop／相册／文件三个 App 交叉关联、WinPE 启动链与 U 盘可启动判定、邮件 MIME 结构与 pdfid、大模型服务器与 AI 对话记录取证

个人赛检材规模相对可控，但题目分布最广：手机、计算机、服务器、流量、理论题都可能出现，是最考验基本功的一关。

团体赛（3 人一队，检材按人物身份交叉发放）

届次／年份
案件主线
检材构成
当年的标志性考点
第七届
2021
同一勒索案向外扩展：两名工地职员被加密勒索，叠加网页服务器入侵、挖矿与无人机
多台 Windows 计算机 ＋ 网页服务器 ＋ 安卓手机 ＋ macOS 镜像 ＋ U 盘 ＋ 挖矿机（HiveOS）＋ 无人机
网页服务器 webshell 与密码哈希、恶意程序加壳方式与编译工具、Volatility 内存进程分析、无人机飞航记录 DAT、矿机 HiveOS 与钱包地址、APFS 偏移值、Kali 虚拟机取证
第八届
2022
AGC 集团流媒体服务器被入侵，服务器存储池内藏儿童色情影像
多台手机 ＋ Linux 流媒体服务器 ＋ RAID 磁盘阵列 ＋ Docker／WordPress 站点 ＋ 网络流量
Linux 服务器 ssh 成功与失败登录统计、RAID 级别判定、Docker 镜像与运行状态、WordPress 评论留痕、磁盘阵列中检索被隐藏的影像文件
第九届
2023
命案 ＋ 木马病毒 ＋ 图片隐写（李佩妍、李哲图、陈大昆等）
Windows 10 计算机 ＋ Kali 虚拟机 ＋ iOS／安卓手机 ＋ 航拍机 ＋ 加密压缩包
Kali 虚拟机时区与攻击痕迹、Facebook 群组与登录记录、木马文件定位、key.bmp 图片隐写与隐写工具识别、智能家居 App 门铃通知记录
第十届
2024
AI 换脸诈骗：Tom Victor 的秘书 Amy 被“视频会议”骗走 1000 万 IDFC
多台手机 ＋ David 笔记本（E01）＋ Ben 笔记本 ＋ 加密文件
WhatsApp msgstore.db 表结构与 message_type、恶意 APK 逆向（AhMyth：smali、C2 地址与端口、权限、图片压缩比）、加密文件解密链、AI 换脸与资金流交叉印证
第十一届
2025
Manson 公司“IQ Coin”（BEP-20）投资诈骗，叠加 AI 换脸变声与内网入侵
邮件材料（EML）＋ 手机 ×5 ＋ 多台笔记本 ＋ NAS ＋ 邮件服务器 ＋ 网页服务器 ＋ 流量包（CEO_Traffic.pcapng）＋ 摄像头存储卡 ＋ Kali 虚拟机
邮件头溯源（ARC、Received 链、Message-ID 伪造、TLS 套件）、BEP-20 链上资金流、AhMyth 类恶意 APK、广告机信息发布系统、智能家居与 AirTag、OCR 使用痕迹、DeepFaceLive 换脸取证
西电 Forensics Wiki 题解站赛事题解目录

题解站：forensics.xidian.edu.cn/writeups —— 2021 至 2025 五届美亚杯个人赛、团体赛题解齐全，是中文圈最完整的公开题解集合。

四、近三届资格赛拆解：检材 · 通讯软件 · 解题手法

个人赛就是资格赛——先过这一关，才有团体赛的资格。所以这一节把 2023、2024、2025 三届资格赛（100 / 100 / 98 题）全部拆开：题量压在哪些检材上、哪几个通讯软件年年出现、以及一个绕不开的问题——哪些题综合取证软件点几下就出答案，哪些题必须自己开数据库、翻表、写 SQL。

数据来源是西电 XD Forensics Wiki 三届个人赛题解的逐题复盘（含解题过程描述），不是猜的。

4.1　检材比重：手机从两成涨到近八成

先把三届的题量按检材类型摊平（括号内为占该届总题数比例）。

检材类型
2023（100 题）
2024（100 题）
2025（98 题）
手机 iOS 检材
14（14%）
24（24%）
76（77.6%）
手机 Android 检材
7（7%）
34（34%）
6（交叉印证）
计算机镜像（Windows／macOS）
30（30%）
10（10%）
0
U 盘／移动存储
0
10（10%）
15（15.3%）
内存镜像
0
4（4%）
0
服务器／网络设备
7（7%）
0
0
流量包
2（2%）
0
0
程序逆向／加密容器
0
8（8%）
含在 U 盘部分
区块链／虚拟货币
0
10（10%）
7（7.1%）
理论题（网络／Web／运维／数据库）
40（40%）
0
0

一句话结论：2023 年还是「理论题＋多种检材平均撒开」的老打法，2024 年突然收拢到手机为主（58%），2025 年直接把近八成的分数堆在手机上——3 台 iPhone 备份撑起 76 道题，另有 6 道要靠陈民浩那台三星安卓机的数据交叉印证。手机取证的熟练度，基本决定了你能不能进团体赛。

一个最容易数错的细节：2025 年安卓检材并没有消失。
2025 个人赛题解按检材分了 5 个小节（3 台 iPhone ＋ 1 个 U 盘 ＋ 虚拟货币截图），只看小节标题会误以为「只剩 iOS」。但陈民浩名下还有一台三星安卓手机（Samsung SM-G930F，团体赛里的独立检材 blk0_sda.bin），个人赛至少 第 7、14—18 题要读它的数据来作答或印证：第 15 题的 Send Anywhere 设备 ID 要去安卓侧 /data/com.estmob.android.sendanywhere/databases/main.db 的 devices 表核对，第 16、17 题要靠安卓机里的截图目录确认「截图是从安卓机发给 iPhone 的」。
教训：检材数量不能只数题解的分节标题——题干点名的、甚至选项里出现的文件名，都要单独确认一次。

三届的具体模块与题号分布如下，可以直接拿去对照题解做专项练习。

2023 第九届 · 模块
题号
题量
手机（Android）
1–7
7
VPN 服务器
8–14
7
流量分析
15–16
2
理论题：计算机网络与 Nmap
17–24
8
计算机（macOS 虚拟磁盘 .img）
25–31
7
计算机（Windows）
32–45
14
理论题：Web 安全
46–52
7
手机（iOS）
53–66
14
理论题：运维／组网／Linux 基础
67–87
21
计算机（Windows 10）
88–89
2
计算机（Windows 7）
90–96
7
理论题：内存取证与数据库
97–100
4
2024 第十届 · 模块
题号
题量
Emma 的手机（iOS，文件集合）
1–24
24
Clara 的手机（Android 镜像）
25–48
24
David 的手机（Android 文件集合）
49–58
10
内存取证（RAM .raw）
59–62
4
David 的 U 盘（8GB E01）
63–72
10
剧情 4：BitLocker.exe 程序逆向
73–80
8
David 的笔记本电脑（64GB E01）
81–90
10
案件综合分析（区块链交易追溯）
91–100
10
2025 第十一届 · 模块
题号
题量
陈民浩的手机（iOS）
01–24
24
陈民浩的手机（安卓，交叉印证）
07、14—18
6
冯子超的手机（iOS）
25–61
37
梁燕玲的手机（iOS）
62–76
15
梁燕玲的 U 盘（WinPE／加密容器）
77–91
15
虚拟货币截图
92–98
7

三条趋势，2026 大概率延续：
① 手机是主战场——占比 21% → 58% → 77.6%，投入产出比最高，先练这个。
② iOS 备份解析从「可选项」变成「必选项」——2025 三台主检材手机全是 iOS 备份，且都被人为设置了备份密码（伪加密），要么弱口令爆破、要么改 Manifest.plist 标志位绕过。但安卓并没有退出：陈民浩那台三星 SM-G930F 安卓机在个人赛要用于交叉印证，在团体赛里更是独立检材（第 218—234 题，另加智能家居第 169—177 题）。
③ 理论题归零——2023 有 40 道理论题，2024、2025 全部改成实操。别再背题库，练手。

4.2　常考的即时通讯软件：WhatsApp 与微信是双主力

三届真题里作为正式检材（不是背景道具）出现过的通讯类软件，按出现频率整理如下。

软件
出现届次
数据文件与典型路径
三届高频考点
WhatsApp
2023／2024／2025
三届全勤
iOS：
group.net.whatsapp.WhatsApp.shared/
ChatStorage.sqlite
账号 ID（xxx@s.whatsapp.net）、群组与社群、管理员与群主、频道关注数、投票活动、通话记录（含未接）、位置消息经纬度、群组创建时间
微信 WeChat
2023／2024／2025
三届全勤
iOS：com.tencent.xin/…/
message_*.sqlite（消息）、
finder/db/finder_main.db（视频号）
Android：com.tencent.mm/MicroMsg/<md5>/
消息 XML 原始数据与图片 aeskey、视频号关注数、最后登录的微信 ID、注册验证码、删除了哪些消息
Telegram
2024
短信验证码落在短信库／Contents.db 中
注册／登录验证码、本地缓存
Instagram／Facebook
2023／2025
iOS：com.burbn.instagram.plist
com.facebook.Facebook.plist
应用版本号、安装时间
QQ
2024（工具支持）
超级取证大师工具集内存镜像解析模块支持微信／QQ 密钥提取
密钥提取、聊天库定位
短信与通话记录
三届全勤
sms.db / CallHistory.storedata
Android：mmssms.db
通话次数（按时间段）、短信验证码、联系人信息
AI 聊天类 App（POE 等）
2025
iOS：com.quora.app.Experts/
Documents/apollo_db.sqlite
提问原文与时间、使用的机器人、使用者名称

给你省点时间：钉钉、飞书、企业微信、Skype、Zoom、ToDesk 这些只出现在 2025 年选手复盘提到的「监考软件黑名单」里——那说明大家电脑上装着，但不代表它们会作为检材考你。备赛期把力气压在 WhatsApp 和微信的两个数据库上，收益最高。

4.3　哪些题工具能直接解，哪些必须人工解析

这是三届复盘里最容易被忽略、但影响临场节奏的一件事。先说总的经验比例（按 2024、2025 两届题解的解题叙述口径估算）：综合取证软件自动解析能直接出答案的约六成，必须打开数据库／配置文件人工解析的约三成，剩下约一成要靠脚本、专用工具或逆向。

一、工具直接解出（自动解析即可）

这类题的共同点是「答案已经被工具解析成结构化字段」，你要做的是找对位置、筛对条件。

  • 设备与系统基本信息
    ：操作系统版本、IMEI／ICCID、Apple ID、序列号、时区、系统安装时间。
  • 网络痕迹
    ：曾连接的 Wi-Fi 列表（SSID 与首次连接时间）、蓝牙配对设备、个人热点名称、DHCP 服务器地址。
  • 应用层
    ：已安装应用列表与版本号、浏览器历史与书签、通讯录、通话记录、短信。
  • 聊天软件的「列表级」信息
    ：账号 ID、会话／群组列表、群组名称、消息条数、频道关注数——火眼的「微信」「WhatsApp」分析结果里能直接看到。
  • 文件层
    ：文件清单与路径、回收站内容、USB 设备连接记录、图片 EXIF 与拍摄参数、分区格式（火眼文件目录里能翻出 GPT Header）。
  • 内存
    ：进程列表与 PID、进程导出、哈希值、SID。

代表题：2025 年第 1–9 题（设备基本信息一整组）、第 47／49 题（微信与 WhatsApp 账号直接可见）、2024 年第 7 题、2023 年第 3 题（超级取证大师按包名过滤非预装应用）。

二、必须人工解析（数据库／配置文件／底层结构）

工具给不出答案，或者给的是错的、半截的——这类题目才是拉开差距的地方。按三届出现过的形态分成六类：

类型
为什么工具不行
三届典型题
问数据库文件名／表名／字段名
工具界面不暴露表结构，只给你结果
2023-Q64 哪份表格显示通话记录
2024-Q41 哪个数据库文件存微信消息
2024-Q42 WhatsApp 消息存在哪个 .db
需要按字段过滤或跨表关联
工具只做常规解析，不认业务字段
2025-Q58 投票活动（ZWAMESSAGE 与 ZWAMESSAGEINFO 联表＋Protobuf 解码）
2025-Q74 位置消息（ZWMEDIAITEM 表 Z_PK=504）
2024-Q22 实况照片（Photos.db 的 ZVIDEOCPDURATIONVALUE 字段）
工具没有解析出来的库
格式特殊或缺 schema，解析直接跳过
2024-Q29 bigTopDataDB（火眼未解析，需 CyberChef 解码）
工具忽略了关键字段
开发者按常规场景取舍了展示项
2024-Q8 蓝牙 UUID（火眼只给 MAC 地址）
2025-Q48 视频号关注数（需跳转源文件看 finder_main.db 的 followState 字段）
2025-Q74 火眼给出的 GPS 与库中原始值不一致
文件系统底层结构
自动解析只到文件级，不到簇／记录级
2024-Q63~72 簇大小、Run List、DataRun 的 Offset／Length（010 Editor 或 MFT Browser）
2025-Q77／78 分区表（FTK Imager、X-Ways 技术细节报告）
加密容器与程序逆向
属于另一个工种
2025-Q84／91 VeraCrypt 加密容器（密钥文件挂载）
2024-Q73~80 BitLocker.exe 逆向（x64dbg／IDA／010 Editor 打补丁）

三、按检材模块看倾向

检材模块
工具直出
人工解析
说明
手机 · 设备与系统信息
主
—
操作系统、IMEI／ICCID、Apple ID、Wi-Fi 列表、个人热点、蓝牙（UUID 字段除外）
手机 · 应用与浏览器
主
—
已装应用列表与版本、浏览器历史与书签、搜索关键词
手机 · 通讯录／通话／短信
主
—
联系人字段、按时间段的通话次数、短信验证码
手机 · 聊天记录细节
部分
主
群组与社群、管理员、频道、投票、位置消息、被删除的消息——多数要落到库和字段
手机 · 图片与视频元数据
部分
全部
拍摄参数、GPS 工具能看；一旦问「多少张／多少段」就得用 SQL 过滤
U 盘／磁盘镜像 · 文件级
主
—
文件清单与路径、回收站、删除的文件、分区格式
U 盘／磁盘镜像 · 文件系统底层
—
全部
簇大小、DataRun、Run List、Offset／Length、分区表技术细节
内存镜像
主
部分
进程列表、进程导出、哈希、SID；账户哈希需指定插件
加密容器
—
全部
VeraCrypt 容器识别与密钥文件挂载
程序逆向
—
全部
x64dbg／IDA 定位校验逻辑、内存偏移、打补丁
区块链／虚拟货币
—
全部
链上浏览器查交易、助记词还原地址、交易次数与金额统计
服务器／流量包
部分
主
日志与配置文件、端口与服务、Nmap 扫描识别、协议分析

四、还要留一手：拿不到入口的题

2025 届的两个「毒点」值得单独记一下（当年不少选手卡在这里）：
① iOS 备份伪加密——检材其实是解密后的文件，但提取工具写了个假的加密标志，直接用软件挂载会问你要密码。解法：用 Plist Editor 把 Manifest.plist 的加密标志改成 false，或删掉 Manifest.db 再挂载；也可以 0000／1234 弱口令爆破。但现在超级取证大师的手机解析已经默认会跑常见的密码，即直接加载即可。2022团体赛的苹果备份文件也进行了加密，可以使用passwarekit对Manifest.plist文件进行爆破即可，就能得到密码2022
② 压缩包密码没给出——要把自己整理的重要信息（生日、纪念日、钱包地址、各题答案）随手记成一个 txt，爆破时当字典用，配合弱口令字典和 6 位以下数字掩码。

4.4　人工解析必练的四类操作

操作
工具
必须会做的事
SQLite 数据库查询
DB Browser for SQLite
Navicat Premium
Realm Studio
打开库看表结构；按字段过滤；跨表 JOIN；时间戳转换（iOS 用 Cocoa Core Data 时间戳，2001-01-01 起算；Android 常用 Unix 时间戳）。Realm 用于发送文件类 App（如 Send Anywhere）。
配置文件与 plist
Plist Editor Pro
VS Code（Plist 插件）
读备份与系统配置；改 iOS 备份加密标志位；从 com.apple.wifi*.plist 里取 Wi-Fi 细节；从应用 plist 取版本号与账号。
编码与解码
CyberChef
010 Editor
Protobuf 十六进制还原（WhatsApp 投票记录）、Base64、微信消息 XML 里的 aeskey；十六进制编辑器用于文件系统底层与程序补丁。
脚本化处理
Python 3
HashMyFiles
批量时间戳转换、批量哈希计算与比对、BIP-39 助记词校验、导出结果去重排序。三届里凡是「多少个」「第几条」的计数题，脚本都比手点靠谱。

4.5　按这个优先级练，性价比最高

  • 第一优先：iOS 备份解析全流程
    ——解压、处理备份加密标志、挂载成文件集合、用自动分析先跑一遍。2025 年三台主检材手机全是 iOS 备份，这是门票；安卓侧的数据（如陈民浩的三星机）要随时能调出来交叉印证。
  • 第二优先：WhatsApp 与微信的数据库
    ——ChatStorage.sqlite 的会话／消息／媒体三张主表，微信的 message_*.sqlite 与 finder_main.db。把表名和字段名抄在纸上，临场省时间。
  • 第三优先：Photos.sqlite 与图片元数据
    ——三届都考，且极易出「按条件计数」题，必须用 SQL 过滤而不是肉眼翻。
  • 第四优先：文件系统底层
    ——簇大小、DataRun、Run List、分区表。用 010 Editor 和 MFT Browser 各练一遍。
  • 兜底技能：弱口令字典与爆破
    ——iOS 备份密码（0000／1234）、压缩包密码、VeraCrypt 容器。准备好自己的字典文件。

五、跨届重复考点：第十一届（2025年）考过、历届也考

把 2021—2025 五届个人赛（也就是资格赛）的题解逐题拆开、按知识点重新聚类，一共 424 道题。目的只有一个：找出哪些知识点是反复考的。结论很直接——有 15 类考点五届一场都没落下，另有 3 处几乎是原题照搬。

5.1 五届全勤榜：这些考点一届都没落过

下表按「跨届次数」排序。✓ 表示该届有题目命中这个知识点（题干或解法里出现）。排名靠前的，就是不管你练哪一届题都得会的东西。

考点
2021
2022
2023
2024
2025
跨届
隔空投送 AirDrop
✓
✓
✓
✓
✓
5 届
蓝牙与蓝牙设备
✓
✓
✓
✓
✓
5 届
地理位置与经纬度
✓
✓
✓
✓
✓
5 届
相册与照片元数据
✓
✓
✓
✓
✓
5 届
浏览器与上网记录
✓
✓
✓
✓
✓
5 届
即时通讯软件
✓
✓
✓
✓
✓
5 届
邮件与邮箱
✓
✓
✓
✓
✓
5 届
密码、口令与爆破
✓
✓
✓
✓
✓
5 届
数据库表与字段
✓
✓
✓
✓
✓
5 届
时间戳与 UTC 时区换算
✓
✓
✓
✓
✓
5 届
删除与数据恢复
✓
✓
✓
✓
✓
5 届
哈希校验
✓
✓
✓
✓
✓
5 届
系统痕迹与日志
✓
✓
✓
✓
✓
5 届
隐写与多媒体元数据
✓
✓
✓
✓
✓
5 届
应用安装信息（版本 / 包名）
✓
✓
✓
✓
✓
5 届
IMEI / ICCID 等设备标识
✓
✓
—
✓
✓
4 届
云备份与 iCloud
✓
✓
✓
—
✓
4 届
虚拟货币与钱包
✓
✓
—
✓
✓
4 届
服务器与虚拟化
✓
✓
✓
—
✓
4 届
恶意程序与 APK
✓
—
✓
✓
✓
4 届
转账与支付记录
✓
✓
—
✓
✓
4 届
WiFi 连接记录
✓
—
—
✓
✓
3 届
内存取证
—
—
✓
✓
✓
3 届
通话与短信
—
—
✓
✓
✓
3 届
外接设备与 U 盘
—
—
✓
✓
✓
3 届

三点读法：

  • 跨 5 届的 15 类里，AirDrop、蓝牙、地理位置、相册、浏览器、即时通讯这六类是手机检材的「必修课」，练熟它们等于稳拿手机部分的大半分数。
  • 时间戳与 UTC 时区换算
    五届全勤，而且是纯送分题——只需要记得加 8 小时。但五届都有人错。
  • 外接设备与 U 盘
    从 2023 年起连续三届出现，2025 一次出了十几题（分区表、WinPE、加密文件），明显是在加码。

5.2 三处「原题复现」：题干几乎照搬

这是本文最有价值的一节。把五届题干两两做相似度比对后，有三组题目的问法、选项结构、考的知识点几乎完全一致——只是换了年份和检材里的人名。这种题，背下解法就是白送分。



早期版本
① 照片源信息判断
重合度最高
2021 第七届 Q37

阿力士 iPhone XR 中相片档 IMG_0056.HEIC 提供了什么电子数据取证的信息？
A. 此相片由隔空投送得到　B. 此相片由 iPhone XR 拍摄　C. 拍摄时间为 2021-10-21 17:45:48(UTC+8)　D. 拍摄时间为 2021-09-08 17:35:00(UTC+8)
2024 第十届 Q21

Emma 的 iPhone XR 中相片文件「IMG_0009.HEIC」提供了什么电子证据信息？
A. 此相片由隔空投送得到　B. 此相片由 iPhone XR 拍摄　C. 拍摄时间为 2024-08-05 13:38:15(UTC+8)　D. 拍摄时间为 2024-08-06 08:30:52(UTC+8)
答案 BC：机型看元数据，时间要转 UTC+8
② 装了哪些即时通讯软件
2022 第八届 Q2

王晓琳的手机安装了什么即时通讯软件？
A. WhatsApp　B. WeChat　C. LINE　D. Signal　E. QQ　答案 A
2023 第九届 Q2

李大辉的手机安装了什么即时通讯软件？
A. WhatsApp　B. LINE　C. 微信　D. Signal　E. QQ　答案 A
题干、选项结构、答案位置完全一致
③ 蓝牙设备的 UUID
2021 第七届 Q9

以下哪个蓝牙装置的 UUID 曾连接过工地主管的手机？（多选）
解法：跳转源文件数据库，看连接过的记录
2024 第十届 Q8

Emma 手机的蓝牙设备名称「ELK-BLEDOM」的通用唯一标识符（UUID）是什么？
答案 8D13F23C-… 火眼界面只显示 MAC，UUID 要去 com.apple.MobileBluetooth.ledevices.other.db 里取

这三组题说明了出题逻辑：美亚杯的题库是有「母题」的。同一个母题隔两三届换个人名、换个检材就再考一次。所以刷题不要只记答案，要记住母题的解法路径——比如第 ① 组，只要看到「某张照片提供了什么取证信息」，就固定做三件事：查元数据看拍摄机型、查时间字段并转 UTC+8、查来源判断是否为 AirDrop／第三方 App 传入。

5.3 第十一届考点逐项对回历届

下面这张表以第十一届（2025）的考点为基准，逐项对回 2021—2024 出现过的地方，并标出数据位置和五届的考法变化。左列是 2025 的题号，可以直接拿去对题。

考点（第十一届题号）
历届同考点题号
数据位置 / 手法
五届演进
空投传输记录
Q12、Q31—Q33
2021 Q2、Q37
2022 Q35
2023 Q65
2024 Q21
com.apple.sharingd.plist（本机 AirDrop ID）
CoreDuet/People/interactionC.db
→ ZINTERACTIONS.ZTARGETBUNDLEID
Photos.sqlite → ZSHARE（分享次数）
从「报 AirDrop ID」升级为「从传输记录反推传了哪些文件」
蓝牙
Q6
2021 Q9
2022 Q35（干扰项）
2023 Q79
2024 Q8
iDevice_info.txt（蓝牙 MAC）
DB/com.apple.MobileBluetooth.
ledevices.other.db（UUID 字段）
从「哪些 UUID 连过手机」到指定设备查 UUID，再到直接问 MAC
WiFi 与热点
Q7—Q9、Q26—Q28
2021 Q6、Q39
2024 Q51、Q88、Q89
com.apple.wifi-private-mac-
networks.plist
com.apple.wifi.plist
Preferences（热点密码）
从「连过哪个、密码多少」升级为隐私 MAC、EAP、时间换算
即时通讯与登录
Q10、Q11、Q47—Q57、Q71
2022 Q2—Q5
2023 Q2、Q4、Q5
Manifest.plist（版本号）
ChatStorage.sqlite
（会话、社群、投票、通话）
message_*.sqlite、finder_main.db
从「装了哪个软件」升级为登录 ID、认证短码、通话号码
相册与图片元数据
Q23、Q24、Q30—Q36、
Q38—Q41、Q63—Q65
2021 Q26—Q28、Q31、Q34、Q36—Q37
2022 Q8—Q9、Q13—Q14、Q17、Q23、Q27—Q28、Q33—Q36
2023 Q3、Q7、Q58—Q59
2024 Q15—Q24、Q37、Q43—Q46
Media/PhotoData/Photos.sqlite
ZASSET / ZSHARE /
ZMEDIAANALYSISATTRIBUTES
三表 JOIN
从「看一眼图片属性」升级为写 SQL 关联查询、按导入应用反查
浏览器与上网记录
Q20—Q22
2021 Q5、Q14、Q18、Q53
2022 Q12、Q44—Q46
2023 Q8、Q47、Q50、Q52
2024 Q9、Q14、Q32、Q86、Q91
History.db（Safari / Chrome）
浏览器扩展存储目录
五届全勤；2024 起新增「浏览器装了哪些扩展」这类题
时间戳与 UTC+8 换算
Q27、Q33
2021 Q37、Q40
2024 Q21
各处数据库时间字段、plist 时间戳
五届全勤，也五届都有人在这里丢分。
给 UTC 时间必须自己加 8 小时
设备标识 IMEI
Q2—Q4
2021 Q4
2022 Q1
2024 Q7（ICCID）
Info.plist（1 个 IMEI）
iDevice_info.txt（2 个 IMEI）
2025 加码：两个文件给出不同 IMEI，需自行判断哪个对
iCloud 与 Apple 账号
Q62
2021 Q40
2022 Q10
设备信息中的备份记录
AppDomainGroup 备份目录
从「iCloud 最后备份时间」到「iCloud 注册邮箱」
虚拟货币与钱包
Q92—Q97
2022（2 题）
2024 Q13—Q18、Q56、Q58
钱包地址、助记词、链上转账记录
2024 起成为主线（盗币案），2025 进团体赛（IQ Coin）
加密容器与压缩包
Q81、Q84、Q91
2024 Q79、Q80
VeraCrypt 容器、BitLocker Key 内存偏移、加密压缩包
从「内存里找 BitLocker 密钥」到「识别 xcontainer 加密算法」
U 盘与外接存储
Q77—Q80、Q89—Q91
2023 Q31、Q39
2024 Q63—Q72
分区表、簇大小、DataRun、WinPE 结构
2025 大幅加码：分区数量与类型、可否开机、WinPE 版本

5.4 从重复规律看 2026

把重复规律和 2025 的加码方向叠在一起，可以给出几个比较确定的判断：

  • 手机基础题仍是最稳的分仓
    ：AirDrop、蓝牙、WiFi、相册、浏览器、即时通讯这六类连续五届出现，2026 基本不可能跳过。练法是固定动作——遇到照片就想元数据三件事，遇到蓝牙就去找 ledevices 数据库。
  • 「多来源冲突」是新趋势
    ：2025 的 IMEI 题给了两个文件、两个不同值，让你判断哪个对。这类题在 2026 很可能扩散到其他信息上（WiFi 列表、设备名称、时间字段），要养成「交叉验证」的习惯而不是取第一个看到的值。
  • U 盘／外接存储会继续加
    ：2023 只有 2 题，2024 扩到 10 题，2025 直接十几题，还上了分区表和 WinPE。用 010 Editor + MFT／分区工具各练一遍，性价比很高。
  • 虚拟货币与加密容器已成常态
    ：2022 零星出现，2024 成为主线（窃取虚拟货币），2025 直接进团体赛。钱包地址、助记词、链上交易三件事至少要有一次完整实操经验。
  • 反向提醒
    ：输入法／剪贴板类考点五届命中数为 0，别在这上面花时间；流量分析只在 2023 集中出现过一次，个人赛优先级也不高。

六、考点权重：把时间花在哪儿

模块
五年定位
2026 建议投入
手机取证（iOS / 安卓）
年年是主力，题量最大，占总分三成以上
最优先。iOS 与安卓都要能脱离商业软件手翻数据库
服务器与组网取证
从 2021 的 FTP，到 Docker / 宝塔 / RAID / ESXi / NAS / 邮件服务器 / 大模型服务器
高。这是团体赛的主战场，也是历年冠军的强项
虚拟货币链上分析
2021 只是零星一问，2024 已成整块剧情，2025 贯穿两场
高。地址派生、交易图、浏览器查链要滚瓜烂熟（离线！）
内存取证
2023 起以理论题＋实操题双形态稳定出现，2024 考 NTLM / SID
中高。Volatility 命令要能背，注册表 hive 要会单独提
逆向与文件系统底层
2024 的 x64dbg 改汇编、DataRun 手工解析；2025 的 WinPE 启动链
中。这块是拉开差距的地方，中等水平选手普遍丢分
理论题（网络 / Web / Linux / 云 / 脚本）
2023 一届就出了 50 多道，之后成为固定配额
性价比最高。不用检材、不烧机器，纯知识，白送的分
隐写 / 密码学 / 大模型取证
2025 案情明确把主角设定为“密码学与隐写术爱好者”，官方培训 2026 单列“AI 赋能电子数据取证”
上升明显。这是 2026 最可能加码的方向，别当冷门

七、工具清单（2025 届选手实战版）

这份清单来自第十一届个人赛与团体赛的实战复盘，是赛场当天真正用过的工具，不是网上抄的“装备大全”。赛前务必把每一类都跑通一遍，尤其注意离线可用性。

类别
工具
介质取证
超级取证大师、X-Ways Forensics、FTK Imager、UFS Explorer Professional Recovery、iLEAPP、Autopsy
数据库 / 数据格式
DB Browser for SQLite、Navicat Premium、Realm Studio、Plist Editor Pro、Realm / plist 专用查询脚本
虚拟机 / 环境
VMware Workstation Pro、WSL2（Arch / Debian）
编辑器 / 十六进制
VS Code（Plist 插件）、010 Editor、Plist Editor Pro、福昕高级 PDF 编辑器
逆向 / 隐写分析
IDA Pro、JADX、Frida、x64dbg、DetectItEasy、pdfid、binwalk
加密 / 密码
VeraCrypt、TrueCrypt、HashCat、Passware、CyberChef、BIP-39 助记词工具
本地大模型
Qwen3.6 35B A3B+ Workbuddy 等本地前端(见文章：AI取证实战第09期：利用本地离线大模型做题的优化实践)
团队协作
局域网 + FTP Server（Windows 资源管理器自带即可）、HedgeDoc 协同笔记
杂项
Python 3.13、HashMyFiles、IrfanView、Utools（二维码 / 翻译插件）、QR Research、Thunderbird、UmiOCR_Paddle、WhisperKit（离线字幕）、WindowsRegistryRecovery

2025 届的两条“毒点”，2026 极可能复现：

① iOS 备份伪加密。提取工具导致所有 iOS 检材挂载时要求密码，但实际内容已是解密后的文件。多数检材密码是 4 位弱口令（0000 / 1234），用 Passware 或 HashCat 掩码爆破即可；也可以把带 _DEC 后缀的解密文件覆盖原始加密文件、或直接改 Manifest.plist 的加密标志位来绕过。团体赛有一台手机不是弱口令，爆破不出来。

② 压缩包密码未给出。虚拟货币截图检材的压缩包密码需要猜或结合已有信息爆破。所以——离线弱口令字典必须自备。

八、方法论：冠军和冠军战队怎么做

第十届个人赛冠军戴熙来：先统筹、再稳打、后深挖

  • 开赛先扫一遍全部题目，
    摸清案子结构和关键线索，再分配时间。不然容易陷进一道题耽误全局。
  • 先易后难、抓大放小。
    初期跳过复杂镜像分析，先吃掉简单题；简单题做完，整个案情的基本认知框架就搭起来了，后面分析才有方向。
  • 准确比快更重要。
    漏一个细节，整道题白做。
  • 由面到点。
    先理人物关系和案件脉络，再回头细挖具体文件。
  • 提炼题目里的中英文关键词，用全局搜索定位。
    这是商业化软件解析不了时最有效的一招。
  • 复盘时把每道题的分析步骤都记下来，
    尤其服务器重构这类高频考点——针对宝塔、Docker、K8s、ESXi 各自整理出专属取证流程，比赛时就能快速响应、迅速搭环境。
  • 硬件是战斗力。
    全局关键词搜索、服务器集群环境、手机模拟器 APK 动态调试、密码暴力破解、海量数据 SQL 查询、本地大模型运行——电脑一卡顿，节奏就崩。

第十一届团体赛冠军西电战队：两条被组委会点赞的经验

  • 自建局域网提协作效率。
    赛场队友之间拉一个本地局域网，FTP 互传检材与中间结果，避免各自重复解压几十上百 GB 的镜像。
  • 依据案情信息预测题目。
    官方赛前会发布案情与背景资料，读完就能推断出题人想考什么——顺着人物关系和公司结构把考点列出来，命中率不低。

团队分工：先定框架，随案情动态调配

早期团体赛习惯按检材分（计算机 / 手机 / 服务器），但近两届题目的交叉度大幅提高，2025 届甚至按人员身份分块更合理。更实用的做法是：开局按熟悉的领域初步分工，案情清晰后立即重新分配。检材是死的，案子是活的。第十届冠军队总结得很直白：“一开始分好工只是起点，真正重要的是比赛中能根据新发现快速重新分配任务。”

还有一条血的教训：团体赛有大量题目直接复用个人赛检材。所以——个人赛打完，千万别删容器。

三轮解题法（适合个人赛）

第一轮快速扫过所有题目，把能直接答的、有把握的全部拿下；第二轮集中处理需要软件解析的中等题；第三轮再攻硬骨头。核心是先确保基础分拿稳，别在开头就死磕。

四个高发坑

  • 字符编码。
    Windows 中文系统产出的文件常乱码，命令行工具前加 LANG=zh_CN.UTF-8。
  • 时区。
    取证工具默认 UTC，题目通常要本地时间，注意显式指定时区（如 +8:00）。
  • 哈希。
    算哈希要用取证工具自带的哈希功能，确保算的是原始镜像，不是挂载后的文件。
  • 内存分析卡死。
    大内存镜像直接分析容易崩，先用 hivelist 缩小范围，只提关键注册表 hive。

九、2026 备考路线图（仅供参考）

阶段
任务
9月23日前
报名 2026 赛前培训；下载钉钉并进群；同步确认单位/学校的正式报名安排
9月28日 — 10月10日
跟完培训（内存取证 / 流量 / AI 赋能 + 2023—2025 六场解析），当天同步把对应届次的题解原文读一遍，培训讲的是思路，题解给的是细节
10月中旬
补 2021、2022 两届（老题但考点仍在考）；做专项：内存取证（Volatility）、服务器重构（Docker / 宝塔 / RAID / NAS）、虚拟货币地址派生与交易图、逆向（IDA / JADX / x64dbg）、文件系统底层（MFT / DataRun）
10月下旬
理论题集中刷：Nmap、DHCP、Web 安全、AWS 云、Linux 运维与 LVM / RAID、PowerShell、数据库 SQL。这部分不需要检材，是投入产出比最高的分
11月上旬
全流程模拟：按正式时长做一整套旧赛题，训时间分配；压测机器（大镜像挂载、全局搜索、本地大模型）；团体赛队伍走一遍局域网协作与分工切换
赛前一周
下载检材并核对 SHA-256；提前解压（注意分卷压缩）；内置硬盘与移动硬盘各备一份；导出离线字典与脚本；确认监考软件兼容性

十、临场清单

赛前一天

  • 参加赛前会议（指导老师与队长必须到场，规则与答疑都在这里）。
  • 检材 SHA-256 与组委会提供的一致 → 容器密码公布后立刻解压验证。
  • 检材双备份
    （内置硬盘 + 移动硬盘）。往年出现过比赛当天检材容器损坏无法挂载的情况。
  • 确认监考软件版本与账号，提前把常用工具跑一遍——监考软件误杀是真实发生过的。

个人赛

  • 开局 5—10 分钟通读题面，画出案情与检材地图，标记“送分题”。
  • 先扫易题建立案情框架，再进复杂镜像；不要一上来就啃最大的那个容器。
  • 卡住超过预定时间就跳过，最后回来。
  • 留 10—15 分钟复核对齐（时间格式、大小写、单位）。

团体赛

  • 开局 15 分钟内定分块，把个人赛留下的检材和结论摆到共享目录。
  • 局域网 + FTP 互传；协同笔记（HedgeDoc 之类）实时记结论与编号，避免口头传递丢信息。
  • 案情明朗后立即重分配任务，别守死最初的分工。
  • 安排一人负责答案口径统一与提交，避免同一事实三种写法。

⚠️ 风险预案不是形式主义。第十一届开赛前 30 分钟，有队伍才发现团体赛镜像下的是分卷压缩、根本没解压。赛前把“检材损坏 / 未解压 / 密码未公布 / 监考软件冲突”四种情况各准备一个应对方案。

十一、资源清单

类型
入口
说明
官方
meiyacup.sdic.com.cn
唯一报名通道；竞赛概况-资料下载可拿邀请函；个人中心可查成绩与靶场账号
官方学习
美课平台（选手钉钉群内入口）
Windows 取证、iOS 取证、Linux 取证、内存取证、智能手机取证、数据恢复与分析
题解
西电 Forensics Wiki（forensics.xidian.edu.cn/writeups）
2021—2025 五届个人赛 + 团体赛题解；另有盘古石杯、龙信杯、FIC、数证杯等他赛题解
练习平台
官方练习平台：取证云平台(包含靶场与答案和详细解题思路：团队赛高分密码公开！取证云平台上架第十一届美亚杯团体赛参考题解)、DIDCTF 电子数据取证综合平台（forensics.didctf.com）
可刷题、看 Writeup、跟踪国内取证实战赛事日历
社区
“DFIR蘇小沐”、“取证与溯源”、“电子取证 wiki”
工具与前辈复盘，多元解题思路（冠军本人推荐的三个）
往届检材
官方网盘分享（每年随赛程在选手钉钉群发布，链接会更新）
只练题解不碰检材等于纸上谈兵，检材必须真挂载真翻库

十二、写在最后

把近五年的题摊开看，美亚杯的命题逻辑其实很稳定：用一个连贯的刑事案件串起一堆形态各异的电子设备，考你能不能在时间压力下把散落的数据重新拼成一条完整的证据链。它不考花活，考的是覆盖面和稳定性——你能不能在没有互联网、没有现成软件解析的角落里，靠基本功把分抠出来。

2026 年值得额外留意的两个方向：一是官方培训单列了“AI 赋能电子数据取证”，加上 2025 案情里已经把主角设定成“密码学与隐写术爱好者”、检材里出现了本地大模型服务器，AI 相关考点继续加码是大概率；二是服务器取证的口径在持续变宽，从 FTP、Docker 一路走到 NAS、邮件服务器、大模型服务器，会搭环境的人优势越来越明显。

最后借第十届冠军的那句话收尾——“放平心态，按自己的节奏来，平时一点一滴的积累，该用上的时候，自然就用上了。”

最后附上超级取证大师四个月免费授权官方链接：

2026下半年取证备赛利器！超级取证大师免费试用4个月


推荐阅读：AI取证实战第13期:2025美亚杯 · 第十一届中国电子数据取证大赛（个人赛）复盘-AI版

资料整理自：第十一届“美亚杯”官方赛事通报与大赛指南、国投智能（美亚柏科）2026 年赛前培训通知、第十届个人赛冠军专访、西电 Forensics Wiki 2021—2025 五届个人赛／团体赛题解及选手复盘。2026 年正式比赛时间以组委会官方公告为准。


图片

 图片


敬请各位大佬关注：小谢取证


图片
图片

扫取二维码获取

更多精彩

小谢取证

图片

转载声明：本文转载自原发布平台 （作者：小谢取证）， 原文标题《2026年“美亚杯”赛前备赛篇》， 查看原文。 版权归原作者及原发布平台所有，本站仅作收录与展示，未对正文内容作实质性修改； 若涉及侵权请联系本站处理。
简单讲讲 Agent 的工作原理 →