25数证杯团体赛wp——
手机取证+数据分析
使用工具：超级取证大师、assper for Word、Ollama本地ai、yberchef编码解密、010 edictor、X-Ways Forensic等
本篇wp仅代表个人想法，如有不对欢迎指正。
一
手机取证
分析手机检材，手机的序列号是？（答案格式：字母大写）
HT7BG1A05334
分析“Android.E01”检材，机主23年4月15日使用的手机型号为？【答案格式：与线索大小写一致】
vivo X Fold3 Pro
通过时间定位到这张图片
查看属性得
分析手机检材，通话记录中，机主拨打号码频次最多的手机号是？（答案格式：11位数字）
15185491986
对手机通话记录进行排序
152拨了40条
151拨了65条
186拨了37条
139前面有两条未接，共拨了63条
187拨了20条
后面都可以这么得，最后151拨号次数最高
分析手机检材，机主使用火狐浏览器搜索了“在线ai语音转换”，请问浏览器返回的结果中，第一条记录显示的应用版本号是？（答案格式：1.2.3）
5.2.8
在data/data/org.mozilia.firefox/cache/mozac_browser_thumbnails/thumbnails下查看浏览器的缩略图，在一张搜索内容为“在线ai语言转换”的图片下发现版本号
分析手机检材，分析机主历史使用过telegram应用中，曾保存文件记录的后台密码为？（答案格式：与线索保持一致）
159753lee
在文件中搜索taelegram，对内部文件进行翻找，发现m.txt文件
打开后发现内部有后台密码
分析手机检材，邀请码.docx文件第三行内容为？（答案格式：与线索保持一致）
M3n4O5p6Q7r8
对该文件进行密码爆破，得密码
打开即得答案
分析手机检材，机主通过WPS应用最后打开的文档名称是？（答案格式：包含后缀，如123Abc.docx）
AI换脸软件及教程.docx
在data\data\cn.wps.moffice_eng\shared_prefs\recent_file_record_file_name.xml找到
分析手机检材，分析系统自带的相册应用，相册中的图片有多少张来源于豆包应用？（答案格式：仅数字）
13
在图片目录Image\data\media\0\Pictures下发现13张图片，打开后发现都由豆包生成
分析手机检材，机主安装的哪个应用可以对应用和文件系统进行隐藏，请给出该应用的包名是？（答案格式：com.tencent.mm）
deltazero.amarok
将所有应用截图发给ai，由ai得
接上题，该应用隐藏的图片文件名是？（答案格式：包含后缀，如Abc123.jpg）
Screenshot_20250925-231717.png
在data\data\deltazero.amarok\shared_prefs下找到deltazero.amarok.prefs.xml文件，发现内部记载了一个文件路径下的文件被隐藏
查看检材未见此目录，但storage/emulated/0/Private路径和/Image/media/0/Private指向的是同一个文件夹，故查看该文件夹下的文件
分别对两个文件进行解密，发现
.U2NyZWVuc2hvdF8yMDI1MDkyNS0yMzE3MTcucG5n!amk2可以用base64解密出来
故得答案
接上题，找到机主记录的仓库门禁密码是？（答案格式：按照实际值填写）
606888
由上题已知文件为png格式，改文件头为png格式
更改保存后仍然无法打开图片，则用winhex或XWF打开预览
发现密码为606888
请分析手机检材，从检材中找到机主给微信好友转账的好友卡号所属银行名称。（答案格式：需与检材中记录的银行名称一致，如招商银行）
苏州农商银行
在微信聊天记录内发现银行卡号
询问ai623110开头的银行卡号所属银行得
请分析手机检材，机主收到了一个视频，该视频损坏后，机主对其进行了修复，请计算修复后的视频SHA1值？（答案格式：字母大写）
6ACE0A0CB5F1DD812DAD017BE38D138304411C74
通过超级取证大师全局搜索“修复”搜索到该视频压缩包
解压计算视频哈希值得
请分析手机检材，加密压缩包的解压密码是？（答案格式：需与线索一致）
BF5ESDQWZR2A54VE
打开对方发的解密网址，发现是摩斯密码解密
根据视频进行摩斯密码解密，大老虎为-，小老虎为.，翻转画面为空格，解得
请分析手机检材，报价文件的MD5值为？（答案格式：字母大写）
43042BF7EFA0F73DD69162A640FE923F
解密压缩包后即可计算该文件MD5值
二
数据分析
请问和嫌疑人1341732****通话时长最长的对方号码是哪一个？(答案格式：1366666****)
1885137****
根据检材1，请问和已知的5位嫌疑人都有过通话关系的对方号码有几个？（答案格式：仅数字）
8
一个个筛选查找后结果如下：
1370526**** 1396106**** 1515269**** 1560697**** 1572246**** 1595266**** 1776064**** 1860665****
请问同时满足以下3个条件：和已知的五位嫌疑人中任意四位及以上有过通话关系且通话总次数大于60次且通话总时长大于700秒的对方号码有几个？（答案格式：仅数字）
7
这题和上题做法一样，但是纯手翻太累了，不想再翻一遍
请问和已知的5位嫌疑人在凌晨2点至6点之间发生过通话的对方号码有几个？（答案格式：仅数字）
2
警方调取了相关的银行交易流水数据，隆测的其中一张银行卡是443925246349222294924，哪张银行卡给这张卡转了第二多的资金？（答案格式：21位数字）
446922315453222203924
筛选后排除最多的，从交易数量最多的往下算，比较可得
隆测名下的银行卡都属于隆测，如果把这些卡看作一个整体，请问给隆测转账（不包括隆测给自己转账）超过30万的卡有几张？（答案格式：仅数字）
4
通过观察发现每笔转账不超过1w，筛选交易次数达到30次以上的，再一次计算是否够30w得
如果资金沉淀卡的特征是：流入金额÷交易总金额≥80%，请问在全量数据中满足这个特征且流入金额在300万及以上的卡有几个？（答案格式：仅数字）
隆皂的其中一张银行卡是443925246338222294924，对其的交易发生在周末的次数共计多少次？（答案格式：仅数字）
47
警方根据线索找到了涉案服务器的日志数据，请你对数据分析检材中的日志文件进行分析，找到压缩包的密码。答案格式：按实际值填写）
警方根据线索找到了涉案服务器的日志数据，请你对数据分析检材中的日志文件进行分析，找出“张三”的身份证号。（答案格式：与线索保持一致）