—2025—
第十一届美亚杯
个人赛题解（下）
MEIYA CUP
一
赛前准备
工具准备：
超级取证大师、VeraCrypt、Navicat、DB Browser、Xplist、X-ways、Passware Kit Forensic、FTK Image、VM虚拟机、CyberChef编码解密、二维码扫描解码工具、Base64解码工具、时间戳转换工具、Realm Studio、Ollama本地ai等
准备工作：
首先观察检材，全是手机
并且IQ虚拟币的两张图片zip包加密，后续应该要解密
一个usb镜像一个安卓镜像三个iPhone手机文件压缩包
在取证过程中发现需要备份密码
在比赛过程中弱口令直接猜出来
1234和0000各尝试一下
正常来说我们使用Passware Kit Forensic去爆破文件中的Manifest.plist这个文件
一般是四位数字密码
请使用 CHAN_MH.zip 检材回答以下问题.
二
个人赛题解
51
即时通讯软件WhatsApp中，总共追踪了多少个频道？(请以阿拉伯数字作答）
依旧在这个表单中查询信息
A.iOS 17.1.1
B.iOS 17.2.1
C.iOS 17.3.1
D.iOS 17.0.1
在下图表单中找到群聊信息
但是有19个字段内容的后缀是@newsletter
猜测是频道
52
即时通讯软件「WhatsApp」中，下列哪个是群组 "Investors" 的管理员？（）
i) 85254974406@s.whatsapp.net
ii) 85260927726@s.whatsapp.net
iii) 85254961408@s.whatsapp.net
A. 只有 i)
B. 只有 i) 和 ii)
C. 只有 ii) 和 iii)
D. 以上皆是
i是群主，定是管理员
比赛时使用火眼发现ii同理
在群聊信息中iii被踢了再加也能猜测出来
使用超级取证大师可以直接得出
答案：B
53
即时通讯软件「WhatsApp」中，群组 "Investors" 的群组ID？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
答案：120363417204753192@g.us
54
即时通讯软件「WhatsApp」中，「社群」名称是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
\FUNG\var\mobile\Applications\group.net.whatsapp.WhatsApp.shared\ChatStorage.sqlite
在群聊信息数据库下查找关键词Community
找到一个来自We are 3 的社区邀请
那社群应该就是We are 3
55
承上题，请指出这个社群的群组图案的哈希值（SHA256格式）
A.B1A3706C574F81A3EE084FB9509997E06349E86D904D1DC10B879D1D5ED83125
B.B8BA258402925E139CAFBBBBBC809EC160B70BB03DBD4D0F3063F58F69D0B956
C.E43ADC646295BC5011577D4E733B6289D31A5E11ACB45285BE1FF530260DF383
D.20E64C78F9926548CEEFB1783991A4AD71A6631F3C86002254342E323A898C6A
群聊图片都存放在这个目录下
\FUNG\var\mobile\Applications\group.net.whatsapp.WhatsApp.shared\Media\Profile
打开一眼就看到这个WE ARE 3了
计算一下哈希B1A3706C574F81A3EE084FB9509997E06349E86D904D1DC10B879D1D5ED83125
56
即时通讯软件「WhatsApp」中，找出WhatsApp ID:85254961408@s.whatsapp.net曾经是在而现在已经不在的群组，请指出该群组的名称。(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
先找到这个id 发现是陈民浩
在sportmen这个群聊他就被移除了
57
即时通讯软件「WhatsApp」中，总共出现了多少个「投票」活动？(请以阿拉伯数字作答)
群聊中能找到3个
根据聊天记录id在数据库中查找 找到该信息z_pk值为279
再到表单ZWAMESSAGE 这个存放了聊天信息
定位之后发现279的ZMESSAGETYPE为46
猜测46的都是投票信息
把46的计数
一共15个
58
承上题，总共在多少个「投票」活动中作出了投票？(请以阿拉伯数字作答)
带着上题15个z_pk去到ZWAMESSAGEINFO这个表
里面存放了具体信息
将ZRECEIPTINFO中的16进制字符串用CyberChef解码，就能看到投票记录
这里要用db browser
Navicat里面是乱码
能找出他投了三个群聊投票
59
即时通讯软件「WhatsApp」中，根据群组「 IQ COIN ��������」对话内容正在策划，哪一种犯罪计划？（）
A. 诈骗
B. 抢劫
C. 谋杀
D. 以上都不对
分析聊天记录
作案过程大致是用AI换脸技术冒充CEO下达指令，转账到他们的账户
答案：A
60
承上题，该群组建立者的WhatsApp ID是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
他自己创建的
答案：85254974406@s.whatsapp.net
61
承上题，该群组的建立时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
他自己创建的
答案：2025-04-25 16:57:55
请你以参赛材料LEUNG_YL_Mobile.zip回答以下问题
62
该手机用作注册iCloud的email?
A. lingleung1502@gmail.com
B. lingleung1502@yahoo.com.hk
C. lingleung1503@gmail.com
D. lingl1502@gmail.com
63
参考LEUNG_YL_Mobile.zip，文件 IMG_0021.HEIC 所拍摄的相机型号是什么?（）
A. iPhone SE (3rd generation)
B. iPhone SE (2nd generation)
C. iPhone 12 mini
D.iPhone XR
从wifi信息中可以排除cd选项
然后b选项从本地ai那里知道是
直接查看图片属性
其实也能看出就是用这个手机拍的
看手机型号也行
答案：A
64
参考LEUNG_YL_Mobile.zip，文件IMG_0005.JPG所拍摄的座标(WGS 84)是多少？(请以纬度,经度的顺序及以下格式作答xx.xxxxxx,xx.xxxxxx)
答案：22.337655,114.139441
65
参考LEUNG_YL_Mobile.zip，文件IMG_0022.JPG是以下哪种方向拍摄?（）
A. 不旋转
B. 旋转180度
C. 顺时针90度
D. 逆时针90度
超大看出来是D逆时针
打开后就变成正的了，应该是查看器的编辑
答案：D
66
文件IMG_0022.JPG的建立时间(GMT +08:00)是?(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
答案：2025-05-16 11:33:15
67
参考LEUNG_YL_Mobile.zip，在WhatsApp 与”85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)是多少?(请以纬度,经度顺序及以下格式作答xx.xxxxxxxxxxxx, xxx.xxxxxxxxxxxx)
答案：
经度：114.295440673828
纬度：22.2760486602783
68
参考LEUNG_YL_Mobile.zip，在WhatsApp 与 "85254974406@s.whatsapp.net”聊天对话中，于2025-05-16 11:33:39时的信息所传送的座标(WGS 84)所指的餐厅英文名称是? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
答案由上图可得
答案：Fai Kee Seafood Restaurant
69
参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，于2025-04-29 08:31:02，机主传送了一个PDF 文件，该PDF的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
打开发现是空的
ALT+A选中全文发现是有框
猜测是隐写
把字体颜色改一下就出来了
70
参考LEUNG_YL_Mobile.zip，在WhatsApp 中聊天群组ID 120363401289578356里，有多少个参加者？
A. 2
B. 3
C. 4
D. 5
答案：3
71
参考LEUNG_YL_Mobile.zip，于2025-04-25 17:11:37 时使用WhatsApp 所拨打的手机号码是多少?（）
A. 85254962307
B. 85254961408
C. 85254974406
D. 85254993306
答案：C
72
参考LEUNG_YL_Mobile.zip，总共有多少个WhatsApp的通话记录? (包括拨打、接收及未接来电)（）
A. 4
B. 5
C. 6
D. 7
答案由上图可得
答案：D
73
参考LEUNG_YL_Mobile.zip，WhatsApp 聊天群组ID 120363400622997111 的群组名称是?（）
A. Investors
B. Foodies
C. We are 3
D. Happy Sharing within 3
答案：D
74
参考LEUNG_YL_Mobile.zip，WhatsApp 聊天群组Happy Sharing within 3 于2025-04-17 10:12:34 传送的WGS 84座标是多少?（）
A. 22.323436345441, 113.276894376508
B. 22.326923370361, 114.168403625488
C. 21.239876452236, 115.925422314543
D.20.124955642236, 114.168403625488
TLY
这个从接收设备找
安卓这边封包名字不同
叫做com.estmob.android.sendanywhere
里面的main.db找到苹果连接信息
答案：B
75
从来没有安参考LEUNG_YL_Mobile.zip，Instagram 的版本是?（）
A. 375.2.0.15.82 (722575504)
B. 376.1.0.14.56 (722575504)
C. 376.1.0.27.82 (722575504)
D. 376.0.0.17.23 (722575504)
超大显示的版本不够细致
翻找源文件 一般在Preferences里
\LEUNG\var\mobile\Applications\group.com.burbn.instagram\Library\Preferences\group.com.burbn.instagram.plist
答案：C
76
参考LEUNG_YL_Mobile.zip，社交媒体软件Instagram 的安装时间?(请以GMT+8时区及格式YYYY-MM-DD hh:mm:ss作答)
注意转换时区+8
答案：2025-04-26 11:50:47
U盘
跟据你的分析，警察在香港西贡蕉坑，找到一个行李箱，内藏一名女子尸体，身上没有任何身份证明文件，裤袋内搜获一个U盘，根据法医初步检验，死者头部及颈部有明显瘀伤，相信曾发生激烈争执，死因为气管受压导致窒息，死亡时间相信是在2025-05-16 0900时至1000时 。调查人员初步检查这个U盘，没有发现可疑资料，现在交由你进行电子数据鉴定工作。请参考参赛材料LEUNG_YL_USB.E01，回答以下问题
77
这个U盘里有多少个分区？(请以阿拉伯数字作答)
答案：2
78
参考LEUNG_YL_USB.E01，这个U盘里的分区结构是什么？(请以英文大写作答)
答案：MBR
79
参考LEUNG_YL_USB.E01，以下哪项描述是正确的？（）
i) U盘的总容量是16GB
ii) 文件系统包括 FAT32、exFAT 和 NTFS
iii) exFAT 分区的容量是 16GB
iv) 分区标签名是 "SanDisk"
使用X-WAY
i错
ii错
iii错
使用FTK IMAGER
iv错
答案：D
80
参考LEUNG_YL_USB.E01，以下哪项描述是正确的？（）
i) 此U盘曾连接到一台名为 "PC" 的电脑
ii) U盘内存有一个已加密的压缩文件
iii) 已加密的压缩文件的创建日期系 2025-05-15
A. 只有 ii)
B. 只有 iii)
C. 只有 ii) 和 iii)
D. 以上皆是
答案：C
81
承上题, 该压缩文件的解压密码是多少？
答案：54d#e(nm
82
参考LEUNG_YL_USB.E01，以下哪项描述是正确的？（）
i) 这是一个可引导U盘
ii) 有一个分区标签名为 "EFI"
iii) 卷标日期为 2025-05-15 (UTC +8)
iv) 有一个分区的总容量小于 500 MB
A. 只有 i)
B. 只有 i) 和 ii)
C. 只有 i), iii) 和 iv)
D. 以上皆是
i正确
u盘之中存在EFI分区并且存在boot文件
属于可引导盘
ii正确
iii正确
iv正确
答案：D
83
tammy.txt文件的内容是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
注意转换时区+8
找到tammy导出
答案：due diligence
84
文件“xcontainer”的加密算法是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
Sunny中已经准备好vc了
尝试挂载
需要密钥
密钥文件就放在压缩包旁边
直接看加密算法
85
分析文档"xcontainer"的属性。关于此磁盘镜像，以下哪项是正确的？（）
i) 大小为 4943872 字节
ii) 文件系统是 FAT
iii) 没有嵌入式备份头
iv) 块大小为 128 位
A. 只有 i) 和 ii)
B. 只有 ii) 和 iv)
C. 只有 ii), iii) 和 iv)
D. 以上皆是
使用vc检查文件系统
第二个正确
存在备份头 块为128位
答案：B
86
WinPE 启动后，系统会自动将核心映像挂载在哪个虚拟机？
A. C:
B. D:
C. X:
D. Z:
一张图片一个文档
87
WinPE 启动后，系统会自动将核心映像挂载在哪个虚拟机？
A. C:
B. D:
C. X:
D. Z:
使用刚仿真出的pe试一下即可
或者询问本地ai
88
必须包含哪个文件，才能启动 Windows PE环境？
A. WEPE64.wim
B. install.wim
C. WinPE.log
D. hiberfil.sys
常识题询问本地ai
除此之外我们刚刚在u盘中找到了A选项也能选出来
89
若要判断一个U盘是否为可开机的Windows PE，以下哪些文件必须存在？
i) WEPE64.wim 或 boot.wim
ii) bootmgr
iii) EFI\Boot\bootx64.efi
iv) hiberfil.sys
A. 只有 ii 和 i
B. 只有 i), ii) 和 iii)
C. 只有 i) 和 iv)
D. 以上皆是
90
这个 WinPE U盘的操作环境 (Operating Environment) 是基于哪一个 Windows 版本？
A. Windows 7
B. Windows 8.1
C. Windows 10 PE
D. Windows 11 PE
91
根据你综合多项通讯软件的对话记录，浏览记录及资料分析，发现冯子超、陈民浩伙同女子梁燕玲共同做了一宗涉及加密货币投资的诈骗案件，因东窗事发打算携赃而逃。女子梁燕玲负责处理有关清洗黑钱事项，警察相信梁燕玲携带同相关材料逃跑，请你运用电子数据鉴定技巧寻找与加密货币相关的材料，尽快启动冻结程序。参考LEUNG_YL_USB.E01，该U盘盘有一个加密的文件，该文件所用的加密软件名称是? (只需回答软件名称，不需要回答软件版本，(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
前面的Xcontainer
那加密软件就是vc了
Veracrypt
92
参考LEUNG_YL_USB.E01，请列出与IQ Coin有关的虚拟钱包的地址(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
前面的xcontainer中有张图片和一个txt
图片中二维码明显隐藏信息
而txt中很可能是助记词
使用二维码扫描解码工具看下
答案：0x548dafDe4B17d7d3C9485E79B3B5018801C7855E
93
承上题，这个钱包属于哪一种加密货币(请以英文大写作答)
注意我们还有一个检材没用上
压缩密码就是上一题的地址，毕竟题目已经点明，”承上题”
Market里面的BNB就是了
94
承上题，这个钱包总共有多少次存入记录？(请以阿拉伯数字作答)
带着钱包地址
图一的交易记录中找一下嫌疑人的钱包即可
从上往下数第五个是to嫌疑人钱包
只找到1个
95
承上题，存入款项的支账地址是什么？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
上bscscan找
通过block对应
答案：0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A
96
承上题，这项交易传送了多少BEP-20 IQ Coin?(请以阿拉伯数字依照参赛材料中的原文作答，注意区分大小写、空格及符号和不用标点符号 )
答案：1,000,000,000
97
助记词是由加密货币钱包生成的一系列单词，帮助用户恢复其私钥。助记词通常由12到24个单词组成（）
A. 正确
B. 错误
常识题不会可以询问本地ai
答案：A
98
根据你的信息警察查知这个加密钱包涉及近期一宗巨额诈骗案，请你查出这个钱包余额额度，警察将会进行冻结程序，请指出包含有疑似助记词的文件的希哈值(MD5格式)(请以阿拉伯数字和英文大写作答)
由92题可得
将tmp.txt计算哈希
答案：183B8E0C6365FEE834479269141A3F91