一直想搞AI做取证题目的文章，但是感觉AI写wp的话含金量不大，就没有做。最近看到美亚的QikoClaw可以接超级取证大师的mcp来进行分析，打算测试一下效果，正好把AI取证的文章写了，话不多说，先看效果

这里我们使用的是Qiko的美亚手机取证答题专家与超级取证大师的mcp以及内置的三个skills，模型使用的qwen3.8

题目为聚合杯的手机（21.2G）

取证过程

过了一个多小时时候让他总结答案发现只做了7道题

同时相同时间下WorkBuddy（未配置mcp与skills）跑出四道题

可能是因为检材太大的原因，所以消耗时间比较长，让他继续慢慢跑吧，花了将近两个半小时，差不多结束了，答案均已验证

Qiko

WorkBuddy

WorkBuddy应该是没有任何skills与mcp配置，所以效果差一些，等了好久，都没做出题目，不等了

结果展示（Qiko生成）

聚合杯手机取证 · Writeup

检材：MYOS「案件20260820100004」→ dev/userdata.tar（Android 手机备份）
访问方式：通过超级取证大师（MYOS）MCP load_case 挂载后，按挂载路径直接读取原始文件，不解压 tar。
挂载数据根：G:\MYOS\Case\案件20260820100004\dev\userdata.tar\attachments

\MY_MF_DataBackup\userdata
工具链：Python（sqlite3 / pycryptodome / cryptography / opencv / imageio）、MMKV 解析、KeePass 解密、ffmpeg 抽帧、二维码识别
时间换算统一按 UTC+8。

一、案情主线（先读懂嫌疑人干了什么）

嫌疑人从事「挖矿投资」类诈骗引流：

1. 用 DeepSeek 生成「挖矿赚大钱短视频提示词」（2026-05-19）；
2. 用 即梦 AI（Seedance 1.0 Fast 模型）生成 3 条诈骗宣传视频，下载 2 条到本地相册；
3. 用 剪映 剪辑成 2 个项目，通过 播城 直播软件引流；
4. 直播素材用 爱加密（com.aijiami.cn） 以 AES-256-CBC 加密，密码存在 KeePass 里（口令藏在一段录音 record.wav 中）；
5. 直播中闪现二维码，分发「蚂蚁矿池」APP 下载地址；手机内装有 com.mayi.kuang（蚂蚁矿池）；
6. 聊天中兜售 API 服务网站 http://s0.v100.vip:27974/；
7. 关联抖音账号，注册手机号 135******46。

题目基本围绕这条链路展开。

二、逐题解析

Q1 Android ID → 67e76c8034b21156

• 思路：Android 的 android_id 保存在系统 settings 库中。直接查设备信息/com.android.providers.settings 的 settings 数据库（settings_secure.xml / settings.db）中的 android_id 键。
• 证据：data/data/com.android.providers.settings/databases/settings.db 中检索命中 android_id = 67e76c8034b21156。
• 答案：67e76c8034b21156

Q2 最后连接 SSID「JHTJ」的时间 → 2026-05-11 12:52:46

• 思路：WiFi 已配置网络记录在 data/misc/apexdata/com.android.wifi/WifiConfigStore.xml，每个 <WifiConfiguration> 节点含 LastConnectedTime（毫秒时间戳）。
• 证据：SSID=JHTJ 节点 LastConnectedTime=1778475166127。
• 换算：1778475166127 ms → 2026-05-11 12:52:46（UTC+8）。
• 答案：2026-05-11 12:52:46

Q3 6月4日中签「通合发债」认购资金 → 1000

• 思路：中签结果来自证券类 APP（同花宝）。先扫 2026-06-04 前后 DCIM 截图与证券 APP 数据，在中签结果记录中定位「通合发债」条目。
• 证据：6月4日中签结果中「通合发债」对应认购资金 1000 元。
• 答案：1000

Q4 AI 提示词文件 MD5 后 6 位 → e075be

• 思路：全盘检索 AI 生成提示词的文本文件，命中 /data/media/0/tsc.txt（内容即 AI 提示词集合），计算该文件 MD5。
• 证据：MD5(tsc.txt) = 790b1bcedd4c923f77b588d45de075be。
• 答案：取后 6 位小写 → e075be

Q5 「简记事」登录邮箱 → epka1dbwic@lnovic.com

• 思路：简记事（包名 com.lnvn.jjs）的用户信息在其 databases / MMKV 中。解析 mmkv.default 与其用户数据库 user 表 JSON。
• 证据：user 表记录 {"email":"epka1dbwic@lnovic.com", "sex":"女", ...}（昵称 epka1dbwic）。
• 答案：epka1dbwic@lnovic.com

Q6 DeepSeek 生成挖矿提示词的时间 → 20260519

• 思路：DeepSeek（com.deepseek.chat）会话列表库 databases/deepseek_chat_*.db 的 chat_session_list 表按标题检索「挖矿」。
• 证据：命中会话 title=「挖矿赚大钱短视频提示词」，updated_at=1779171931.498 → 2026-05-19。
• 答案：20260519

Q7 AI 制作视频总数 → 3

• 思路：即梦（com.bytedance.dreamina）的生成历史在 databases/dreamina.db 的 aigc_data 表。
• 证据：SELECT count(*) FROM aigc_data = 3，即 3 条 AI 视频生成记录。
• 答案：3

Q8 下载保存至本地的视频数 → 2

• 思路：AI 视频被保存到相册即落到 /data/media/0/Movies/，文件名带 dreamina_ 前缀。
• 证据：Movies 下恰好 2 个：dreamina_7642223444259622190_*.mp4、dreamina_7642224567934668070_*.mp4（对应第 1、2 条生成记录）。
• 答案：2

Q9 history_record_id=35243399821068 的模型 → seedance1.0fast

• 思路：即梦 aigc_data 表中按 history_record_id 取 data_json，解析 model_info.model_name。
• 证据：该记录 model_name = "Seedance 1.0 Fast"。
• 答案：去空格全小写 → seedance1.0fast

Q10 引流直播软件名称 → 播城

• 思路：扫描直播/引流类应用包，锁定 com.dbbjt.phonelive（关联包名 com.dbbjtech.doubaodianbao），其应用显示名为「播城」。
• 答案：播城

Q11 与「默认昵称1921」聊天发送失败条数 → 1

• 思路：播城聊天库中定位会话 默认昵称1921（session id=1731375），统计 send_status=3（发送失败）的消息。
• 证据：该会话中 send_status=3 恰好 1 条，内容含「发送失败，内容包含违规信息」提示。
• 答案：1

Q12 售卖 API 服务网站的端口号 → 27974

• 思路：在播城聊天消息中检索 URL / 端口。
• 证据：聊天消息内容命中 http://s0.v100.vip:27974/（API 服务售卖）。
• 答案：27974

Q13 直播软件中搜索过的关键词 → 如何引流

• 思路：播城的搜索历史存在 MMKV 中，键名 dbb_home_search_history_info_key。
• 证据：解析该 MMKV 键值，唯一关键词为「如何引流」。
• 答案：如何引流

Q14 文件加密工具包名 → com.aijiami.cn

• 思路：扫描已安装应用目录 data/app/*/base.apk，匹配加密类工具。
• 证据：命中 data/app/com.aijiami.cn/base.apk（爱加密）；直播素材加密目录亦位于 Android/data/com.aijiami.cn/files/。
• 答案：com.aijiami.cn

Q15 该加密软件的加密方式 → AES-256-CBC

• 思路：反编译 aijiami APK，定位 EncryptionUtils 类：ALGORITHM="AES"、变换 AES/CBC/PKCS7Padding，密钥为 256bit。
• 答案：AES-256-CBC

Q16 直播素材文件加密密码 → JHCUP@20260604

• 思路链：
1. 录音文件 record.wav 中嫌疑人念出 KeePass 口令；
2. 用该口令打开检材中的 KeePass .kdbx 数据库；
3. 读取条目「直播素材文件加密密码」的值。
• 验证：用该密码成功解密直播素材 .encrypted 文件得到可播放 mp4（见 Q17），证明密码正确。
• 答案：JHCUP@20260604

Q17 解密后文件后缀名 → tmp

• 思路：加密文件原始名 encrypt_temp2158867841834980539.tmp.encrypted（位于 Android/data/com.aijiami.cn/files/）。解密参数：
• 算法：AES-256-CBC + PKCS7
• key = MD5(JHCUP@20260604) 的 16 字节摘要
• IV = juhetianji123456（16 字节，恰好等于 IV 长度）
• 证据：解密成功后文件名为 .tmp（实际内容是 mp4，改后缀即可播放）。
• 答案：tmp

Q18 剪辑软件现存剪辑项目数 → 2

• 思路：剪映（
  com.lemon.lv）的草稿项目在 files/newdrafts/ 目录。
• 证据：newdrafts 下 2 个项目目录（7STJQ7QX-...、KT73GGOA-...），排除非项目项 AlbumToVideoId。
• 答案：2

Q19 「蚂蚁矿机」APP 下载地址 → https://s0.v100.vip:4152/dowloads/蚂蚁矿池.apk

• 思路：
1. 用 Q16 密码解密直播素材视频；
2. 视频约 34 秒处闪现一张二维码图片；
3. ffmpeg 抽帧（34s 附近）→ OpenCV/二维码识别解码。
• 证据：二维码内容即下载链接（注意 dowloads 是原链接中的拼写，保持原样）。
• 答案：https://s0.v100.vip:4152/dowloads/蚂蚁矿池.apk

Q20 135 开头手机号末两位 → 46

• 思路：抖音账号关联的注册手机号（掩码格式）存在字节系 shared_prefs 中。全局检索 135****** 掩码模式。
• 证据：com.bytedance.dreamina/shared_prefs/com.bytedance.sdk.account_setting.xml 命中 135******46。
• 答案：46

总结

   
  总的来说其实还不错，因为我用的Qiko版本有点太老了，而且在做题过程中会出现一些问题，比如说只能看到一直调用mcp，看不到思考过程，不知道他的做题进度等，我觉得最新的版本应该不会出现这些情况。其实可以将超级取证大师的mcp和skill搞出来，用在其他的agent里，效果肯定会更好一点。

  再者就是，遇到这种太大的检材，ai分析的时间会很长，如果是比赛场景的话，不会给你这么久的时间，所以我们也需要手搓的能力。在AI盛行的时代，我们不能单纯的依赖AI去分析，去做题，我们也得有自己动手，自我分析、思考的能力，比如题目中涉及到的一些apk逆向，可以导出包自己分析，或者再开一个AI对话做逆向分析，而不是一直等一个AI对话，等他的答案，然后不论正确与否的提交答案。

   以上为个人观点，欢迎交流指正。