检材密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队
以下的所有题目均用Qiko3.0来进行分析答题的，从分析结果的展示以及做题的方便程度来看还是相当不错的，欢迎大家来使用☺️
获取方式：关注公众号，私信发送关键词“我要用Qiko！！！”即可，注意是中文感叹号，可复制发送。
Qiko展示画面
碎碎念
硬盘坏了，让ai修了修竟然给修好了，那就开始写复盘吧。这次比赛的模式不是很喜欢，三个人盯着一个部分做题，不太好发挥团队协作的能力。但是题挺好的，wp的话预计是每个章节一篇，毕竟170道题，一个人精力有限，近期比赛也有很多，就能做多少做多少了，后续会补每一个比赛的全解的。
透露一下，最近不更新是在搞工作台，后续自己测试效果好的话会发布的☺️
手机取证
手机取证已经有学弟写了，这里推荐一下，写的还是不错的
检材一
1. 分析嫌疑人在该手机登录的小米账号ID为？
3134129162
直接看分析结果
2. 嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？
给老妈汇款
查看闹钟
3. 分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？
107.175.0.221
直接查看节点信息即可
4. 接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。
3-1-3
这个题就得看数据库了，一般桌面的数据库命名都有launcher，直接搜索就可以搜到
我们在screen这里可以看到映射关系，其实就是id-1=页数
查看一下v2rayNG的位置
这里看到是3-0-2，但是screen应该是2，其他两个也是从0开始计数的，所以答案应该是3-1-3
5. 嫌疑人最近一次登录Google账号的日期是什么时候？
2026-07-07
直接在手机浏览器的cookie这里就可以看到
6. 在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？
密码.png
先去找一下手机相册的数据文件夹，打开手机文件就看到根目录这里有个备份图片
打开解压看看，文件夹Camera里三张图片
既然是隐写图片，要不就是助记词要不就是密码了，直接放进随波逐流和stegsolve里试试，发现密码这张图片里有个二维码
7. 接上题，该异常图片中隐写的内容为？
qazokm123
扫描上题的二维码
8. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？
1
先去数据库看看这是什么程序，3-1-4意味在数据库中是3-0-3
我们看看这个计算机包名的目录
这个db被加密了，那就直接去看看安装包有没有key吧，用jadx打开直接搜索key
追踪一下看到加密算法
写个代码得到key
python import hashlib
ones = [-1, 0, 3, 5, 1, -5]
key_base = hashlib.md5(bytes(b % 256 for b in ones)).hexdigest()[:6]
key_db = "".join(chr(116 + b) for b in ones) + ".db"
print(key_base, key_db)
# c258ba stwyuo.db
得到密码之后，解密一下，只有一条数据
9. 分析使用该密拍软件拍摄的图片，其中显示器的型号为？
C34H890WGC
点击data的数据即可看到
10. 机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？
百色
最新版是可以直接看到了
没有的话，在apk列表中找到购票软件
查看一下应用数据库，右键转换时间戳即可看到
11. 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？
37EA
这里有个简单的方法，既然是表格文件，先去看看证据文件有没有
这里没有看到，但是wps这里还有一个表格文件
去看一下wps的数据库，数据库没东西，倒是在崩溃的快照信息里看到了一个时间戳
转换一下时间戳，正好对得上时间
那就直接去找这个文件，之前看第六题的时候不是有几个压缩包
解压一下doc那个得到这个表格，计算一下sm3
12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？
https://www.douyin.com/video/7641161472526150282
直接去解析的抖音播放记录找
13. 请分析嫌疑人在抖音中共手动提现多少元至银行卡？
1003
字节系应用的用户通知不落 SQLite，而是存于自研 keva 键值库，在这里看到了提现1000元
但是搜索notice_type=92的时候还有3元
14. 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？
com.quark.browser
夸克历史记录里有搜过西装男头像，大概率就是他了，而且相册中的图片也指向他
15. 机主相册中有大量的豪车、别墅信息用来"杀猪盘"，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。
uni.UNI3DFAFCD
第六题与相册一起的压缩包解压后有个无印，带有大量题目的信息
直接搜索即可
16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。
com.ss.android.ugc.aweme
在抖音历史记录可以看到相关信息
检材二
17. 该手机的备份密码是多少？
1111
美亚杯特色题目，一般是四位或六位弱口令密码，直接用passwarekit爆破Manifest.plist
18. 该手机的备份时间是什么时候？
2026-09-23 15:02:50
19. 该手机的序列号是什么？
FD2W71HVJCM0
20. 该手机的蓝牙MAC地址是多少？
C0:A5:3E:82:06:E0
我搞的工作台可以直接检测出来🫣
正常情况下是在bluetooth文件里
21. 分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？
2021-12-26 20:35:27
在手机日志文件这里看到三个Battery
直接先看文件最多的这个，对时间（文件名）进行排序，看到个21年的
22. 分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。
1783544086.8534
直接搜索电量日志powerlog看看
对时间进行排序一下
23. 嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？
2026-08-12 18:07:21（注意时间格式）
程序列表里搜索一下
看到包名，直接去看安装日志
24. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。
com.apple.camera
继续回到22题的表中，powerlog 中唯一带bundleID的屏幕状态表是PLScreenStateAgent_EventForward_ScreenState
对全表 AppRole × bundleID 频次统计
把 7 月 9 日当天的记录按时间排出来看因果上下文
单独把 camera 的记录捞出来确认它只有这一条且 level=1050
全表频次统计发现 AppRole=6 只有 camera 一条，当日前两条记录是 02:15:03 lock-screen → 02:15:07 camera，即相机从锁屏唤起触发了解锁