AI 取证实战 · 第 37 期 · 五年复盘 × 2026 推演

案情背景就是出题脚本：五年美亚杯，推演今年考什么

1198 道真题 × 五届案情 → 5 条规律 → 2026 五个阶段的考点预测

美亚杯的案情背景从来不是装饰。它是出题脚本——写进背景里的每一件设备、每一个情节节点，最后都会被翻译成几道题。这句话不是感悟，是能算出来的：我把 2021—2025 五届十场 1198 道题，一道一道标回它对应的那句案情，对齐完发现比例硬得很。

今年（2026）的官方资料已经发了：故事大纲、流程图、人物关系图、证物对应图、17 个带 SHA256 的镜像清单，还有一张 21 类的建议软件清单。题还没出，但脚本已经摆在桌上——这意味着今年和往年最大的不同是：你可以提前知道该练什么。

所以这篇不写"五年回顾"，写"五年怎么用"。前半段用五年数据把「案情怎么写、题就怎么出」拆成 5 条规律；后半段拿这 5 条规律去读今年那份还没开考的背景，给出五个阶段的考点预测、置信度，和一张能直接照着练的清单。

一、方法：把每道题标回它那句案情

做法很土：拿官方题目表，逐题看它问的是哪件检材、对应背景里的哪句话，然后在表上加一列。做完十场，你就能看到一件事——案情背景里没有一句废话。凡是写进背景的设备，一定有题；凡是写进背景的时间，一定有用。

举个最干净的样本，2025 团体赛：

三句话，五十二道题。这就是"脚本"的意思——背景里提一个物件，题目就沿着这个物件把它的配置、日志、账号、时间全问一遍。背景决定检材，检材决定题量，题量决定你该练什么。链条就这么短。

二、五条规律：从 1198 道题里抠出来的

规律一：一件检材 8—15 题，题量是检材数的函数

检材数口径：题目表里出现的独立设备／镜像，同一人的手机与电脑分开算，NAS 多块盘算一件，不含背景资料。

两个趋势叠在一起看更有意思。一是密度在涨：每件检材从 7.5 题涨到 15.5 题，2025 是"一件挖到底"的极致（冯子超手机一台出 44 题）。二是分配在摊平：2021 光常威一个人的设备就吃了半场（54%），到 2025 最重的一块只占 17%——题量在往"每台设备都挖一遍"的方向走。

个人赛反过来：题量从 2023 起就锁死在 98—100，跟检材数没关系——所以检材越少，每件挖得越深。2025 个人赛只给 3 件，平均每件 33 题。

这条规律直接能用：看官方清单里有几个镜像，就能估出题量。17 个镜像，个人赛拿 3—5 件撑 100 题，剩下 12—14 件归团体，按 10—15 题/件算，团体 120—210 题，两场合计约 220—310 题。而且按"摊平"趋势，最重的单件大概 35—45 题，不会出现某台机器吃半场的情况。

规律二：个人赛问「人」，团体赛问「钱和组织」

这条在 2024 看得最清楚。同一批人、同一条时间线：个人赛问 Emma 欠了多少债、Clara 最后在哪、David 的币怎么被偷；团体赛问 Alice 拉了多少人、Ben 的 APK 连哪个 C2、John 的 NAS 归集了什么、钱最后进了哪个地址。赛制不是难度分级，是视角分级。

落到检材上也很明显：个人赛五年十场里，服务器只出现过一次（2021 阿力士那台 FTP 服务器），其余全是"个人设备"——手机、笔记本、U 盘、内存镜像。团体赛则是服务器、NAS、跳转站、邮件服务器、大模型服务器轮着上。看到背景里出现"公司服务器"，基本可以确定那是团体赛的题。

规律三：案情里每个「没见过的物件」，至少出一道题

这是五年里最稳的一条。把每届"第一次出现"的物件和它的题量摆一起：

五年，二十多个"新物件"，零例外，全部出题，最少 2 题，最多 23 题。这条规律最值钱：拿到官方清单，先找你不认识的设备名——那就是今年的新题型，也是你最容易拉开差距的地方。

规律四：案情里的时间矛盾，一定出题

2023 那台特斯拉最典型：死者 9 月末已经死了，车却在 10 月 2 日还在开，哨兵模式录到了人。这个矛盾在 8 道题里至少占 2 道。同一届还有 Kali 虚拟机的时区跟香港不一样，单独一题问时区；2025 的链上交易是 UTC，手机记录是 UTC+8，跨检材对时间全靠换算。

还有一类是"时间窗口切片"：2024 个人赛「8 月 30 日下午两点后 Emma 共致电 Clara 多少次」、2025 团体赛「2025-04-29 至 05-08 期间有多少次登入」。背景里凡是出现"某日之后""离港期间""已经死了"这类限定词，就有一道题卡在这个窗口上。

规律五：老动作 + 新载体 = 送分；新动作 + 新载体 = 真空档

同一个犯罪动作，换了载体，题路可以照搬。钓鱼骗卡：2022 是假网站，让受害人自己填资料；今年的脚本里是"连上讲座现场 WiFi 后卡被盗刷"——动作一样，载体从网页换成热点，题就从"看浏览器记录"换成"看 WiFi 连接记录和树莓派 DHCP 租约"。

反过来，全新的动作五年里没人考过，只能靠通用技能硬扛。所以读脚本时先分类：能搬的照搬，搬不了的补基础。这是本文后半段推演的方法论。

三、五届案情摆一起：每一届给今年留了什么

规律说完了，下面把五届的案情、检材、题量摊开。看的时候别只看"那年考了什么"，看"那句话最后变成了几道题"——这才是能迁移的东西。

* 题量以官方题目表逐份核对为准：62／105、70／130、100／139、100／130、98／264，合计 1198。2022 团体赛官方题解是完整的 130 题，「题解不全」的旧说法不成立。

2021：案情只写一个动作，题就沿着一台设备挖到底

背景只有一句：「工地主管的计算机被加密，收到勒索通知」。这一句拆出 62 题。手机 9 题、电脑 10 题、路由器 7 题、两部 iPhone 16 题、阿力士电脑 10 题、FTP 服务器 10 题。注意最后那 10 题——同一台 FTP 服务器，问 Docker 装了什么、内核什么版本、文件系统是哪个、哪个目录改过权限。这不是找文件，是让你把一整套系统讲出来。

团体赛背景写「元材原料几名员工的财务资料在网上被公开」，落到官方清单 16 项（含 2 份背景资料）、14 件数字检材、105 题。工地那边只给了 A、B 两台办公室计算机（8+10 题），两套问的东西还不一样：A 问恢复密钥标识符和 48 位密钥，B 问 MAC、ProfileID、CD Key、分区表、services.exe 的 PID。特普 20 题（手机木马版本 2020033001 + 电脑病毒 8 题），常威 57 题（手机、Mac、Windows、Linux、U 盘、矿机、无人机全给了）。

这一届给今年留下的是「一台设备挖到底」的题路：只要背景里点名一台机器，就会有一串题沿着它的系统信息往下走——版本号、分区表、容器、文件系统。今年清单里的两台树莓派，就是同一套问法。

2022：案情写「一封邮件」，题就沿着一封信的每个字节走

个人赛背景是伪冒快递邮件骗卡。四件终端 70 题，最后一题是行为定性。这届埋了两个小机关：李大辉手机里那个 order.xlsx 被单独加了密，解密钥匙要自己找（2022I-Q21）；还有一张照片的元数据被改过，拍摄时间对不上（2022I-Q23）。故事讲盗刷，题却落在"这份文件什么时候被谁动过"。

团体赛是五年里唯一一届"服务器当主角"：AGC-CS 被 RDP 打进来，下载 NIMSCAN 扫内网，AGC_Server 上跑 Proxmox，黑客留了加密程序；王景浩负责入侵盗数据（计算机 27 题、iPhone XR 5 题、SD 卡 10 题、U 盘 5 题），朗尼负责洗钱（树莓派 VPN 7 题、计算机与手机 24 题）。

这届留给今年的是两件东西：一是"读邮件头"的题路——发件地址、发信 IP 单独设问（2022I-Q19／Q20）；二是树莓派作为 VPN / 网关的取证范式——hostname、VPN 端口、syslog、登录统计、被删目录，七道题正好是一套标准流程。今年清单里有两台树莓派，这七题的路子可以直接搬。

2023：案情开始套娃，题就考「你能不能拆开」

个人赛背景是三个大学同学搞电诈，8 件检材 100 题。浩贤那份最绕：Server 文件夹里套着 Meiya_VPN.vmdk。"先认出嵌套检材、挂上、再进去找"从此成了肌肉记忆。这届还有个信号：理论题突然成块，39 题、接近四成（Linux 与云 21、网络与 Nmap 8、Web 与数据库 5、脚本与内存 4）。

团体赛是凶杀案牵出诈骗组织，139 题。潘志辉的计算机 22 题全在换脸软件上，陈大昆的 Win10 25 题全在 Opensea 和以太坊合约上，陈大昆 MacBook 里还塞了两个加密 .7z，解开是二进制，最后 6 题直接问函数个数。检材套检材，压缩包套二进制。

这届留给今年的是「时间矛盾」的题型：特斯拉哨兵 8 题里，核心是"死者 9 月末已死、车 10 月 2 日还在开"；Kali 虚拟机时区跟香港不同，单独一题问时区。今年脚本里"投资人几天后卡被盗刷""CEO 在外地休假期间开会"，都是同一类矛盾。

2024：案情写「一个人的设备」，题就拆成一台一台

个人赛 6 件终端 100 题：Emma 手机 24、Clara 手机 24、David 手机 10、David 笔记本 10、David U 盘 18、内存镜像 4，最后 10 题资金流综合分析。一台服务器都没有——这个分配从 2022 就定了，服务器全留给团体赛。

真正的大题是那块 U 盘。前 10 题手工算 NTFS：每簇多少字节、已删除文件数、Run List 偏移量、簇运行长度、被删图片的像素值和拍摄机型。后 8 题是一把锁：x64dbg 找字符串、找到判断登录成功的跳转、改汇编绕过、拿内存偏移量解 BitLocker 密钥。从"找文件"跨到"改程序"，五年里个人赛第一次把逆向当主菜。（顺带纠正一个流传很广的说法：内存大题其实只有 4 题，不是 22 题。）

团体赛 13 件检材 130 题，第一次把"一个人的设备"拆成"一个组织的工作流"：Ben 43 题（AhMyth APK 15 + AES 加密 Excel 7 + 黑客痕迹 18）、John 的 NAS 13 题、VR 头显 6 题、跳转站 4 题、Alice 手机还加了赛后 6 题"二周目"。

这届留给今年的是两件事：一是"跳转站"这种只做出入口的机器怎么查（IP/掩码、访问 ID、下载时间、几个 ID 连过）；二是"二周目"——单机结论必须放回多人关系里验证。今年的三层人物分工，几乎必然会用到这个套路。

2025：案情写「两个新战场」，题就各开一块

个人赛 3 件检材 98 题，密度最高的一年：陈民浩 iOS 备份 24、冯子超手机 37、梁燕玲手机加 U 盘 37。三人都是密码学与隐写术爱好者——这句话不是背景板，它决定了梁燕玲那条线的题：WinPE 启动盘、xcontainer 加密镜像、钱包地址、助记词、最后还有个要逆向的 SecretSeed.exe。

团体赛 17 件检材 264 题，是五届最大的一届。核心矛盾是"CEO 否认开过会"，落点却在钱上：邮件材料 16 题（信本身）+ 外送邮件服务器 15 题（信怎么走的）+ 链上交易 9 题（钱怎么动的）+ 大模型服务器 23 题（AI 系统怎么搭的）+ 冯子超手机 44 题（谁在群里）+ 摄像头存储卡 9 题（底层字节）。

这届留给今年的是「同一个物件，正反两面都问」：邮件既问内容也问投递链路，币既问地址也问交易，AI 既问模型也问数据库。今年脚本里的"隐藏平台"，很可能也是这个问法——既问平台业务数据，也问它的技术栈。

四、考点库存：今年会从哪个抽屉里拿题

把十四期专题的题号按年份摊开，就是这张"库存表"。横着看是某类考点这些年的兴衰，竖着看是某一届的分数构成。今年出题，也是从这些抽屉里拿——只是换了个由头。

口径：前十三行为专题成品收录的 qid 归集；虚拟货币一行为该专题逐题统计（口径更宽，专收币类题），故各行相加 739 会大于去重总数 634。表中数字用于看趋势，不作为精确题量。

三个趋势跟今年直接相关：数据库分析五年从 1 涨到 24，而今年软件清单里出现了 Realm Studio——说明库类型要换，题还会加；邮件与通信 2025 干到 45，今年清单里有 XstReader（读 .ost/.pst 客户端档案），邮件题可能从服务器转向客户端；网络流量稳步爬（8→19），今年现场抓包几乎是明牌。

五、读今年的脚本：五个阶段，二十个预测

2026 的官方资料比往年厚：故事大纲之外还有流程图、人物关系图、证物对应图、带 SHA256 的镜像列表，和一张 21 类的建议软件清单。案子拆成五个阶段——公司成立招徕投资、公司运作分工、讲座后信用卡被盗刷、隐藏平台毒品交收、拘捕与证据重构，个人赛前三段，团体赛后两段。

下面按五个阶段，用前面五条规律逐个推。每个阶段给三样东西：背景里写了什么、往年哪一届对得上、今年大概率怎么问（带置信度）。

阶段一｜公司成立与招徕投资（个人赛）

背景写了什么：注册公司、招徕投资人、会员与客户资料建档。这一段的任务是把"钱从哪来"铺好。

往年对得上：2025 团体赛 mason_finance 数据库 16 题（客户数、分析师是谁、余额最高 userID、交易超 9 次的 userID）；2024 团体赛资金流与综合分析 7 题（集资目的、归集地址、流向、谁掌管、最终地址）；2023 团体赛陈好的云端主机与 MYSQL。

今年会怎么问：数据库表结构与业务字段（★★★）、客户数量与资金排序（★★★）、公司/账户注册时间与登录 IP（★★）、会员等级或投资额度分布（★★）。

这一段是整场最稳的送分区，因为"公司化诈骗"这个模型 2023—2025 连考三年，问法几乎没变：数一遍、排个序、找极值。唯一的变数是库类型——Realm Studio 出现在软件清单里，意味着今年可能不是 SQLite。打不开的库先换工具，别在第一步卡死。

阶段二｜公司运作分工（个人赛）

背景写了什么：三层人物分工——拉人的、交收的、侵吞的。人物关系图把这三层画出来了。

往年对得上：2024 团体赛四人一人一套 13 件检材，靠"角色—设备"对应分题；2025 个人赛 WhatsApp 群组题（群成员、建立者、建立时间、改名记录、群头像 SHA256）；2024 团体赛「谁向 Alice 发了那个 xlsx、MD5 是多少」。

今年会怎么问：人物—设备—账号三角映射（★★★）、某文件由谁发、经哪个应用、MD5 是多少（★★★）、群组建立者与建立时间（★★★）、某角色名下有几个账号/几台设备（★★）、聊天记录里的分工自述（★★）。

这一段是跨检材题的主战场。2024 的"二周目"设计本质就在这：单机结论必须放回多人关系里验证。今年背景直接给了三层分工，等于把"人—设备—账号"这张表提前摊开了。开考第一件事，先画这张表，后面所有跨检材题都能往里填。

阶段三｜讲座后信用卡被盗刷（个人赛 · 今年最大的坑）

背景写了什么：投资人参加讲座，连上现场 WiFi，几天内信用卡陆续被盗刷。人物关系图里另有一句——技术支援方带了个树莓派攻击装置（RaspPi）。

往年对得上：2022 个人赛李大辉那条线（钓鱼邮件 → 假网站 → 填卡资料 → 盗刷，Q18—Q21）；2022 团体赛朗尼的树莓派当 VPN（7 题：hostname、VPN 端口、syslog、几个 IP 登过、几个 root 撞过密码、被删子目录）；2025 团体赛现场抓包 11 题。

今年会怎么问：树莓派取证——hostname、网卡、DHCP 租约、dnsmasq 日志（★★★）、现场抓包分析——时长、包数、连接、传输内容（★★★）、WiFi 连接记录——SSID、BSSID、首次连接时间（★★★）、"哪些设备连过这个 AP"的跨检材计数（★★★）、信用卡号与交易时间金额（★★）、热点是否伪造/同名混淆（★★）。

这一段是今年的核心变数，也是最该提前练的。注意它的结构：动作是老的（骗卡盗刷，2022 考过），载体是新的（从假网站换成假热点）。按规律五，这属于"老动作 + 新载体 = 送分题"——题路可以搬，只是换了个入口。

具体怎么搬：2022 是"受害人自己填了资料"，所以要查浏览器记录、邮件里的短链、发件 IP；今年是"连上 WiFi 就被截"，所以要查 WiFi 连接记录、AP 的 DHCP 租约、以及那台树莓派上有没有跑抓包。把"谁在什么时候连上了哪个 BSSID"和"树莓派上哪个时间段有抓包文件"两条时间线一对，人就出来了。

另外别忽略一个细节：树莓派在 2022 是当 VPN 用的（服务端），今年是当攻击热点用的（伪造 AP）。同一台设备，两种角色，考点完全不同——前者查服务端配置与登录日志，后者查 DHCP 租约、dnsmasq、以及有没有 rogue AP 的痕迹。

阶段四｜隐藏平台与毒品交收（团体赛 · 真增量）

背景写了什么：一个隐藏平台承接毒品订单，用提货码 + 时效二维码完成交收，图片里可能藏信息。

往年对得上：五年零命中——没有一届考过提货码、时效二维码、毒品交收流程。沾边的只有：2023 团体赛李哲图用 key.bmp 藏文字（1 题）、2024 团体赛"满汉全席"图片隐写差异（1 题）、2025 团体赛 PDFStego 藏文件（9 题）、2025 团体赛二维码里藏钱包地址（2 题）、2024 团体赛 Ben 的 Tor 书签（4 题）。

今年会怎么问：二维码批量解码——内容、坐标、链接（★★★）、图片隐写——尾部附加数据、Exif 异常、LSB（★★★）、平台数据库——订单、提货状态、时效（★★★）、Tor/暗网访问痕迹（★★）、提货码生成规则或校验逻辑（★）。

按规律五，这属于"新动作 + 新载体 = 真空档"。但别慌——真空档不等于没法准备，因为它的底层技能是通用的：二维码就是解码，隐写就是"文件大小对不上"。这两个动作你练两小时就能上手，而它的分值可能不小（参考 2025 那 9 题 PDFStego）。

这里有个隐藏线索值得注意：五年里"隐写"一直没断过，2023 有 key.bmp、2024 有图片差异、2025 有 PDFStego，但每年都只有 1—9 题，从没成块。今年背景里同时出现"二维码"和"图片藏信息"两个信号，很可能是隐写第一次成块。如果只押一个方向，我押这个。

阶段五｜拘捕与证据重构（团体赛 · 最能照搬）

背景写了什么：抓人之后把钱追回来。变数在"黑吃黑"——张美的 MacBook 里发现注入脚本，要证明她改过资金分配。

往年对得上：2024 团体赛 IDFC 资金流 7 题（集资目的、哪个地址归集、之后流向哪、谁掌管、最终存储地址）；2023 团体赛以太坊合约与助记词推算地址；2025 团体赛链上交易 9 题 + 助记词藏匿（PDF 藏文件 9 题 + SD 卡 exe 逆向 9 题）。

今年会怎么问：收款地址数量、流向、归集地址（★★★）、助记词/私钥的藏匿与还原（★★★）、交易哈希与时间线（★★★）、数据库快照 diff——篡改前后对比（★★）、注入脚本的分析与执行时间（★★）、"同源地址"证明谁真正拥有（★★）。

这一段是唯一能整套照搬的。2024 那条资金链最完整：多少收款地址、流向哪、谁管、最后归集到哪——四步走完，题就答完了。今年的新东西是"黑吃黑"：张美改过资金分配，要证明她改过，就得拿篡改前后的数据库快照去对。

这里有个方法论要点：同源才能证明"拥有"，不然只证明"用过"。2023 考过"哪些地址由同一个恢复短语生成"，2024 考过"哪些地址由同一 Recovery Seed 生成"——今年大概率还是这一手，只是从"证明受害人的钱去哪"变成"证明嫌疑人的手伸到哪"。

押题清单：20 个预测，按置信度排

置信度说明：★★★ 有直接先例且今年检材对应；★★ 有类似先例、载体变化；★ 五年零先例，只能靠通用技能。概率判断，不是押题。

六、做减法：今年可能不考的

规律三还有个反面：清单里没有的物件，今年大概率不考。按现在公布的 17 个镜像清单，往年这几个热点没有对应载体：

这条减法省下的时间，全砸到阶段三（树莓派 + 抓包 + WiFi）和阶段四（二维码 + 隐写）上——那才是今年的增量。但要留个后手：赛前如果补充资料加了设备，随时回来。

另外提醒一句体量的事：17 个镜像共 418GB，公司服务器一台 296GB 占七成；两台受害人手机加起来不到 20MB，王华那台才 25MB。题量跟体积不成正比，小检材往往装着一句话就能问出答案的东西。个人赛先啃两台树莓派（8.9GB，密度最高），团体赛先摸服务器库表。

七、照着练：一份可执行的清单

把上面二十个预测压成动作，按"能立刻上手"排序：

① 树莓派（优先级最高）　挂载镜像 → /etc/hostname、/etc/dnsmasq.conf、/var/lib/misc/dnsmasq.leases、/var/log/syslog、/etc/hostapd/。目标：说出这台机器是服务端还是热点、几个设备连过、什么时候连的。

② 抓包capinfos 看时长包数 → tshark -q -z conv,ip 看会话 → 导出对象看传输内容。目标：五分钟内说出"谁和谁、什么时候、传了什么"。

③ WiFi 记录　手机端找连接历史（SSID / BSSID / 首次连接时间），Windows 端看 WLAN 配置文件与事件日志。目标：能对上"哪台设备连过现场那个 AP"。

④ 二维码 + 隐写zbarimg 批量解码；binwalk／foremost／exiftool／steghide 四件套。目标：图片"大小对不上"能立刻判断并取出内容。

⑤ 数据库三件套　SQLite / Realm / MySQL 各跑一遍，重点是"客户数、排序、极值"这三类问法。Realm 一定要提前摸，别在考场现学。

⑥ 邮件两端　服务器端看投递日志与退信；客户端用 XstReader 读 .ost/.pst；手读邮件头（SPF / DKIM / ARC / 时间戳）。

⑦ 资金四步　地址数 → 流向 → 归集地址 → 同源证明（助记词/私钥）。加一步：数据库快照 diff。

⑧ 时间纪律　所有时间戳先标 UTC 再换，跨检材对时间先统一时区；遇到"某日之后""某期间"立刻切窗口。

写在最后

五年 1198 道题真正教的，不是某个工具怎么用，是「看到一句案情，脑子里能弹出三四种问法」。2021 那句"电脑被加密"，弹出的是恢复密钥、加密程序、远程控制时长、勒索币种；2025 那句"CEO 否认开过会"，弹出的是换脸软件、虚拟摄像头、会议录屏、登录 IP。

所以今年这份背景，我读的不是故事，是脚本。五个阶段、二十个预测、八个动作，都是从往年那道题里长出来的——没有一条是凭空猜的。案情背景是脚本，题是台词；脚本先给你了，台词也就猜得八九不离十。

最后说句实话：预测的价值不在"押中"，在"排序"。押不中很正常，但按这个顺序练，你至少保证分值最密的那几块不会空着。真到了考场，看到树莓派和二维码，你会庆幸自己提前摸过。

口径：五届十场 1198 道题（个人 430 / 团体 768）；收录题次 739，去重 634，覆盖 53%；2026 只做推演。所有往年题号可逐条回查官方题目表；2026 部分基于已公布的背景资料与检材清单，预测为概率判断，赛前如有补充资料需重新校准。

 

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证