2024美亚杯复盘

检材密码

1

eS2%u@q#hake2#Z@6LWpQ8^T(R7cg95m\Bv+y;$=/dqxYnEusFf)tb>:HKHwy+e%cR\r=9j:GsK)AV52/3hXfdv8#u7a6JQ^pz><YPNkq*!&

手机取证

Emma 已经几天没有收到她姐姐 Clara的消息了，报警失踪, 她焦虑地将手机提交给警察,希望能找到线索｡警察将手机交给你进行电子数据取证｡你成功提取了Emma手机的镜像｡ 请根据取证结果回答以下问题｡

1.根据Emma_Mobile.zip, Emma和Clara的微信聊天记录,Emma最后到警署报案并拍摄写有报案编号的卡片,拍摄时的经纬值是多少?

• A:22.451721666667, 114.171853333333
• B:22.451553333333, 114.172845
• C:22.451928333333, 114.170503333333
• D:22.451638333333, 114.16993

在位置中对应时间可以看到

1

A

2.根据Emma_Mobile.zip, 2024年8月30日下午两点后Emma共致电Clara多少次?

• A:85
• B:86
• C:87
• D:88

查看通话记录就可以得到

1

D

3.根据Emma和Clara的微信聊天记录,Clara失踪前曾告诉Emma会到哪里?

• A:到酒店和丈夫David庆祝结婚周年
• B:吃自助餐
• C:约了朋友见面
• D:去旅行

1

A

4.参考Emma_Mobile.zip, Emma的iPhone XR内微信应用程序的版本是多少?

1

8.0.50

5.参考Emma_Mobile.zip, Emma手机中下列哪个选项是正确的?

• A:iOS 版本为 17.6.1
• B:IMEI 为 356414106484705
• C:Apple ID 为 Emma1761@gmail.com
• D:手机曾经安装Metamask 应用程式

A和B可以在com.apple.commcenter.plist中可以找到lastKnownOSVersion | kEntitlementsSelfRegistrationUpdateImei

C可以直接在火眼分析中看见

D直接搜索可以在安装应用里看到

1

B、D

6.参考Emma_Mobile.zip,Emma 手机中 Apple ID 的注册电子邮箱是多少?

就在上一题中

1

emmaemma.851231@gmail.com

7.参考Emma_Mobile.zip,在2024年,Emma 手机上曾记录的电话卡集成电路卡标识符 (ICCID) 是多少?

依旧在com.apple.commcenter.plist中,搜ICCID找一下对应时间的ICCID

1

8985200000826445829

8.参考Emma_Mobile.zip,Emma 手机的蓝牙设备名称 “ELK-BLEDOM” 的通用唯一标识符 (UUID) 是什么?

火眼分析出了mac地址，找到源文件找到UUID

1

8D13F23C-E73C-6A98-AA4F-16C8D7A5F826

9.参考Emma_Mobile.zip,Emma 手机内Safari浏览记录中网页”https://racing.hkjc.com/"的网站标题是什么?

• A:香港马会奖券有限公司
• B:六合彩 - Google 搜索
• C:快易钱:网上贷款财务公司 | 足不出户现金即日到手
• D:赛马信息 - 香港赛马会

1

D

你发现了一些线索,Emma 看起来也很可疑,她似乎背负了大量债务｡

10.参考Emma_Mobile.zip,Emma向Clara透露什么原因令Emma欠下巨债?

• A:投资孖展
• B:虚拟货币失利
• C:网上赌博
• D:以上皆是

可以看见在赌博

还在投资
所以选D

1

D

11.参考Emma_Mobile.zip,收债人要求Emma还款数量?

• A:港币$786,990
• B:港币$878,990
• C:港币$786,980
• D:港币$745,330

在短信中看到

1

C

12.参考Emma_Mobile.zip,Emma发送了多少张.PNG图片给Clara,证明自己正被人追债?

• A:6
• B:7
• C:8
• D:9

总共6张

1

A

13.参考Emma_Mobile.zip,Emma用来浏览虚拟货币的网址?

• A:Google.com
• B:Facebook.com
• C:IntellaX.io
• D:Yahoo.com

在浏览器历史记录中一个个搜过去

1

D

14.参考Emma_Mobile.zip的浏览器记录,有多少网址与bet365有关?

• A:3
• B:13
• C:9
• D:12

1

A

你还发现了一些与不当使用他人加密钱包相关的痕迹｡

15.参考Emma_Mobile.zip,Emma用了哪些恢复短语(Recovery Phrase)进入David的虚拟货币账户?

• A:stock,avocado,grab,clay
• B:light,sadness,segment,ancient
• C:toe,talk,elder,oil
• D:以上皆是

就在微信聊天记录中

1

D

16.参考Emma_Mobile.zip,Emma从David处窃取的虚拟货币的名称是什么？

• A:IDFC
• B:ICAC
• C:INIC
• D:IFCC

也在聊天记录中

1

A

17.参考Emma_Mobile.zip,Clara偷拍的照片中,David的虚拟货币余额是多少?

• A:3266378.99
• B:1044749.22
• C:5022915.66
• D:7822468.44

同上题

1

C

18.参考Emma_Mobile.zip,Emma在偷窃David的虚拟货币前,Emma曾向Clara透露有什么事发生在Emma身上?

• A:中彩票
• B:欠债
• C:升职
• D:失业

就是之前发的6张欠债

1

B

（你查看了Emma手机中的一些照片数字信息,以获取更多与失踪案件的信息）

19.Emma的iPhone XR中 “IMG_0008.HEIC” 的图像与相片名字为的”5005.JPG” 看似为同一张相片,在数码法理鉴证分析下,以下哪样描述是正确?

题型：多选

• A:储存在不同的.db 檔案里
• B:有不同哈希值
• C:IMG_0008.HEIC 为原图, “5005.JPG”为并非原图
• D:IMG_0008.HEIC 和名字” 5005.JPG”是同一张相片

1

B、C

20.参考Emma_Mobile.zip, Emma的iPhone XR中”IMG_0009.HEIC” 的图像显示拍摄参数怎样?

• A:iPhone XR back camera 4.25mm f/1.8
• B:iPhone XR back camera 4.25mm f/2.8
• C:iPhone XR back camera 4.25mm f/2
• D:iPhone XR back camera 4.25mm f/1.6

DBbrowser打不开photo.sqlite文件，直接在winhex中搜索，可以发现只有f/1.8能被搜索到，所以应该是A
当然严谨一些就是找到鱼片，查看编号是9

然后查看拍摄信息

1

A

21.参考Emma_Mobile.zip, Emma的iPhone XR中相片文件IMG_0009.HEIC提供了什么电子证据信息?

题型：多选

• A:此相片是由隔空投送 (Airdrop)得来
• B:此相片由iPhone XR拍摄
• C:此相片的拍摄时间为2024-08-05 13:38:15(UTC+8)
• D:此相片的拍摄时间为2024-08-06 08:30:52(UTC+8)

B同上题图片
C和D找到createdate

转换一下时间戳是北京时间2024-08-05 13:38:15.672

1

B、C

22.参考Emma_Mobile.zip, Emma的iPhone XR内以下哪张照片是实况照片(Live Photos)?

题型：多选

• A:IMG_0002.HEIC
• B:IMG_0005.HEIC
• C:IMG_0004.HEIC
• D:IMG_0006.HEIC

1

A、C

23.参考Emma_Mobile.zip,手机里有多少张照片是用手机后置摄像镜头拍摄的?

• A:5
• B:6
• C:7
• D:8

相机胶卷8个

1

D

24.参考Emma_Mobile.zip的通讯记录,MesLocalID 224是什么类的文件?

• A:相片
• B:影片
• C:文件
• D:报表

1

A

依据你在Emma的手机上找到的照片,你告诉调查员Clara最后的位置是在湾仔的一家酒店｡根据你提供的信息,调查员发现Clara在酒店去世,Clara的手机在她的附近, 你对Clara的手机进行取证｡请根据取证结果回答以下问题｡

25.参考Clara_Smartphone.bin,Clara手机的Android操作系统版本是?

• A:8.0.0
• B:9.0.0
• C:8.1.0
• D:7.0.0

1

A

26.参考Clara_Smartphone.bin,Clara手机的版本号(Build Number)是什么?

1

OPR1.170623.026

27.参考Clara_Smartphone.bin,Clara手机的IMEI号码是多少?(答案格式:只填写阿拉伯数字部分)

1

351537092934716

28.参考Clara_Smartphone.bin,Emma的微信账号是?

1

wxid_t7zgo57j9m0j22

29.参考Clara_Smartphone.bin,Clara的第一封电子邮件记录的日期?

• A:2024-07-10
• B:2024-07-18
• C:2024-07-23
• D:2024-07-30

30.参考Clara_Smartphone.bin,在通讯录中”David”的联系人信息还包括什么?

• A:出生日期
• B:LinkedIn
• C:电子邮件
• D:地址

定位到contacts2.db

1

C

31.参考Clara_Smartphone.bin,David和Clara之间通话次数?

• A:0
• B:8
• C:10
• D:24

1

B

32.参考Clara_Smartphone.bin,Clara在Chrome浏览器搜索中哪天使用了关键词”popmart 炒价”?

• A:2024-08-10
• B:2024-08-15
• C:2024-08-20
• D:2024-08-25

1

B

33.参考Clara_Smartphone.bin,2024年7月30日共收到多少封电子邮件?

• A:2
• B:3
• C:4
• D:5

34.参考Clara_Smartphone.bin,Clara的Gmail账号是?

1

clara.ccc0807@gmail.com

35.参考Clara_Smartphone.bin,Clara的手机安装了哪个版本的WhatsApp?

• A:241676000
• B:241676001
• C:241676004
• D:241676007

1

C

36.参考Clara_Smartphone.bin,Clara的WhatsApp账号?(答案格式:只需填写11位阿拉伯数字)

1

85263791704

37.参考Clara_Smartphone.bin,Clara的手机在什么时候安装了小红书APP?

• A:2024-07-10
• B:2024-07-16
• C:2024-07-20
• D:2024-07-30

1

B

38.参考Clara_Smartphone.bin,2024年8月21日David的虚拟貨幣钱包里有多少IDFC?

• A:5022915.66
• B:3212695.22
• C:210355633.91
• D:以上皆不是

在相机中找到图片

1

A

39.参考Clara_Smartphone.bin,Clara注册的微信账号验证码是多少?

看短信

1

945025

40.参考Clara_Smartphone.bin,David为庆祝结婚周年纪念预订了哪家酒店?(提示:请使用大写英文字母作答, 例如:HONG KONG HOTEL)

1

TONO DAIKIYA

41.参考Clara_Smartphone.bin,哪个数据库文件存储了微信消息?(答案格式:只需使用全部大写回答, 例如:ABC.DB)

1

ENMICROMSG.DB

42.参考Clara_Smartphone.bin,哪个数据库文件(.db)存储了WhatsApp訊息?

1

msgstore-2024-08-22.1.db

43.参考Clara_Smartphone.bin,Clara在2024年8月29日拍了多少张照片?

• A:0
• B:3
• C:4
• D:5

相机里面就4张照片，一张8月21日的剩余3张都是8月29日拍的

1

B

44.参考Clara_Smartphone.bin,Emma在2024年8月6日通过微信发送了多少张照片给Clara?

• A:0
• B:1
• C:5
• D:12

1

A

45.参考Clara_Smartphone.bin,照片20240829_144717.jpg的拍摄相机型号是什么?

1

LG-H930

46.参考Clara_Smartphone.bin,20240821_121435.jpg的储存路径是什么?

• A:/media/0/DCIM/Camera
• B:/media/1/DCIM/Camera
• C:/media/00/DCIM/Camera
• D:/media/11/DCIM/Camera

搜索一下

1

A

47.参考Clara_Smartphone.bin,2024年8月20日有多少张截图?

1

4

48.参考Clara_Smartphone.bin,2024年8月22日被删除微信消息的类型是?

• A:照片
• B:视频
• C:文本
• D:以上都不是

火眼没分析出来智能查看db文件了，从420条到442条是当天的聊天记录，还是没看出来，不过结合之前分析的Emma的聊天记录，会发现少了助记词的图片

1

A

你在查看Clara的手机镜像后,确定Clara是David的妻子,调查员通过查询酒店预订记录确认了这一点｡他们现在定位David的住所,以进行进一步调查｡ 你首先分析David的手机｡

49.参考David_Smartphone_1.zip, 根据Contents.db,David 手机接收了通讯软件”Telegram”的验证短信,该验证码是多少?

1

84298

50.参考David_Smartphone_1.zip, David 把手机设置为个人热点,请找出个人热点的密码｡

1

wdfj5674

51.参考David_Smartphone_1.zip, David 手机曾连接名为”MTR Free Wi-Fi” 的Wi-Fi ｡

1

对

52.参考David_Smartphone_1.zip, 根据com.tencent.mm_preferences.xml,David 的手机最后登录微信的微信 ID 是?

1

wxid_rni3m2o8ngxe22

53.参考David_Smartphone_1.zip, 请指出哪一张图片是于2024年8月28日利用屏幕截取的(答案格式:ABC_123.jpg)

1

Screenshot_20240828-153836_Gmail.jpg

54.参考 David_Smartphone_1.zip,根据Contents.db,David 手机的型号(Model)?(答案格式:大写英文字母和符号’-‘ 混合组成)

1

SM-G9500

55.参考 David_Smartphone_1.zip的Contents.db,David所使用的手机SIM 卡的序号?(答案格式:只需要用阿拉伯数目字回答)

1

8985200000827530728

56.参考 David_Smartphone_1.zip,David 手机安装了应用程序”MetaMask”｡根据persist-root中,”MetaMask”钱包内有多少个账号?

1

4

57.参考 David_Smartphone_1.zip,根据persist-root中,何时从应用程序”MetaMask”发送虚拟货币至以下地址: 0X10A4F01B80203591CCEE76081A4489AE1CD1281C

• A:2024-08-11 1249(GMT+8)
• B:2024-08-14 1658 (GMT+8)
• C:2024-08-14 1659 (GMT+8)
• D:2024-08-16 1724 (GMT+8)

转换一下时间戳就可以了

1

B

58.参考 David_Smartphone_1.zip,David 曾利用手机应用程序”MetaMask”三次发送虚拟货币失败｡根据persist-root,发送虚拟货币失败的原因是什麼?

• A:网络连接问题
• B:应用程序权限被拒
• C:接收地址错误
• D:手续费不足

1

B

内存取证

你根据易失性(Volatility Level)优先次序,进行内存取证分析David的笔记本电脑｡

1.参考RAM_Capture_David_Laptop.RAW,以下哪一个不是程序”firefox.exe”的PID?

• A:9240
• B:8732
• C:5260
• D:3108

1

C

2.参考RAM_Capture_David_Laptop.RAW,汇出PID:724的程序,其哈希值 (SHA-256) 是?

在文件中找到

导出来后计算一下哈希

1

362ab9743ff5d0f95831306a780fc3e418990f535013c80212dd85cb88ef7427

3.参考RAM_Capture_David_Laptop.RAW,哪一个是执行PID:724程序的SID?

• A:S-1-1-0
• B:S-1-2-0
• C:S-1-5-21-1103701427-1706751984-2965915307-1001
• D:S-1-5-21-1103701427-1706751984-2965915307-513

这里可以看到用户是David Tenth

1

C

4.参考RAM_Capture_David_Laptop.RAW,账户David Tenth的NT LAN Manager的哈希值(NTLM Hash) ?(答案格式:只需使用全部小写及阿拉伯数字回答)

1

e14a21fefc5dd81275bb87228586cffc

U盘取证

在取证中,你发现D盘被BitLocker 加密｡U盘上可能有一些线索,你对U盘进行了取证｡

1.参考David_USB_8GB.e01,David 的U盘文件系统的格式?

• A:NTFS
• B:FAT32
• C:exFAT
• D:ReFS

拖入winhex可以看到

当然X-way也是帮我们分析出来了

1

A

2.参考David_USB_8GB.e01,David 的U盘文件系统中,每簇(Cluster)定义了多少字节(Byte)?

• A:128
• B:256
• C:512
• D:1024

同上题图也可以看到X-way的分析结果

1

C

3.参考David_USB_8GB.e01,David 的U盘中有多少个已删除的文件?

• A:1
• B:2
• C:3
• D:4

就一个曾经存在的

1

A

4.承上题,参考David_USB_8GB.e01,已删除的文件的运行列表(Run List)的运行偏移量(Run Offset)数量是多少?

• A:16
• B:32
• C:64
• D:128

MFT这个工具还是挺好用的，直接就有

1

C

5.承上题,参考David_USB_8GB.e01,已删除文件的第一个运行的十六进制值(低端字节序 Little-Endian)是多少?

• A:0x4C3F0DB522
• B:0x4C3F0D22B5
• C:0x224C3F0DB5
• D:0x3F4C0DB522

看一下DataRun

再转换一下端序就得到答案，也就是22B50D3F4C逆序变为4C3F0DB522

1

A

6.承上题,参考David_USB_8GB.e01,已删除的文件的实际大小(单位:字节 Byte)是多少?

1

1796178

7.承上题,参考David_USB_8GB.e01,已删除文件的第一个运行偏移量(Run Offset)是多少?(答案格式:只需使用阿拉伯数字回答)

也就是扇区的簇号

1

19519

8.承上题,参考David_USB_8GB.e01,已删除的文件的第一个运行的簇运行长度(Run Length)是多少?

• A:2408
• B:3509
• C:3128
• D:4021

1

B

9.承上题,参考David_USB_8GB.e01,已删除文件的图像文件像素值(Pixel)是多少?

• A:1000 x 2000
• B:2000 x 3000
• C:3000 x 4000
• D:4000 x 5000

找到图片复制粘贴16进制导出来后可以得到bitlocker秘钥

属性中查看

1

C

10.承上题,参考David_USB_8GB.e01,已删除图像文件是用哪个品牌和型号的手机拍摄?

• A:SAMSUNG SM-A425
• B:SAMSUNG SM-A4580
• C:SAMSUNG SM-A4260
• D:SAMSUNG SM-A5G

属性中可以得到答案

1

C

拓展

顺便了解一下该工具个字段的意思吧

1
2
3
4
5
6

Parent Directory MFT#: 5, SeqNr: 5       #父目录（即该文件所在的文件夹）的 MFT 记录号是 5，序列号是 5。在 NTFS 中，MFT 记录 5 通常是根目录 
$LogFile Sequence Number (LSN): 4211880        #日志文件序列号
Logical Size of MFT record: 360:       #逻辑大小
Physical Size of MFT record: 1024             #物理大小。标准的 MFT 记录通常是 1024 字节
Standard_Information   #标准信息属性。包含文件的只读、隐藏、存档等标志，以及创建时间、修改时间、MFT 修改时间和访问时间
Data     #数据属性。这是文件的实际内容

再来仔细看data里的内容

1
2
3
4
5
6
7

End VCN: 3508   #结束 VCN。表示这段数据在文件逻辑上的结束位置
Datarun Offset: 64    # DataRun（数据运行列表）相对于属性开始的偏移量
Cluster Size: 512      #磁盘的簇大小为 512 字节
Attribute Allocated Size: 1,796,608      #分配大小。文件实际占用的磁盘空间（以簇为单位对齐）。1,796,608 / 512 = 3509 个簇
Attribute Actual Size: 1,796,178         #(高亮显示) 实际大小。文件真正的字节大小。这通常是我们看文件属性时看到的大小
Attribute Initialized Size: 1,796,178       #初始化大小
DataRun: 22B50D3F4C000000         #运行的十六进制值，文件在磁盘上的物理位置地图

同时点击DataRun会有更多信息展示

1
2
3
4
5

RunList   #也就是第一个运行16进制值，描述数据块位置和长度的元数据
Length: 4    #表示描述“长度”的字段占用了 4 个十六进制字符（即 2 个字节：B5 0D）
Length(H/D): 0x0DB5/3509          #长度的十六进制和十进制值
Start(H/D):0x4C3F/19519         #起始位置的十六进制和十进制值
StartLCN: 19,519 /EndLCN: 23,027       #起始和结束逻辑簇号

在 U盘中,你还发现了一个exe文件,但它被锁定,可能需要进行反编译以便进一步检查｡

11.参考David_USB_8GB.e01,使用x64dbg的字符串搜索(String Search)功能,在Bitlocker.exe中查找哪个字符串最有可能与显示的登录状态有关?

• A:Welcome
• B:Invalid input
• C:Login Successful!
• D:Access Denied

很明显是Login Successful!

1

C

12.承上題,当找到控制登录成功的逻辑代码时,如何修改汇编代码(Assembly Code)来绕过检查,达到任意输入，都成功登录的效果?

• A:修改CMP指令,使其总是比较相等
• B:修改CMP 指令後的跳转指令JNE 為nop,使跳转指令失效
• C:修改MOV指令,使其移动错误的数据
• D:修改TEST 指令後的跳转指令JNE 為nop,使跳转指令失效

可以让test执行是不让JNZ跳转

1

D

13.参考David_USB_8GB.e01,Bitlocker.exe的正确用户登录名称是?

1

david1337

14.参考David_USB_8GB.e01,Bitlocker.exe的正确登录密码是?

1

1337david

15.参考David_USB_8GB.e01,当Bitlocker.exe程序尝试显示登录结果（成功或失败）时,使用了哪一种途径来决定显示的消息?

• A:通过检查某个寄存器的值来决定跳转到不同的汇编代码区段
• B:通过调用硬编码的内存地址来显示特定的消息框
• C:通过堆栈中的返回地址来确定要显示的消息
• D:通过逐位操作来修改显示消息的字符串内容

代码通过循环比较账户和密码的值，如果不相等就跳转到LABEL_18显示错误信息，所以是A

1

A

16.参考David_USB_8GB.e01,决定能否解密 Bitlocker Key 的字节的内存偏移量(Memory Offset)（相对于基址”bitlocker.exe”）是什么?

• A:0xA0B2
• B:0x808C
• C:0xA0C8
• D:0xA0E0

比较的是byte_14000808C,再通过0x14000808C减去基址0x140000000得到0x808c

1

B

17.参考David_USB_8GB.e01,决定能否解密 Bitlocker Key 的内存偏移量(Memory Offset)后,应该如何利用它来进行解密?

• A:将该偏移量处的值改为 1 (true),以启用解密过程
• B:将该偏移量处的值改为 0 (false),以重新初始化加密过程
• C:将该偏移量的内容保存到档中以作解密过程中的key
• D:清空该偏移量的内存并强制退出程序

1

A

18.参考David_USB_8GB.e01,解密后的 Bitlocker Key 是?

• A:299255-418649-198198-616891-099682-482306-642609-483527
• B:745823-918273-564738-290183-475920-182736-594827-162839
• C:539823-847291-094857-194756-382910-472918-482937-120984
• D:829384-192837-475910-298374-019283-847362-564738-293847

1

A

计算机取证

到目前为止,你已经获得了 BitLocker 密钥以解密 D盤,通过对David 笔记本电脑D盤的分析,并发现了一些重要信息｡你现在将继续调查未加密的 C盤｡

1.参考David_Laptop_64GB.e01,分区格式(Partition)是?

• A:MBR
• B:GPT
• C:RAW

1

B

2.参考David_Laptop_64GB.e01,該e01 成功提取的日期和时间是?

• A:2024-09-05 15:55:28
• B:2024-09-02 11:52:31
• C:2024-09-03 14:37:28
• D:2024-09-03 12:16:49

3.参考David_Laptop_64GB.e01,最后登录的用户是谁?(答案格式:大写英文字母,小写英文字母和空格混合组成,例如:Tom Hanks)

1

David Tenth

4.参考David_Laptop_64GB.e01,用户配置的时区是?

• A:Australian Central Time
• B:China Standard Time
• C:New Zealand Standard Time
• D:Nepal Time

1

B

5.参考David_Laptop_64GB.e01,David的笔记本电脑曾經连接了多少个设备?

• A:1
• B:2
• C:3
• D:4

1

C

6.参考David_Laptop_64GB.e01,David的笔记本电脑上的Firefox浏览器安装了哪些扩展工具?(答案格式:请以大寫英文字母作答，无须留空白位)

1
2
3
4
5
6
7

Form Autofill
Picture-In-Picture
Firefox Screenshots
WebCompat Reporter
Web Compatibility Interventions
Add-ons Search Detection
MetaMask

7.参考David_Laptop_64GB.e01,根据用户配置文件中的.lnk文件,最后访问的文件名称是?

• A:下載
• B:export-token
• C:RAM_Capture_DaviD
• D:本機磁碟(E) (2)

1

D

8.参考David_Laptop_64GB.e01,David的笔记本电脑曾經连接了多少个不同的Wi-Fi?

• A:1
• B:2
• C:3
• D:4

1

A

9.承上题,参考David_Laptop_64GB.e01,该Wi-Fi网络的名称(SSID)是?(答案格式:大写英文字母和小写英文字母混合组成)

1

ErrorError5G

10.参考David_Laptop_64GB.e01,该电脑的Windows操作系统的安装日期是什么?

• A:2024-07-31 09:55:37 UTC+8
• B:2024-08-01 13:10:15 UTC+8
• C:2024-07-31 10:18:26 UTC+8
• D:2024-08-01 14:43:55 UTC+8

区块链取证

通过对David 笔记本电脑的电子数据取证和痕迹分析,你了解到David是一名 cryptocurrency 专家｡
(假設虚拟貨幣International Digital Forensics Coin (IDFC)面值是每1個IDFC等如1-HKD
IDFC Token Address: 0x56E7A6dd8aA1c78ba77944C94c43054978E89b7b
區塊鏈: Binance Smart Chain)

1.下列那个网站能够找到区块链:Binance Smart Chain的交易记录?

• A:binance.com
• B:bscscan.com
• C:etherscan.io
• D:blockchain.com

1

B

2.参考Emma_Mobile.zip中的微信聊天记录分析,Emma用什么方法盜取David的IDFC?

• A:Emma经Clara盗取了David虚拟货币钱包的私匙(Private Key)
• B:Emma经Clara盗取了David虚拟货币钱包的公匙(Public Key)
• C:Emma经Clara盗取了David虚拟货币钱包的回复匙(Recovery seed)
• D:Emma盗取了David电话

1

C

3.参考Emma_Mobile.zip中的微信对话分析,Emma为什么盜取David的IDFC?

• A:Emma为了买名贵手表
• B:Emma为了赌钱
• C:Emma为了炒卖虚拟货币
• D:Emma为了还财务公司的欠债

1

D

4.根据David,Emma及Clara的微信对话,David在什么日期时间发现IDFC被盗?

• A:2024-8-22 18:06
• B:2024-8-28 09:14
• C:2024-8-28 09:57
• D:2024-8-29 15:52

在David的手机中查找聊天记录

1

B

5.参考David_Laptop_64GB.e01及David,Emma及Clara的微信对话,分析IDFC的交易记录,Emma盜取了David虚拟货币钱包内哪个地址的IDFC?

• A:0x10a4f01b80203591ccee76081a4489ae1cd1281c
• B:0x152c90200be61a540875f2a752c328bd19dbfb87
• C:0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220
• D:0x70544880875fe907cee383873ca58da23378caa5

前面已经知道了助记词，可以恢复一下地址

1

A

6.根据David,Emma及Clara的微信对话及IDFC的交易记录作分析,Emma总共盗取了David多少IDFC?

• A:90,000 IDFC
• B:170,000 IDFC
• C:9,300,000 IDFC
• D:9,390,000 IDFC

在bitlocker加密的盘内发现这个文件，里面记录了交易记录

搜索一下钱包地址找到记录

可以看到时间也是在26日到28日之间

1

A

7.根据Emma及Clara的微信对话,下列哪些地址是由相同的恢复短语(Recovery Seed)所生成?

题型：多选

• A:0x10a4f01b80203591ccee76081a4489ae1cd1281c
• B:0x152c90200be61a540875f2a752c328bd19dbfb87
• C:0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220
• D:0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

1

A、B、C

8.根据IDFC的交易记录作分析,总共有多少次IDFC交易流入地址0x10a4f01b80203591ccee76081a4489ae1cd1281c?

• A:0
• B:1
• C:2
• D:3

1

B

9.参考David_Laptop_64GB.e01,在David计算机的D盘内有一张图片,根据图片上的信息,找出David另一个虚拟货币钱包的恢复短语(2)(Recovery Seed),下列哪一个单词是在此恢复短语(2)(Recovery Seed)内?

• A:fall
• B:bread
• C:brain
• D:dove

然后就找不到了

10.承上题,参考David_Laptop_64GB.e01,在IDFC的交易记录中,下列哪些地址由上述恢复短语(2)(Recovery Seed)所生成?

• A:0xb2e3dbea311511ec5bda3e85e061f15366f888a6
• B:0xe90ad3f80e39e83b533eef3ed23c641ec51089c6
• C:0x90f73497E4446f6Cf9881213C32D6af66d799fE5
• D:0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

…