第一届龙信杯取证比赛部分题目复现
感谢大佬@是toto的wp
第一届“龙信杯”电子数据取证竞赛Writeup-CSDN博客
手机取证
1.请分析涉案手机的设备标识是_______。（标准格式：12345678）
打开龙信取证软件分析镜像即可得到结果
2.请确认嫌疑人首次安装目标APP的安装时间是______。（标准格式：2023-09-13.11:32:23）
从案件详情得知软件名称，从应用列表搜索就能得到答案、
3.此检材共连接过______个WiFi。（标准格式：1）
wifi记录就能翻到
4.嫌疑人手机短信记录中未读的短信共有______条。（标准格式：12）
在\data\com.android.providers.telephony\databases\mmssms.db数据库中的sms表中可以看到安卓的所有短信，其中read字段储存的就是短信是否已读
使用sql语句统计哪些数据read为0
得到答案17
5.嫌疑人检材手机在浏览器中下载海报背景图的网址是_______。（标准格式：http://www.baidu.com/admin/index.html）
qq浏览器记录第一个就是
6.请分析涉案海报的推广ID是________。（标准格式：123456）
打开彩信附件找到
7.嫌疑人通过短信群发去推广APP，请问收件人中有__个号码是无效的。（标准格式：12）
无效号码会有一条特殊回复短信，我们寻找有几条这样的短信即可
还是刚才的sms表
答案是1
8.通过分析，嫌疑人推送的微信账号是______。（标准格式：Lx20230916）
qq聊天，小倩账号选择聊天数量最多的那个，那个就是受害人
9.请校验嫌疑人使用的“变声器”APK的包名是________。（标准格式：com.baidu.com）
应用列表搜索变声器，出来第一个就是
10.号商的联系人注册APP的ID是_________。（标准格式：12345678）
这里指的是 “卖QQ号” 的号商在 “蝙蝠加密聊天“ app里面的id是多少
那直接点开查看就是
11.嫌疑人于2022年11月份在_______城市。（标准格式：成都）
位置信息里面可以找到一份带经纬度的图片，在opengps搜索即可
苏州
12.嫌疑人共购买_______个QQ号。（标准格式：1）
蝙蝠聊天找到号商，分析聊天就知道答案
APK取证
1.分析手机镜像，导出涉案apk，此apk的md5值是________。（标准格式：abc123）
应用列表找到涉案应用，根据安装路径打开文件夹找到安装包
使用龙信apk分析即可得到答案
2.分析该apk，apk的包名是________。（标准格式：com.qqj.123）
雷电app智能分析打开
3.分析该apk，app的内部版本号是__________。（标准格式：1.1）
同上
4.分析该apk，请问该apk最高支持运行的安卓版本是_______。（标准格式：11）
打开manifest，其中有一行
android:targetSdkVersion="32"
百度搜索得知最高支持版本号为安卓12
5.分析该apk，app的主函数入口是_________。（标准格式：com.qqj.123.MainActivity）
雷电分析选择详细信息
6.分析该apk，请问窃取短信的权限名称是________。（标准格式：android.permission.NETWORK）
选择静态权限
不知道为啥直接复制给我算的错的
7.APP使用的OPPO的appkey值是________。（标准格式：AB-12345678）
8.分析apk源码，该APK后台地址是________。（标准格式：com.qqj.123）
jadx解析源码，主函数里就能找到
9.分析apk源码，APP 后台地址登录的盐值是_______。（标准格式：123abc=%$&）
在下面的util里面找到okhttputil就能得到加密的盐
10.分析apk源码，该APK后台地址登录密码是______。（标准格式：longxin123）
上图
11.对 APP 安装包进行分析，该 APP打包平台调证值是______。（标准格式：HER45678）
manifest中
调证值原来就是dcloud_ad_id，长见识了
12.此apk抓包获取到的可访问网站域名IP地址是_______。（标准格式：192.168.1.1）
同9题
13.分析apk源码，该apk的加密方式key值是________。（标准格式：12345678）
关键词搜aes
（都翻一遍就能找到key在哪了）
14.结合计算机镜像，综合分析，请问该apk开发者公司的座机号码是__。（标准格式：4001122334）
这个后面再说
（谁家取证会填自家公司座机的号码啊）
介质取证
1.对PC镜像分析，请确定涉案电脑的开机密码是_______。（标准格式：123456）
很疑惑为什么我问一圈都告诉我没有密码，原来火眼仿真会直接绕过密码
仿真之后点一下会出现密码提示，工号在工资条里面就能找到
Longxin360004
2.涉案计算机最后一次正常关机时间_______。（标准格式：2023-1-11.11:11:11）
又给我算这道题错的，真抽象
3.分析涉案计算机，在2022年11月4日此电脑共开机时长为_______。（标准格式：1小时1分1秒）
还是给我算得是错的，贴一下过程吧
4.对PC镜像分析，请确认微信是否是开机自启动程序。（标准格式：是/否）
火眼翻一下自启动就能找到
5.检材硬盘中有一个加密分区，给出其中“我的秘密.jpg”文档的解密内容。（标准格式：Longxin0924）
查找访问记录里面有一个blmm的txt文件
我们可以在详细信息中找到他的位置（别用那个跳转到源文件）
打开后发现是bitlocker的密码
使用恢复密匙解开e盘的bitlocker加密，找到我的秘密.jpg
一眼base，拿去解密
得到答案
6.接上题，请问该嫌疑人10月份工资是_______元。（标准格式：123）
那个可以直接打开的工资条是错的，要开微信那个zip得到正确的工资条，密码就是上面那个Mimi1234
得到答案19821
7.对PC镜像进行分析，浏览器中使用过QQ邮箱，请问该邮箱的密码是______。（标准格式：Longxin0924）
仿真取证，在虚拟机里面的edge打开个人设置找保存下来的密码即可
（盘古石的仿真取证还是好用的，至少没把我密码清掉
8.结合手机镜像分析，得出一个推广ID，请在此检材找到此海报，请写出路径。（标准格式：D:\X\X\1.txt）
之前blmm.txt的文件夹下面还有一个mmm.txt
两个都看一下，第一个
第二个
听师傅说因为2.png 16进制后面有一串数字是银行卡号，所以答案是2.png
9.请找出嫌疑人的2022年收入共_______。（标准格式：123）
bitlocker解开还有个dd容器，提取出来之后装载
（解密文件居然是那个2.png，长见识了）
（记得一定要选那个truecrypt模式）
然后里面也什么都没有，拿火眼连一下挂载的盘
发现总收入已经被删掉了
下面那个$RD2Q1OW.xlsx倒是有收入详细，加一下就知道答案了
然后说一下apk的最后一题，那个座机电话。把那个重要信息.txt打开
感觉很像aes，把之前apk里面的aes密钥拼一下看看能不能解
参数是这俩
iv是偏移，key就是密钥，模式选cbc
得到答案（就是龙信自己家的座机号）
10.分析此海报，请找到嫌疑人的银行卡号。（标准格式：62225123456321654）
2.png的文件末尾
6320005020052013476
此题结束