企业官网建设流程全解析

【简要案情】
近期，某市反诈部门接到多名群众报案，均遭遇“投资理财”类电信网络诈骗，指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查，该犯罪团伙搭建虚假投资平台，通过社交软件诱骗受害人充值转账，团伙成员分散多地办公，使用多种 AI 工具进行违法犯罪活动，同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注：所有检材及相关数据均为虚拟构造，不负法律责任，如有侵权请及时告知，未经允许不得用于商业用途。检材容器密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队
本篇文章参考：https://mp.weixin.qq.com/s/zXvzCMovhjwvz2LQmobyZA?scene=1&click_id=609701042

1. 分析嫌疑人在该手机登录的小米账号ID为？（答案格式：以实际为准，如1234567890）

3134129162
比赛的时候火眼没权限 翻数据库找到的。

。

2. 嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？（答案格式：以实际为准，如打精武杯）

取证大师取出来居然是一堆乱码 我还以为是出题人故意的 直到。

。 无话可说 答案是给老妈汇款

3. 分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？（答案格式：不含端口，如192.168.1.1）

吃了没火眼的亏 考试的时候在数据库里面翻死翻不到

4. 接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。（答案格式：页-行-列，如1-2-3）

这题我实在是不会了 看的WP

先在小米里面找到这个软件的数据库
听AI讲了一下 原来安卓的软件都会存在这个叫launcher的桌面数据库里面 以后查位置也在里面看了

这个要转换一下数据
screen数值为3 代表在第三页
spanx 通常代表占地面积 普通软件就是1x1 只有小组件要看这个
那只要看cellXY了
X代表列 Y代表行
但是用的是0系坐标系 意思就是不存在0行这种东西
所以每一个都要+1
那就是3-1-3 页码-行数-列数

5. 嫌疑人最近一次登录Google账号的日期是什么时候？（答案格式：2026-09-09）

账号谷歌的来
答案是2026-07-07

6. 在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？（答案格式：XXX.png）

这题真的没有想到会是这样做 我一直在找手机相册但是因为数据太多放弃了 然后就一直没有思路 原来在这儿。。。

解压出来是这种

全白照片非常可疑啊 其实就是这个跟旁边二选一 解密下就知道了
选密码.png

7. 接上题，该异常图片中隐写的内容为？（答案格式：feiying666）

没想到真的有二维码 扫一下

答案就藏在这儿
答案为qazokm123

8. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？（答案格式：9）

在数据库里面 3-1-4代表3-0-3 一看是伪装成了计算机了

这个的包名是：com.androidx.calculator 粘进去看一眼

发现了一个数据库 但是用DB打不开 就只能分析另外一个了

这是一个apk文件 用jadx打开

看到了sqlcipher 说明这用了 SQLCipher 加密数据库（难怪打不开）开始解密
这边是先找了open or create database这个
然后右键看调用记录

看到了这个 app data handler
那就开另外一个数据库
打开data handler那个数据库直接给我转到伪装计算器的那里了 我干脆直接搜key找密码了


这一行定义文件叫什么名字

这一行决定密码是什么

密码在此

打开以后只有一张照片 答案为1

9. 分析使用该密拍软件拍摄的图片，其中显示器的型号为？（答案格式：以实际为准，如TUOJIE）

戳一下DATA就可以看见型号了
答案是C34H890WGC

10. 机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？（答案格式：南京）

从前面我们在解密的时候就知道是用的叫yipiao的软件定的 所以我们直接搜这个

在火眼里找到以后 定位到数据库里面去搜用户信息 开数据库

看到了大佬的WP把时间戳直接转化成真实时间了 自己也去试了一下）
看到是百色

11. 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？（答案格式：英文大写，如12AB）

我真吐血了被题目坑了 我直接搜的时间线然后刚好就有一个文件
时间紧任务重直接算了一下就下一题了 结果不对。
在考试的时候就发现了这个不是本地文件
就只能开WPS的数据库了（没有想到当时）

只有这个 但是不能肯定就是他
我回去取证大师搜了一个打开记录

找到了reboot 我知道每次崩溃重启都会记录在里面 然后也也是只有一条

打开如下 直奔时间戳看跟题目一不一样


对了 但是还是着急了 没看打开的文件名叫什么

我看明白了 他就是下载了一个快捷回复-2026-04-14 10-23-48-enterprise.xlsx" 的文件 然后记录了打开关闭的时间
但是没有搜到 想到只能在backup里面了

果然

答案是37EA

12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？（答案格式：以实际为准，如https://www.baidu.com/abc/123asad）

这题蛮简单的
答案是：https://www.douyin.com/video/7641161472526150282

13. 请分析嫌疑人在抖音中共手动提现多少元至银行卡？（答案格式：100）

这题居然没对 只能说还是资历太浅了

这题我考试的时候看到这个填完1000我就走了 没想到还有第二关
但是其实不是这样做的）
我们先搜提现 结果太多我就换成提现成功 出来这个

我在取证大师里面看的更自在一点

看到招行提了1000元 但是还没结束

后面还有个三元卷 也算提现了 这谁受得了
所以答案是1003元

14. 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？（答案格式：以实际为准）

这题其实考试的时候也挺懵的

看到是在夸克搜的 结合前面剧情以及后面题目
能够看出就是通过伪装精英人士来骗钱
答案是 com.quark.browser

找到了这张

15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。（答案格式：以实际为准）

在那题找文件表格的时候 就发现这个和表格一起导出来了
里面就是题目所要求的图片

回去搜搜无印

找到了 答案是uni.UNI3DFAFCD

16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。（答案格式：以实际为准）

去查无印的database应该会有收获

看到了是来自抖音图片 那问的应用 就去找抖音的包名就行

com.ss.android.ugc.aweme

（二）提示：分析办案人员提取的“手机检材-2.zip”回答下列问题：

17. 该手机的备份密码是多少？（四位数字，答案格式：1234）

去查了一下 这个manifest就是备份文件本身 这道题也是从这儿入手
我们决定用passware kit来处理

ok了 密码四个一
答案是 1111

18. 该手机的备份时间是什么时候？（答案格式：2026-09-09 09:09:09）

这里能看到答案
答案是2026-09-23 15:02:50

19. 该手机的序列号是什么？（答案格式：以实际为准，英文大写）

下面也有‘
答案是FD2W71HVJCM0

20. 该手机的蓝牙MAC地址是多少？（答案格式：英文大写，如A0:A1:4E:83:16:B0）

这个翻数据库就能找到
答案是：C0:A5:3E:82:06:E0

21. 分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？（答案格式：2022-01-23 15:02:53）

我们看到battery下面的 先从BDC开始看 bdc是电池数据记录器 里面应该会有

我考试找了半天 我一直在文件名那里找 没有注意到这个
2021-12-26 12:35:25
+8的话
那答案应该是 2021-12-26 20：35：25

22. 分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。（答案格式：以数据库中记录的原始时间戳为准）

我们先找到这个电量使用 这个是最可能记录充满电的

然后我回取证大师去看了一下这个文件 是数据库
导出来找到battery这栏


这题要时间戳 我们转回来就行
答案是1783544086.8534

23. 嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？（答案格式：以首次安装请求时间为准，如2026-09-09 09:09:09）

先看安装分析

找到源文件的同时 还要找到蝙蝠APP的包名才能定位

这个

这一行显示在2026-08-12 10:07:21 第一次下载 但是要考虑到UTC+8 那么就
答案就是 2026-08-12 18:07:21

24. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。（答案格式：www.tuojieinfo.com）

这题本来我是想查 unlock login wake这几个数据库的 但是说实话一无所获 然后就算查到相关的 也跟题目要求差着 最后只能定位到这个 screen state了

从这个定位到源文件

开数据库找了一圈 终于

看到是屏幕相机导致的
答案是com.apple.lock-screen
做完了 感觉学到了好多新东西 原来手机取证还能那么玩