2026精武杯手机取证（第一期）
原创
Aphr0d1t3
Aphr0d1t3
沙家小狗
2026年10月15日 07:44
山东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
- 分析嫌疑人在该手机登录的小米账号ID为？（答案格式：以实际为准，如1234567890）
导出来查看，就能找到这三个图片(第二个图片计算机取证会用到，我的下一期公众号就出计算机的wp)
这个misc隐写很好玩很简单，放到stegsolve里看看就能发现一个二维码
然后扫一下就能隐写内容
- 接上题，该异常图片中隐写的内容为？（答案格式：feiying666）
就是二维码里扫出的内容
- 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？（答案格式：9）
在之前那个数据库找发现对应的是计算机（com.androidx.calculator）
然后到处对应的apk
用jadx分析一下，因为这是密拍程序先搜索关键词camera
锁定关键代码ccactivity也就是偷拍的主要函数，然后我们找照片在哪主要看数据库然后我们就发现了和数据库有关的两行关键代码
双击Handler进入Handler模块
这段代码并不长，阅读一点就能看到关键代码
File file = new File(filesDir, String.format(\"%s/%s\", Long.valueOf(getNetworkTimeMillis()), Keys.keyDb()));
这是在应用私有目录下，以“当前网络时间戳”为文件夹名、以Keys.keyDb()计算出的结果文件文件名，构建一个唯一的文件路径。
然后下一行跳转看一下函数
SQLiteDatabase sQLiteDatabaseOpenOrCreateDatabase = SQLiteDatabase.openOrCreateDatabase(file, Keys.keyBase(), (SQLiteDatabase.CursorFactory) null);
这样就可以看懂这段代码是使用指定的加密密钥，打开一个现有的加密 SQLite 数据库；如果该数据库文件不存在，则自动创建一个全新的加密数据库。
接下来重点看下面这两个函数
Keys.keyDb()
Keys.keyBase()
跳转一下，轻松看到逻辑
文件名就是字节为116+（-1），116+0，116+3，116+5，116+1，116+（-5)的ASCII,也就是 stwyuo.db
在火眼里导出
然后根据第二个函数，就是计算ones数组的哈希值前六位做密钥
用密钥打开数据库，看看它的图片数据库里有几张图片
只有一张图片
- 分析使用该密拍软件拍摄的图片，其中显示器的型号为？（答案格式：以实际为准，如TUOJIE）
从数据库导出查看，即可看到型号
- 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？（答案格式：英文大写，如12AB）
去wps找找看
发现只打开过这个文件
直接提取出来源文件计算SM3
- 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？（答案格式：以实际为准，如https://www.baidu.com/abc/123asad）
- 请分析嫌疑人在抖音中共手动提现多少元至银行卡？（答案格式：100）
全局搜索一下关键词“提现”限制在痘印范围内
搜索到下面的文件
查看发现只有这一条记录
- 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？（答案格式：以实际为准）
在夸克浏览器看到头像搜索历史，这不就具有最大可能性了
- 机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。（答案格式：以实际为准）
我前面导出了个备份压缩包，里面就有很多好车图片
就是在这个文件夹里
说明是从无印下载的，在他数据库里也有证据
16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。（答案格式：以实际为准）
看数据库的url,发现是在痘印下载的
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论