2026年第十二届“美亚杯”案情资料解读

原创

小谢
小谢

小谢取证

2026年10月18日 21:17
福建

去阅读

点击上方蓝字“小谢取证”一起玩耍

2026美亚杯案例背景解读

第十二届 · 个人赛128题 / 团体赛291题 / 11月13-15日开赛

非官方解读 · 个人观点

10月16日晚，美亚柏科放出了第十二届“美亚杯”的官方案情资料：赛前必看丨第十二届“美亚杯”案情资料官方发布！。个人赛128题，团体赛291题，比赛定在11月13日到15日，线上线下同步。按老规矩，小谢从个人角度做一次解读，非官方，纯属个人见解，有说得不对的地方请各位大佬指正。

今年官方给的资料比往年厚。除了两段故事大纲，还配了故事流程图、人物关系图、人物与数码证物对应图、完整的镜像文件列表（带SHA256），以及一张建议软件清单。这几张图的信息量比文字大纲大得多，下面一张张拆。

▲官方故事大纲封面：创力虚拟货币投资有限公司犯罪集团调查

一、先把整体骨架看清楚

往年“资格赛”（现在叫个人赛）和团体赛的关联度忽高忽低。21年是关联的，22年、23年基本各玩各的，24年、25年又拉回来了。今年是明确关联，而且关联得很硬——个人赛讲案子的前三个阶段，团体赛接着讲第四、第五阶段，同一批人、同一家公司、同一条资金链。

官方的流程图把故事拆成五步：公司成立与招徕投资、公司运作分工、投资讲座后出现异常、案情扩大与隐藏活动、拘捕与证据重构。个人赛覆盖一到三，团体赛覆盖四到五。第三步那个“信用卡被盗”就是分水岭：个人赛查“卡怎么被偷的”，团体赛查“偷卡背后还有什么”。

▲官方五阶段故事流程：上排个人赛，下排团体赛

今年的镜像文件列表里，官方直接把每个检材“适用比赛”标出来了。这等于把两场的检材范围划死了，备考可以照着表分配精力。

顺带说个体量上的巧合：17个镜像合计418GB，两场题目加起来419道，差不多1GB一题。当然实际分布很不均，后面会讲。

二、个人赛案例背景解读

从案例背景来看

前三个阶段的信息其实很集中。李力是老板，负责出钱、出模式、出宣传——T coin挂钩虚拟货币，高回报质押，再请明星站台，标准的资金盘包装。陈立管日常运营，张美管秘书和会计，冯程管信息系统，黄家豪这批代理负责拉客户。

真正的案子出在第三步：投资人参加公司办的投资讲座，连了现场的无线网络，几天内信用卡陆续被盗刷。

这里有个细节值得注意——官方特意写了“连接现场无线网络后”。这句话把作案手法点明了：问题不在投资人手机上装了什么，而在讲座现场那个WiFi本身。再结合人物关系图里“黄家豪 放置RaspPi攻击装置”这一条，整条链就串起来了：

Johnny 提供技术支援 → 黄家豪带树莓派到讲座现场架设 → 投资人连上假热点 → 信用卡信息被截获

所以个人赛的核心不是“谁盗的卡”，而是“用什么设备、怎么盗的、盗了谁的”。这三个问题正好对应三类检材：攻击设备、受害终端、以及中间的流量。

从检材来看

个人赛独占的检材只有5个，加一个共用的：

第一，受害人手机才6.6MB和11.5MB，非常小。这个体量基本是逻辑提取或者只提了部分数据，不是完整物理镜像。题目大概不会考深度数据恢复，而是围绕几个具体点：WiFi连接记录、短信和银行通知、浏览器访问过的页面、安装过的应用。两部手机给两个人，明显是为了做交叉验证——同一个讲座、同一个热点，两个人的记录能不能对上，这是很典型的证据链题。

第二，冯程只给了手机，没给电脑。冯程是“负责管理公司信息系统”的人，按常理他电脑里的东西最多，但官方偏偏只给了178MB的手机。我猜有两种可能：一是他的工作痕迹都在公司服务器COM-02上，个人赛阶段先不给；二是手机里就有他配置网络、下发指令的记录，够用了。这部手机重点看聊天记录和远程管理类App。

第三，两台树莓派是个人赛的题眼。编号写的是WKH-02、WKH-03，文件列表里描述成“黄家豪设置于创力公司内的计算机”。注意这个措辞——写“计算机”，实际是树莓派，跑的是Kali Linux。如果只看文件列表，很容易当成一台Windows电脑去准备，打开才发现是Linux。这个坑要提前知道。

树莓派取证和普通Windows镜像完全是两套打法。文件系统大概率是ext4，得用FTK Imager或者直接丢进Linux挂载。重点看的文件也不一样：

一台装了Kali的树莓派，配上hostapd加dnsmasq，就是一套标准的无线钓鱼平台。这比往年那些“找个加密压缩包的密码”要有意思得多，也更接近真实案件里的作案方式。而且给了两台，第二台WKH-03没标系统，可能装着别的东西，也可能只是备份，答题时别漏。

第四，COM-01是唯一横跨个人赛和团体赛的检材。58GB的Windows公用电脑，员工都能用。个人赛可能只问几个点（谁在什么时候用了这台机器、插过什么U盘），团体赛才会深挖。这台机器是两场比赛的接缝，建议个人赛阶段就把它的目录结构、用户账户、常用软件摸一遍，团体赛能省不少时间。

从技术点来看

个人赛的技术栈不复杂，但环环相扣。

无线侧要能看懂hostapd和dnsmasq的配置，知道什么叫Evil Twin，知道怎么从日志里还原“谁在什么时间连上了这个假热点”。

终端侧要会解析手机里的WiFi连接记录。Android和iOS的存放位置不一样，但思路一致：拿到SSID、BSSID、连接时间。这一步是把“受害人”和“那台树莓派”钉在一起的关键证据——如果受害人手机里记录的BSSID，能和树莓派网卡的MAC对上，这条链就闭合了。

流量侧要会用Wireshark看pcap，或者用mitmproxy读flow文件，找HTTP明文提交的表单、找被劫持的DNS查询。

数据库侧还是老一套，SQLite为主，DB Browser for SQLite打开就行。不过今年的建议软件里多了个Realm Studio，说明可能有App用了Realm数据库，这个往年也有考过，得提前装好，后面会细说。

三、团体赛案例背景解读

从案例背景来看

第四、第五阶段是团体赛的主场。盗卡案往下挖，挖出了三样东西：可疑网络设备、隐蔽交易平台、毒品交收。然后是资金——加密货币、混币、资金转移、异常分流。再然后是技术——公司用的人工智能代理成了调查焦点。

最后收网：李力跑了，抓了一批人，缴了一堆设备。参赛者要把手机、电脑、服务器、网络数据包、数据库、区块链记录全部串起来，还原每个人的角色和行为。

291题、12个检材，这是今年真正的硬仗。

从人物关系来看

官方那张人物关系图信息密度最高，一条条读下来，今年的案子其实是三层结构。

李力（幕后老板，在逃）在最顶上，两条线往下都指向陈立：一条“幕后操控”，一条“主要管理/幕后操控”。说明陈立是他唯一的一级代理人，公司的事都经过陈立。李力人跑了，但手机LL-01被缴获，题目大概率会问他的最后活动轨迹、跟谁联系过、有没有出境记录。

Johnny → 黄家豪，标注“技术支援”。Johnny没有中文名，只给了手机和一台电脑。这条线的意思是：黄家豪在现场干活，但方案是Johnny给的。Johnny可能是境外人员或者化名，他的电脑里应该有攻击工具、跟黄家豪的通信记录，可能还有Tor或者代理配置。

黄家豪 → 陈立，标注“利用高额红利吸引推广T coin”。黄家豪表面是代理，实际干两件事：拉人头，放设备。他是“代理-被捕人1”，说明是第一个被抓的，突破口可能就在他身上。

陈立 ↔ 王华，双向箭头，标注“用QR Code提货”和“隐密沟通”。这条线很关键。陈立是“尖沙咀管理员”，王华是“代理”但实际负责毒品交收。两个人用二维码对接提货，用加密方式通信。为什么用二维码？因为二维码可以离线生成、可以带时效、可以截图发送，比文字安全得多。

王华 → Maria Vega，标注“资讯隐蔽（Steganography）秘密沟通”。王华用隐写跟Maria Vega通信。Maria Vega是外国人名，可能是境外买家或者供货方。隐写的载体大概率是图片，工具往年考过OpenStego。

王华 → 王荣志（王子），标注“利用时效性QR Code提取毒品”。王荣志是提货的人。“时效性”三个字很重要——二维码过期就失效，所以必须结合时间戳去还原每一次提货。

张美 → 陈立，标注“秘书/会计汇报”、“偷拍/Injection攻击（黑吃黑）”、“窜改资金分配”。这是今年最有意思的一条线。张美名义上是陈立的下属，实际上自己在动手脚：偷拍（可能是偷拍陈立的操作或者密码），对公司系统做注入攻击，改资金分配，把钱挪走。这叫黑吃黑——她骗的不是投资人，是骗李力和陈立。

冯程 → 张美，标注“技术协助/提供数据”；陈立 → 冯程，标注“指示架设隐藏平台”。冯程是双面角色：一边给陈立搭隐藏平台，一边帮张美黑公司的钱。两个人是合谋关系。

▲官方人物关系图：三层结构一目了然

这张图读下来，今年的案情不是简单的“警察抓坏人”，而是三层咬合：

团体赛的题目一定会围绕“这三层怎么互相咬合”来出。比如张美改走的钱，是从投资人的资金里出的，还是从毒品收入里出的？如果是后者，那她就是在动陈立和王华的钱，这条线会牵出更多矛盾。

从检材来看

官方的人物与数码证物对应图列了19项，按人物归类，很清楚：

▲官方人物与数码证物对应图

但镜像文件列表里只有17个。差了JOHN-01和JOHN-02——Johnny的两项检材在证物图上有，在下载列表里没有。这个差异要注意：要么Johnny的检材另行发放，要么他作为境外人员，设备没缴获到。备考先按17个准备，别到时候找不到文件慌。

▲官方镜像文件列表：17个镜像，合计418GB，附SHA256

按体量和重要性排一下梯队：

第一梯队：COM-02 公司服务器（296GB）。绝对的核心，占全部检材体积的七成。服务器加数据库，意味着投资平台的后端全在这里：会员表、投资记录、资金流水、提现申请、后台操作日志，可能还有AI代理的模型和对话记录。291题里我估计有80到100题落在这上面。建议先把数据库结构摸清楚，再谈具体题目。

第二梯队：CL-01 陈立电脑（28GB）、CM-02 张美MacBook（21GB）。陈立是负责人，电脑里应该有隐藏平台的管理端、跟王华的通联、二维码生成工具。张美是会计，MacBook里应该有篡改资金的脚本、注入工具、偷拍的照片或视频。MacBook要注意APFS文件系统，还有macOS特有的痕迹：统一日志、钥匙串、Time Machine备份、最近使用的文件。

第三梯队：COM-01 公用电脑（58GB）、COM-03 NAS（2.95GB）。COM-01两场共用。COM-03是网络附加存储，官方建议了mdadm和lsblk，说明可能涉及RAID重组或者Linux软RAID，往年考过，今年大概率还会考。

第四梯队：手机。LL-01（李力96MB）、CL-02（陈立265MB）、CM-01（张美312MB）、WW-01（王华25MB）、WC-01（王荣志105MB）、WKH-01（黄家豪1.9GB）。手机里主要看通联、位置、支付，以及二维码和图片这类载体。王华那部只有25MB，很小，但可能恰恰是关键——隐写沟通不需要大文件。

第五梯队：DOC-01 TCapitalOTC资金流记录（400KB）。来源写的是“TCapital（PyCIIK.com）所提供的文件”。400KB的表格，用LibreOffice Calc打开就能看。这个文件不大，但它是把链上资金和现实身份对应起来的桥梁。顺便记一下这个域名：PyCIIK.com，CIIK四个字母，如果是平台域名，值得单独查一下。

从技术点来看

区块链与资金流。团体赛故事里明确写了混币、资金转移、异常分流。T coin如果是以太坊上的代币，就要会用区块浏览器追交易；如果是私有链，就得从服务器里找链数据和钱包文件。混币的追踪是难点，思路一般是看时间窗口内的进出配对，以及看金额拆分的规律。

隐写。王华和Maria Vega的沟通用了隐写。载体大概率是图片，用ExifTool先看元数据有没有异常（工具痕迹、异常注释），再用WinHex看文件尾有没有附加数据，最后用对应工具提取。如果有密码，交给Hashcat。

二维码。官方建议软件里专门列了ZBar做脱机二维码解码，这是个很明确的信号。今年一定有二维码要解，而且不能联网解——因为“时效性”，联网可能触发失效，或者留下访问记录。做法是把手机里的二维码截图导出来，用ZBar本地解，拿到内容再和时间戳对齐。

AI代理。公司用了人工智能代理，这是今年新加的元素。可能是一个自动回复投资人的客服机器人，也可能是用来生成诈骗话术的。取证思路：在COM-02上找模型文件、推理框架（Ollama、vLLM、OpenWebUI之类）、以及对话日志和system prompt。去年美亚杯考过大模型本地部署，今年延续这个方向不奇怪。

Injection攻击。张美对资金分配系统做注入攻击。这里的Injection可能指SQL注入，也可能泛指对接口的参数篡改。取证思路：在CM-02上找攻击脚本、Burp Suite的项目文件，以及篡改前后的数据库快照做对比。

Windows凭证。官方建议了Mimikatz，说明有需要提取Windows登录凭证的场景。可能是CL-01或者COM-01有登录密码，也可能有加密容器。

内存。官方建议了Volatility 3，但检材列表里没有明显的.raw或.mem文件。可能藏在某个zip里，也可能是要分析Windows镜像里的休眠文件、分页文件。建议解压后先扫一遍大文件。

四、从建议软件反推考点

官方这次给了21类软件，比往年详细。这张表其实等于考纲，每一行都指向一个方向：

▲官方建议软件清单

几个值得单独拎出来的信号：

Realm Studio。往年美亚杯的数据库题基本是SQLite一家独大，今年特意列了Realm，说明有App用了Realm数据库。Realm的文件没有固定后缀，常见的是.default.realm、.realm，用SQLite工具打不开，必须用Realm Studio。这是新增考点，别到时候打开发现不是SQLite就懵了。

ZBar。前面说过，指向二维码，而且是脱机解码。这个二维码解码工具在去年的推荐工具里头也出现过。

mdadm和lsblk。指向Linux软RAID。COM-03 NAS如果做了RAID，Windows下直接挂载是挂不上的，得先重组。往年考过，今年备着。

Volatility 3和Mimikatz。这两个的出现说明有内存和凭证类的题，但检材列表里没直接对应的文件。这种“工具列了但检材不明显”的情况往年也出现过，通常是嵌套在某个大镜像里。建议解压后先做一次全盘大文件扫描。

x64dbg加Android Studio。说明有逆向题。可能是投资App的APK，也可能是树莓派上编译的攻击程序。往年团体赛都有逆向部分，今年跑不掉。

五、个人赛和团体赛怎么串

今年两场的关系比往年紧，串法有三条。

第一条是检材。COM-01横跨两场，是最直接的接缝。个人赛如果只把它当“公用电脑”看几个点，团体赛会吃亏。

第二条是人物。黄家豪在个人赛是“放设备的人”，在团体赛是“被捕人1”；陈立在个人赛只是“管运营的”，到团体赛变成“尖沙咀管理员加毒品线枢纽”。同一个人在两场的定位不同，题目问的角度也不同。

第三条是资金。个人赛只到“信用卡被盗”，团体赛才把资金盘、OTC、混币、毒品收入串成一条链。DOC-01这个资金流记录是链条的中枢。

所以备考顺序建议：先把个人赛6个检材吃透，体量小、128题，性价比高；再攻团体赛。团体赛里先啃COM-02，那是分数最密集的地方。

六、几个备考建议

时间分配。团体赛291题、12个检材，按体积算COM-02一个就占七成，但题目数量不一定跟体积成正比，手机和DOC-01这种小检材往往出题密度更高。建议先扫一遍所有检材的表层（账号、时间、明显文件），再回头深挖。

先建时间线。今年人物多、线索杂，一开始就做时间线，把每个人的关键动作标上去，后面答题会快很多。DCode Timestamp Decoder准备好，遇到各种奇怪的时间格式不至于卡住。

树莓派单独练。建议熟悉Linux系统，或者用Kali虚拟机，自己装一遍hostapd加dnsmasq，知道配置文件长什么样、日志在哪、抓的包存在哪。这一步做了，个人赛的题会顺很多。

往年题目别丢。22年的Signal数据库、23年的WhatsApp、24年的NAS和内存、25年的大模型，这些考点今年大概率会以变形的方式再出现。刷题是不会错的。

最后，官方资料末尾有段注值得看一眼：这些免费工具只是“一般准备建议，并不代表指定解题方法”。翻译过来就是——工具给了，但怎么用、用在哪，还是得自己想。

以上就是小谢对第十二届美亚杯案情资料的个人解读。个人赛128题、团体赛291题，11月13到15日开赛，时间不多了，该动手了。

文中观点非官方，仅供交流，如有纰漏请各位大佬指正。关注“小谢取证”，后续会继续更新各检材的解题思路。

推荐阅读：

2026年“美亚杯”赛前备赛篇

2026年“美亚杯”虚拟货币专题

2026年“美亚杯”CTF专题

2026年“美亚杯”手机数据库专题

AI取证实战第13期:2025美亚杯 · 第十一届中国电子数据取证大赛（个人赛）复盘-AI版

历年美亚杯RAID重组解析汇总（附检材-软件）

2024年美亚杯团体赛NAS解题思路（非官方）

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证

— END —