长安杯XD-Forensics 2026 公开赛-手机取证

原创

Qiuguo
Qiuguo

沉思安全

2026年10月28日 18:48
河南

去阅读

XD-Forensics 2026 公开赛

手机取证

1.该手机的型号是什么？

POCO

2.该手机连接%20SSID%20为%20B411%20的%20WIFI%20时，使用的随机%20MAC%20地址是什么？

c6:dd:73:79:79:19

3.该手机中安装过若干个地图%20APP，王昊天最早搜索过的关键词是什么？

西安电子科技大学%20网络安全创新大楼

查看火眼会发现只有一个谷歌地图

其实是因为火眼没识别出来已删除的地图应用，

但是已删除的文件确实看不到了，答案确实就在这个谷歌app里面，只看这个也行

4.接上题，该关键词的搜索时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd%20HH:mm:ss】

2026-07-08%2011:03:53

5.该手机中安装了几个具有局域网主机信息扫描功能的%20APP？

官方答案：3/我的答案：2

其中一个是可以大致猜出来的，搜索scan，ip，network，lan，net

但是第二个不好找出来了，本题可以结合下面的题目看

手机第8题提到ip设备供应商，可以搜索macvendor（vendor，小贩，摊贩）

找到一个数据库ning-db，data/user/0/de.csicar.ning/databases/ning-db

接着下面两题提到了扫描到设备信息，又提到deviceid，都可以在这个数据库找到，基本确定这就是符合题目描述的app了

6.接上题，其中一个%20APP%20有保存扫描到的设备的信息，该%20APP%20扫描到了几个设备？

8

见上题截图

7.接上题，上述%20APP%20保存的设备信息中，设备%20ID（Device%20Id）为%204%20的设备的%20IP%20地址是什么？

可以看到id为4号的ip是负数，其实这是因为把ip当作有符号处理了

先用电脑计算器转换成16进制，再按每4字节转换十进制就行了

8.接上题，上述设备的设备供应商是什么？

Intel%20Corporate

ning-db里面还有macvendor表，查询上面id=4的设备的前三位mac，可以看到答案

9.该手机上有文件浏览%20APP%20连接并访问了%20NAS，这些%20APP%20的包名是什么？【若有多个，以半角分号“;”分割】

com.voyagerfiles;pl.solidexplorer2

根据其他检材（如路由器），或者案情背景，或者搜索\"NAS\"其实可以推测出NAS的名称是B411（是实验室的名称）

手机里面全局搜索B411NAS，可以搜到数据库voyager.db，还有explorer.db

（data/user/0/pl.solidexplorer2/databases/explorer.db）

（data/user/0/com.voyagerfiles/databases/voyager.db）

因此这两个应用都是访问过NAS的文件浏览应用

10.接上题，其中一个应用访问过来自于%20NAS%20的文件，访问时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd%20HH:mm:ss】

2026-07-09%2011:31:07

voyager.db里面基本没什么内容，基本排除本题答案在里面

explorer.db里可以看到

11.该手机上安装有一个远程终端连接%20APP，其中%20id%20为%2089c8576f-49a9-47b9-ba00-d962b7bb47d9%20的连接，其标签（Label）是什么？【参考格式：xxx@xxx】

b411@b411nas

可以直接爆搜89c8576f-49a9-47b9-ba00-d962b7bb47d9

data/user/0/sh.haven.app/databases/haven.db

12.接上题，第一次尝试连接该服务器的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd%20HH:mm:ss】

2026-07-09%2011:31:45

接上题，在haven.db另一个表known\_hosts中

13.王昊天在一款即时通讯%20APP%20中登录了用户，该%20APP%20的包名是什么？

it.belloworld.mercurygram

火眼直接分析出来了

14.接上题，登录该即时通信应用的用户的手机号(包含区号)是什么？使用该题答案解压王昊天的%20Telegram%20云取证数据“WHQ\_Telegram.7z”。

8615102997015

15.接上题，数据买家的用户名是什么？

SomeOne

16.接上题，数据买家开价多少？【参考格式：1234CNY】

2000U

交答案时我还参考答案格式写了2000USDT......

17.接上题，结合王昊天的%20Telegram%20云取证数据，王昊天发送的网页的标题是什么？

309.85%20MB%20file%20on%20MEGA

解压之后，找到聊天数据库文件WHQ\_Telegram\WHQ\_Telegram\data\data\_1\_4\_ChatLog

筛选与SomeOne的聊天记录

找到一个网页地址，查看后面的message\_json

内容：{\"message\":%20\"https://mega.nz/file/Nd83URLA#ZAoab2fQiccCR5KsawHKApBQMFpMee5apt1aj7VNEko\",%20\"url\":%20\"https://mega.nz/file/Nd83URLA\",%20\"display\_url\":%20\"mega.nz/file/Nd83URLA\",%20\"type\":%20\"article\",%20\"site\_name\":%20\"mega.nz\",%20\"title\":%20\"309.85%20MB%20file%20on%20MEGA\",%20\"description\":%20null}

可以看到title为309.85%20MB%20file%20on%20MEGA

18.接上题，王昊天发送给数据买家的虚拟货币钱包地址在什么网络上运行？【参考格式：xxxx(xxxx)】

Ethereum(ERC20)

火眼telegram可以看到这张图，在二维码下面有一行小字，可以得出答案

19.王昊天最早发送给联系人的屏幕截图，其来源应用的包名是什么？

cn.toside.music.mobile

注意题目说的是最早发给联系人，没指定是哪个联系人，只需要找到最早发送的图片就行了

筛选is\_send=Y与message\_typr=image之后可以看到三条消息

最早的一条就是6231039760659059005.jpg

找到这张图WHQ\_Telegram/WHQ\_Telegram/res/1/4/私聊信息/Bird\_Black5001592154/image/6231039760659059005.jpg

手机中有一样的截图，文件名中包含了本题答案

大概就是这个音乐应用

佐证：data/user/0/cn.toside.music.mobile/databases/AsyncStorage可以看到确实有 cv.早見沙織 等截图中的信息

20.该手机上安装了一款虚拟货币钱包管理 APP，分析该应用的数据，该应用中使用的钱包的 id（Wallet ID）是什么？

multicoin\_0xd8198c17C8e6D89205263F83e05F710243fbDDfA

这个应用包名就带wallet，应该就是这个钱包管理app了

找到其数据库，可以发现都是同一个walletid，那就是这个了

21.接上题，该钱包共管理多少个区块链钱包地址？

54

注意本题不需要去重，否则就会像我一样答错成25

22.接上题，该钱包最近一次入账（Receive）的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】

2026-07-10 11:32:02

recent\_assets只有一条记录

23.接上题，用户最近搜索过什么关键字？【以检材中的原始数据回答】

::stablecoins

查看search表

24.找出保存在手机中的钱包助记词，助记词的完整内容是什么？【以空格分割】

convince pyramid route ordinary viable youth silk include program hub select renew

这题藏得有点深了，需要去找一个记事本应用

找到两个，下面这个信息好像更多，先看下面这个

data/user/0/com.opennotes/databases/notes\_db

在其数据库直接找到了

25.该手机上安装了一个名为 rsend 的 APP，该应用连接远程服务器使用的私钥文件的 SHA-256 哈希值是什么？

3CBEE43994A6FD60E81300AEB11F99D182AA3B34DFACB1DE6EC94FDECACAE855

首先搜索包名

WHQ\_SmartPhoneBackup.tar/data/user/0/invalid.lena.rsend/files

在其路径下发现许多文件

.pub 文件内容是 ssh-ed25519 AAAAC3NzaC1...，这是标准的公钥文本；同目录同名的 .enc 就是它的私钥半边

计算一下sha256

3CBEE43994A6FD60E81300AEB11F99D182AA3B34DFACB1DE6EC94FDECACAE855

26.接上题，该应用向服务器同步了本地的哪个目录？【参考格式：/aaa/bbb/ccc】

/storage/emulated/0/sync

需要翻配置文件config.json

code

{
  \"remote\": {
    \"host\": \"47.89.230.121\",
    \"port\": 22,
    \"user\": \"rsync\"
  },
  \"schedule\": {
    \"enabled\": true,
    \"intervalMinutes\": 120,
    \"wifiOnly\": true,
    \"requireCharging\": false
  },
  \"folders\": [
    {
      \"name\": \"sync\",
      \"local\": \"/storage/emulated/0/sync\",
      \"remote\": \"/home/rsync/sync\_phone\",
      \"delete\": false,
      \"excludes\": []
    }
  ]
}

\"local\": \"/storage/emulated/0/sync\"可以得出答案按

27.接上题，该应用的计划任务中，每隔多少分钟会进行一次自动同步？

120

见上题，\"intervalMinutes\": 120

28.接上题，该应用最后一次成功的同步的开始时间是什么？【以检材原始时区回答，参考格式：MM-dd HH:mm:ss】

07-10 11:11:19

下面需要查看sync.log

日志的格式如下

code

MM-dd HH:mm:ss sync started (1 folders)
...
MM-dd HH:mm:ss exit=0
MM-dd HH:mm:ss sync finished ok=true/false

所以我们只需要搜索true

可以看到最后一次true之前的started对应时间是07-10 11:11:19

29.接上题，该应用的前几次同步失败的原因是远程服务器找不到哪个二进制文件？

rsync

明显开头几次失败报错

code

Unknown command: rsync

code

07-09 15:08:50 bash: line 1: rsync: command not found

code

07-09 15:09:11 rsync: connection unexpectedly closed (0 bytes received so far) [sender]

都和rsync有关

再找，发现这个人真正想执行的是

code

rsync -rt --partial --timeout=300 --mkpath --no-perms --no-owner --no-group --omit-dir-times -e /data/app/~~eQjvGIzFe\_ehHh-aONJ2wA==/invalid.lena.rsend-DQHZyQtwgRke5u50mTMZRQ==/lib/arm64/libxrsh.so /storage/emulated/0/sync/

确实在调用远程 rsync

30.接上题，被成功同步至服务器的文件的文件名是什么？【若有多个, 以半角分号“;”分隔】

b411NAS\_README.txt

上面日志提到了手机目录/storage/emulated/0/sync/被同步了

那就去查看WHQ\_SmartPhoneBackup.tar/storage/emulated/0/sync，有4个文件，难道答案就是这四个？

本题还需要注意文件时间，最后一次成功同步时间是7月10号11:11:32

但是可以看到文件夹修改日期是11:22:53是在最后一次同步之后的，也就是文件夹同步之后又有改动，说明上面4个文件并不一定是同步到服务器了

那怎么确定具体的文件放入文件夹时间呢？

全局搜索一下其中一个文件名，发现了一个压缩包Research.tar (1)

我们看看这个压缩包里面有什么

会发现这个就是嫌疑人窃取的文件压缩包，里面包含了sync里面的三个文件

此时大致就可以猜测这三个文件都是解压放进去，只有b411NAS\_README.txt才是上传文件夹的

如何证明？Android 的媒体库 external.db（MediaStore）在文件被放进共享存储时会登记 date_added，本题刚好是放进storage的，文件变动会被记录下来

data/user/0/com.android.providers.media.module/databases/external.db

可以看到三个文件同一时间出现，而且是在11:11:22最后一次同步之后了，因此只有b411NAS\_README.txt上传同步了

大致时间线如下：

code

07-08 10:54   README 放入 sync ────────── 目录里只有它
     ·
07-09 15:09   ✓ 同步成功（目录仍只有 README）
07-09 17:15   Research.tar 下载到手机（310MB）
     ·
07-10 06:46   ✓ 同步成功（仍只有 README）
     ·
═══════════ 11:11:22  最后一次同步成功 ═══════════
     ·          （此刻目录里仍然只有 README ★被同步走）
     ·
11:21:27   访问 Research.tar
11:22:53   sync 目录变动 ← 三个文件解压放入
11:23:16   MediaStore 登记三个文件（date\_added）
11:23:16~18 三个文件经 Telegram 发给买家
     ·
14:03  ✗ 同步失败（握手EOF）
16:14  ✗ 同步失败（读取中断）

---