上一次做好像甚至还是2024年，确实是拖了很久很久了，之前也不会写wp，只是在备忘录里打打字，好像也就做了41题，现在重新启动一下，为2025美亚杯备赛一下
我也不知道为什么我竟然会在美亚杯比赛前一天才写这玩意
这两天加起来6小时赶工写完的，太急了，希望美亚个人能拿个名次回来
打开来就这样子，一共是六个检材
比今年的丰富，今年都没有计算机，全都是手机，一堆手机啊，好我们来看看题目
案情简介
2024年8月某日，香港警方接获一名本地女子Emma报案，指她的姐姐Clara失联多天，希望报告一宗失踪人口的案件。现在你被委派处理这宗案件。在处理该案件期间，你在Emma的同意下提取了她手机的资料，并且协助警方对Clara及其丈夫David的电子装备进行取证工作。请分析以下的资料，还原事件经过
检材列表
Emma的iOS手机镜像档案(Emma_Mobile_Image.zip)
Clara的安卓手机镜像档案(Clara_Smartphone.bin)
David的Windows系统计算器镜像档案(David_Laptop_64GB.e01)
David的8GB U盘镜像档案(David_USB_8GB.e01)
David的安卓手机镜像档案(David_Smartphone_1.zip)
David的Windows系统计算器内存档案(RAM_Capture_David_Laptop.raw)
Emma 的手机
本手机为zip格式
具体来说AutoPsy似乎有着强劲的兼容性，可以在这边更快做出来，而这种全是数据库啥的火眼确实不太好用
当然我们直接解压导入然后让它分析ios的话也是没问题的
1. Emma已经几天没有收到她姐姐Clara的消息了，报警失踪，她焦虑地将手机提交给警察，希望能找到线索。警察将手机交给你进行电子数据取证。你成功提取了Emma手机的镜像。请根据取证结果回答以下问题。根据Emma_Mobile.zip，Emma和Clara的微信聊天记录，Emma最后到警署报案并拍摄写有报案编号的卡片，拍摄时的经纬值是多少？
A. 22.451721666667, 114.171853333333 ** B. 22.451553333333, 114.172845 ** C. 22.451928333333, 114.170503333333 ** **D. 22.451638333333, 114.16993
这边第一题其实如果把Clara也导进去会方便很多，所以在做这种个人赛的时候我建议是可以都先导入，毕竟是个人赛，关联性会很强，比如2025龙信就强的不行
因为说的是Emma和Clara的聊天记录，我们在Emma的手机里找不到，应该是Clara的也找找看
我们就能很容易地先定位到这一张照片
接下来就可以在Emma手机定位到同样的一张照片，我们知道了是314.pic
直接搜314.pic搜不太到
但是我们也可以搜两人微信聊天内容，快速定位存放聊天记录的数据库位置
定位到是message2.sqlite
然后就可以定位到图片的信息
<msg><img hdlength="0" length="139561" aeskey="b3f5f12230235d3dfe4f90e4984c8ebf" encryver="1" md5="44c089af8c9a1414edb8ee6026be3307" originsourcemd5="0bbe83bda8f3e13735e9009078a231f0" filekey="wxid_t7zgo57j9m0j22_314_1725012210" uploadcontinuecount="0" imgsourceurl="" hevc_mid_size="139561" cdnbigimgurl="" cdnmidimgurl="3052020100044b30490201000204a695112702030f525902044b7d9b2b020466d198f2042432353830663531302d623137372d343463312d623732642d6566396562313331663331610204011d0a020201000400" cdnthumburl="3052020100044b30490201000204a695112702030f525902044b7d9b2b020466d198f2042432353830663531302d623137372d343463312d623732642d6566396562313331663331610204011d0a020201000400" cdnthumblength="3971" cdnthumbwidth="90" cdnthumbheight="120" cdnthumbaeskey="b3f5f12230235d3dfe4f90e4984c8ebf"/><appinfo><appid></appid><appname></appname><version>0</version><isforceupdate>1</isforceupdate><mediatagname></mediatagname><messageext></messageext><messageaction></messageaction></appinfo><MMAsset><m_assetUrlForSystem><![CDATA[F58B98FE-8010-44B7-8BF7-F23AF15DCFCA/L0/001]]></m_assetUrlForSystem><m_isNeedOriginImage>0</m_isNeedOriginImage><m_isFailedFromIcloud>0</m_isFailedFromIcloud><m_isLoadingFromIcloud>0</m_isLoadingFromIcloud></MMAsset></msg>
里边有这样子一块UUID——F58B98FE-8010-44B7-8BF7-F23AF15DCFCA
我们搜索一下这个UUID
定位到了Photo.sqlite
于是我们打开看看
先过滤这个UUID
然后找经纬
都是英文啊，搜一下经纬度应该是什么
成功定位
选A
2. 根据Emma_Mobile.zip，2024年8月30日下午两点后Emma共致电Clara多少次？
A. 85 ** B. 86 ** C. 87 ** **D. 88
其实我感觉在Clara做方便多了
过滤两个，时间和名称
所以共88个，选D
3. 根据Emma和Clara的微信聊天记录，Clara失踪前曾告诉Emma会到哪里？
A. 到酒店和丈夫David庆祝结婚周年 ** B. 吃自助餐 ** C. 约了朋友见面 ** **D. 去旅行
在Clara的手机可以看到她要去酒店和丈夫David庆祝结婚周年
所以是A
4. 参考Emma_Mobile.zip，Emma的iPhone XR内微信应用程序的版本是多少？
这个火眼能直接分析出是8.0.50
5. 参考Emma_Mobile.zip，Emma手机中下列哪个选项是正确的？
A. iOS版本为17.6.1 ** B. IMEI为356414106484705 ** C. Apple ID为Emma1761@gmail.com ** **D. 手机曾经安装Metamask应用程式
A、错
在嵌套证据分析可以看到系统版本，是17.5.1
B、对
IMEI有这行但是没内容
可以直接搜嘛，反正是选择题
确实是IMEI啊，那B正确
C、错
emmaemma.851231@gmail.com才对，C错
D、对
搜包名能搜到，说明有下过
所以是BD
6. 参考Emma_Mobile.zip,Emma手机中Apple ID的注册电子邮箱是多少？
火眼直接能看见
emmaemma.851231@gmail.com
7. 参考Emma_Mobile.zip，在2024年，Emma手机上曾记录的电话卡集成电路卡标识符(ICCID)是多少？
根据上一次更新时间，可以确定2024年的应该是8985200000826445829
8. 参考Emma_Mobile.zip，Emma手机的蓝牙设备名称"ELK-BLEDOM"的通用唯一标识符(UUID)是什么？
直接分析没出，但是有源文件地址
去源文件看看
成功得到UUID
8D13F23C-E73C-6A98-AA4F-16C8D7A5F826
9. 你发现了一些线索，Emma看起来也很可疑，她似乎背负了大量债务。参考Emma_Mobile.zip，Emma手机内Safari浏览记录中网页"https://racing.hkjc.com/"的网站标题是什么？
直接过滤URL
查看标题，是賽馬資訊 - 香港賽馬會
10. 参考Emma_Mobile.zip，Emma向Clara透露什么原因令Emma欠下巨债？
A. 投资孖展 ** B. 虚拟货币失利 ** C. 网上赌博 ** **D. 以上皆是
在clara火眼可以直接看到聊天记录
所以三个都干了
选D
11. 参考Emma_Mobile.zip，收债人要求Emma还款数量？
A. 港币
878,990** ** C. 港币
745,330
在iMessage可以看到欠款为786980港币
选C
12. 参考Emma_Mobile.zip，Emma发送了多少张.PNG图片给Clara，证明自己正被人追债？
A. 6 ** B. 7 ** C. 8 ** **D. 9
数一下就好了
一共7张，选B
13. 参考Emma_Mobile.zip，Emma用来浏览虚拟货币的网址？
A. Google.com ** B. Facebook.com ** C. IntellaX.io ** **D. Yahoo.com
ABD明显是别的网站吧。。。这不是一眼C吗
明显是C啊，还有ETH以太坊痕迹
14. 参考Emma_Mobile.zip的浏览器记录，有多少网址与bet365有关?
A. 3 ** B. 13 ** C. 9 ** **D. 12
依旧直接全局搜索bet365
发现只在这两个DB文件里
Bookmarks里有俩
而SafariTabs里只有一个
所以一共3个，选A
15. 你还发现了一些与不当使用他人加密钱包相关的痕迹。参考Emma_Mobile.zip，Emma用了哪些恢复短语(Recovery Phrase)进入David的虚拟货币账户？
A. stock,avocado,grab,clay ** B. light,sadness,segment,ancient ** C. toe,talk,elder,oil ** **D. 以上皆是
先搜一下看看
可以定位到这个数据库
明显在聊这个呢，对面应该是Clara
按道理这边应该有一个，但是没有
但确定了是一张两人手机共有的图片
可以在Emma手机里找到这个
所以助记词如上
得到答案选D
16. 参考Emma_Mobile.zip，Emma从David处窃取的虚拟货币的名称是什么？
A. IDFC ** B. ICAC ** C. INIC ** **D. IFCC
聊天记录里有照片啊
直接看可以看到是IDFC
17. 参考Emma_Mobile.zip，Clara偷拍的照片中，David的虚拟货币余额是多少？
A. 3266378.99 ** B. 1044749.22 ** C. 5022915.66 ** **D. 7822468.44
