终于写完啦！完结撒花！
运气不错，拿了个人赛学生组冠军，总榜亚军，但是其实还和各位师傅差多了，纯是运气使然罢了
潜心好好学习了
感谢西电WP和LiuGe，不然好多都做不来（）
在开始本次的取证前，必须先对苹果备份的密码进行爆破，否则是无法被分析的，不管是梁的手机还是陈民浩的手机都需要我们先进行密码爆破才行，如下图
在此目录下找到Manifest.plist文件后扔到passwarekit进行爆破就好了
一般的苹果备份密码都是4或6位数字，因此会比较容易被爆破出来，记得先自定义设定好这一步
并且我们在火眼里是可以尝试的，因此我们还可以进行猜测，备份的时候密码是必填的，所以有的人懒就会直接默认0000或者1234，这边的几个检材都是这样子
像这样子爆破出密码后填入火眼，即可一键取证了，这是最难也是最重要的一步
（其实这边我在上周就做过，所以在比赛开始前就已经做好了爆破，我想这也是很重要的优势）
1.请你使用CHAN_MH.zip检材回答以下问题这个智能手机是什么操作系统?
A. iOS 17.1.1
B. iOS 17.2.1
C. iOS 17.3.1
D. iOS 17.0.1
问操作系统版本号
爆破出密码后可以直接火眼看见，一把梭
选A
2.在这个手机中，有多少组国际移动设备识别码(IMEI)号码? (请以阿拉伯数字作答)
问IMEI，这边我不知道为什么MEID也算在官方的wp里
毕竟问的是国际移动设备识别码，又不是移动设备识别码，我认为MEID是不算的
火眼出来有点问题，其实不止1个
我们在这个信息文件里可以直接搜索InternationalMobileEquipmentIdentity
是357328098205226和357328099153748
3.承上题，以下哪一个才是正确的国际移动设备识别码(IMEI)号码?
A. 357328098205226
B. 357328097205226
C. 357328096205226
D. 357328095205226
上边一题刚刚做出来，这一题也是意义不明啊，给上一题拿来蒙的吗
选A
4.请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID)
A. 89852122206020998419
B. 89852122205020998419
C. 89852122204020998419
D. 89852122203020998419
依旧基础火眼题，其实这些的难点都只在于爆破备份密码
选A
5.请指出最后使用的Apple ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号) 
最后登录的是这个
whoishogan@gmail.com
6.蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx)
火眼看不见，需要我们在设备信息里翻找
搜索Bluetooth即可
得到地址为f8:38:80:bb:f5:28
7.这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
对于iOS来说是不支持本身改热点名的，热点名就是和设备名保持一直
所以我们只要找设备名就好啦
就是iPhone
8.这个智能手机没有连接过以下哪一个服务集标识符(SSID)
A. Hongn Home
B. CMHK
C. 1010 free wifi
D. ErrorError
SSID其实就是名字，没那么高端，这边的WiFi连接记录智能看出CD是错的，但是AB无法判断
然而下一题说CMHK的连接时间，那很明显不可能是B了
选 A
9.请指出首次连接服务集识别码(SSID)名称为" CMHK"的无线区域网络(Wi-Fi)的日期及时间(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
美亚自己都没答案，那我还说啥了，出错了吧
10.安装了以下即时哪个通讯软件?
i) WhatsApp
ii) WeChat
iii) WhatsApp Business
iv) QQ
A. 只有 i) 和 ii)
B. 只有 i), ii) 和 iii)
C. 只有 i), ii) 和 iv)
D. 以上皆是
在应用列表处只能查询到这俩应用被装，所以选A
11.承上题，请指出即时通讯软件"WhatsApp"的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
** ** 这边注意要先设置列，展示版本号
接下来就能看到了，这边写版本号是731647702.0
然而美亚官方wp说这个不对，不是版本号
真正的版本号应该去这个软件的配置文件找，去var\mobile\Applications\group.net.whatsapp.WhatsApp.shared\Library\Preferences\
找group.net.whatsapp.WhatsApp.shared.plist
得到版本号应该是2.25.14.79
（好像确实是更像，这样子看来似乎不能盲目相信火眼解析，但是毕竟时间有限，这样子直接看火眼还是方便，总不能每一道都看配置文件手搓吧）
12.陈民浩的手机中，总共安装3个文件传输软件，封包名称分别为com.apple.Sharing.AirDropUI、com.lenovo.anyshare、com.estmob.paprika，其中有哪一个软件曾经用来传送/接收文件功能?
A. com.apple.Sharing.AirDropUI
B. com.lenovo.anyshare
C. com.estmob.paprika
每一个都在文件这边尝试搜索一下
会发现AirDropUI搜不到，anyshare没有收到的文件记录
只有C是有发收记录的 ** **所以本题选C
13.承上题，与其有传送/接收过资料装置的装置ID是多少? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
上一题已经确定了是包名为com.estmob.paprika的软件，这种线下从来没遇到过的小众软件只能翻
在Library文件夹下，我们能发现存在一个realm的数据库文件
而且名字很像跟传输有关的样子
那想看这种realm文件，还得下一个realm studio，当时没做出来，不然能得好多分
这边还有一个问题，就是必须把这个只读给去掉，否则无法打开realm studio
打开后界面如图，上来就是设备id
所以本题答案为5402313593439
14.承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
属于就是想给打开realm的智者多加点分，就在刚刚的右边
Samsung SM-G930F
15.承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
本机ID就是这个手机的设备ID呀
我们直接去看看这个软件里边的属性表plist文件就好
直接定位device_id就好
所以答案为3836403626142
16.承上题，陈民浩的手机(CHAN_MH_mobile.zip)是传送方或是接收方?
A. 传送方
B. 接收方
C. 传送及接收方
这边这题得做完17和18才知道，从18可以知道，这些照片都是接收的 ** **并且全来源于一个手机
除了这两张没别的了
说明陈民浩只是个接收方
选B
17.根据传送档案的名称，判断是以下哪一类型? (单选)
A. 屏幕截图
B. 手机拍摄影片
C. PDF文件
D. zip压缩文件
在数据库里
我们可以看到有一列就是说这个传输文件名儿
看后缀全是jpg，而且是屏幕截图Screenshot
搜一下也能搜到
所以选A
18.承上题，接收至哪一个装置?
A. CHAN_MH_mobile.zip
B. blk0_sda.bin
C. FUNG_CC_mobile.zip
D. LAM_KH_Mobile.zip
E. WONG_CW_mobile.zip
搜一下文件发现定位到这边来了，两张照全在这边，所以是B
19.承上题，传送方是通过此文档传输软件的哪个模式作出传送?
A. SEND_PARTIALLY
B. SEND_PAPRIKA
C. SEND_DIRECTLY
D. SEND_BYCLOUD
E. SEND_BLUETOOTH
这边问的是传送方了，也就是跟上一题有关，我们需要前往blk0_sda.bin寻找
在这个路径下我们成功找到了主数据库
在transfer history一栏我们成功找到了传输mode，所以是C
20.从来没有安装以下哪个网络浏览器？
A. Safari
B. Chrome
C. Firefox
D. edge
直接一个个过滤搜索就好，结果发现除了A都没有
所以这题选BCD
21.承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答)
火眼一把梭
所以一共有9个书签
22.承上题，曾经通过Safari浏览器用下列哪一个字词进行过搜索?
A. 非法处理尸体最高刑罚
B. escape room hong kong
C. cypto wallet
D. 非法处理尸体
我们直接在Safari对每个关键词都进行过滤搜索就好
发现就D没发过，选ABC
23.有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答)
火眼直接看看不见iCloud
我们必须定位到文件位置
在\var\mobile\Library\Mobile Documents\com~apple~CloudDocs这边
打开后发现有两张图片文件
**本题为2 **
24.相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答)
火眼可以分类出屏幕快照
**所以本题是15张 **
25.请参考参赛材料FUNG_CC_mobile.zip回答以下问题这部智能手机连接过多少个 Wi-Fi 网络？(请以阿拉伯数字作答)
这边这个手机倒是不用爆破，当然直接爆破会了也没啥难的
就连接过俩WiFi
答案是2
26.这部智能手机曾经连接过以下哪个无线网络？
i) THREE_WIFI
ii) wanchai
iii)iPhone(2)
iv) Router
A. 只有 i)
B. 只有 ii) 和 iii)
C. 只有 ii), iii) 和 iv)
D. 以上皆是
只有2和3，选B
27.这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
非热点WiFi，这边iPhone明显像热点，所以我们要找的其实是wanchai
需要定位系统存储wifi信息的备份内容
在\var\preferences\SystemConfiguration里边找一下
成功找到文件，打开定位wanchai
最早连接在2025-04-15 11:29:23
注意是GMT +8时区，所以是2025-04-15 19:29:23
28.承上题，请列出这个连接的服务集识别码(SSID)?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
SSID就是这个WiFi的名字
**名字就是wanchai而已 **
29.承上题，请列出这个连接的登入金钥?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
登入金钥就是这个网络的密码
在火眼的钥匙串这边可以直接看到密码就是hellowanchai
30.相册中有两张图像互换格式图片(gif)「IMG_0057.GIF」及「IMG_0062.GIF」，请指出由哪一个软件拍摄?
A. Infltr
B. Discreet
C. Meitu
D. Prisma
