? 2026平航杯手机取证 Writeup ? 报告元数据 首席取证官：yagami 任务目录：/mnt/d/文档/hermes-work/mobile-forensics/ 生成时间：2026-07-08 生成模式：完整型取证交付 Writeup ?️ 工具链与环境底座 1. 算力与架构 组件分类 部署详情 自动化编排 Hermes Agent 基座大模型 Qwen3.6-27B-Uncensored-HauhauCS-Aggressive-Q6_K_P.gguf 运行架构 本地 2. 任务信息 项目 详情 检材1 早起王手机 — Pixel 6, Android 14, Google/oriole (/mnt/z/1-手机/早起王的手机/) 检材2 倩倩手机 — nova 12 Pro, HarmonyOS 6.0.0.380 (/mnt/z/1-手机/倩倩的手机/) 检材3 倩倩手机逆向包 — RAR压缩包 (/mnt/z/1-手机/倩倩手机逆向包.rar) 题目数量 17题 (Q1-Q17) 完成状态 17/17 ✅ 全部完成并验证 ? 考题最终答案汇总看板 题号 核心考点 权威标准答案 状态 等级 核心证据链检索摘要 Q1 Android手机型号识别 Pixel 6 ? 已验证 L1 PhoneInfo JSON直接提取Model字段 Q2 高德地图POI搜索记录取证 西湖 ? 已验证 L2 PoiDetailUserBehavior.xml + pre_set_word_local_storage.xml双证据交叉 Q3 微信FTS5加密数据库解密与加好友时间 2026-03-3015:13:08 ? 已验证 L2 MMKV提取FTS密码→SQLCipher解密→FTS5MetaMessage系统消息时间戳 Q4 微信朋友圈protobuf解码 麻薯小蛋糕 ? 已验证 L1 SnsMicroMsg.db未加密，protobuf解码朋友圈内容 Q5 HarmonyOS备份元数据分析 6.0.0.380 ? 已验证 L1 .info.json中BackupFileVersionInfo.versionName直接读取 Q6 SQLite WAL文件原始数据提取 wxid_uh5tfx2zi8yh22 ? 已验证 L1 fts_contact.db-wal原始WAL帧数据中搜索"舔狗"联系人记录 Q7 HarmonyOS备忘录AES-GCM解密 冰糖 ? 已验证 L2 备忘录cloud_notes原文 + 截图交叉验证 Q8 加密截图解密与视觉分析 zero sievert ? 已验证 L1 .tb文件xorEncrypt解密后截图视觉分析 Q9 HarmonyOS搜狐新闻数据库统计 33 ? 已验证 L1 gen_natural_store.db主库sync_data表精确COUNT查询 Q10 HarmonyOS逆向包module.json分析 com.koishi.fpt ? 已验证 L1 module.json中bundleName字段直接提取 Q11 ABC字节码字符串提取 6 ? 已验证 L1 ABC字节码strings提取"密码长度至少为6位" Q12 ABC字节码加密后缀识别 .tb ? 已验证 L1 ABC字节码strings提取.tb后缀 Q13 ABC字节码文件类型分类统计 5 ? 已验证 L1 ABC字节码中提取图片类型列表：jpg/jpeg/png/gif/webp共5种 Q14 SO模块NAPI方法数IDA反汇编验证 2 ? 已验证 L2 IDA反汇编napi_define_properties count=2 + SO rodata交叉验证 Q15 SO rot13函数ROT+16发现与密码恢复 217cb94a01679e39 ? 已验证 L2 IDA确认rot13=ROT+16 → vault_prefs ROT-16逆运算恢复原始密码 Q16 xorEncrypt自定义算法解密JSON 1472580369123 ? 已验证 L1 xorEncrypt公式 output[i]=data[i]^(key[i%k]+(i%k)) 解密notes JSON Q17 PNG文件末尾隐写数据提取 flag{happy_forensics_2026!} ? 已验证 L1 PNG IEND chunk后27字节隐藏flag数据 ⚔️ 深度取证与解题全链路复盘 ? Q1 早起王的手机-1：手机型号 题目：分析早起王的手机，手机型号为？【答案格式：Xiaomi13】 标准答案：Pixel 6 状态等级：? 已验证 / L1 解题主线：早起王手机检材根目录下有 PhoneInfo-1775206177238 JSON文件，直接读取Model字段即可。 ? 关键证据： PhoneInfo-1775206177238 JSON内容："Model":"Pixel 6", "Device":"oriole", "Brand":"google" ?️ 核心命令： cat /mnt/z/1-手机/早起王的手机/PhoneInfo-1775206177238 Model: Pixel 6, Device: oriole, Brand: google 验证闭环：从原始检材独立复现，JSON字段直接提取，无歧义。 ? Q2 早起王的手机-2：高德地图最可能去的景点 题目：分析早起王的手机，早起王最近想旅行，结合高德地图搜索记录，他最可能去的景点是哪个？【答案格式：黄山】 标准答案：西湖 状态等级：? 已验证 / L2 解题主线：从root.tar中提取高德地图(com.autonavi.minimap)数据，查看shared_prefs中的POI访问行为和预设搜索词。 ? 关键证据： 证据源1：PoiDetailUserBehavior.xml 中最后访问的POI为 "name":"杭州西湖风景名胜区" 证据源2：pre_set_word_local_storage.xml 中预设搜索词 "杭州西湖":1 ?️ 核心命令： mkdir -p /tmp/zqw-phone && cd /tmp/zqw-phone tar xf /mnt/z/1-手机/早起王的手机/root.tar --strip-components=3 data/data/com.autonavi.minimap/ cat shared_prefs/PoiDetailUserBehavior.xml "name":"杭州西湖风景名胜区" cat shared_prefs/pre_set_word_local_storage.xml "杭州西湖":1 验证闭环：双证据交叉验证 — POI访问记录 + 预设搜索词均指向"杭州西湖"，答案简化为"西湖"。 ? Q3 早起王的手机-3：加上倩倩微信的时间 题目：分析早起王的手机，早起王在什么时间加上倩倩微信的？【答案格式：2025-08-1807:09:19】 标准答案：2026-03-3015:13:08 状态等级：? 已验证 / L2 解题主线： 阶段1 — FTS密码提取：在微信MMKV配置文件中搜索FTS数据库加密密码 阶段2 — SQLCipher解密：用提取的密码解密FTS5IndexMicroMsg_encrypt.db 阶段3 — 好友验证消息定位：在FTS5MetaMessage中查找最早的系统消息（好友验证通过） ? 关键证据： FTS密码来源：mmkv_private/ConfigStorage2 中明文存储 USERINFO_FTS_MASTER_DB_ENCRYPT_PWD_STRING → 20623a1 SQLCipher参数：page_size=4096, kdf_iter=64000, hmac_reserve=48, digest=sha1 好友验证消息：FTS5MetaMessage.docid=38: aux_index=wxid_zuaa9igqlro22, talker=wxid_zuaa9igqlro22, timestamp=1774854788001 消息内容：FTS5IndexMessage_content docid=38: "我通过了你的朋友验证请求，现在我们可以开始聊天了" 时间戳转换：1774854788001 → 2026-03-30 15:13:08 (UTC+8) ?️ 核心命令： 阶段1: MMKV提取FTS密码 grep -a "USERINFO_FTS_MASTER_DB_ENCRYPT_PWD_STRING" /tmp/zqw-wechat/data/data/com.tencent.mm/MicroMsg/bdf648ed55f29d2f2b30888e605a2a86/mmkv_private/ConfigStorage2 → USERINFO_FTS_MASTER_DB_ENCRYPT_PWD_STRING ... 20623a1 阶段2: SQLCipher解密FTS数据库 DB="/tmp/zqw-wechat/data/data/com.tencent.mm/MicroMsg/bdf648ed55f29d2f2b30888e605a2a86/FTS5IndexMicroMsg_encrypt.db" sqlcipher "$DB" <<'EOF' PRAGMA key = '20623a1'; PRAGMA cipher_page_size = 4096; PRAGMA kdf_iter = 64000; PRAGMA cip 登录后阅读全文 本文已展示开头部分。成为社区成员，即可解锁全部题目复盘与解题记录、参与讨论并累积积分。 登录 免费注册 登录即表示同意社区准则。
