2025数证杯决赛-团体赛（手机部分）

整个手机取证像一个巨大的apk仿真和misc工厂，大老虎小老虎我会记一辈子的（）

请根据Image.zip检材，回答以下问题：

上来是道送分题，火眼打开直接就能看见序列号

当然了，我们也可以去看配置文件

直接看zip里的Adlockdown.json文件即可

有json的插件看起来更方便了，当然直接搜MtpNo也是一样的，可以直接看到是HT7BG1A05334

这一题说真的蛮搞的，一开始下意识觉得会不会是什么聊天记录里提到的，但是一看几乎所有文件都是25年的消息，明显不是这样子

我们可以利用索引搜索来对时间进行检索，从而先确定出有什么文件是在23.04.15的

在索引搜索部分根据时间范围进行搜索

发现只有一张照片是符合这个时间段的

怀疑是照片里存在着手机型号

在属性中发现了照相机型号，确定就是手机型号，答案为vivo X Fold3 Pro

确定一下数据库位置，数据太多在火眼不好做

表不多，很明显是这个calls的库，执行SQL一下就

SELECT c.number ,COUNT(1) 
FROM calls c
WHERE c.type = 2    
AND c.deleted = 0    
AND c.number > ''
GROUP BY c.number
ORDER BY COUNT(1) DESC;

所以最多的是这个15185491986，一共打了65次

拿到这道题我的第一想法是去火狐浏览器的历史记录里进行搜索，但是发现数据库并未存储每次搜索的返回结果

之后就怀疑是不是在图片里，但是图片翻遍了都没能找到

没想到在火狐的缓存里边

在/data/data/org.mozilla.firefox/cache路径下

根据英文单词thumbnails，发现了有个路径可能放着缩略图

/mozac_browser_thumbnails/thumbnails里边存放着

里边东西不多，很容易定位到，所以版本号是5.2.8

说的telegram应用保存的，那我们直接去telegram存东西的地方就好了

即/data/media/0/Telegram

发现有个txt里边就写着后台密码

159753lee

就在上边那题的下边，直接索引搜索也能搜到，然后就能定位到上边那题（hhhh）

登录后阅读全文