第四届黄河流域公安院校电子物证个人赛手机取证 - 题目复盘

? 2026第四届黄河流域公安院校电子物证个人赛 — 手机取证 Writeup

? 报告元数据

首席取证官：yagami
任务目录：/mnt/d/文档/hermes-work/2026黄河流域手机取证/
生成时间：2026-08-05
生成模式：完整型取证交付 Writeup

?️ 工具链与环境底座

1. 算力与架构

组件分类	部署详情
自动化编排	Hermes Agent
基座大模型	`Qwen3.6-27B-Uncensored-HauhauCS-Aggressive-Q6_K_P`
运行架构	本地 (WSL / Windows Subsystem for Linux)

2. 任务信息

考核范围：Android adb backup tar 手机取证（10题）
检材类型：Mobile.tar (8.5GB Android adb backup 格式)
解压路径：/mnt/i/Mobile/Mobile/
数据格式：Android data/ 目录结构，含应用数据库、shared_prefs、相册等
涉及应用：DeepSeek Chat、与你APP、网易邮箱、Soul社交、百度地图、QQ、米家智能家居、Android日历
质控策略：双源交叉验证(L2)、数据库直接查询(L1)、全数据grep排除法

? 考题最终答案汇总看板

题号	核心考点	权威标准答案	状态	等级	核心证据链检索摘要
Q1	AI聊天应用搜索会话取证	DeepSeek	? 已验证	L1	deepseek_chat_b9accab9.db chat_session_list表title="兼职APP推荐" + shared_prefs host_app_id确认软件名
Q2	APP注册日期双源交叉验证	2026-03-01	? 已验证	L2	网易邮箱欢迎邮件(noreply@tuoxinapp.com) + 与你APP聊天记录"注册好了"时间线
Q3	日历刷单投入金额(多选)	A,B,C,D	? 已验证	L2	日历Events表7条投入记录 + 聊天记录交叉确认单次投入金额
Q4	截止日总投入统计	15万	? 已验证	L2	日历events表金额累加 + 聊天记录"总共15万了"/"一共15万"双源确认
Q5	受害人身份多应用交叉确认(多选)	A,B,D	? 已验证	L2	与你APP NICKNAME + Soul signature + 网易邮箱AccountConfig三源确认 + QQ音乐/全数据grep排除
Q6	压缩包内文件名提取	诈骗账户信息.txt	? 已验证	L1	证据备份.zip unzip -l直接列出文件名
Q7	百度地图POI搜索历史(多选)	A,B,D	? 已验证	L1	poi_his.sdb 32条记录完整确认新街口/夫子庙/禄口机场 + 紫金山/红山动物园排除
Q8	照片EXIF GPS反地理编码	海口市	? 已验证	L2	IMG_20260703_141855.jpg EXIF GPS坐标19°56'54.27"N, 110°27'37.63"E → 海口市
Q9	米家设备型号提取	qjiang.acpartner.ac02	? 已验证	L1	device_tca_config.db model字段 + device_action_configs_v3动作关联确认空调遥控器
Q10	JPEG元数据隐写URL提取	https://pay-demo.virtualpay.com/pay/orderNo=ORD260710594721	? 已验证	L1	重要.jpg strings命令提取隐藏HTTP URL

⚔️ 深度取证与解题全链路复盘

? Q1 受害人曾搜索过"兼职APP推荐"，使用的搜索软件是什么？

标准答案：DeepSeek
状态等级：? 已验证 / L1
解题主线：在检材中发现 com.deepseek.chat 包名目录。该应用使用SQLite存储聊天会话，但数据库文件名含UUID后缀（如 deepseek_chat_b9accab9-e632-40ef-850f-fec135cd03f6.db），主库 deepseek_chat.db 仅有 app_user_info 表。遍历所有 .db 文件找到含 chat_session_list 表的数据库，查询到标题为"兼职APP推荐"的会话记录。通过 shared_prefs/header_custom_240734.xml 确认软件名称为 "DeepSeek"（非 "DeepSeek Chat"），答案格式示例 "Google" 为单单词。
? 关键证据：
- 证据编号：FINDING-Q1-001, FINDING-Q1-002
- deepseek_chat_b9accab9.db chat_session_list表记录：308be25c-503d-40ad-8733-150390c8e561|兼职APP推荐|SYSTEM|10|1783592253|1783592123.936|1783592266.459
- header_custom_240734.xml：host_app_id="DeepSeek[675113]"，确认软件名称为 "DeepSeek"
- 包名：com.deepseek.chat
?️ 核心命令：

Step 1: 遍历所有db文件查找chat_session_list表

find data/com.deepseek.chat/ -name "*.db" -exec sh -c 'sqlite3 "$1" ".tables" | grep -q chat_session_list && echo "$1"' _ {} ;

Step 2: 查询目标会话

sqlite3 deepseek_chat_b9accab9-e632-40ef-850f-fec135cd03f6.db "SELECT * FROM chat_session_list WHERE title LIKE '%兼职%';"

Step 3: 确认软件名称

cat data/com.deepseek.chat/shared_prefs/header_custom_240734.xml

? 控制台回显：

Step 2 输出:

308be25c-503d-40ad-8733-150390c8e561|兼职APP推荐|SYSTEM|10|1783592253|1783592123.936|1783592266.459

Step 3 输出:

{"sdk_version":"1.5.7","host_app_id":"DeepSeek[675113]"}

验证闭环：chat_session_list表直接查询确认会话存在 + shared_prefs host_app_id确认软件名称为"DeepSeek"（L1单源直接证据）。
⚠️ 修正复盘：
- 主库 deepseek_chat.db 只有 app_user_info 表，实际会话数据在UUID后缀的数据库中
- 答案格式示例 "Google" 为单单词，提交 "DeepSeek" 而非 "DeepSeek Chat"

? Q2 受害人是哪一天注册的"拓薪任务"APP？

标准答案：2026-03-01
状态等级：? 已验证 / L2 (双源交叉验证)
解题主线：通过两条独立证据链交叉确认注册日期：

证据链1 — 与你APP聊天记录时间线：在 1195155160385462272.db 的 p2p_messages 表中，msg_body 字段为JSON格式。2026-03-01 02:08:15对方发送"很简单的,你先下载拓鑫任务APP,注册后截图给我"，02:11:37受害人回复"下载好了,怎么注册?"，02:22:58受害人回复"注册好了"。

证据链2 — 网易邮箱注册欢迎邮件： mmail.7 数据库 Mail_1 表 localId=5 记录：发件人 noreply@tuoxinapp.com（拓鑫任务平台），主题"欢迎注册拓鑫任务平台"，sendDate=1772328494000（毫秒级epoch → UTC 2026-03-01 01:28:14 / CST+8 2026-03-01 09:28:14）。
? 关键证据：
- 证据编号：FINDING-Q2-001, FINDING-Q2-002
- 聊天记录msg_body JSON：{"text": "很简单的,你先下载拓鑫任务APP,注册后截图给我"} → {"text": "注册好了"}
- 邮箱记录：发件人 noreply@tuoxinapp.com，主题"欢迎注册拓鑫任务平台"，sendDate=1772328494000
?️ 核心命令：

Step 1: 聊天记录确认注册流程

sqlite3 1195155160385462272.db "SELECT _id, UID, msg_body FROM p2p_messages WHERE msg_body LIKE '%拓鑫%';"