手机取证
这套题的手机取证真是见过最难的了，感谢羊羊羊和mumuzi的博客
https://mumuzi.blog/docs/Forensic/%E5%8F%96%E8%AF%81%E6%AF%94%E8%B5%9BWP/07-2026%E7%AC%AC%E5%85%AD%E5%B1%8AFIC%E5%86%B3%E8%B5%9B/%E6%89%8B%E6%9C%BA%E5%8F%96%E8%AF%81
https://mp.weixin.qq.com/s/S_n3EwT7oeIgSMCLlJm70w
其实这边直接解压之后再用文件集合导入火眼比较好，不会出现那么多data文件夹，不过我这边还是以普通的直接导入镜像来写好了
1. 分析手机检材，该手机设备名称为
第一题就来个下马威了
看起来火眼这边分析出来的是Xbox Wireless Controller
这明显不是手机设备的名称，因为这是Xbox无线控制器的意思，是手柄的名字
可以看到火眼这边解析的是蓝牙属性，很奇怪，因此这边都不太对
我们需要去找手机设置的路径，可以通过爆搜如device_name等内容找一下
在/data/system/users/0/settings_global.xml我们可以看到真正的设备名称
得到设备名称为REDMAGIC 9 Pro+
比赛的时候没找到这块，做不出去手机相册闲逛了
能看见屏幕截图，正好截图截到了本机的设备名称
2. 分析手机检材，该手机系统magisk【环境版本】为
参考格式是26000，所以明显不该是这边的30.7
搜索magisk
发现了adb中存在记录，过去看看
得到最终答案，环境版本为30600
3. 分析手机检材，嫌疑人通过盖世游戏app安装的《最终幻想》游戏版本是
直接搜索盖世游戏，发现包名为com.xiaoji.egggame
搜索确定路径
进行爆搜，这个路径没有很多文件，所以不管是手动搜索还是爆搜都可以搜到
通过对fantasy进行的搜索，我们最终在data_15/media/0/Android/data/com.xiaoji.egggame/files/Documents/XiaoKunLogcat/XiaoKunLogInfo-5.txt
找到了下的是版本号XIII的最终幻想
4. 分析手机检材，5月6日，嫌疑人最后一次使用谷歌套件中的某个app，其包名是
根据题目说法，将最后使用时间过滤为2026-05-06
再过滤包名含有google
只剩两个了
根据下一题，这个app是会推送新闻的
因此确定是com.google.android.googlequicksearchbox
因为另一个是Googleplay服务，不会推新闻，一般都是推送基础服务，而这一个搜索的更会推新闻一点
如果不放心我们可以由下一题进行验证（虽然比赛的时候根本就没做出第五题
5. 分析上述app5月6日推送新闻的相关痕迹和缓存，新闻《男子拾获钱包以为天降横财》中事件发生的地点是
先根据包名搜索确定路径
题目说了根据痕迹和缓存，明显暗示我们去cache文件夹看看
发现有一个叫做image的文件夹，很显然在这里边
遍历一下就能看到本题答案了
地址是柔佛麻坡
6. 分析该手机关机信息情况，最近一次因电池电池异常过热导致关机的北京时间为
关机信息情况，直接搜索shutdown看看
搜索shutdown发现了一个记录关机的文件夹
里边将关机时间都作为时间戳写入了文件名，只需看内容找电池过热即可
寻找一番，发现是这个文件，里边明确写了
BatteryService.lambda$shutdownIfOverTempLocked
Shutdown request from SYSTEM for reason thermal,battery at 2026-01-21 17:28:02.432 GMT+08:00
即电池异常过热
**所以答案的时间就是时间戳转化的2026-01-21 17:28:02 **
或者文件里边其实也写了这个时间，不用转化直接复制粘贴也一样
7. 分析手机检材，北京时间2026-05-06 10:43:38左右那些应用的通知被查看了？
这题真的很难，比赛的时候几乎毫无思路，跟着mumuzi老师走一下
这边需要我们查看使用统计数据库
在/data/system_ce/0/usagestats
这四个是 IntervalStatsObfuscatedProto 文件
即UsageStats应用使用统计文件，文件名的时间戳其实是统计区间的一个开始时间（是一个区间
题目说的时间差不多是1778035418000
所以说左右，最接近的就是第一个文件1778031702128，应该会包含到题目的时间那个区间
接下来就是对里边内容进行了解
这些文件，明文看什么都看看不出，因为他们把很多内容都是保存成了数字token，而映射表是mappings文件
就在同路径下
因此我们可以写脚本读取，整合为一个csv文件，把内容全部提取
