一、基础信息与附件
- 检材密码：
FEYn0MJLYy9zTQRFHlXGRkVqXv3IkE8h
- 核心检材：冯子超手机资料（FUNG_CC_mobile.zip）、陈民浩手机资料（CHAN_MH.zip）、梁燕玲手机资料（LEUNG_YL_Mobile.zip）、梁燕玲U盘资料（LEUNG_YL_USB.E01）
二、选择题
陈民浩手机
火眼分析不出来手机类型，可以手动让他分析ios镜像，还可以直接看文件
1. [单选题] 香港警方接到报案，西贡区布袋澳有人持木棍袭击他人，警方到达现场发现冯子超头部受伤昏迷，身上只有一部智能手机但没有身份证明文件。调查后香港警方以伤人罪拘捕了陈民浩。陈民浩被捕后保持沉默，拒绝交代案情，身上搜获一部智能手机，冯子超则被送往医院救治。警方检查了两人的智能手机，并由检验人员进行了检验。冯子超的智能手机资料储存在FUNG_CC_mobile.zip文件中，而陈民浩的智能手机资料则储存在CHAN_MH.zip文件中。警方希望运用你的电子数据检验知识，在两个人的智能手机中查找办案线索。请你使用CHAN_MH.zip检材回答：这个智能手机是什么操作系统？
A. iOS 17.1.1 ** B. iOS 17.2.1 ** C. iOS 17.3.1 ** **D. iOS 17.0.1
A
方法1：Manifest.plist文件中搜索iPhone
方法2：分析出来在设备信息里
2.在这个手机中，有多少组国际移动设备识别码(IMEI)号码? (请以阿拉伯数字作答)
2
在iDevice_info.txt中可以看到两个
3. [单选题] 承上题（第2题：手机IMEI组数），以下哪一个才是正确的国际移动设备识别码(IMEI)号码？
A. 357328098205226 ** B. 357328097205226 ** C. 357328096205226 ** **D. 357328095205226
A
根据上题文件内容还有火眼解析出来的imei，正确的应该是357328098205226
4. [单选题] 请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID)？
A. 89852122206020998419 ** B. 89852122205020998419 ** C. 89852122204020998419 ** **D. 89852122203020998419
A
方法1：在iDevice_info.txt中可以看到
方法二：火眼解析解析出来的
5.请指出最后使用的Apple ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
whoishogan@gmail.com
方法:1：在iDevice_info.txt中可以看到好多whoishogan@gmail.com
方法2：火眼也能看到
6.蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx)
f8:38:80:bb:f5:28
在iDevice_info.txt中可以看到BluetoothAddress
7.这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
**iPhone **
在iDevice_info.txt中搜索ssid可以看到热点密码
在另一部手机上看到了 有个iPhone
在冯子超手机看到了iPhone(2)就猜到iPhone
后面了解到对于iOS来说是不支持本身改热点名的，热点名就是和设备名保持一致，直接输设备名就行
8. [单选题] 这个智能手机没有连接过以下哪一个服务集标识符(SSID)？
A. Hongn Home ** B. CMHK ** C. 1010 free wifi ** **D. ErrorError
SSID就是WiFi名称
A
在火眼看到4个，CD肯定有，但是AB不知道，下一题问CMHK，那肯定就是A了
9.请指出首次连接服务集识别码(SSID)名称为" CMHK"的无线区域网络(Wi-Fi)的日期及时间(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
看了好几个大佬的wp，都是暂无答案，而且美亚官方也没有答案，看来不是我的问题^-^
10. [单选题] 安装了以下哪几个即时通讯软件？（i) WhatsApp；ii) WeChat；iii) WhatsApp Business；iv) QQ）
A. 只有 i) 和 ii) ** B. 只有 i), ii) 和 iii) ** C. 只有 i), ii) 和 iv) ** **D. 以上皆是
A
筛选一下，就这三个
11.承上题，请指出即时通讯软件"WhatsApp"的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
** 2.25.14.79 **
当时比赛的时候追求速度，设置列把版本号勾选一下就可以看到了版本号直接填了，但是后面做75题的时候知道不对了，但是也没来的及看
正确的做法是去看var\mobile\Applications\group.net.whatsapp.WhatsApp.shared\Library\Preferences\中的group.net.whatsapp.WhatsApp.shared.plist这个文件
12. [单选题] 陈民浩的手机中，总共安装3个文件传输软件，封包名称分别为com.apple.Sharing.AirDropUI、com.lenovo.anyshare、com.estmob.paprika，其中有哪一个软件曾经用来传送/接收文件功能？
A. com.apple.Sharing.AirDropUI ** B. com.lenovo.anyshare ** C. com.estmob.paprika
C
每个都搜一下，二没有文件，三有
13.承上题，与其有传送/接收过资料装置的装置ID是多少? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
5402313593439
在该文件夹下有一个realm数据库文件，用realm studio打开
14.承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
Samsung SM-G930F
15.承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
3836403626142
其实就是看本机的id，在/var/mobile/Applications/com.estmob.paprika/Library/Preferences/ 中的com.estmob.paprika.properties.plist文件中可以看到
16. [单选题] 承上题（第12题：文件传输软件），陈民浩的手机(CHAN_MH_mobile.zip)是传送方或是接收方？
A. 传送方 ** B. 接收方 ** C. 传送及接收方
B
在realm数据库文件中看到好几张jpg文件（17题），在安卓手机上搜到了（18题），所以是安卓传送过来的，所以CHAN_MH_mobile.zip是接收方
17. [单选题] 根据传送档案的名称，判断是以下哪一类型？（单选）
A. 屏幕截图 ** B. 手机拍摄影片 ** C. PDF文件 ** **D. zip压缩文件
A
见上
18. [单选题] 承上题（第17题：文件类型），接收至哪一个装置？
A. CHAN_MH_mobile.zip ** B. blk0_sda.bin ** C. FUNG_CC_mobile.zip ** D. LAM_KH_Mobile.zip ** E. WONG_CW_mobile.zip
B
见上
19. [单选题] 承上题（第18题：接收装置），传送方是通过此文档传输软件的哪个模式作出传送？
A. SEND_PARTIALLY ** B. SEND_PAPRIKA ** C. SEND_DIRECTLY ** D. SEND_BYCLOUD ** E. SEND_BLUETOOTH
C
那就在安卓机上/data/com.estmob.android.sendanywhere/databases下找到main.db，里面有传送方式
20. [多选题] 从来没有安装以下哪个网络浏览器？
A. Safari ** B. Chrome ** C. Firefox ** **D. edge
BCD
一个一个搜
21.承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答)
9
22. [多选题] 承上题（第20题：未安装浏览器），曾经通过Safari浏览器用下列哪一个字词进行过搜索？
A. 非法处理尸体最高刑罚 ** B. escape room hong kong ** C. cypto wallet ** **D. 非法处理尸体
ABC
查看历史记录
23.有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答)
2
火眼没有跑出来iCloud，只能翻文件，在<font style="color:rgba(0, 0, 0, 0.87);">/var/mobile/Library/Mobile Documents/com~apple~CloudDocs</font>下看到两个图片
24.相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答)
15
冯子超手机
需要手机备份密码，一般来说是四位或六位纯数字的弱口令密码。按照往年的规律，比赛我直接猜的0000和1234，如果不对的话可以爆破Manifest.plist获取密码
25.请参考参赛材料FUNG_CC_mobile.zip回答以下问题这部智能手机连接过多少个 Wi-Fi 网络？(请以阿拉伯数字作答)
2
26. [单选题] 请参考参赛材料FUNG_CC_mobile.zip回答：这部智能手机曾经连接过以下哪个无线网络？（i) THREE_WIFI；ii) wanchai；iii)iPhone(2)；iv) Router）
A. 只有 i) ** B. 只有 ii) 和 iii) ** C. 只有 ii), iii) 和 iv) ** **D. 以上皆是
B
27.这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
2025-04-15 19:29:23
在/var/preferences/SystemConfiguration/com.apple.wifi-private-mac-networks.plist 配置文件中可以看到 Wi-Fi 连接的详细信息
