2024美亚杯个人赛

容器密码

eS2%u@q#hake2#Z@6LWpQ8^T(R7cg95m\Bv+y;$=/dqxYnEusFf)tb>:HKHwy+e%cR\r=9j:GsK)AV52/3hXfdv8#u7a6JQ^pz><YPNkq*!&

官方答案

https://www.meiyacup.cn/Mo_index_gci_36.html

题目

1. [单选题] Emma 已经几天没有收到她姐姐 Clara的消息了，报警失踪, 她焦虑地将手机提交给警察,希望能找到线索｡警察将手机交给你进行电子数据取证｡你成功提取了Emma手机的镜像｡ 请根据取证结果回答以下问题｡

根据Emma_Mobile.zip, Emma和Clara的微信聊天记录,Emma最后到警署报案并拍摄写有报案编号的卡片,拍摄时的经纬值是多少? (2分)

message_2.sqlite数据库

<msg><img hdlength="0" length="139561" aeskey="b3f5f12230235d3dfe4f90e4984c8ebf" encryver="1" md5="44c089af8c9a1414edb8ee6026be3307" originsourcemd5="0bbe83bda8f3e13735e9009078a231f0" filekey="wxid_t7zgo57j9m0j22_314_1725012210" uploadcontinuecount="0" imgsourceurl="" hevc_mid_size="139561" cdnbigimgurl="" cdnmidimgurl="3052020100044b30490201000204a695112702030f525902044b7d9b2b020466d198f2042432353830663531302d623137372d343463312d623732642d6566396562313331663331610204011d0a020201000400" cdnthumburl="3052020100044b30490201000204a695112702030f525902044b7d9b2b020466d198f2042432353830663531302d623137372d343463312d623732642d6566396562313331663331610204011d0a020201000400" cdnthumblength="3971" cdnthumbwidth="90" cdnthumbheight="120" cdnthumbaeskey="b3f5f12230235d3dfe4f90e4984c8ebf"/><appinfo><appid></appid><appname></appname><version>0</version><isforceupdate>1</isforceupdate><mediatagname></mediatagname><messageext></messageext><messageaction></messageaction></appinfo><MMAsset><m_assetUrlForSystem><![CDATA[F58B98FE-8010-44B7-8BF7-F23AF15DCFCA/L0/001]]></m_assetUrlForSystem><m_isNeedOriginImage>0</m_isNeedOriginImage><m_isFailedFromIcloud>0</m_isFailedFromIcloud><m_isLoadingFromIcloud>0</m_isLoadingFromIcloud></MMAsset></msg>

再转到Photos.sqlite去搜索UUIDF58B98FE-8010-44B7-8BF7-F23AF15DCFCA

查看

22.4517216666667，114.171853333333

2. [单选题] 根据Emma_Mobile.zip, 2024年8月30日下午两点后Emma共致电Clara多少次? (1分)

85

3. [单选题] 根据Emma和Clara的微信聊天记录,Clara失踪前曾告诉Emma会到哪里? (1分)

酒店

4. [填空题] 参考Emma_Mobile.zip, Emma的iPhone XR内微信应用程序的版本是多少? (2分)

8.0.50

5. [多选题] 参考Emma_Mobile.zip, Emma手机中下列哪个选项是正确的? (2分)

A.i0S版本为17.6.1
B.IME1为356414106484705
C.Apple ID Emma1761@gmail.com
D.手机曾经安装Metamask应用程式

A错

B对

C错

D对

BD

6. [填空题] 参考Emma_Mobile.zip,Emma 手机中 Apple ID 的注册电子邮箱是多少? (2分)

emmaemma.851231@gmail.com

7. [填空题] 参考Emma_Mobile.zip,在2024年,Emma 手机上曾记录的电话卡集成电路卡标识符 (ICCID) 是多少?

(答案格式:只需使用阿拉伯数字回答) (2分)

8985200000826445829

8. [填空题] 参考Emma_Mobile.zip,Emma 手机的蓝牙设备名称 "ELK-BLEDOM" 的通用唯一标识UUID

8D13F23C-E73C-6A98-AA4F-16C8D7A5F826

9. [单选题] 你发现了一些线索,Emma 看起来也很可疑,她似乎背负了大量债务｡

参考Emma_Mobile.zip,Emma 手机内Safari浏览记录中网页"https://racing.hkjc.com/"的网站标题是什么? (1分)

A.香港马会奖券有限公司
B.六合彩-Google搜索
C,快易钱我：网上贷款财务公可足不出户现金即日到手
D.赛马信息-香港赛马会

D

10. [单选题] 参考Emma_Mobile.zip,Emma向Clara透露什么原因令Emma欠下巨债? (1分)

A.投资孖展
B.虚拟货币失利
C.网上db
D.以上皆是

D

11. [单选题] 参考Emma_Mobile.zip,收债人要求Emma还款数量? (1分)

A.港币$786,990
B.港币$878,990
C.港币$786,980
D.港币$745,330

A

12. [单选题] 参考Emma_Mobile.zip,Emma发送了多少张.PNG图片给Clara,证明自己正被人追债? (2分)

A.6
B.7
C.8
D.9

7

13. [单选题] 参考Emma_Mobile.zip,Emma用来浏览虚拟货币的网址? (2分)

A.Google.com
B.Facebook.com
C.IntellaX.io
D.Yahoo.com

C

14. [单选题] 参考Emma_Mobile.zip的浏览器记录,有多少网址与bet365有关? (2分)

A.3
B.13
C.9
D.12

两个数据库里都有

A

15. [单选题] 你还发现了一些与不当使用他人加密钱包相关的痕迹｡

参考Emma_Mobile.zip,Emma用了哪些恢复短语(Recovery Phrase)进入David的虚拟货币账户? (2分)

A.stock,avocado,grab,clay
B.light,sadness,segment,ancient
C.toe,talk,elder,oil
D.以上皆是

D

16. [单选题] 参考Emma_Mobile.zip,Emma从David处窃取的虚拟货币的名称是什么？ (2分)

A.IDFC
B.ICAC
C.INIC
D.IFCC

消息记录

A

17. [单选题] 参考Emma_Mobile.zip,Clara偷拍的照片中,David的虚拟货币余额是多少? (2分)

A.3266378.99
B.1044749.22
C.5022915.66
D.7822468.44

5022915.66

18. [单选题] 参考Emma_Mobile.zip,Emma在偷窃David的虚拟货币前,Emma曾向Clara透露有什么事发生在Emma身上? (1分)

A.中彩票
B.欠债
C.升职
D.失业

B

19. [多选题] （你查看了Emma手机中的一些照片数字信息,以获取更多与失踪案件的信息）

Emma的iPhone XR中 "IMG_0008.HEIC" 的图像与相片名字为的"5005.JPG" 看似为同一张相片,在数码法理鉴证分析下,以下哪样描述是正确? (3分)

A.储存在不同的.db檔案里
B.有不同哈希值
C.MG0008.HEIC为原图，"5005.JPG"为并非原图
D.IMG0008.HEIC和名字"5005.JPG"是同一张相片

BC

20. [单选题] 参考Emma_Mobile.zip, Emma的iPhone XR中"IMG_0009.HEIC" 的图像显示拍摄参数怎样? (2分)

A.iPhone XR back camera 4.25mm f/1.8
B.iPhone XR back camera 4.25mm f/2.8
C.iPhone XR back camera 4.25mm f/2
D.iPhone XR back camera 4.25mm f/1.6

暴力搜索

4.25mm f

A

21. [多选题] 参考Emma_Mobile.zip, Emma的iPhone XR中相片文件IMG_0009.HEIC提供了什么电子证据信息? (3分)

A.比相片是由隔空投送(Airdrop)得来
B.比相片由iPhone XR拍摄
C.比相片的拍摄时间为2024-08-05 13：38：15(UTC+8)
D.此相片的拍摄时间为2024-08-06 08：30：52(UTC+8)

C

再加上

BC

22. [多选题] 参考Emma_Mobile.zip, Emma的iPhone XR内以下哪张照片是实况照片(Live Photos)? (2分)

A.IMG 0002.HEIC
B.IMG 0005.HEIC
C.IMG 0004.HEIC
D.IMG 0006.HEIC

live photo就是基于HEIC，所以2和4是采用HEIC格式进行保存的

AC

23. [单选题] 参考Emma_Mobile.zip,手机里有多少张照片是用手机后置摄像镜头拍摄的? (2分)

A.5
B.6
C.7
D.8

和之前镜头有关联

搜 f/1.8

D

24. [单选题] 参考Emma_Mobile.zip的通讯记录,MesLocalID 224是什么类的文件? (3分)

A.相片
B.影片
C.文件
D.报表

搜结构

定位224

A

25. [单选题] 依据你在Emma的手机上找到的照片,你告诉调查员Clara最后的位置是在湾仔的一家酒店｡根据你提供的信息,调查员发现Clara在酒店去世,Clara的手机在她的附近, 你对Clara的手机进行取证｡请根据取证结果回答以下问题｡

参考Clara_Smartphone.bin,Clara手机的Android操作系统版本是? (1分)

A.8.0.0
B.9.0.0
C.8.1.0
D.7.0.0

A

26. [填空题] 参考Clara_Smartphone.bin,Clara手机的版本号(Build Number)是什么? (1分)

OPR1.170623.026

*27. [填空题] 参考Clara_Smartphone.bin,Clara手机的IMEI号码是多少?

(答案格式:只填写阿拉伯数字部分) (1分)

在淘宝的数据文件中

351537092934716

28. [填空题] 参考Clara_Smartphone.bin,Emma的微信账号是? (2分)

wxid_t7zgo57j9m0j22

29. [单选题] 参考Clara_Smartphone.bin,Clara的第一封电子邮件记录的日期? (2分)

A.2024-07-10
B.2024-07-18
C.2024-07-23
D.2024-07-30

上手机大师

A

30. [单选题] 参考Clara_Smartphone.bin,在通讯录中"David"的联系人信息还包括什么? (2分)

A.出生日期
B.LinkedIn
C.电子邮件
D.地址

上手机大师

B

31. [单选题] 参考Clara_Smartphone.bin,David和Clara之间通话次数? (2分)

8

32. [单选题] 参考Clara_Smartphone.bin,Clara在Chrome浏览器搜索中哪天使用了关键词"popmart 炒价"? (2分)

A.2024-08-10
B.2024-08-15
C.2024-08-20
D.2024-08-25

B

33. [单选题] 参考Clara_Smartphone.bin,2024年7月30日共收到多少封电子邮件? (2分)

4

34. [填空题] 参考Clara_Smartphone.bin,Clara的Gmail账号是? (2分)

clara.ccc0807@gmail.com

35. [单选题] 参考Clara_Smartphone.bin,Clara的手机安装了哪个版本的WhatsApp? (2分)

A.241676000
B.241676001
C.241676004
D.241676007

C

36. [填空题] 参考Clara_Smartphone.bin,Clara的WhatsApp账号?

(答案格式:只需填写11位阿拉伯数字) (2分)

85263791704

37. [单选题] 参考Clara_Smartphone.bin,Clara的手机在什么时候安装了小红书APP? (2分)

2024-07-16 16:50:23

38. [单选题] 参考Clara_Smartphone.bin,2024年8月21日David的虚拟貨幣钱包里有多少IDFC? (3分)

A

39. [填空题] 参考Clara_Smartphone.bin,Clara注册的微信账号验证码是多少? (2分)

945025

40. [填空题] 参考Clara_Smartphone.bin,David为庆祝结婚周年纪念预订了哪家酒店?

提示:请使用大写英文字母作答, 例如:HONG KONG HOTEL) (3分)

41. [填空题] 参考Clara_Smartphone.bin,哪个数据库文件存储了微信消息?

(答案格式:只需使用全部大写回答, 例如:ABC.DB) (3分)

ENMICROMSG.DB

42. [填空题] 参考Clara_Smartphone.bin,哪个数据库文件(.db)存储了WhatsApp訊息? (3分)

msgstore.db

43. [单选题] 参考Clara_Smartphone.bin,Clara在2024年8月29日拍了多少张照片? (2分)

3

44. [单选题] 参考Clara_Smartphone.bin,Emma在2024年8月6日通过微信发送了多少张照片给Clara? (2分)

0

45. [填空题] 参考Clara_Smartphone.bin,照片20240829_144717.jpg的拍摄相机型号是什么? (2分)

exif

LG-H930

46. [单选题] 参考Clara_Smartphone.bin,20240821_121435.jpg的储存路径是什么? (2分)

/media/0/DCIM/Camera

47. [填空题] 参考Clara_Smartphone.bin,2024年8月20日有多少张截图? (2分)

screenshot

4

48. [单选题] 参考Clara_Smartphone.bin,2024年8月22日被删除微信消息的类型是? (3分)

结合与Emma的聊天记录，猜测删除了图片，那个助记词的图

图片

49. [填空题] 你在查看Clara的手机镜像后,确定Clara是David的妻子,调查员通过查询酒店预订记录确认了这一点｡他们现在定位David的住所,以进行进一步调查｡ 你首先分析David的手机｡

参考David_Smartphone_1.zip, 根据Contents.db,David 手机接收了通讯软件"Telegram"的验证短信,该验证码是多少? (3分)

84298

50. [填空题] 参考David_Smartphone_1.zip, David 把手机设置为个人热点,请找出个人热点的密码｡ (3分)

wdfj5674

51. [判断题] 参考David_Smartphone_1.zip, David 手机曾连接名为"MTR Free Wi-Fi" 的Wi-Fi ｡ (2分)

对

52. [填空题] 参考David_Smartphone_1.zip, 根据com.tencent.mm_preferences.xml,David 的手机最后登录微信的微信 ID 是? (3分)

wxid_rni3m2o8ngxe22

53. [填空题] 参考David_Smartphone_1.zip, 请指出哪一张图片是于2024年8月28日利用屏幕截取的｡

(答案格式:ABC_123.jpg) (3分)

Screenshot_20240828-153836_Gmail.jpg

54. [填空题] 参考 David_Smartphone_1.zip,根据Contents.db,David 手机的型号(Model)?

(答案格式:大写英文字母和符号'-' 混合组成) (2分)

SM-G9500

55. [填空题] 参考 David_Smartphone_1.zip的Contents.db,David所使用的手机SIM卡的序号?

(答案格式:只需要用阿拉伯数目字回答) (1分)

8985200000827530728

56. [填空题] 参考 David_Smartphone_1.zip,David 手机安装了应用程序"MetaMask"｡根据persist-root中,"MetaMask"钱包内有多少个账号? (3分)

4

57. [单选题] 参考 David_Smartphone_1.zip,根据persist-root中,何时从应用程序"MetaMask"发送虚拟货币至以下地址: 0X10A4F01B80203591CCEE76081A4489AE1CD1281C (3分)

1723625933421

2024-08-14 16:58:53

58. [单选题] 参考 David_Smartphone_1.zip,David 曾利用手机应用程序"MetaMask"三次发送虚拟货币失败｡根据persist-root,发送虚拟货币失败的原因是什麼? (3分)

A.网络连接问题
B.应用程序权限被拒
C.接收地址错误
D.手续费不足

D

59. [单选题] 你根据易失性(Volatility Level)优先次序,进行内存取证分析David的笔记本电脑｡

参考RAM_Capture_David_Laptop.RAW,以下哪一个不是程序"firefox.exe"的PID? (2分)

60. [填空题] 参考RAM_Capture_David_Laptop.RAW,汇出PID:724的程序,其哈希值 (SHA-256) 是? (2分)

89cf04b53119d36654bc5e7eeb5d0829a84238ee03faa9a03948f5bf4be44583

61. [单选题] 参考RAM_Capture_David_Laptop.RAW,哪一个是执行PID:724程序的SID? (1分)

A.S-1-1-0
B.S-1-2-0
C.S-1-5-21-1103701427-1706751984-2965915307-1001
D.S-1-5-21-1103701427-1706751984-2965915307-513

A

62. [填空题] 参考RAM_Capture_David_Laptop.RAW,账户David Tenth的NT LAN Manager的哈希值(NTLM Hash) ?

(答案格式:只需使用全部小写及阿拉伯数字回答) (1分)

e14a21fefc5dd81275bb87228586cffc

63. [单选题] 在取证中,你发现D盘被BitLocker 加密｡U盘上可能有一些线索,你对U盘进行了取证｡参考David_USB_8GB.e01,David 的U盘文件系统的格式? (2分)

A.NTFS
B.FAT32
C.exFAT
D.ReFS

NFTS

64. [单选题] 参考David_USB_8GB.e01,David 的U盘文件系统中,每簇(Cluster)定义了多少字节(Byte)? (2分)

512

65. [单选题] 参考David_USB_8GB.e01,David 的U盘中有多少个已删除的文件? (2分)

1

66. [单选题] 承上题,参考David_USB_8GB.e01,已删除的文件的运行列表(Run List)的运行偏移量(Run Offset)数量是多少? (2分)

在NTFS中，文件的物理存储位置确实是由一系列称为“运行列表”（Run List）的数据结构来描述的。每个运行列表项（Run）包含了三个关键信息：运行偏移量（Run Offset）、运行长度（Run Length）以及起始簇号（Starting Cluster Number）。下面是对这三个部分更详细的解释：

运行偏移量 (Run Offset)

运行偏移量表示从上一个运行的最后一个簇到当前运行的第一个簇之间跨越的簇数量。对于运行列表中的第一个运行来说，这个偏移量是从文件的分配起始点（通常是文件的逻辑起始簇）到该运行的第一个簇之间的距离。这个值可以是正数也可以是负数，正数表示向后移动，负数表示向前移动。

运行长度 (Run Length)

运行长度指定了当前运行中包含的连续簇的数量。这个值决定了在这个特定运行中，有多少个簇是连续存储的。它是确定文件数据在磁盘上占用空间大小的一个重要参数。

起始簇号 (Starting Cluster Number)

起始簇号指明了当前运行中第一个簇在整个文件系统中的编号。这个编号是从文件系统的簇0开始计数的。通过这个编号，文件系统可以准确地定位到文件数据在磁盘上的物理位置。

查看文件记录

找到80属性数据，80属性头部长度为0x40，后为DataRun数据

67. [单选题] 承上题,参考David_USB_8GB.e01,已删除文件的第一个运行的十六进制值(低端字节序 Little-Endian)是多少? (3分)

A.0x4C3FODB522
B.0x4C3F0D22B5
C.0x224C3FODB5
D.0x3F4CODB522

B

68. [填空题] 承上题,参考David_USB_8GB.e01,已删除的文件的实际大小(单位:字节 Byte)是多少?

答案格式:只需使用阿拉伯数字回答 (2分)

1796178

69. [填空题] 承上题,参考David_USB_8GB.e01,已删除文件的第一个运行偏移量(Run Offset)是多少?

(答案格式:只需使用阿拉伯数字回答) (2分)

22代表：2字节Run Length，2字节Run Offset

0x4C3F

19519

70. [单选题] 承上题,参考David_USB_8GB.e01,已删除的文件的第一个运行的簇运行长度(Run Length)是多少? (2分)

0x0DB5

3509

71. [单选题] 承上题,参考David_USB_8GB.e01,已删除文件的图像文件像素值(Pixel)是多少? (2分)

3000×4000

72. [单选题] 承上题,参考David_USB_8GB.e01,已删除图像文件是用哪个品牌和型号的手机拍摄? (2分)

SM-A4260

73. [单选题] 在 U盘中,你还发现了一个exe文件,但它被锁定,可能需要进行反编译以便进一步检查｡

参考David_USB_8GB.e01,使用x64dbg的字符串搜索(String Search)功能,在Bitlocker.exe中查找哪个字符串最有可能与显示的登录状态有关? (1分)

Login Successful!

74. [单选题] 承上題,当找到控制登录成功的逻辑代码时,如何修改汇编代码(Assembly Code)来绕过检查,达到任意输入，都成功登录的效果? (2分)

A.修改CMP指令，使其总是比较相等
B.修改CMP指令後的跳转指令JNE為nop,使跳转指令失效
C.修改MOV指令，使其移动错误的数据
D.修改TEST指令後的跳转指令JNE為nop,使跳转指令失效

在IDA中查找” Login Successful!”字符串定位引用位置，通过分析逻辑可以看到

D

75. [填空题] 参考David_USB_8GB.e01,Bitlocker.exe的正确用户登录名称是? (1分)

通过上一题定位到判断成功失败的位置

v2 = String;
v3 = "david1337" - String;
while ( 1 )
{
  v4 = *v2;
  if ( *v2 != v2[v3] )
    break;
  ++v2;
  if ( !v4 )
  {
    v5 = 0;
    goto LABEL_6;
  }
}
v5 = v4 < (unsigned __int8)v2[v3] ? -1 : 1;
LABEL_6:
if ( v5 )
  goto LABEL_18;

• 比较从窗口获取的用户名 String 和硬编码的用户名 "david1337"。
• 如果不匹配，跳转到 LABEL_18。

david1337

76. [填空题] 参考David_USB_8GB.e01,Bitlocker.exe的正确登录密码是? (2分)

v6 = v27;
v7 = "1337david" - v27;
while ( 1 )
{
  v8 = *v6;
  if ( *v6 != v6[v7] )
    break;
  ++v6;
  if ( !v8 )
  {
    v9 = 0;
    goto LABEL_12;
  }
}
v9 = v8 < (unsigned __int8)v6[v7] ? -1 : 1;
LABEL_12:
if ( v9 )
{
LABEL_18:
  SetWindowTextA(qword_140008768, "Invalid username or password.");
  MessageBoxA(0i64, "Incorrect Credentials!", "Login Failed!", 0x30u);
}
else
{
  SetWindowTextA(qword_140008768, "Login Successful!");
  if ( !byte_14000808C )
    MessageBoxA(
      0i64,
      "Great! You have finished the first step. Keep going to find the bitlocker key.",
      "login successful",
      0);
  if ( byte_14000808C )
  {
    sub_1400022A0(v24, v23, v22);
    v10 = (const CHAR *)sub_1400029E0(v24);
    MessageBoxA(0i64, v10, "The Bitlocker Key", 0);
    sub_140002B40(v24);
  }
}

• 比较从窗口获取的密码 v27 和硬编码的密码 "1337david"。
• 如果不匹配，显示错误消息并设置窗口文本为 "Invalid username or password."。
• 如果匹配，设置窗口文本为 "Login Successful!" 并根据某些条件显示不同的消息框。

1337david

77. [单选题] 参考David_USB_8GB.e01,当Bitlocker.exe程序尝试显示登录结果（成功或失败）时,使用了哪一种途径来决定显示的消息? (2分)

A.通过检查某个寄存器的值来决定跳转到不同的汇编代码区段
B.通过调用硬编码的内存地址来显示特定的消息框
C.通过堆浅中的返回地址来确定要显示的消息
D.通过逐位操作来修改显示消息的字符串内容

显示成功或者失败是通过test eax,eax决定跳转到执行显示信息的代码中，结合选项中的答案，A更符合

A

78. [单选题] 参考David_USB_8GB.e01,决定能否解密 Bitlocker Key 的字节的内存偏移量(Memory Offset)（相对于基址"bitlocker.exe"）是什么? (3分)

A.0xA0B2
B.0x808C
C.0xA0C8
D.0xA0E0

B

79. [单选题] 参考David_USB_8GB.e01,决定能否解密 Bitlocker Key 的内存偏移量(Memory Offset)后,应该如何利用它来进行解密? (2分)

A.将该偏移量处的值改为1(true),以启用解密过程
B.将该偏移量处的值改为0(false),以重新初始化加密过程
C.将该偏移量的内容保存到档中以作解密过程中的key
D.清空该偏移量的内存并强制退出程序

A

80. [单选题] 参考David_USB_8GB.e01,解密后的 Bitlocker Key 是? (3分)

A.299255-418649-198198-616891-099682-482306-642609-483527
B.745823-918273-564738-290183-475920-182736-594827-162839
C.539823-847291-094857-194756-382910-472918-482937-120984
D.829384-192837-475910-298374-019283-847362-564738-293847

图片里就有

A

81. [单选题] 到目前为止,你已经获得了 BitLocker 密钥以解密 D盤,通过对David 笔记本电脑D盤的分析,并发现了一些重要信息｡你现在将继续调查未加密的 C盤｡ 参考David_Laptop_64GB.e01,分区格式(Partition)是? (2分)

A.MBR
B.GPT
C.RAW

思路1

仿真

David19830215

本机访问查看是GPT

思路2：

GPT

82. [单选题] 参考David_Laptop_64GB.e01,該e01 成功提取的日期和时间是? (2分)

A.2024-09-05 15:55:28
B.2024-09-02 11:52:31
C.2024-09-03 14:37:28
D.2024-09-03 12:16:49

E01是存储了镜像的信息的

没有

83. [填空题] 参考David_Laptop_64GB.e01,最后登录的用户是谁?

(答案格式:大写英文字母,小写英文字母和空格混合组成,例如:Tom Hanks) (2分)

David Tenth

84. [单选题] 参考David_Laptop_64GB.e01,用户配置的时区是? (2分)

A.Australian Central Time
B.China Standard Time
C.New Zealand Standard Time
D.Nepal Time

B

85. [单选题] 参考David_Laptop_64GB.e01,David的笔记本电脑曾經连接了多少个设备? (2分)

3

86. [填空题] 参考David_Laptop_64GB.e01,David的笔记本电脑上的Firefox浏览器安装了哪些扩展工具?

(答案格式:请以大寫英文字母作答，无须留空白位) (2分)

METAMASK

87. [单选题] 参考David_Laptop_64GB.e01,根据用户配置文件中的.lnk文件,最后访问的文件名称是? (2分)

A.下載
B.export-token
C.RAM_Capture_DaviD
D.本機磁碟(E) (2）

A

88. [单选题] 参考David_Laptop_64GB.e01,David的笔记本电脑曾經连接了多少个不同的Wi-Fi? (2分)

1

89. [填空题] 承上题,参考David_Laptop_64GB.e01,该Wi-Fi网络的名称(SSID)是?

(答案格式:大写英文字母和小写英文字母混合组成) (2分)

ErrorError5G

90. [单选题] 参考David_Laptop_64GB.e01,该电脑的Windows操作系统的安装日期是什么? (2分)

A.2024-07-31 09:55:37 UTC+8
B.2024-08-01 13:10:15 UTC+8
C.2024-07-31 10:18:26 UTC+8
D.2024-08-01 14:43:55 UTC+8

C

91. [单选题] 下列那个网站能够找到区块链:Binance Smart Chain的交易记录? (1分)

通过对David 笔记本电脑的电子数据取证和痕迹分析,你了解到David是一名 cryptocurrency 专家

(假設虚拟貨幣International Digital Forensics Coin (IDFC)面值是每1個IDFC等如1-HKD IDFC Token Address: 0x56E7A6dd8aA1c78ba77944C94c43054978E89b7b區塊鏈: Binance Smart Chain)

A.binance.com
B.bscscan.com
C.etherscan.io
D.blockchain.com

B

92. [单选题] 参考Emma_Mobile.zip中的微信聊天记录分析,Emma用什么方法盜取David的IDFC? (1分)

A.Emma经Clara盗取了David虚拟货币钱包的私匙(Private Key)
B.Emma经Clara盗取了David虚拟货币钱包的公是匙(Public Key)
C.Emma经Clara盗取了David)虚拟货币钱包的回复匙(Recovery seed
D.Emma盗取了David电话

聊天记录

C

93. [单选题] 根据David,Emma及Clara的微信对话,David在什么日期时间发现IDFC被盗? (1分)

A.2024-8-22 18:06
B.2024-8-28 09:14
C.2024-8-28 09:57
D.2024-8-29 15:52

聊天记录

B

94.[单选题] 参考Emma_Mobile.zip中的微信对话分析,Emma为什么盜取David的IDFC? (1分)

A.Emma为了买名贵手表
B.Emma为了赌钱
C.Emma为了炒卖虚拟货币
D.Emma为了还财务公司的欠债

聊天记录

D

95. [单选题] 参考David_Laptop_64GB.e01及David,Emma及Clara的微信对话,分析IDFC的交易记录,Emma盜取了David虚拟货币钱包内哪个地址的IDFC? (2分)

A.0x10a4f01b80203591ccee76081a4489ae1cd1281c
B.0x152c90200be61a540875f2a752c328bd19dbfb87
C.0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220
D.0x70544880875fe907cee383873ca58da23378caa5

助记词恢复

stock avocado grab clay light sadness segment ancient toe talk elder oil

没用

在BitLocker加密磁盘中找到的导出的交易记录

判断偷的时间：

发现被偷的时间：

2024-08-26 13:58:24 - 2024-08-28 09:12:34

判断交易：

0x10a4f01b80203591ccee76081a4489ae1cd1281c

A

96. [单选题] 根据David,Emma及Clara的微信对话及IDFC的交易记录作分析,Emma总共盗取了David多少IDFC? (2分)

A.90,000 IDFC
B.170,000 IDFC
C.9,300,000 IDFC
D.9,390,000 IDFC

A

97. [多选题] 根据Emma及Clara的微信对话,下列哪些地址是由相同的恢复短语(Recovery Seed)所生成? (3分)

A.0x10a4f01b80203591ccee76081a4489ae1cd1281c
B.0x152c90200be61a540875f2a752c328bd19dbfb87
C.0x59eb2c55eefdd4d8af2886c9fd8fc6f465c3e220
D.0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

stock avocado grab clay light sadness segment ancient toe talk elder oil

生成多个地址是因为你使用了 分层确定性（HD）钱包 的功能（基于 BIP32/BIP44 标准）。HD 钱包允许从一个主密钥（种子）推导出多条分支路径，每条路径可以生成一个唯一的地址。你提供的路径格式 m/44'/60'/0'/0/n 表示生成以太坊（BIP44中60代表ETH）的账户，n 表示具体的地址索引。

这样做的目的是：

1. 隐私保护：每次交易使用不同地址，避免关联交易。
2. 扩展性：通过分层路径管理多个账户。
3. 安全性：即使部分私钥泄露，其他地址不会受影响。

分层确定性（HD）钱包是一种基于 BIP32/BIP44 标准的钱包，它通过一个主密钥（种子）可以生成无限多个子密钥和地址。这些子密钥之间是有层级结构的，但所有子密钥都可以从主密钥推导，因此被称为“分层确定性”。

ABC

98. [单选题] 根据IDFC的交易记录作分析,总共有多少次IDFC交易流入地址0x10a4f01b80203591ccee76081a4489ae1cd1281c? (1分)

A.0
B.1
C.2
D.3

C

99. [单选题] 参考David_Laptop_64GB.e01,在David计算机的D盘内有一张图片,根据图片上的信息,找出David另一个虚拟货币钱包的恢复短语(2)(Recovery Seed),下列哪一个单词是在此恢复短语(2)(Recovery Seed)内? (3分)

A.fall
B.bread
C.brain
D.dove

只能看到两个单词infant和fragile，在内存镜像中暴力搜索一下里面的东西可以发现其他的

infant fragile garlic bracket stove blade stick dove aerobic spin term educate

infant fragile garlic bracket stove blade stick dove aerobic spin term educate

100. [多选题] 承上题,参考David_Laptop_64GB.e01,在IDFC的交易记录中,下列哪些地址由上述恢复短语(2)(Recovery Seed)所生成? (2分)

A.0xb2e3dbea311511ec5bda3e85e061f15366f888a6
B.0xe90ad3f80e39e83b533eef3ed23c641ec51089c6
C.0x90f73497E4446f6Cf9881213C32D6af66d799fE5
D.0x63a8ba1df0404ee41f7c6af8efd2f54006f32042

CD