第五届中科实数杯

检材解压密码：

欢迎参加第五届中科实数杯

简要案情

山西省公安机关接到线报，有一伙人长期从事盗墓和贩售文物活动，形成了一条龙的犯罪链条。经过数月侦察，警方掌握了该团伙的核心成员信息，并成功在一次交易中将多名嫌疑人抓获，现场扣押了大量文物及嫌疑人手机，并在突击审讯后在其老巢起获了多台笔记本电脑及电子存储设备。现需要对这些设备进行全面取证分析，以获得更多犯罪证据，彻底摧毁这一犯罪网络

检材清单

经山西省公安厅司法鉴定中心甄别及结合前期侦察、审讯。

涉案检材清单如下：

1、犯罪嫌疑人张老四的iphone手机备份一个

2、犯罪嫌疑人王胖子的安卓手机备份一个

3、犯罪窝点起获的windows笔记本电脑A镜像一个；

4、犯罪窝点起获的macbook笔记本电脑B镜像一个

5、犯罪窝点笔记本电脑A内存镜像一份；

6、后期归案的犯罪嫌疑人大金牙工作安卓手机备份一个；

7、犯罪窝点的u盘镜像一个

8、后期归案的犯罪嫌疑人眼镜仔工作iphone手机备份一个

铛铛梳理

2169318：眼睛仔
2169316：张老四
2169317：王胖子

题目

1、检材1-的手机序列号是？（1分）

image-20250503104013830

C39QTS9JGRX5

2、检材1-的备份时间是？（格式：yyyy-mm-dd HH:mm:ss）（2分）

image-20250503105254116

2024-07-11 02:09:02

3、检材1-最近使用的APP是？（应用名称）（1分）

image-20250503222739177

全能工具

4、检材2-即时聊天工具有哪些？（2分）

image-20250503110717471

5、检材2-盗墓团伙之间的通讯APP版本是多少？（格式：x.x.x）（1分）

image-20250503110955882

image-20250503111009654

3.0.36

6、检材2-盗墓团伙抱怨的工具有哪些（2分）

之前的铲子不好使，应该换把铲子，绳子也太细了，电筒也得换，一手拿着电筒怎么干活？还有，之前的指南针坏了。

铲子，绳子，电筒，指南针

7、检材2-盗墓团伙之间的通讯APP证书指纹SHA256值是多少？（格式：xx:xx...或xxxx...）（5分）

image-20250503111146940

f6605feeee5844b40d457652f0fe8a54ae237f745ff82131bafd196cfa3e17af

8、检材3-硬盘的MD5值（1分）

01A2CDF623353043053ED37A7519265B

9、检材3-硬盘系统分区的起始位置（1分）

image-20250503222018892

10、检材3-系统的当前版本是多少（1分）

image-20250503130220773

Professional

11、检材3-Edge浏览器最后一次搜索过的关键词是什么（1分）

image-20250503130239466

狼眼手电

12、检材3-Edge浏览器最后一次访问过的与盗墓及文物有关的网站URL（1分）

image-20250503130256022

https://baijiahao.baidu.com/s?id=1599783184726705131

13、检材3-主用户的NT密码哈希值（2分）

Mimikatz

PsExec64.exe -i -s cmd.exe

mimikatz.exe


privilege::debug
lsadump::sam

运行结果：

Domain : DESKTOP-TE08BGN
SysKey : 91ab91bc7cbd7c0c8e95a69689de7cc4
Local SID : S-1-5-21-1586324922-3415330491-2961530197

SAMKey : 8927b15c30c14ffe991abf2b9447c1f2

RID  : 000001f4 (500)
User : Administrator

RID  : 000001f5 (501)
User : Guest

RID  : 000001f7 (503)
User : DefaultAccount

RID  : 000001f8 (504)
User : WDAGUtilityAccount
  Hash NTLM: 5431ad4ee2ad879fe7b347d590b5314e

Supplemental Credentials:
* Primary:NTLM-Strong-NTOWF *
    Random Value : 5ca9c83ef91b22abaa4ae9bfc2eb0a69

* Primary:Kerberos-Newer-Keys *
    Default Salt : WDAGUtilityAccount
    Default Iterations : 4096
    Credentials
      aes256_hmac       (4096) : 768fbae98829264fd8ebbb303706ed32e385365a4ccbd95fbd09577009e690e5
      aes128_hmac       (4096) : 0a9152f05df6bf0eafd58a2078a19815
      des_cbc_md5       (4096) : 435bab8c2a689de5

* Packages *
    NTLM-Strong-NTOWF

* Primary:Kerberos *
    Default Salt : WDAGUtilityAccount
    Credentials
      des_cbc_md5       : 435bab8c2a689de5


RID  : 000003e8 (1000)
User : jacky
  Hash NTLM: a0bad269b8d49ccf481513f9875be4c7

Supplemental Credentials:
* Primary:NTLM-Strong-NTOWF *
    Random Value : 81411011623afb8e2b0c211780eacc6e

* Primary:Kerberos-Newer-Keys *
    Default Salt : WIN-SRURMELO7P3jacky
    Default Iterations : 4096
    Credentials
      aes256_hmac       (4096) : 5afa395b034d7d6d69127984f5c99525e308fbd567cbfb2b0f3dd532b8a4f090
      aes128_hmac       (4096) : d573b2e416c9ea449d88761936b1c6d0
      des_cbc_md5       (4096) : bc80f2d6f791d004

* Packages *
    NTLM-Strong-NTOWF

* Primary:Kerberos *
    Default Salt : WIN-SRURMELO7P3jacky
    Credentials
      des_cbc_md5       : bc80f2d6f791d004

思路2

image-20250503222138188

image-20250503222159565

a0bad269b8d49ccf481513f9875be4c7

14、检材4-Mac OS的版本号（格式：x.x.x）（1分）

image-20250503113114597

12.7.5

15、检材4-加密货币软件的名字（1分）

image-20250503123930959

OKX 2.2.9

16、检材4-Safari浏览器最后一次搜索过的关键词是什么（1分）

image-20250503113334659

洛阳铲

17、检材4-MacBook pro最后一次访问的文件名（2分）

image-20250503113320404

不过火眼没有标注先后次序, 在不知道 MacOS 在记录文件中的保存顺序的情况下, 只能根据文件的访问时间来判断

提示.doc

18、检材4-Edge浏览器最后一次访问过的与盗墓及文物有关的网站（2分）

image-20250503115016206

file:///C:/Users/realdata/Desktop/文物流转站聊天室.html

19、盗墓团伙最近一次盗墓日期是？（格式：yyyymmdd）（3分）

image-20250503204245181

20240712

20、盗墓团伙最近一次盗的墓名是？（3分）

image-20250503204812136

王墓坡

21、大金牙的手机号码是什么？（5分）

image-20250503221034358

13913913916

22、检材7-虚拟货币钱包的地址（5分）

mac镜像：

image-20250503113638058

image-20250503120502527

1BvBMSEYstWetqTFn5Au4m4GFg7xJaNVN2

23、检材7-虚拟货币助记词（5分）

image-20250503120556941

love can play games tomorrow money

24、检材3-系统登陆密码（5分）

image-20250503204918301

20242024

25、该案件中，文物贩子的买家有谁？（给出对应账号名）（3分）

image-20250503212644411

image-20250503212636273

David，James

26、该案件中，文物贩子与买家的通讯APP的包名是？（3分）

org.TG.messenger.web

*备份爆破

image-20250503213816727

image-20250503215339798

27、大金牙的真实姓名可能是？（3分）

从手机号搜

image-20250503221242627

冀璐晟

28、盗墓团伙要求用什么的虚拟货币交易？（字母简称，例：BTC、ETH）（3分）

image-20250503215413098

MATIC

29、该案件中，谁是文物贩子？（3分）

image-20250503212511254

大金牙

30、盗墓团伙最近一次交易的文物有几个？（5分）

image-20250503215556911

image-20250503215548837

image-20250503215534390

image-20250503222426810

5

31、盗墓团伙最近两次的交易金额是多少？（例：250 BTC）（3分）

image-20250503215639801

image-20250503215647542

18.8W

32、该案件中，文物贩子卖出的文物名为“SX-WW-202407001”价格是多少？（5分）

image-20250503220017222

image-20250503220101127

stegais，本地安装一下：

image-20250503220949877

68600ETH

*地点有关

image-20250503205035531

盗墓地点：

{"fileSize":195877,"bigImageDisplayName":"7.jpg","isOriginalPic":"0","remotePath":"http:\/\/s1.im-dangdang.com\/online\/20240705\/F8F0D21E7E439474221A45831758EDE9.jpg","type":3,"uploadStatus":1,"compressUrl":"http:\/\/s1.im-dangdang.com\/online\/20240705\/F8F0D21E7E439474221A45831758EDE9.jpg","height":516,"width":800,"downloadStatus":1,"thumbnailDisplayName":"7.jpg"}

集合地点：

{"fileSize":155461,"bigImageDisplayName":"11.jpg","isOriginalPic":"0","remotePath":"http:\/\/s1.im-dangdang.com\/online\/20240705\/710F904E39D566FA7B3B9E085650FF09.jpg","type":3,"uploadStatus":1,"compressUrl":"http:\/\/s1.im-dangdang.com\/online\/20240705\/710F904E39D566FA7B3B9E085650FF09.jpg","height":547,"width":820,"downloadStatus":1,"thumbnailDisplayName":"11.jpg"}

离开地点

{"fileSize":77436,"bigImageDisplayName":"13.jpg","isOriginalPic":"0","remotePath":"http:\/\/s1.im-dangdang.com\/online\/20240705\/FF7308D5833F75894E7B2984235B769A.jpg","type":3,"uploadStatus":1,"compressUrl":"http:\/\/s1.im-dangdang.com\/online\/20240705\/FF7308D5833F75894E7B2984235B769A.jpg","height":339,"width":600,"downloadStatus":1,"thumbnailDisplayName":"13.jpg"}

同时：

image-20250503205130801

根据图片的大小判断：
image-20250503205258760

开始集合地点：太原站

分开集合地点：汽车站

33、盗墓地点的GPS经纬度（格式：经度xx,xx,xx，纬度xx,xx,xx)（1分）

image-20250503205959213

34、盗墓前集合地的GPS经纬度（格式：经度xx,xx,xx，纬度xx,xx,xx)（1分）

image-20250503210036542

35、盗墓后集合地的GPS经纬度（格式：经度xx,xx,xx，纬度xx,xx,xx)（1分）

image-20250503210105019

36、检材6-中最近一次呼入的号码是？（1分）

image-20250503123445479

不对

image-20250503222606355

9528207

37、检材6-浏览器第一次搜索的内容是？（1分）

image-20250503123526996

隐写工具

38、检材6-手机所使用的FQAPP是？（1分）

image-20250503123727192

***

39、检材6-FQAPP所使用的订阅地址是？（1分）

https://miaomiao.xn--7rs48z0nlr6hc8cqz4a.com/api/v1/client/subscribe?token=1357e1cbda597141d15ae689b3d470d7

40、检材6-手机上安装了哪些隐写工具？（1分）

image-20250503220129585

image-20250503210215766

image-20250503210236080

Steganography，stegais

41、检材8-使用的苹果账号是？（1分）

image-20250503210357046

rdmf_top@163.com

42、检材8-系统版本是？（x.x.x）（1分）

image-20250503124605888

17.5.1

43、检材8-使用的WiFi网络名为“大兄弟的网络”的MAC地址是？（例：xx:xx...）（2分）

image-20250503203142352

		<dict>
			<key>ShareMode</key>
			<integer>3</integer>
			<key>WiFiManagerKnownNetworksEventType</key>
			<integer>3</integer>
			<key>UserRole</key>
			<integer>1</integer>
			<key>lastUpdated</key>
			<date>2024-07-01T02:37:13Z</date>
			<key>addedAt</key>
			<date>2024-07-01T02:37:13Z</date>
			<key>BSSID</key>
			<string>5e:37:7d:2a:47:5e</string>
			<key>AP_MODE</key>
			<integer>2</integer>
			<key>SSID</key>
			<data>
			5aSn5YWE5byf55qE572R57uc
			</data>
			<key>UserDirected</key>
			<false/>
			<key>RSN_IE</key>
			<dict>
				<key>IE_KEY_RSN_MCIPHER</key>
				<integer>4</integer>
				<key>IE_KEY_RSN_AUTHSELS</key>
				<array>
					<integer>2</integer>
				</array>
				<key>IE_KEY_RSN_CAPS</key>
				<dict>
					<key>GTKSA_REPLAY_COUNTERS</key>
					<integer>1</integer>
					<key>MFP_REQUIRED</key>
					<false/>
					<key>RSN_CAPABILITIES</key>
					<integer>8</integer>
					<key>PRE_AUTH</key>
					<false/>
					<key>PTKSA_REPLAY_COUNTERS</key>
					<integer>4</integer>
					<key>MFP_CAPABLE</key>
					<false/>
					<key>NO_PAIRWISE</key>
					<false/>
				</dict>
				<key>IE_KEY_RSN_VERSION</key>
				<integer>1</integer>
				<key>IE_KEY_RSN_UCIPHERS</key>
				<array>
					<integer>4</integer>
				</array>
			</dict>
			<key>enabled</key>
			<true/>
			<key>SaveDataMode</key>
			<integer>2</integer>
			<key>WiFiNetworkPasswordModificationDate</key>
			<date>2022-12-21T06:45:35Z</date>
			<key>SSID_STR</key>
			<string>大兄弟的网络</string>
		</dict>

5e:37:7d:2a:47:5e

44、检材8-手机IMEI是？（1分）

image-20250503124640873

357272092128408

45、检材3-BitLocker恢复密钥（5分）

image-20250503125533516

010461-617507-553498-499752-253286-356334-124773-180169

posted @ 2026-06-14 00:23  Cava1i  阅读(27)  评论(0)    收藏  举报
← → ↓ ↑