2025美亚杯个人赛电子取证技术要点解析<\/h1>

赛事概述<\/h2>
2025美亚杯个人赛是一项电子数据取证竞赛，参赛者需要通过分析提供的检材（包括智能手机镜像、USB设备镜像等）来解答一系列取证相关问题。本教学文档将详细解析比赛中的关键技术点和解题思路。<\/p>

智能手机取证分析<\/h2>

基础信息识别<\/h3>

操作系统识别<\/strong><\/p>

方法：查看图片EXIF信息或系统配置文件<\/li>
正确答案：iOS 17.1.1<\/li> <\/ul>
设备标识信息<\/strong><\/p>

IMEI号码数量：1个<\/li>
正确IMEI：357328098205226<\/li>
最后使用的SIM卡ICCID：89852122206020998419<\/li>
Apple ID：whoishogan@gmail.com（注意大小写和符号准确性）<\/li> <\/ul>
网络连接信息<\/strong><\/p>

蓝牙地址：C0:9A:D0:DA:B9:18（格式必须为xx:xx:xx:xx:xx:xx）<\/li>
个人热点名称：iPhone（保持原文大小写和格式）<\/li>
未连接过的SSID：Hongn Home<\/li> <\/ul>
无线网络分析<\/h3>
Wi-Fi连接记录<\/strong><\/p>

首次连接"CMHK"网络时间：2025-05-10 09:59:32（GMT+8）<\/li>
时间格式必须严格遵守：yyyy-MM-dd HH:mm:ss<\/li> <\/ul>
安装的通讯软件分析<\/strong><\/p>

已安装软件：WhatsApp、WeChat、WhatsApp Business<\/li>
未安装软件：QQ<\/li>
正确答案：B（只有i, ii和iii）<\/li> <\/ul>
软件版本信息<\/strong><\/p>

WhatsApp版本：731647702.0（保持原文格式）<\/li> <\/ul>
文件传输分析<\/h3>
文件传输软件<\/strong><\/p>

安装的传输软件：

com.apple.Sharing.AirDropUI<\/li>
com.lenovo.anyshare<\/li>
com.estmob.paprika<\/li> <\/ul> <\/li>
实际使用的传输软件：com.estmob.paprika<\/li> <\/ul>
传输详情<\/strong><\/p>

设备信息：

装置名称：Apple iPhone11,6<\/li>
装置ID：3836403626142<\/li> <\/ul> <\/li>
传输方向：传送方<\/li>
传输文件类型：屏幕截图<\/li>
接收设备：Samsung SM-G930F<\/li> <\/ul>
浏览器和云存储分析<\/h3>
浏览器信息<\/strong><\/p>

未安装的浏览器：Chrome、Firefox、edge<\/li>
Safari书签数量：9个<\/li> <\/ul>
搜索记录分析<\/strong><\/p>

确认的搜索词：

非法处理尸体最高刑罚<\/li>
escape room hong kong<\/li>
cypto wallet<\/li> <\/ul> <\/li> <\/ul>
iCloud存储<\/strong><\/p>

储存到iCloud的图片数量：90张<\/li>
通过截图功能获取的图片数量：15张<\/li> <\/ul>
多媒体文件分析技术<\/h2>
文件溯源技术<\/h3>
GIF图片来源分析<\/strong><\/p>

分析方法：检查相邻的MOV视频文件元数据<\/li>
关键发现：使用010 Editor分析视频文件发现软件标识<\/li>
拍摄软件：infltr<\/li> <\/ul>
AirDrop传输分析<\/h3>
SQL查询技术<\/strong><\/p>
-- 统计AirDrop传输文件数量 <\/span><\/span><\/span><\/span>SELECT<\/span> COUNT<\/span>(*<\/span>) AS<\/span> AirDrop_Total <\/span><\/span>FROM<\/span> ZASSET AS<\/span> a <\/span><\/span>JOIN<\/span> ZADDITIONALASSETATTRIBUTES AS<\/span> aa <\/span><\/span> ON<\/span> a.ZADDITIONALATTRIBUTES =<\/span> aa.Z_PK <\/span><\/span>WHERE<\/span> aa.ZIMPORTEDBYBUNDLEIDENTIFIER =<\/span> 'com.apple.sharingd'<\/span>; <\/span><\/span> <\/span><\/span>-- 获取AirDrop传输文件详情 <\/span><\/span><\/span><\/span>SELECT<\/span> <\/span><\/span> a.ZFILENAME, <\/span><\/span> a.ZUNIFORMTYPEIDENTIFIER, <\/span><\/span> aa.ZIMPORTEDBYBUNDLEIDENTIFIER <\/span><\/span>FROM<\/span> ZASSET AS<\/span> a <\/span><\/span>JOIN<\/span> ZADDITIONALASSETATTRIBUTES AS<\/span> aa <\/span><\/span> ON<\/span> a.ZADDITIONALATTRIBUTES =<\/span> aa.Z_PK <\/span><\/span>WHERE<\/span> aa.ZIMPORTEDBYBUNDLEIDENTIFIER =<\/span> 'com.apple.sharingd'<\/span>; <\/span><\/span><\/code><\/pre>传输文件信息<\/strong><\/p> 传输的文件：IMG_0084.MOV<\/li> 开始传输时间：2025-04-20 16:46:30（GMT+8）<\/li> <\/ul> 元数据分析技术<\/h3> 文件关联分析<\/strong><\/p> 同时在Files和Photos应用中的多媒体文件识别<\/li> 原文件名称追溯：5005.JPG → IMG_0079.JPG<\/li> 原文件创建时间：2025-04-16 16:14:35<\/li> <\/ul> 拍摄时间线分析<\/strong><\/p> IMG_0014.MOV与IMG_0016.MOV之间分析<\/li> 关键发现：存在IMG_0015.MOV但未储存到相册<\/li> 正确答案：有拍摄，但没有储存<\/li> <\/ul> WhatsApp取证分析<\/h2> 群组信息提取<\/h3> 群组管理结构<\/strong><\/p> 群组ID格式识别：120363417464187135@g.us<\/li> 管理员识别：85254974406@s.whatsapp.net等<\/li> <\/ul> 社群信息<\/strong><\/p> 社群名称：We are 3<\/li> 投票活动统计：总共3个投票活动<\/li> 参与投票：在2个活动中作出了投票<\/li> <\/ul> 犯罪活动分析<\/h3> 群组对话分析<\/strong><\/p> 目标群组：IQ COIN 💰💰💰💰💰<\/li> 犯罪类型判断：抢劫<\/li> 群组建立者WhatsApp ID：85254974406@s.whatsapp.net<\/li> 建立时间：2025\/4\/25 16:57:54<\/li> <\/ul> 文件传输分析<\/h3> PDF内容提取<\/strong><\/p> 传输时间：2025-04-29 08:31:02<\/li> 群组ID：120363401289578356<\/li> PDF内容：0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638（疑似加密货币地址）<\/li> <\/ul> USB设备取证分析<\/h2> 分区结构分析<\/h3> 基础信息<\/strong><\/p> 分区数量：4个<\/li> 文件系统类型：FAT32<\/li> 容量分析：总容量16GB<\/li> <\/ul> 分区详情<\/strong><\/p> 文件系统组成：FAT32、exFAT、NTFS<\/li> 分区标签："SanDisk"<\/li> exFAT分区容量：16GB<\/li> <\/ul> 加密文件分析<\/h3> 压缩文件属性<\/strong><\/p> 创建日期：2025-05-15<\/li> 加密状态：已加密<\/li> 解压密码：54d#e(nm)<\/li> <\/ul> 引导特性分析<\/strong><\/p> 可引导U盘识别<\/li> EFI分区存在确认<\/li> 分区容量分析：存在小于500MB的分区<\/li> <\/ul> 磁盘镜像分析<\/h3> xcontainer文件属性<\/strong><\/p> 大小：4943872字节<\/li> 文件系统：FAT<\/li> 块大小：128位<\/li> 备份头分析：无嵌入式备份头<\/li> <\/ul> 关键技术要点总结<\/h2> 取证方法论<\/h3> 系统化分析<\/strong>：按照从基础信息到具体应用的顺序进行分析<\/li> 交叉验证<\/strong>：通过多个数据源验证同一信息<\/li> 元数据利用<\/strong>：充分利用文件系统元数据和应用程序元数据<\/li> <\/ol> 时间分析技巧<\/h3> 时区转换：确保所有时间戳统一转换为GMT+8<\/li> 时间格式：严格遵守yyyy-MM-dd HH:mm:ss格式要求<\/li> 时间线构建：通过文件时间戳重建事件序列<\/li> <\/ul> 数据关联分析<\/h3> 应用程序间数据流转跟踪<\/li> 同一文件在不同位置的关联分析<\/li> 网络活动与本地操作的关联<\/li> <\/ul> 工具使用要点<\/h3> 010 Editor：用于二进制文件分析<\/li> SQL查询：用于数据库数据提取<\/li> 专业取证工具：用于分区分析和文件恢复<\/li> <\/ul> 本教学文档涵盖了2025美亚杯个人赛的主要技术要点，为电子数据取证学习者提供了完整的技术参考框架。<\/p>

2025美亚杯个人赛电子取证技术要点解析<\/h1>

赛事概述<\/h2> 2025美亚杯个人赛是一项电子数据取证竞赛，参赛者需要通过分析提供的检材（包括智能手机镜像、USB设备镜像等）来解答一系列取证相关问题。本教学文档将详细解析比赛中的关键技术点和解题思路。<\/p>

智能手机取证分析<\/h2>

多媒体文件分析技术<\/h2>

WhatsApp取证分析<\/h2>

USB设备取证分析<\/h2>

关键技术要点总结<\/h2>

赛事概述<\/h2>
2025美亚杯个人赛是一项电子数据取证竞赛，参赛者需要通过分析提供的检材（包括智能手机镜像、USB设备镜像等）来解答一系列取证相关问题。本教学文档将详细解析比赛中的关键技术点和解题思路。<\/p>