本届比武由中国人民警察大学主办，特邀南京拓界信息技术有限公司技术专家参与命题。赛题深度锚定一线真实办案场景，覆盖计算机、移动终端、服务器、网络流量分析、物联网取证等传统取证方向，同时纳入 AI 深伪鉴真、区块链溯源等前沿取证考点，全方位检验参赛选手的实战取证能力。
分析嫌疑人在该手机登录的小米账号ID为？
嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？
分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？
接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。
嫌疑人最近一次登录Google账号的日期是什么时候？
在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？
接上题，该异常图片中隐写的内容为？
在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？
分析使用该密拍软件拍摄的图片，其中显示器的型号为？
机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？
请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？
请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？
请分析嫌疑人在抖音中共手动提现多少元至银行卡？
请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？
机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。
接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。
该手机的备份密码是多少？（四位数字）
该手机的备份时间是什么时候？
该手机的序列号是什么？
该手机的蓝牙MAC地址是多少？
分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？
分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。
嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？
嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。
该计算机的CPU型号是什么？
该计算机曾接入了一个移动硬盘，分配驱动器号为D盘，请问盘符名称为？
该计算机的开机密码是多少？
该计算机曾经连接过的远程桌面地址是什么？
该计算机部署的WSL版本是多少？
WSL中部署的大模型推理引擎名称和版本是什么？
接上题，其中部署的参数量为1.7B的模型设置的最大上下文长度（max-model-len）是多少？
接上题，安装使用的CUDA版本是多少？
该计算机中部署的自动语音识别（ASR）模型共有几个？
请尝试运行嫌疑人部署的自动语音识别系统，该系统的服务器地址及端口号是什么？
请在用于测试自动语音识别系统的文件中，找到的密码是什么？
经分析，该密码可能为嫌疑人某加密盘的密码，请找到该加密盘，写出加密盘原始文件的名称。
接上题，加密盘中AI生成的图片共有多少张？
在上述AI生成的图片中哪个图片是通过腾讯混元大模型生成的？
接上题，有一张图片中有隐藏的信息，隐藏的密码是什么？
该计算机中是否安装过其他本地大模型部署工具，如果有请写出其软件名称及版本号。
接上题，上述工具部署的模型ID是什么？
该计算机中嫌疑人使用邮箱软件登录的邮箱账号是什么？
接上题，上述邮箱账号登录邮箱客户端使用的授权码是什么？
嫌疑人在计算机中安装的以太坊钱包是什么？请写出钱包应用名称。
请找到上述钱包的助记词，并写出第一个单词。
嫌疑人的Ethereum地址后四位是多少？
该计算机中部署的Deepseek Harness使用的工作区文件夹名称是什么？
该计算机中部署的Deepseek Harness配置的API Key是什么？
嫌疑人曾提问“虚拟货币一般用于洗钱都是怎么操作的”，请问该问题的rpcID是什么？
接上题，该轮对话的推理输出token是多少？
嫌疑人在计算机中部署的OpenCode的版本号是什么？
嫌疑人在计算机中部署的OpenCode配置连接了几个模型？
嫌疑人在OpenCode中手动添加了一个自己的Skill，请写出Skill的名称。
嫌疑人曾经使用上述Skill尝试对某涉赌网站进行信息获取，请写出该网站的网址。
截至到对象使用上述Skill的时间，该网站的域名注册时间为多少天？
尝试找出该计算机中一份用于日后给其他项目加密的密码字典，请写出打开该密码字典的密码。
计算机中曾传输过一个敏感APK，请写出该APK的包名。
该笔记本电脑中存在一份人员名单信息，请尝试找出该名单，并写出编号为1的人员住址信息。（提示：相关文件密码为纯小写字母）
分析服务器检材，该服务器的操作系统版本是什么？
分析服务器检材，该服务器的根文件系统（/）的 UUID 是多少？
分析服务器检材，该服务器部署的运维面板安全入口是什么？
接上题，该面板管理员密码的哈希值（32位MD5）是多少？
分析服务器检材，该服务器部署的知识库监听端口是什么？
接上题，该知识库的登录密码是什么？
接上题，部署的知识库向量数据库（LanceDB）中存储的向量数量是多少？
接上题，知识库中配置的智谱API Key是什么？
分析服务器检材，该服务器中存在一个LUKS 加密卷，解密密码是什么？
分析服务器检材，服务器上部署的 dsh（DeepSeek Harness）版本号是多少？
接上题，该dsh配置的 DeepSeek API Key是什么？
接上题，DSH中用户安装的插件共有多少个？
分析服务器检材，该服务器中部署了一个API中转站，该API中转站管理员账号Jelly的登录密码是什么？
接上题，该中转站里启动的模型中哪个模型供应商下的模型最多？
接上题，该中转站源码中用户密码存储使用的哈希算法是什么？
接上题，该 API 中转站平台注册的用户总数是多少？
接上题，平台全部消费记录中，单笔消费额度（quota）的最大值是多少？
分析服务器检材，嫌疑人部署了一个云手机，该云手机的设备名称是什么？
接上题，请问该云手机中安装的记账软件中文名称是什么？
接上题，该记账软件中显示支付宝的账户余额为？
接上题，该记账软件会将数据保存在本地数据库中，该数据库的名称是什么?
接上题，该记账软件中欠债借款类型对应的图标名称是什么？
分析服务器检材，嫌疑人部署了一个发卡系统，请问该发卡系统的框架版本是什么？
接上题，该发卡系统的平台抽佣比例是多少？
接上题，该发卡系统中七牛云存储配置的AccessKey是什么？
接上题，该发卡系统的百度统计ID是什么？
接上题，该发卡系统支持微信公众号后台配置，请问配置的公众号AppID是什么？
接上题，该发卡系统的支付渠道，有几个还在启用？
接上题，订单号ZC202607111204的商品名称是什么？
接上题，该发卡系统的累计营收金额是多少？
该无人机的型号是什么？
飞行记录中马达的启动时间（UTC +8）是什么时候？
接上题，该马达总共运行多少秒？
飞行记录中海拔最高时的纬度是多少？
分析飞行记录的轨迹为几边形？
分析涉案NAS的存储配置，其数据盘的RAID级别是什么？
接上题，分析其条带大小是多少？
该操作系统root账户的密码是多少？（提示：六位密码，第一位是T，第二位是小写英文，后面是数字）
该设备使用的NAS平台名称是什么？
接上题，其管理页面的端口是多少？
分析涉案NAS回答用户alice的Email是什么？
该NAS回收站保留文件的天数是多少？
分析NAS，哪个设备曾登录NAS？请写出对方设备名。
分析NAS数据，嫌疑人曾访问哪个文件导致报错？（请写出文件名，含扩展名）
NAS中SHA256哈希值为75A42B1F337722E4127DCA66CBC9BB38FF82F56F0D66C2FAE59517ACF6FE9BFB的文件是什么软件产生的？
分析NAS中的数据，9月18日比9月17日新增多少客户？
分析NAS中的数据，收U笔数最多的钱包被谁控制？
当前哪个用户可通过浏览器上传文件到NAS？
接上题，分析哪个文件夹被分享过？
综合分析，含有客户资料的文件最有可能是谁上传的？
该APK的打包日期是什么时候？
该 APK 使用的自研（未知）加固壳名称为？
classes.dex 具有一个加密 Payload Head，定位出加密 Payload Head 的起始文件偏移（十六进制）是多少？
APK 自定义的 Application 类完整类名是什么？
APK 可以通过系统拨号键盘来开启防卸载功能，这个数字组合是什么？
此木马的远端服务可以下发各种命令控制程序并窃取用户信息，让程序回传定位信息的命令码是什么？
此木马远端服务通过什么协议对程序进行控制？
分析木马默认连接的主C&C 服务器 IP 是多少？
分析木马程序中与测试H5 管理后台https://www.envcom.org/h5/#/page/u1/u1绑定的用户名是什么？
分析木马程序使用的百度 BOS 服务的 AccessKey是什么？请填写后四位。
程序会利用无障碍功能在后台记录用户输入的图案锁屏密码，并存到特定的文件中，这个文件的名称是什么？
分析原始 APK 的自定义加固，计算 Payload 解密完成、DEX 分片尚未修复时，完整加固 Payload 的 SHA-256值是什么？
该应用在字节码中硬编码了接入 Telegram 服务端所需的应用 ID，是多少？
写出与上述 api_id 配对的硬编码 api_hash 值（32 位十六进制）。
关于该应用设备端落盘的 TDLib 主数据库（db.sqlite）的加密状态，下列说法正确的是？
设备端 <databaseDir>/tdlib 目录下，TDLib 用于保存会话/消息/联系人缓存的主数据库文件是？
该应用承载 MTProto 协议的原生库文件名是什么？其内置的 TDLib 版本号是多少？
上述原生库静态链接的 OpenSSL 版本号是多少？
关于该应用的数据备份策略，下列描述正确的是？
GramonyLog 将日志写入系统 hilog 时使用的 domain 与 tag 分别是什么？
应用在登出/重置时，clearTdLibDatabase() 会递归删除以下哪些 TDLib 数据目录？（多选）
该应用在 setTdlibParameters 中 use_secret_chats 取值及含义是什么？
ets/sourceMaps.map中记录的原始源文件（sources）数量是多少？
该应用请求的权限共有几项？
该应用的原生库中内置了 Telegram 生产环境数据中心的 IP 地址。下列哪些 IP 属于其中？（多选）
关于该应用的内置服务器端点，下列判断正确的是？
libtdnapi.so内置了用于MTProto与服务器握手的服务器公钥，其PEM头类型是？
本检材为二次打包生成，其Info.plist中保留了官方原版构建信息。请找出该检材的官方构建完成时间。
本检材某第三方插件中硬编码了高德地图Web API 的调用key。请找出并写出该key的值。
本检材某第三方插件会向远程服务器发起授权校验请求。请找出该授权服务器的域名（不含协议与路径）。
本检材某第三方插件内置了 Telegram 群组与频道链接。请找出其中用于邀请加入私有群组的链接，并写出其完整 URL。
本检材某第三方插件内置了一个用于引导用户获取或安装该插件的软件源地址。请找出该地址并写出其完整 URL。，如https://abc.edf.com/asd/?abc=）
程序执行恶意行为的启动参数是什么？
程序启动后释放了哪些文件？
程序模拟的客户端名称是什么？
程序启动后，在内存中加载了一个shellcode，分析shellcode中的解密算法和密钥分别是什么？
分析用于校验解密结果的字符串是什么？
分析程序运行过程中，动态加载多少个函数？第27个函数名是什么？
分析程序，恶意程序回连C2地址有哪些？
程序通信时，使用的主机名是什么？
分析程序中备用C2获取机制，区块链智能合约使用的原生加密货币是什么？
分析程序文件采集策略，实现“文件采集.zip”中的任务，给出最终的flags是什么？
入侵者IP地址是什么？
在本次入侵事件中作为最终落点被攻陷的主机 IP 地址是什么？
在本次扫描事件中，目标主机开放了（响应 SYN/ACK 的）TCP 端口总共有多少个？
爆破工具使用的字典是什么？
爆破请求的服务端统一返回的状态码是什么？
注入参数是什么？
注入端口是什么？
攻击者最终桥接到的目标数据库名是什么？
攻击者上传的 WebShell 文件名（含扩展名）是什么？
WebShell落地后初始UID是什么？
最终密码的加密算法是什么？
经过多层密码学链路破解后，从受害主机外传出去的那个文件的 SHA256 哈希值是什么？
WebShell提权后建立的最终反向Shell连接到哪个攻击者地址？
经过完整破解链路后，最终还原出的真实明文密码是什么？
WebShell上传成功后，服务器端实际保存的绝对路径是什么？
WebShell 提权成功后，最终获得的 UID 是多少？
解密密码的密钥是什么？
TLS重传数据包共有多少个？（含乱序包）
有效候选链客户端IP是什么？
WebShell以低权限运行命令失败时，返回的原始错误消息是什么？
