检材密码：ZgxQaeiAUe3nrnZ9zEnI3nAxuPIrIPl9
邮件材料
1 在电子邮件取证方面, 警方需要注意以下要点
A. 修改邮件时间戳等元数据以迎合调查时间线
B. 全面检索相关草稿箱与已删除邮件数据
C. 必须确认取证行为获得合法授权, 并严格限定提取范围
D. 确保元数据完整性, 原始 eml 文件应作为证据链关键环节保存
**E. 应备份邮件系统相关日志, 确保调查工作有据可查 **
BCDE
第一道题理论题，直接用本地ai即可
2 请分析邮件材料中的附件结构，并指出下列哪项描述是正确的？
A. 邮件的附件文件(PDF)包含 JavaScript 代码, 用于从外部来源动态加载内容
B. 邮件的附件文件(JPG)的元数据包含地理位置信息
C. 邮件的附件文件并非以独立附件传输, 而是以 Base64 编码方式嵌入在正文中
D. 邮件中有使用标准 ASCII 字符集编码系统表示字符及未加密的纯文本文件的附件文件
E. 以上皆不正确
E
先查看哪几个邮件材料里有附件
可以看到有两个附件是一样的
A. 将pdf导出，使用pdfid查看
B. 查看图片exif信息没有地理信息
C. 用记事本打开右键，定位附件内容
可以知道****邮件的附件文件以独立附件形式传输，其数据通过 Base64 编码方式包含在邮件体中
D. 同上，所有附件的实际数据都经过了Base64 编码
3 请分析邮件的多用途互联网邮件扩展的格式结构(MIME), 并指出下列哪种内容编码未被使用
A. 7bit
B. quoted-printable
C. base64
D. binary
E. 8bit
D
AI搜了一下直接秒了
4 请分析邮件材料, 指出哪两个附件藏有加密货币地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E
A. IQ_1.jpg 和 IQ coin proposal.pdf
B. IQ_Coin_Tokenomics_Overview.pdf 和 IQ_Coin_Compliance_Summary.pdf
C. 7b3e4512-1d8d-4d54-AA1c-5b004ce23A6f.jpeg 和 IQ_Coin_Compliance_Summary.pdf
D. IQ_1.jpg 和 7b3e4512-1d8d-4d54-AA1c-5b004ce23A6f.jpeg
E. IQ coin proposal.pdf 和 IQ_Coin_Compliance_Summary.pdf
D
这两个附件是图片，图片中有二维码，扫码可得
A. Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-0429T18_35_47+08_00.eml
B. Proposal and Poster for IQ Coin Investment Opportunity 2025-05-01T20_16_16+08_00.eml
C. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T12_13_11+08_00.eml
D. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_22_16+08_00.eml
E. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_37_03+08_00.eml
F. Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00.eml
A
6 根据上一题, 收件者会见到这封邮件来自哪一个邮箱地址
mansonmfi@gmail.com
见上
7 当你分析邮件头时发现认证接收链(Authenticated Received Chain, 简称 ARC)验证结果为"None"时, 则代表这封邮件没有进行 ARC 邮件验证. 在这情况下, 我们可以通过以下哪一个方式协助我们判断邮件的真伪
A. 发件人策略框架(Sender Policy Framework, 简称 SPF): 检查邮件是否来自其声称的域的授权服务器
B. 域名密钥识别邮件(DomainKeys Identified Mail, 简称 DKIM): 通过数字签名验证内容在传输过程中有否被篡改，以及是否来自声称的域名
C. 域名对齐(Domain Alignment)邮件中使用的"MAIL FROM"(信封发件人)和"From"(显示发件人)地址中的域名是否一致
D. 以上皆可以
D
理论题，扔给AI
8 请分析"Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml"文件的邮件头信息, 以下哪项说法是正确的？
A. 邮件头中存在与 Gmail 官方信息匹配的字段，验证了转发身份的合法性
B. 邮件头中出现与 Gmail 转发地址或企业域(manson.com)无法对应的异常域名
C. 邮件头内所有域名均与 Gmail 及 manson.com 完全一致, 符合规范的域名对齐标准
D. 邮件路由信息与域名引用证实该邮件经 Gmail 服务器发送邮件
E. 邮件头中缺少与 Gmail 或 xxx.com 相关的有效域名记录, 导致邮件来源无法验证
D
同样，把文件的邮件头丢给ai
9 根据"Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml", 请列出使用哪一个邮件客户端软件发送
eM_Client/10.3.1503.0
10 在"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_22_16+08_00.eml"邮件中, 以下标头组合可用于检测欺骗或标头伪造行为
A. From、To、Subject
B. Message-ID、Received、Authentication-Results
C. DKIM、MIME-Version、Content-Type
D. Return-Path、X-Gm-Message-State、X-Pm-Spam
E. DKIM-Signature、SPF、Authentication-Results
B
11 分析邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00"的"Received"标头链, 该邮件从发起到送达 ProtonMail 服务器所经历的网络跃点数量为:
A. 1 个跃点 : 通过 Gmail 与 ProtonMail 间的专用直连通道传输
B. 2 个跃点: 发件人客户端 -> Gmail 服务器 -> ProtonMail 服务器
C. 3 个跃点: 发件人客户端 -> Google 前端服务器 -> Gmail 发送服务器 -> ProtonMail 服务器
D. 4 个跃点: 发件人客户端 -> Google 内部代理 -> Gmail 发送服务器 -> Google 外部中继 -> ProtonMail 服务器
E. 无法根据现有标头准确判断跃点数量
B
12 对比邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00"与"Re_Proposal and Poster for IQ Coin Investment Opportunity", 发现两者源自相同的 IPv6 地址. 下列哪个是正确的
A. 这两封邮件是由同一台设备发送的
B. 这说明两封邮件经过了同一出站节点
C. Gmail为所有通过其网页版发送的邮件随机分配该IPv6地址，这是平台为保护用户隐私采取的措施
D. 该IPv6地址是Gmail基础设施中的负载均衡器地址，因此不能作为追踪具体发送来源的有效标识符
**E. 这证明发件人“Loring Lisa” 使用同一个电子邮件账户发送邮件 **
B
13 在分析"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T15_14_02+08_00.eml"时发现这封邮件通过传输层安全协议的第 1.3 版(TLSv1.3)传送. 这一个传送使用了以下哪一个加密套件
A. AES 256 GCM SHA384
B. CHACHA20 POLY1305 SHA256
C. ECDHE RSA WITH AES 128 CBC SHA256
D. DHE RSA WITH AES 128 GCM SHA256
**E. ECDHE ECDSA WITH AES 256 GCM SHA384 **
A
搜索一下即可
14 Exclusive Invitation_IQ Coin Pure Growth Fund – Special Offer for You 2025-04-29T18_35_47+08_00.eml 请检查此邮件的 Message-ID 与发件人地址关系, 并判断是否存在伪造嫌疑
A. 正确
**B. 错误 **
A
id不同
15 对电子邮件"Re_Proposal and Poster for IQ Coin Investment Opportunity 2025-05-02T14_37_03+08_00.eml"进行溯源分析, 请列出邮件进入标准化投递链条的起点即第一个接收这封邮件的服务器日期及时间(GMT+8)
2025-05-02 14:37:00
注意GMT+8
16 根据上一题, 这个日期时间是否等于这封邮件的建立时间
A. 正确
**B. 错误 **
A
虚拟货币交易截图
:::tips 检材文件在个人赛的检材容器里，密码为0x548dafDe4B17d7d3C9485E79B3B5018801C7855E
:::
用自己搞的小工具先把转换成表格，方便操作（只能识别个大概，还得继续优化）
调整一下表格
1 在 2025 年 5 月中, 地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E 进行了多少次涉及 BEP-20 IQ Coin 的交易
2
2 由2025-03-07 至 2025-05-02 期间内, BEP-20 IQ Coin 处理了多少次交易
25
一眼看到25条
3 地址 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246最近一次涉及 BEP-20 IQ Coin 的交易是何时
**2025-05-02 07:44:39 **
4 在 2025-04-25 09:52:36(UTC), 地址 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246 传送了多少 BEP-20 IQ Coin
150000000
5 在 2025-05-02 09:49:14(UTC), 地址 0x548dafDe4B17d7d3C9485E79B3B5018801C7855E 传送了 BEP-20 IQ Coin. 在这次交易于 15 分钟内, 最终的接收地址是
**A. 0xe36D4bCf0132B8Dc7317C2Fb9bfa2845629F7739 **
**B. 0xe36D4bCf0132B8Dc7317C2Fb9bfa1845629F6638 **
**C. 0x96DAA8de384c1d2bD09EA45589fA1cE05F3d2246 **
**D. 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A **
B
一直在往下一个地址发送
6 在 2025 年 5 月, 地址 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A 作为发送方发起了多少次 BEP-20 IQ Coin 交易
A. 1
B. 2
C. 4
D. 6
E. 8
A
7 地址 0x6144ACfdf84bbEC6bccB310516A89D4b3ee48c1A 在 BNB Smart Chain 上最早的 BEP-20 IQ Coin 交易记录是什么时候(UTC)
2025-04-11 06:37:14
8 在 BEP-20 IQ Coin 交易中, 最小的交易金额是多少
150000
看图片也是一眼看出来
9 请指出截至 2025 年 5 月 3 日为止, 第 7 题所提及的加密钱包地址持有多少 BEP-20 IQ Coin
A. 9,700,000,000
B. 9,700,000
C. 97,000
D. 无
A
筛选一下求和得到<font style="color:#000000;">10700000000</font>
再减去发出去的1000000000
10 BEP-20 IQ Coin 共有多少持有者
13
一个一个算，可以全部统计出来去掉重复的
11 经调查得知, 这个犯罪团伙将犯罪收益清洗后储存到第 22 题的加密钱包中, 以下哪一个陈述是正确的
A. 多签钱包(Multi-signature Wallet)要求在授权交易时, 需要默认数量的私钥共同进行签署, 才能将交易广播至区块链
B. 每位签署者持有唯一的私钥, 可查看钱包中的交易详情
C. 若只有一把私钥签署交易, 交易将显示为"待处理", 直到达到所需的签署私钥数量以完成批准
D. 每位签署者都会收到一组独特的助记词, 用于账户恢复
E. 以上皆是
E
直接扔给ai
梁雪媚的手机
和个人赛一样，需要备份密码，依旧是四位或六位弱口令试一试
如果密码出不来，可以对文件压缩包进行解压，解压后在/var目录中可以看到有四个文件拓展名添加了_DEC
这是提取工具生成的解密后的文件，可以对源文件进行替换，在Manifest.plist 中将备份是否加密的标志改为 false 即可得到未加密的检材文件
还有一种方法就是直接删掉Menifest.db 和 Menifest.plist，但是会缺少东西，不建议
01 请列出这个智能手机最后使用的 WhatsApp ID
85256043346@s.whatsapp.net
火眼分析出来直接看
02 根据系统消息以下哪一个陈述是正确的
A. 这个智能手机没有安装视频会议软件"Zoom"
B. 这个智能手机曾经安装视频会议软件"Zoom", 但已经删除
C. 这个智能手机有安装视频会议软件"Zoom", 但已经注销
D. 无法确认这个手机有没有安装视频会议软件"Zoom"
B（官方答案是A）
在应用列表中可以看到该软件
搜索zoom的目录
问了下ai
没有名为 Zoom.app的应用程序主体文件。在iOS系统中，应用程序被正常卸载后，其应用主体会被移除，但部分用户数据或配置文件可能会残留。所以B是正确选项
林嘉熙的手机
01 这部智能手机系统上有找到多少个国际移动设备识别码(IMEI)
A. 1
B. 2
C. 3
D. 4
E. 0
B
和个人赛的题目一样， 在 iDevice_info.txt 中可以看到 2 个 IMEI 
02 CEO Hayson的智能手机的 IMEI 1
358803093771124
由上图可得
03 这部智能手机系统最后登录 iCloud 的个人 ID
whatisceo@gmail.com
04 请列出这个智能手机最后使用的电话号码
85246809772
在sim卡这里没找到电话号码的信息
在微信和whatsapp都可以看到一个手机号
05 请列出这个智能手机订阅了多少 WhatsApp 频道
6
06 请列出这个智能手机安装了以下哪一个应用程序
A. ZOOM
B. WeChat
C. Signal
D. Telegram
E. WhatsApp
BDE
微信和whatsapp肯定有，只搜到了Telegram
07 根据梁雪媚与林嘉熙的 WhatsApp 对话内容, Manson 公司正筹备投资的加密货币名称
IQ Coin
聊天记录里可以看到
08 根据梁雪媚与林嘉熙的 WhatsApp 对话内容, 林嘉熙什么时候返回香港
2025-05-08
在聊天记录里可以看到
09 根据出入境记录确认林嘉熙在 2025-04-29 至 2025-05-08 离开香港, 参考梁雪媚与林嘉熙的 WhatsApp 对话内容, 以下哪个陈述是正确的
A. 在这段期间梁雪媚的WhatsApp对话内容比林嘉熙的多了两项
B. 林嘉熙指示梁雪媚，将海报(Poster)转寄给销售团队(Sales Team)跟进
C. 林嘉熙删除了两项消息
D. 梁雪媚用林嘉熙的WhatsApp 账号发了一个消息给自己
E. 以上皆非
AB
A.先切换视图筛选一下时间
确实是多了两项
B.多出来这两条
C.少了两条跟进的消息，他说没发送过，说明不是他删除的
D.看两人的对话即可知道不是他发给自己的
林嘉熙的笔记本电脑
01 这部电脑安装了哪一个操作系统
A. Windows 7 Enterprise, ver.6.1, Build: 7600
B. Windows 7 Enterprise, ver. 00362, build:85249
C. Windows 7 Enterprise,ver.7, Build:7600
D. CEO-PC, ver.7, Build: 7600
E. Windows 7 Enterprise,ver.7600, Build: 00392-918
A
查看系统信息
或者仿真在命令行输入winver
02 请写出这个操作系统的安装日期(UTC+8)
2025-04-12
由上图可得
03 这个操作系统安装了以下哪一个通讯软件
A. Zoom
B. WeChat
C. Threema
D. Signal
E. 以上皆非
A
仿真之后在桌面上可以直接看到
或者在安装软件那里一个一个搜
04 这个操作系统以什么方式使用 WhatsApp 服务
A. WhatsApp 网页版
B. WhatsApp 应用程序
C. 以上皆是
D. 以上皆非
A
火眼分析出来了WhatsAppWeb
05 根据上一题, 通过哪一个浏览器使用 WhatsApp 服务
Chrome
在Chrome浏览器看到了whatsapp
06 根据该系统登录记录, 有多少用户账户曾登录该系统(不含内置 Administrator 账户)
2
07 根据上一题, 系统上建立了哪些用户账户
i: CEO ii: CEOO iii: CEO1 iv: CEO2
A. i 及 ii
B. ii 及 iii
C. i, ii 及 iv
D. 以上所有
C
由上图可知有i和iv，然后就找CEOO和CEO1在哪里
在操作记录里可以看到CEOO被删除，没有找到CEO1
08 林嘉熙在 2025-04-29 至 2025-05-08 离开香港期间, 他的笔记本电脑放置在办公室内, 他没有授权其他人可使用这台笔记本电脑. 在上述期间这台电脑有什么账户登入的记录
A. CEO
B. CEO1
C. CEOO
D. CEO2
AD
筛选一下登录时间
在用户列表可以看到CEO2也登录了
09 在上述的时段, 有多少次登入记录
30
在日志这里筛选一下登录事件ID和时间
10 在上述的时段, 这些登入是使用哪个 IP 地址登入
182.239.117.11
随便点一个看看
11 根据上一题, 使用这个网络地址作出登录请求的工作站名称
KALI
打开事件查看器，筛选4624
搜索一下ip，记得是当前时段
看到工作站的名称
12 根据上一题, 哪一个账户最后一次成功登录
CEO
查看最后一条登录成功的日志
13 发现某个账户是在何时被删除的(UTC +8)
**2025-04-28 18:06:13 **
** 07的C选项**
14 最近一次管理员权限分配的日期
**2025-04-29 **
筛选 ID 4728 将成员添加到启用安全的全局组中
15 请识别所有己挂载的网络驱动器, 指出所有对应盘符
A. Z
B. X
C. S
D. T
E. D
AD
在网络位置可以看到
16 这个"广告机软件信息发布系统"的执行文件名称
ServerMonitor.exe
查看属性
17 这个"广告机软件信息发布系统"用作存放播放材料的文件夹名称
toDisplay
搜索信息发布系统，找到文件数据库
在数据库中看到创建了toDisplay并且上传了图片进去
18 根据上一题, 请列出最早上传到这个文件夹的多媒体文件完整的文件名
manson1.png
19 使用者于哪一天首次成功登入"广告机软件信息发布系统"(GMT
