挂载检材
在挂载 FUNG Chi-chiu(0000) 和 LEUNG Yin-ling(1234) 的手机时，需要解压密码，但实际上已经是解密后的检材了
这里解决办法参考 xd 的 wp
只需要找出每个的 manifest.plist 文件，暴力破解就能得到解压密码，一般都是 4 位纯数字，0000，1234 这种
另一个同理
CHAN Man-ho（陈民浩）
1.请你使用CHAN_MH.zip检材回答以下问题这个智能手机是什么操作系统?
A. iOS 17.1.1
B. iOS 17.2.1
C. iOS 17.3.1
D. iOS 17.0.1
查看基本信息 ，A
2. 在这个手机中，有多少组国际移动设备识别码(IMEI)号码? (请以阿拉伯数字作答)
查看 sim 卡，两个个卡号一般就有两个 IMEI 号码
虽然基本信息里只有一个
在这里可以找到第二个，根目录下的文件
3.承上题，以下哪一个才是正确的国际移动设备识别码(IMEI)号码?
A. 357328098205226
B. 357328097205226
C. 357328096205226
D. 357328095205226
A
4.请指出最后使用的使用者身分模组(SIM)的集成电路卡识别码(ICCID)
A. 89852122206020998419
B. 89852122205020998419
C. 89852122204020998419
D. 89852122203020998419
查看 SIM 卡记录，A
5. 请指出最后使用的Apple ID是多少？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
还是在基本信息里面，whoishogan@gmail.com
6. 蓝牙模组中的蓝牙地址是多少？(请以下格式作答:xx:xx:xx:xx:xx:xx)
在设备信息的文件里面可以找到，f8:38:80:bb:f5:28
7. 这个智能手机曾经启动「个人热点」分享网络，请问他的「热点」名称？(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
iPhone 的个人热点****默认显示的就是“设备名，只有设备名改了热点名才会改
**设备名是iPhone 所以热点名就是iPhone **
8.这个智能手机没有连接过以下哪一个服务集标识符(SSID)
从这里只能排除两个，但是根据后面的题目来看，答案是 A
明显后面是由 CMHK 的而且对应的就是.HKT-Hotel，从名字相似度上看出来的
SSID
这个 Wi-Fi 网络的名字，用于区分不同的无线网络
BSSID
路由器的 MAC 地址，相当于路由器的硬件身份证
A. Hongn Home
B. CMHK
C. 1010 free wifi
D. ErrorError
9. 请指出首次连接服务集识别码(SSID)名称为" CMHK"的无线区域网络(Wi-Fi)的日期及时间(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
见上题，2025-04-13 14:46:50
10.安装了以下即时哪个通讯软件?i) WhatsAppii) WeChatiii) WhatsApp Businessiv) QQ
看一下有什么，A
A. 只有 i) 和 ii)
B. 只有 i), ii) 和 iii)
C. 只有 i), ii) 和 iv)
D. 以上皆是
11. 承上题，请指出即时通讯软件"WhatsApp"的版本(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
在应用列表这里，731647702.0
但是这很明显就不是版本号啊
自己翻了翻文件，发现上面那个是一个 brc 容器的版本
看了别人的 wp，都说SPClientVersion 的值是正确答案
但是这难道不是SharePoint 客户端版本么，跟WhatsApp 有啥关系？
12.陈民浩的手机中，总共安装3个文件传输软件，封包名称分别为com.apple.Sharing.AirDropUI、com.lenovo.anyshare、com.estmob.paprika，其中有哪一个软件曾经用来传送/接收文件功能?
都直接在文件系统里面搜索一下
第一个com.apple.Sharing.AirDropUI，纯粹啥都没有
第二个 com.lenovo.anyshare，找半天没有见到传送或接受文件记录
第三个com.estmob.paprika，找到了视频和 mp3
所以选 C
A. com.apple.Sharing.AirDropUI
B. com.lenovo.anyshare
C. com.estmob.paprika
13. 承上题，与其有传送/接收过资料装置的装置ID是多少? (请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
这些应该在软件的数据库文件中，发现有 realm 文件，用 realm studio 打开
id 是5402313593439
14. 承上题，这个装置名称是?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
Samsung SM-G930F，这个也在 android 的基本信息里面
由此可以推断出 android 也是陈民浩的手机
15. 承上题，本机装置的装置ID是多少?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
那就是自己的 id，在这搜索 device 找到
3836403626142
16.承上题，陈民浩的手机(CHAN_MH_mobile.zip)是传送方或是接收方?
从传送的文件名称可以看出来是截图,在另一个手机检材的照片中找到了，因此可以判断出是接收方，B
A. 传送方
B. 接收方
C. 传送及接收方
17.根据传送档案的名称，判断是以下哪一类型? (单选)
见上题，A
A. 屏幕截图
B. 手机拍摄影片
C. PDF文件
D. zip压缩文件
18.承上题，接收至哪一个装置?
见 16 题，A
A. CHAN_MH_mobile.zip
B. blk0_sda.bin
C. FUNG_CC_mobile.zip
D. LAM_KH_Mobile.zip
E. WONG_CW_mobile.zip
19.承上题，传送方是通过此文档传输软件的哪个模式作出传送?
在安卓手机的文件系统里面，找到软件的数据库文件，查看发现是****SEND_DIRECTLY
c
A. SEND_PARTIALLY
B. SEND_PAPRIKA
C. SEND_DIRECTLY
D. SEND_BYCLOUD
E. SEND_BLUETOOTH
20.从来没有安装以下哪个网络浏览器？
在应用列表里面只找到了苹果自带的浏览器
A. Safari
B. Chrome
C. Firefox
D. edge
21.承上题，网络浏览器Safari有多少个书签(Bookmark)记录？(请以阿拉伯数字作答)
9 个
22.承上题，曾经通过Safari浏览器用下列哪一个字词进行过搜索?
查看历史记录，A，B，C
A. 非法处理尸体最高刑罚
B. escape room hong kong
C. cypto wallet
D. 非法处理尸体
23. 有多少个图片文件曾经储存到iCloud?(请以阿拉伯数字作答)
这里在火眼不好分析，使用 iLEP APP
如图，只需要加载原压缩包还有里面 var/ keychains/keychain-backup.plist 文件即可
最后点击下方 process 完成分析
在左侧栏找到 icloud
筛选一下文件名，发现是两个图片文件，2
24. 相册中有多少张图片是通过屏幕截图功能取得？(请以阿拉伯数字作答)
很明显，15
FUNG Chi-chiu（冯子超）
25. 请参考参赛材料FUNG_CC_mobile.zip回答以下问题这部智能手机连接过多少个 Wi-Fi 网络？(请以阿拉伯数字作答)
直接看就行，2
26.这部智能手机曾经连接过以下哪个无线网络？i) THREE_WIFIii) wanchaiiii)iPhone(2)iv) Router
B,见上题
A. 只有 i)
B. 只有 ii) 和 iii)
C. 只有 ii), iii) 和 iv)
D. 以上皆是
27. 这部手提手机最早连接(非热点)Wi-Fi的时间是什么？(请以GMT +8时区及以下格式作答: yyyy-MM-dd HH:mm:ss)
**火眼只显示了最后连接时间，第一个 iphone 是热点所以就不看了。 **
右键时间去源文件查看，不知道为什么我的这个 plist 文件是空的
plist 有两种格式：XML plist（文本型），Binary plist（二进制型）
最后重新在检材里面提取一下，才能正常打开
发现首次是2025-04-15T11:29:23Z，加上 8 小时2025-04-15 19:29:23
时间戳 key:<strong><span class="ne-text">AddedAt</span></strong>网络首次被添加到设备（即首次连接)
28. 承上题，请列出这个连接的服务集识别码(SSID)?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
见上题， wanchai
29. 承上题，请列出这个连接的登入金钥?(请依照参赛材料中的原文作答，注意区分大小写、空格及符号)
在钥匙串，hellowanchai
，
30.相册中有两张图像互换格式图片(gif)「IMG_0057.GIF」及「IMG_0062.GIF」，请指出由哪一个软件拍摄?
在图片应用中找到哪个是就行了， Infltr
A. Infltr
B. Discreet
C. Meitu
D. Prisma
31.曾经以空投(AirDrop)方式成功传送了文件到另外一个装置，以下哪一个陈述是正确的？
**这里搜索 airdrop 发现什么都没有，借鉴了 **xd 的思路
将后面题目出现的包名
com.apple.DocumentsApp（文档）
com.apple.mobileslideshow(<span class="ne-text">mobileslideshow</span> 是苹果 “照片”（Photos）应用在系统内部的核心标识符（Bundle ID）****)
airdrop 相关的包名(l网上搜索)
<span class="ne-text">com.apple.sharingd</span>(AirDrop 的核心后台守护进程（Daemon），负责设备发现、连接建立和文件传输的实际执行。)
<span class="ne-text">com.apple.UIKit.activity.AirDrop</span>(iOS 中 AirDrop 作为 UIActivity 类型的活动标识，用于系统级分享接口的集成)
进行全局搜索
很快就完了，发现都在****interactionC.db 数据库里面
