“ 这次的个人赛是今年打得最烂的一次比赛。虽然烂但还是来复盘一下吧。理论题就没写了，只写了大部分实操题，大佬勿喷”
文中的思路和答案仅代表个人观点，并非标准答案，如有错误之处请大佬指正，带*号的是不会的题目，欢迎各路大神一起交流学习
检材链接：https://pan.baidu.com/s/1F2Y0S0wO2A5wTn6pusWpzg?pwd=qm93容器密码：3hqGFfT#B*Yjd74t@f%9fDqs6D^$wVjAvxZkA79*4UV*kVRcq^Zu6Xp87W*p#X3XD%*ER!nHzzTnSEMwy8NEGX6A*%P&#rBUkxypAPKwX4mP3WZuHnYKRc7sA33hd@qS
01
—
案情
2023月8月的一天，香港警方在调查一起网络诈骗案件时，发现有三名本地男子，分別为李大輝（李大辉），浩賢(浩贤)和Elvis CHUI，并确信这三名被捕男子均为大学同学。怀疑三人背后涉及一个庞大的电信诈骗集团。于是将这三名本地男子拘捕，扣押了三人相关的电子设备并进行分析。
现在你被委派处理这件案件，请依据以下资料分析上述三人是否涉嫌犯罪，并还原事件经过。
02
—
检材资料
1.李大輝的安卓手机镜像 (Android.bin)
2.李大輝的MacOS系统镜像(Mac OS.img)
3.来自李大輝计算机的一个文件($MFT Record Nr_ 107115, SeqNr_2.txt)
4.浩賢的个人虚拟机文件(Server.zip)
5.浩賢的Windows 10系统虚拟机文件(Windows 10.zip)
6.浩賢的iOS手机系统文件(IOS.zip)
7.来自Elvis Chui计算机的一个网络封包文件(網路.pcapng)
8.来自Elvis Chui计算机的镜像文件 (Windows Artifacts.e01)
9.来自Elvis Chui计算机的数据库文件(SQLITE.zip)
10.Elvis Chui的Windows7虚拟机文件(Windows7.zip)
03
—
题目
这里是按照同一个对象的检材的顺序来复盘的
李大辉
1. 参考'Android.bin'回答以下题目，李大辉所用手机移动运营商公司的名称。提示:请所有字母都用大写英文
CMHK中国移动香港
2. 参考'Android.bin'回答以下题目，李大辉的手机安装了什么即时通讯软件 (Instant Messaging App)？
A. WhatsApp
B. LINE
C. 微信
D. Signal
E. QQ
A根据取证软件解析出的内容，发现有WhatsApp
3. 参考'Android.bin'回答以下题目李大辉的手机安装了什么反追踪软件？提示: 所有答案字母都用小写字母并用xxx_xxx_xxxxxxx_xxxxxx_xxxx格式作答
photo_exif_editor_metadata在/data/app中看到一个net.xnano.android.photoexifeditor
在图片中找到，可用于删除EXIF数据和GPS定位
4. 参考'Android.bin'回答以下题目，李大辉的手机是什么时间成功登入WhatsApp？
A. 2022-08-18_21:52:30
B. 2022-08-19_21:56:23
C. 2022-08-18_21:56:37
D. 2022-08-19_06:59:07
E. 2022-08-19_07:01:17
C在短信中找到WhatsApp登录验证码
登录时间是在接到码之后
5. 参考'Android.bin'回答以下题目，李大辉登入WHATSAPP时的认证短码是什么？提示: 请以阿拉伯数字作答
304313同上题
6. 参考'Android.bin'回答以下题目，李大辉到美丽好化妆品公司的入职时间是何时？
A. 2016-04-16
B. 2016-06-28
C. 2017-05-25
D. 2017-07-25
E. 2017-08-18
C
*7. 参考'Android.bin'回答以下题目，李大辉曾于什么时间使用了图像编辑软件？
A. 2022-09-10
B. 2022-09-12
C. 2022-10-05
D. 2022-11-10
E. 2022-11-13
26. 参考'Mac OS.img'文件回答以下题目，'Mac OS.img'文件中可以找到多少个符号链接？
A. 0
B. 1
C. 2
D. 3
B将Mac OS.img放到MacOS虚拟机中，双击，会出现一个MyUSB
查看MyUSB，有一个alias文件
27. 参考'Mac OS.img'文件回答以下题目，在'Mac OS.img'档中使用了哪种分区方案？
A. Apple Partition Map
B. GUID Partition Table
C. Master Boot Record
D. HFS+
D
28. 参考'Mac OS.img'文件回答以下题目，'Mac OS.img'档的文件系统的正确描述是什么？
A. HFS+（已启用日志记录）
B. HFS+（已启用区分大小写）
C. HFS+（已启用日志记录和区分大小写）
D. APFS（已启用区分大小写）
C
29. 参考'Mac OS.img'文件回答以下题目，从文件“Car.rtfd”中删除了哪个文件？提示:答案需包括副文件名，并以全小写字母作答，例如 answer.docx
dreamcar.jpg
*30. 参考'Mac OS.img'文件回答以下题目，请提供'Mac OS.img'映像文件被“fsck”命令检查的具体时间。提示:答案格式为YYYYMMDD-HHMMSS，如2023年1月1日15时30分30秒则请回答"20230101-153030"
*31. 参考'Mac OS.img'文件回答以下题目，在.dmg档中删除了多少个文件？
A. 1
B. 2
C. 3
D. 4
88. 参考'Windows 10'文件夹回答以下题目，在Windows 10中UsersqqqqqDownloads，视频文件(mixkit-two-women-laying-together-925-medium.mp4)，在MFT 中分成多少个Data Cluster储存？提示: 请以阿拉伯数字作答
1在xwforensics中导出$MFT
进行文本搜索
