手机取证提示分析办案人员提取的“手机检材-1.zip”回答下列问题解压挂载即可1. 分析嫌疑人在该手机登录的小米账号ID为答案格式以实际为准如1234567890在小米运动健康可以找到31341291622. 嫌疑人设定了一个每周六循环的闹钟该闹钟的备注为答案格式以实际为准如打精武杯给老妈汇款3. 分析嫌疑人使用的VPN软件配置的节点服务器地址是什么答案格式不含端口如192.168.1.1看一下 107.175.0.2214. 接上题上述VPN软件在该手机的桌面位置是什么请写出第几页第几行第几列。答案格式页-行-列如1-2-3搜索launcher查看桌面启动器的 db 文件筛选一下这些是从 0 开始数的所以真实数字都要加一看起来是 4-1-3第几页screen第几行cellY第几列cellX但 screen 表里面记录了 id 和真正页数的关系id3 对应的其实是 2所以答案是 3-1-35. 嫌疑人最近一次登录Google账号的日期是什么时候答案格式2026-09-09自带浏览器历史记录可见2026-07-07 22:46:096. 在嫌疑人手机相册中发现一张图片文件名异常经分析该图片进行了数据隐写请回答该异常图片的文件名称是什么答案格式XXX.png有俩个 png看不出来是哪个去本地看看很明显是--密码.png7. 接上题该异常图片中隐写的内容为答案格式feiying666放到随波逐流里面lsb 可以分析出来一个二维码识别一下http://www.1o1o.xyz解码 qazokm1238. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序请问机主使用该软件拍了几张图片答案格式9根据题目描述参考前面的规律第 3 页screen3第 4 行cellY3第 1 列cell0查到是计算器复制包名去看数据com.androidx.calculator第一个文件里面有 apk 文件第二个文件发现了被加密的数据库文件猜测密钥生成逻辑应该在 apk 里面静态放着搜索 sqlcipher找到这里右键查看一下引用发现了 keybase 可能就是密码的生成方法搜索 keybase 找到密钥生成逻辑计算ones数组的 MD5转成十六进制字符串再取前六个字符作为返回值即是 key数组的 MD5 是转化为十六进制然后计算的c258ba解密数据库发现了一个 picture 的记录9. 分析使用该密拍软件拍摄的图片其中显示器的型号为答案格式以实际为准如TUOJIE查看一下图片C34H890WGC10. 机主多次通过购票软件查询出行行程在北京时间2026年6月24日20:21:33查询的目的城市为答案格式南京看看 apk查数据库找到了搜索记录转换一下时间戳百色11. 请找到机主在2026-09-20 13:41:20打开的表格文件该文件的SM3哈希值后四位是什么答案格式英文大写如12AB刚开始想的是用时间线定位一下发现找不到什么有用的信息在火眼分析出来的一些证据文件里就这一个表格文件想到用全局搜索的方法这种时间一般会存储到日志文件里面那么这种时间如何定位呢无非三种2026-09-20 13:41:20(UTC或UTC8)和1789882880000(时间戳)还有快捷回复-2026-04-14 10-23-48-enterprise.xlsx(文件名)时间的话要注意格式文件名可以取舍字段时间戳要防止误差以及时区这里我直接搜索 1789882880防止有毫秒级的误差命中了 1 条 OPEN_DOCUMENT_CURRENT_TIME:1789882880564文件名时间都对上了最后计算一下哈希就行了12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为答案格式以实际为准如https://www.baidu.com/abc/123asad时间线https://www.douyin.com/video/764116147252615028213. 请分析嫌疑人在抖音中共手动提现多少元至银行卡答案格式100在这里找到了 dy 的 Keva 存储的缓存文件 用 vscode 打开格式化文档搜索提现可以找到 1000也能看到 是 notie_type92搜索一下notice_type\:92有俩记录还有个 3 元的一共 100314. 请分析机主抖音头像从哪个应用下载的可能性最大该应用的包名是答案格式以实际为准只有在夸克浏览器里面发现了有关头像的记录com.quark.browser15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”请分析这些照片是使用什么应用进行下载的写出该应用的包名。答案格式以实际为准随便看一个照片的路径有无印看 apkuni.UNI3DFAFCD16. 接上题该应用使用的下载链接来自于哪个应用请写出链接来源应用的包名。答案格式以实际为准fileurl 显示的是 douyin同时抖音搜索记录也有可以交叉验证com.ss.android.ugc.aweme提示分析办案人员提取的“手机检材-2.zip”回答下列问题解压但是我把外面的 manifest.plist 文件给复制一份放进去了然后挂载17. 该手机的备份密码是多少四位数字答案格式1234很熟悉的题目找到 manifest.plist 文件放到 passware kit 破解111118. 该手机的备份时间是什么时候答案格式2026-09-09 09:09:09在 manifest 文件里面搜索 data找到2026-09-23T07:02:50Z2026-09-23 15:02:5019. 该手机的序列号是什么答案格式以实际为准英文大写)在 manifest 文件里面尝试搜索 serial命中FD2W71HVJCM020. 该手机的蓝牙MAC地址是多少答案格式英文大写如A0:A1:4E:83:16:B0直接搜索 blue 即可找到C0:A5:3E:82:06:E021. 分析该手机日志文件该手机电池的激活时间UTC8是什么时候答案格式2022-01-23 15:02:53查看手机日志文件发现有三个关于电池的文件夹查看多的那个在这个文件里面找到搜索了一下不是答案在苹果的底层电池和系统时间记录中这个ReferenceWalltime代表的是“参考墙钟时间”简单来说它是系统用来校准硬件时钟RTC的一个初始时间基准点。又看到了同目录下的这个文件查了一下这是一份RTC硬件实时时钟与系统时间System Time的同步校准日志。和上面那个玩意有关系跟题目没啥关系发现直接看文件名貌似就是激活的时间2021-12-26 12:35:27总结了一下三类文件分别从首次记录Once、充电过程OBC和实时状态SBC三个维度记录了电池的完整生命周期。DC_OBC_version1.6_2026-08-06_12_21_18.csv记录内容这个文件属于BDC_OBCOn-Board Charger日志主要记录电池的充电状态和充电参数。它关注的是电池在充电过程中的详细数据比如充电电流、充电电压、充电功率等可以用来分析充电速度、是否快充以及充电时电池的温度变化。BDC_Once_version1.6_2022-01-23_15_02_27.csv记录内容BDC_Once是“一次性”或“首次”记录文件。当一块电池第一次连接到主板或系统首次开始收集这块电池的数据时就会生成这个文件。因此这个文件通常包含电池的初始状态信息例如电池序列号、初始容量、生产信息等是电池的“出生证明”。BDC_SBC_version1.6_2025-09-27_09_26_00.csv记录内容BDC_SBCSmart Battery Case 或 System Battery Controller文件是 BDC 文件夹中信息最丰富、最常用的日志之一。它主要记录电池的实时状态和充电行为包含以下关键字段TimeStamp事件时间戳。CurrentCapacity原始电池容量百分比。IsCharging设备是否在充电。Temperature手机温度摄氏度 × 1000。Amperage电流使用情况mA负值为放电正值为充电。Voltage电压使用情况mV。StateOfCharge另一个电池百分比用于驱动手机 UI 显示。Watts输入功率瓦特可显示慢充或快充。22. 分析该手机的充电记录该手机最近一次被充至 100% 电量的时间是什么请回答时间戳。答案格式以数据库中记录的原始时间戳为准随便看一个电量相关的信息就可以找到数据库sysdiagnose_2026.09.23_14-23-510800_iPhone-OS_iPhone_19D50/logs/powerlogs/powerlog_2026-09-23_14-24_07CAD94F.PLSQL查看一下数据库在这里看到电量 level翻到充到 100 的地方1783544086.853423. 嫌疑人安装蝙蝠.app的时间UTC8是什么答案格式以首次安装请求时间为准如2026-09-09 09:09:09app 安装卸载这只有一个时间后面还有个开始时间是空的还是去看看源文件去日志文件里面 搜索包名 com.zsim.bzychat 已安装找到首次是2026-08-12 18:07:21要加上 8 小时这里因为跟上面的那个时间差 8 个小时所以这个日志文件应该是 UTC 时间24. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的请写出应用包名。答案格式www.tuojieinfo.com还是在这个数据库里面找到相应的表。再回到火眼的预览因为可以直接 unix 时间戳转换发现当天最早 Locked0解锁)记录 timestamp1783534516.5167348换算为 UTC8 2026-07-09 02:15:16id 是 181再查看这个表来看服务和应用时间的对应不知道为什么不是com.apple.APEndpointManagerCarplay.timed在这个表可以看到 屏幕状态记录有点奇怪。打开了com.apple.camera所以解锁了么时间记录02:15:03亮屏显示锁屏com.apple.lock-screen02:15:07出现相机com.apple.camera记录 ID128302:15:09返回锁屏、主屏02:15:12出现电话应用com.apple.mobilephone02:15:16SBLock表记录Locked0首次解锁