企业官网建设流程全解析

手机取证

提示：分析办案人员提取的“手机检材-1.zip”回答下列问题：

解压挂载即可

1. 分析嫌疑人在该手机登录的小米账号ID为？（答案格式：以实际为准，如1234567890）

在小米运动健康可以找到，3134129162

2. 嫌疑人设定了一个每周六循环的闹钟，该闹钟的备注为？（答案格式：以实际为准，如打精武杯）

给老妈汇款

3. 分析嫌疑人使用的VPN软件，配置的节点服务器地址是什么？（答案格式：不含端口，如192.168.1.1）

看一下， 107.175.0.221

4. 接上题，上述VPN软件在该手机的桌面位置是什么？请写出第几页第几行第几列。（答案格式：页-行-列，如1-2-3）

搜索launcher，查看桌面启动器的 db 文件

筛选一下，这些是从 0 开始数的所以真实数字都要加一，看起来是 4-1-3

• 第几页：screen
• 第几行：cellY
• 第几列：cellX

但 screen 表里面记录了 id 和真正页数的关系，id3 对应的其实是 2

所以答案是 3-1-3

5. 嫌疑人最近一次登录Google账号的日期是什么时候？（答案格式：2026-09-09）

自带浏览器历史记录可见，2026-07-07 22:46:09

6. 在嫌疑人手机相册中发现一张图片文件名异常，经分析该图片进行了数据隐写，请回答该异常图片的文件名称是什么？（答案格式：XXX.png）

有俩个 png，看不出来是哪个，去本地看看

很明显是--密码.png

7. 接上题，该异常图片中隐写的内容为？（答案格式：feiying666）

放到随波逐流里面，lsb 可以分析出来一个二维码

识别一下，http://www.1o1o.xyz，解码 qazokm123

8. 在该手机屏幕第3页第1列第4行的应用是一个伪装的密拍程序，请问机主使用该软件拍了几张图片？（答案格式：9）

根据题目描述参考前面的规律

• 第 3 页：screen3
• 第 4 行：cellY3
• 第 1 列：cell0

查到是计算器

复制包名去看数据

com.androidx.calculator

第一个文件里面有 apk 文件

第二个文件发现了被加密的数据库文件

猜测密钥生成逻辑应该在 apk 里面静态放着

搜索 sqlcipher，找到这里

右键查看一下引用，发现了 keybase 可能就是密码的生成方法

搜索 keybase 找到密钥生成逻辑

计算ones数组的 MD5，转成十六进制字符串，再取前六个字符作为返回值，即是 key

数组的 MD5 是转化为十六进制，然后计算的

c258ba

解密数据库发现了一个 picture 的记录

9. 分析使用该密拍软件拍摄的图片，其中显示器的型号为？（答案格式：以实际为准，如TUOJIE）

查看一下图片，C34H890WGC

10. 机主多次通过购票软件查询出行行程，在北京时间2026年6月24日20:21:33查询的目的城市为？（答案格式：南京）

看看 apk

查数据库，找到了搜索记录

转换一下时间戳

百色

11. 请找到机主在2026-09-20 13:41:20打开的表格文件，该文件的SM3哈希值后四位是什么？（答案格式：英文大写，如12AB）

刚开始想的是用时间线定位一下，发现找不到什么有用的信息

在火眼分析出来的一些证据文件里，就这一个表格文件

想到用全局搜索的方法，这种时间一般会存储到日志文件里面，那么这种时间如何定位呢

无非三种，2026-09-20 13:41:20(UTC或UTC+8)和1789882880000(时间戳)还有快捷回复-2026-04-14 10-23-48-enterprise.xlsx(文件名)

时间的话要注意格式，文件名可以取舍字段，时间戳要防止误差以及时区

这里我直接搜索 1789882880，防止有毫秒级的误差

命中了 1 条， OPEN_DOCUMENT_CURRENT_TIME":1789882880564

文件名时间都对上了

最后计算一下哈希就行了

12. 请分析嫌疑人在2026-09-20 17:39:19时播放的抖音链接为？（答案格式：以实际为准，如https://www.baidu.com/abc/123asad）

时间线，https://www.douyin.com/video/7641161472526150282

13. 请分析嫌疑人在抖音中共手动提现多少元至银行卡？（答案格式：100）

在这里找到了 dy 的 Keva 存储的缓存文件 ，

用 vscode 打开，格式化文档，搜索提现可以找到 ，1000

也能看到 是 notie_type=92

搜索一下notice_type\":92，有俩记录，还有个 3 元的

一共 1003

14. 请分析机主抖音头像从哪个应用下载的可能性最大，该应用的包名是？（答案格式：以实际为准）

只有在夸克浏览器里面发现了有关头像的记录

com.quark.browser

15. 机主相册中有大量的豪车、别墅信息用来“杀猪盘”，请分析这些照片是使用什么应用进行下载的，写出该应用的包名。（答案格式：以实际为准）

随便看一个照片的路径，有无印

看 apk，uni.UNI3DFAFCD

16. 接上题，该应用使用的下载链接来自于哪个应用，请写出链接来源应用的包名。（答案格式：以实际为准）

fileurl 显示的是 douyin

同时抖音搜索记录也有可以交叉验证，com.ss.android.ugc.aweme

提示：分析办案人员提取的“手机检材-2.zip”回答下列问题：

解压，但是我把外面的 manifest.plist 文件给复制一份放进去了，然后挂载

17. 该手机的备份密码是多少？（四位数字，答案格式：1234）

很熟悉的题目，找到 manifest.plist 文件

放到 passware kit 破解，1111

18. 该手机的备份时间是什么时候？（答案格式：2026-09-09 09:09:09）

在 manifest 文件里面搜索 data，找到

2026-09-23T07:02:50Z

2026-09-23 15:02:50

19. 该手机的序列号是什么？（答案格式：以实际为准，英文大写)

在 manifest 文件里面尝试搜索 serial，命中

FD2W71HVJCM0

20. 该手机的蓝牙MAC地址是多少？（答案格式：英文大写，如A0:A1:4E:83:16:B0）

直接搜索 blue 即可找到

C0:A5:3E:82:06:E0

21. 分析该手机日志文件，该手机电池的激活时间（UTC+8）是什么时候？（答案格式：2022-01-23 15:02:53）

查看手机日志文件，发现有三个关于电池的文件夹

查看多的那个，在这个文件里面找到

搜索了一下，不是答案

在苹果的底层电池和系统时间记录中，这个ReferenceWalltime代表的是“参考墙钟时间”，简单来说，它是系统用来校准硬件时钟（RTC）的一个初始时间基准点。

又看到了同目录下的这个文件

查了一下，这是一份RTC（硬件实时时钟）与系统时间（System Time）的同步校准日志。

和上面那个玩意有关系，跟题目没啥关系

发现直接看文件名貌似就是激活的时间

2021-12-26 12:35:27

总结了一下三类文件分别从首次记录（Once）、充电过程（OBC）和实时状态（SBC）三个维度记录了电池的完整生命周期。

DC_OBC_version1.6_2026-08-06_12_21_18.csv

• 记录内容：这个文件属于BDC_OBC（On-Board Charger）日志，主要记录电池的充电状态和充电参数。它关注的是电池在充电过程中的详细数据，比如充电电流、充电电压、充电功率等，可以用来分析充电速度、是否快充以及充电时电池的温度变化。

BDC_Once_version1.6_2022-01-23_15_02_27.csv

• 记录内容：BDC_Once是“一次性”或“首次”记录文件。当一块电池第一次连接到主板或系统首次开始收集这块电池的数据时，就会生成这个文件。因此，这个文件通常包含电池的初始状态信息，例如电池序列号、初始容量、生产信息等，是电池的“出生证明”。

BDC_SBC_version1.6_2025-09-27_09_26_00.csv

• 记录内容：BDC_SBC（Smart Battery Case 或 System Battery Controller）文件是 BDC 文件夹中信息最丰富、最常用的日志之一。它主要记录电池的实时状态和充电行为，包含以下关键字段：

• • TimeStamp：事件时间戳。
  • CurrentCapacity：原始电池容量（百分比）。
  • IsCharging：设备是否在充电。
  • Temperature：手机温度（摄氏度 × 1000）。
  • Amperage：电流使用情况（mA，负值为放电，正值为充电）。
  • Voltage：电压使用情况（mV）。
  • StateOfCharge：另一个电池百分比，用于驱动手机 UI 显示。
  • Watts：输入功率（瓦特），可显示慢充或快充。

22. 分析该手机的充电记录，该手机最近一次被充至 100% 电量的时间是什么？请回答时间戳。（答案格式：以数据库中记录的原始时间戳为准）

随便看一个电量相关的信息就可以找到数据库

sysdiagnose_2026.09.23_14-23-51+0800_iPhone-OS_iPhone_19D50/logs/powerlogs/powerlog_2026-09-23_14-24_07CAD94F.PLSQL

查看一下数据库，在这里看到电量 level，

翻到充到 100 的地方，1783544086.8534

23. 嫌疑人安装蝙蝠.app的时间（UTC+8）是什么？（答案格式：以首次安装请求时间为准，如2026-09-09 09:09:09）

app 安装卸载，这只有一个时间，后面还有个开始时间是空的，还是去看看源文件去

日志文件里面 搜索包名 com.zsim.bzychat 已安装找到首次是2026-08-12 18:07:21要加上 8 小时这里

因为跟上面的那个时间差 8 个小时，所以这个日志文件应该是 UTC 时间

24. 嫌疑人手机在2026-07-09 第一次解锁屏幕是由哪个应用/服务触发的？请写出应用包名。（答案格式：www.tuojieinfo.com）

还是在这个数据库里面，找到相应的表。

再回到火眼的预览，因为可以直接 unix 时间戳转换

发现当天最早 Locked=0解锁)记录 timestamp=1783534516.5167348

换算为 UTC+8 2026-07-09 02:15:16，id 是 181

再查看这个表来看服务和应用时间的对应

不知道为什么不是com.apple.APEndpointManagerCarplay.timed

在这个表可以看到 屏幕状态记录

有点奇怪。打开了com.apple.camera所以解锁了么