Aniparty的博客

检材密码: 2026MXday@20005655。

PC.E01/分区3/Users/parcel_station/AppData/Local/Temp/vmware-parcel_station/VMwareDnD/9ed4bc3f/快递面单图片，但看路径貌似是宿主机和虚拟机拖放过程中暂存的文件夹或文件。本届竞赛围绕案件侦查过程设置取证任务，重点考查参赛选手在计算机取证、手机取证、服务器取证、网络流量分析、电子数据关联分析及案件线索研判等方面的综合实战能力，要求参赛选手通过电子数据分析还原案件经过，查明公民个人信息泄露途径及相关涉案人员的违法犯罪事实。

再查看这个表，找到解锁后的第一个包名，com.apple.APEndpointManagerCarPlay.timed。同时抖音搜索记录也有可以交叉验证，com.ss.android.ugc.aweme。app 安装卸载，这只有一个时间，后面还有个开始时间是空的，还是去看看源文件去。筛选一下，这些是从 0 开始数的所以真实数字都要加一，看起来是 4-1-3。数组的 MD5，转成十六进制字符串，再取前六个字符作为返回值，即是 key。用 vscode 打开，格式化文档，搜索提现可以找到 ，1000。

本文为计算机、手机及服务器多维度电子取证实战总结，涵盖镜像哈希校验、注册表分析、浏览器历史追溯、时间变更定位、压缩包解密、零宽隐写提取、安卓APK逆向、网络流量解析、数据库恢复、日志比对、密码破解（如WPA2四次握手）、固件分析等关键技术。通过工具链协同（如bkcrack、tshark、binwalk）与逻辑推理，成功还原诈骗平台架构、追踪嫌疑人行为轨迹、恢复被删证据，并获取关键凭证与暗号，完整呈现从数据采集到证据链构建的全流程取证能力。

查看 powershell 脚本，0x51，十进制就是 81。

直接搜索.so，发现了在 libcrypto.so用 ida 打开 libcrypto.so 文件，发现两个方法，xorcrypto 和 rot13。

检材给了这个文件，用 010 打开， RNSMa。

185 道题目(9 题未解出)物联网取证 3、15、17、20、30、31、32、33服务器取证 241F4（油门/制动信号）的数据载荷为 64 00 00 00 00 00 00 00 ，其中 0x64=100 表示油门踏板踩至100%，后面都是 050，没有任何制动信号可以判断没有，百分比为 100%检材时区是 UTC+8,所以找到的时间需要减去 8 小时2026-04-21 00:25:35 转化为2026-04-20 16:25:35看一下加密工具的代码，可以看到最后一层是十六进制转换在。

仿照格式 s-dbw1776839203359Goo，拿这个试一试成功进去了，可能证明其他人的数据库密码也是这样的。这个继续在聊天记录里面，先搜索扫描二字，192.168.1.16 192.1681.10，找到了两个。这个很熟悉了，直接搜索包名，选择 data 目录下的，shared_prefs 文件，里面可以找到。当时真没想到，ai 抽风了找了不知道从哪里来的俩 ip，交了个 2。火眼分析出来的这个 discord，查看一下，应该就是。这个题目，先去看了看相关的数据库文件，发现是加密的。