FIC2024——网站重构，数据库绕密

案情简介

2024年4月，卢某报案至警方，声称自己疑似遭受了“杀猪盘”诈骗，大量钱财被骗走。卢某透露，在与某公司交流过程中结识了员工李某。李某私下诱导卢某参与赌博游戏，起初资金出入均属正常。但随后，李某称赌博平台为提升安全性，更换了地址和玩法，转为通过群聊抢红包形式进行赌博。随着赌资不断增加，卢某投入巨额资金后，发现无法再访问该网站，同时李某也失去联系，卢某遂意识到自己被骗。

在经济压力下，卢某选择报警，并承认参与赌博活动，愿意承担相应法律后果。警方依据卢某提供的线索和手机数据，迅速锁定犯罪团伙，并在一藏匿地点成功抓获犯罪嫌疑人李某和赵某。警方对嫌疑人持有的物品进行了证据固定：李某手机被标记为检材1，窝点内服务器为检材2，赵某使用的计算机为检材3。

接下来，请取证工作者根据案情和这些检材进行深入分析，并解答后续问题。

手机部分

1.嫌疑人李某的手机型号是？

A. Xiaomi MI 2s

B. Xiaomi MI 4

C. Xiaomi MI 6

D. Xiaomi MI 8

在分析中没有手机信息，在文档中有一个useragent.txt，可以从中找到

第二种方法可以从开关机日志中，跳转到源文件

能够看到有一个MMB29M的文件夹名

在百度上搜该名称，可以看出这个版本号代表的是小米4

B

2.嫌疑人李某是否可能有平板电脑设备，如有该设备型号是？

A. iPad Pro 11

B. Vivo Pad 2

C. MatePad Pro

D. Xiaomi Pad 6s

在无线连接记录中可以看到连接过一个pad，所以推测这个为嫌疑人平板电脑

D

3.嫌疑人李某手机开启热点设置的密码是?【答题格式：abc123】

在移动热点中也直接能看出来

 

5aada11bc1b5

4.嫌疑人李某的微信内部ID是？【答题格式：wxid_abc123】

 wxid_wnigmud8aj6j12

5. 嫌疑人李某发送给技术人员的网站源码下载地址是什么【答题格式：http://www.baidu.com/adc】

在微信聊天记录里可以看到嫌疑人发过一个二维码

用手机扫描二维码可以出来这么一串佛文

如果做过misc的，基本都知道这是佛文隐写，在百度搜约佛论禅

能够找到该网页

将密文粘贴进入

就能够看到网址

http://www.honglian7001.com/down

这个题如果不知道佛文加密的话，在后面也还有一种办法看到，就是在浏览器浏览的收藏记录中可以看到收藏的地址或者在历史记录中

6.受害者微信用户ID是？【答题格式：abc123】

在聊天记录中可以看到这位受害者

limoon890

7.嫌疑人李某第一次连接WIFI的时间是？

A. 03-14 15:55:57

B. 03-14 16:55:57

C. 03-14 17:55:57

D. 03-14 18:55:57

 可以看到就这一个无线连接记录

跳转到源文件后，可以看到详细信息，能够看到连接时间

B

8.分析嫌疑人李某的社交习惯，哪一个时间段消息收发最活跃？

A. 12:00-14:00

B. 14:00-16:00

C. 16:00-18:00

D. 18:00-20:00

可以看一下聊天记录，大部分集中在16:00-18:00 

C 

9、请分析嫌疑人手机，该案件团伙中，还有一名重要参与者警方未抓获，该嫌疑人所使用的微信账号ID为？【答题格式：wxid_abc123】

wxid_kolc5oaiap6z22

10. 请分析嫌疑人手机，嫌疑人老板组织人员参与赌博活动，所使用的国内访问入口地址为？【答题格式：192.168.1.1:1000/abc】

 在聊天记录中可以看到入口地址

192.168.110.110:8000/login

Windows镜像

1、分析技术员赵某的windows镜像，并计算赵某计算机的原始镜像的SHA1值为？忽略大小写

FFD2777C0B966D5FC07F2BAED1DA5782F8DE5AD6

2、分析技术员赵某的windows镜像，疑似VeraCrypt加密容器的文件的SHA1值为？忽略大小写

在虚拟机仿真后，在文档中能看到有很多东西，2024.fic大概率就是vc加密文件了

在文件中搜一下这个文件

B25E2804B586394778C800D410ED7BCDC05A19C8

3、据赵某供述，他会将常用的密码放置在一个文档内，分析技术员赵某的windows镜像，找到技术员赵某的密码字典，并计算该文件的SHA1值？忽略大小写

在容器文件底下就能看到一个txt文本文件，打开后能够看到是一个密码字典

同样在火眼中找到该文件，计算哈希