文章总结： 这是一篇关于2025年数证杯个人赛的Write-up，作者分享了计算机取证和数据分析方向的解题过程。在计算机取证部分，作者详细介绍了如何破解密码、分析模拟器备份、查找特定文件、解密加密容器等技术方法。在数据分析部分，作者展示了如何通过SQL查询从数据库中提取关键信息，如推荐关系、投资金额、用户增长趋势等。文章提供了实用的取证工具使用技巧和数据分析方法，对参加类似比赛的选手具有参考价值。
综合评分： 87
文章分类： 数据分析,数据安全,应用安全
2025年数证杯个人赛：计算机、数据分析
小谢取证
2025年11月23日 23:39
北京
编者荐语：
布衣大神的WP来了
以下文章来源于取证布衣
，作者lanyongfa
取证布衣
.
office办公软件的交流和学习平台
【PS】二天的比赛终于结束，参加了二届，认识了（有些可能未加好友或者未说过话，但听闻是牛人）来自不同行业、不同岗位的取证的大神们、青年才俊们。长江后浪推前浪。
平时几乎很少写公众号，第一次写那么多！计算机中有个夜神备份，等在手机试题一起发。因官方未公布答案，一些仅供参考。
一、计算机取证
saki密码：D1123
NT哈希：9d4b56ac47eed9cf64e2b66878debb27
比赛中无网络，使用cmd5收费
最后只能使用公司的取证云平台解析
使用这个密码登录为了查看浏览器保存的密码！
仿真后如果需要关闭平板模式的，使用快捷键：win+A
1.请分析计算机检材，用户曾远程连接过IP为192.168.114.51的主机，其远程登陆密码为多少？（答案格式：按实际值填写）
答案：uika
远程连接工具，启动软件Remote Desktop Manager，可以直接查看存储的会话密码：C:\Program Files\Devolutions\Remote Desktop Manager
2.请分析计算机检材，发现嫌疑人有一定的密码构造习惯，依据其密码使用习惯找出嫌疑人购买拷贝的公民信息表格的密码（答案格式：按实际填写）
答案：Doloris@0721
解析：在Chrome浏览器中可以查看其密码构造习惯，及一段固定字符加四个不定数字
可以按照该规则暴力破解其公民信息表格
固定字符：Doloris@
Doloris@0721
3.请分析计算机检材，其中有一模拟器备份文件，请找出用户常用笔记app锁定密码是多少？（答案格式：按实际值填写）
答案：20180818
4.接上题，app中记录了保险箱密码，该密码是？（答案格式：按实际值填写）
答案：20250228
5.请分析模拟器备份，内部转账银行卡号是多少？（答案格式：16位数字）
答案；6214861219932969
6.分析计算机检材, 嫌疑人通过换脸软件一共生成了几张图片？（答案格式：仅数字）
答案：5
在C:\Users\Saki\Documents 有个facefusion_3.1.1
点击启动器启动，打开界面，可以看到输出路径为output文件夹，output文件夹中有5张图片，同时.jobs/completed文件夹下也有5个json文件。
7.接上题，嫌疑人使用换脸软件过程中，选择次数最多的源图片名称？（答案格式：包含后缀，如abc123.jpg）
答案：862281175ea6405abda7f2c9c6934ea7.png
解答：上题中已经有5个json文件，这是换脸软件的日志文件，其中的“source_paths”就是源文件路径，发现选择次数最多的源图片。
8.接上题, 嫌疑人使用换脸软件过程中，一共尝试了几种换脸模型？（答案格式：仅数字）
答案；3
解答：同样查看日志，找到使用的换脸模型处“face_swapper_model”。
统计不一样的值即可
9.请分析计算机检材，嫌疑人有一个密码管理软件，记录了备用机密码，请找到该密码。（答案格式：按实际填写）
答案：22E4828017
答案：密码管理软件Keeppass在比赛中出现不少。在C:\Users\Saki\Pictures\Saved Pictures\保存的图片，找到记录keepass密码的txt
用上面找到的密码打开keepass查看
10.请分析计算机检材,找出文件MD5哈希值为d58c3e31ec6eaecb9026af9821dad645的文件，写出其文件名（答案格式：包含后缀，如abc.exe）
答案：index.4682354987edf.js
解答：对文件大小排序，以及桌面有内存，还有vhd，可能就是需要先提取内存的秘钥文件了。
BitLocker加密的恢复密钥：
373593-428351-679151-463199-488510-484781-386199-578534
利用内存镜像和虚拟硬盘文件在EFDD工具中恢复
373593-428351-679151-463199-488510-484781-386199-578534
在使用取证大师中，使用哈希值比对功能，很快就出结果
\GitHack-master_python3\GitHack-master\eci-2ze2s19ctbnia68twph1.cloudeci1.ichunqiu.com\assets
11.请分析计算机检材，找出虚拟硬盘内隐藏的VC容器，并使用公民信息表格中身份证号为明显伪造者的地址解密，回答该容器中包含多少个文件（答案格式：仅数字）
答案：4
解答：结合题目隐藏的VC容器，在上题匹配的文件：index.4682354987edf.js，使用“刚买到的一会处理.xlsx”中明显位数不正常的身份证号码信息解密看到内部文件。容器密码：山东省济南市历下区经十路200号
12.对计算机检材进行分析，其中有个NAS存储对NAS，磁盘分析，找出姓名为“谢妍尚”的手机号。（答案格式：11位数字）
答案：15743275550
解答：使用取证大师加载NAS的四个镜像文件，
加载成功后，右击扫描磁盘结构
打开即可
二、数据分析方向
9.分析数据库检材，直接推荐了最多下线用户共推荐了多少位下线。（答案格式：仅数字）
答：17
把数据库导入navicate中。使用SQL语句完成
解答：按推荐人ID分组统计，排除空推荐人记录，按推荐数量降序排列取第一条
10.分析数据库检材，用户等级为”合伙人”的用户USDT的总投资金额为？（答案格式1234.12，保留2位小数）
答：15811324.12
解析：关联用户表和交易表，筛选合伙人用户USDT和成功投资交易，使用sum函数计算总投资金额
11.分析数据库检材，平台在2022年度的平均每季度新增用户数为多少？（答案格式：仅数字）
答：623
解答：筛选2022年注册的用户，按季度分组统计新增用户数，计算季度平均新增用户数
12.分析数据库检材，在用户推荐关系网络中，层级最深的用户链条包含_多少个用户。（答案格式：仅数字）
答案：7
解析：使用递归构建推荐关系树，从根节点开始逐层遍历，计算每个节点的层级深度
13.分析数据库检材，该平台用户在同一时间内同时进行2笔以上大额交易（单笔数值>5000）的异常用户有多少人？（答案格式：仅数字）
答：
解答：
14.分析数据库检材，2023年10月11日之前的90天内无任何交易且此前为活跃用户（注册后90天内有过交易）的潜在失效用户有多少？（答案格式：仅数字）
答：891
解答：识别所有有过交易的用户，找出注册后90天内有过交易的活跃用户，筛选最近90天内无交易的用户，统计潜在失效用户数量
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：小谢取证 《2025年数证杯个人赛：计算机、数据分析》