文章总结： 本文详解2026年美亚杯电子数据取证竞赛备赛策略，涵盖报名截止9月23日、官方免费培训安排、赛制规则及近五年真题演化趋势。核心发现是检材重心从理论题全面转向手机取证，2025年iOS题量占比高达77.6%，建议选手重点强化移动端数据分析能力并掌握AI工具离线应用技巧。
综合评分： 82
文章分类： 安全培训,实战经验,CTF,安全工具,其他

2026年“美亚杯”赛前备赛篇

原创

小谢
小谢

小谢取证

2026年9月21日 18:21
宁夏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026 备赛专刊 · 赛前篇

2026年“美亚杯”赛前备赛篇

从近五年真题里长出来的备考路线图——2021 到 2025 的考点演化、工具清单、冠军方法论与临场清单

先说最要紧的一件事：2026年“美亚杯”赛前培训已开放报名，报名截止 9 月 23 日 18:00（免费，钉钉扫码，联系人 魏老师 15710609472）。培训 9 月 28 日开班，专门复盘 2023—2025 三届个人赛与团体赛。这是官方口径的“近三年重点题拆解”，性价比远高于自己啃。如果你今年要参赛或带队，先把这个报名做掉，再回来读本文。

一、2026年美亚杯的时间线

美亚杯的日程节奏五年没变过：9 月下旬开放报名、10 月底截止、11 月中旬开赛。官网 meiyacup.sdic.com.cn是唯一报名通道（注意：验证码严格区分大小写，这是每年被吐槽最多的一条），报名审核通过后必须加入钉钉选手群——检材下载地址、解压密码、试用授权、培训课程、成绩查询全部在群里发布，不在群里等于半个弃赛。

| 时间 | 事项 | 状态 |
| — | — | — |
| 9月23日 18:00 | 2026年赛前培训报名截止（免费） | 官方已发布 |
| 9月28日 | 培训开班：内存取证 / 网络流量 / AI 赋能电子数据取证 | 待开课 |
| 9月29日 | 2023 个人赛解析 + 2023 团体赛解析 | 待开课 |
| 9月30日 | 2024 个人赛解析 + 2024 团体赛解析 | 待开课 |
| 10月9日 | 2025 个人赛解析 + 2025 团体赛解析（1–99 题） | 待开课 |
| 10月10日 | 2025 团体赛解析（100–201 题 / 202–264 题） | 待开课 |
| 9月下旬 — 10月底 | 第十二届正式报名（参照第十一届：9月25日—10月31日） | 待官方公告 |
| 11月中旬 | 第十二届开赛（参照第十一届：11月14—17日，正式比赛日 11月15日；厦门线下主赛场 + 线上同步） | 待官方公告 |

原文链接：真题拆解+干货精析！2026年“美亚杯”赛前培训，助您高效备赛

（报名走钉钉扫码通道，联系人 魏老师 15710609472，钉钉同号。）

二、赛制：近五年基本定型

赛事由教育部网络安全与执法专业虚拟教研室主办，国投智能（原厦门市美亚柏科）承办，教育部相关教学指导委员会与中国刑事科学技术协会指导。出题阅卷一直由第三方专业取证实战团队承担，近十余年固定有香港警务处网络安全及科技罪案调查科 + 香港大学参与命题——这也是为什么美亚杯的题目中文常有繁体表达。

几条硬规则，五年没松过：

• 个人赛＝资格赛。

  所有选手必须先通过个人赛，才能参加团体赛。个人赛没及格，团体赛连门都进不去。

• 线上线下是两个赛道。

  分别计分与奖励，线上证书带“线上”字样，不参与线下排名。匿名参赛可在官网查成绩，但不排名不颁奖。

• 团体赛每队限 3 人

  每个单位队伍数量不限，不允许跨单位组队。

• 工具规则：允许本地部署的 AI 工具，禁止使用互联网上的外部资源。

  这条从 2024 届收紧，2025 届写进官方规则。意味着赛场上断网，靠的是你离线电脑里的字典、脚本、本地模型和脑内知识。

• 检材由组委会统一发放

  取证设备与工具自备。第十一届个人赛加密容器 34GB、团体赛加密容器 548GB。

2025 届开始的三个大变化（2026 大概率延续）

| 变化 | 具体内容 | 对你的意义 |
| — | — | — |
| 个人赛获奖率大幅提高 | 线下个人赛获奖比例由往届 2%／4%／6% 提升至 15%／20%／30%；线上由 1%／2%／3% 调整为 3%／4%／6% | 个人赛从“陪跑资格赛”变成真正值得全力打的赛道 |
| 新增三项荣誉称号 | “取证大师”“取证精英”“取证能手”，授予前 102 名（含并列）；奖品含“恢复大师”“取证大师”“智能自动化取证精灵”专业礼包 | 荣誉覆盖面扩大，冲进前 100 就有可写的履历 |
| “美亚精英计划” | 自第十一届试点，向线下个人赛前 20 名颁发就业直通卡或实习直通卡 | 对学生：这已是就业通道，不再是单纯比赛 |

规模上，赛事从 2015 年首届 13 所公安院校、39 名学生，涨到 2024 年第十届 超 3000 人、2025 年第十一届 326 家单位、982 支队伍、近 3000 名选手。参赛主体早已不只是警校：武大、西电、中国政法、公安大学、刑警学院、警察大学，加上各地公安、检察、市监、税务、纪委监委、海关、司法鉴定与企业。竞争强度逐年抬升。

三、近五年真题画像（2021—2025）

下面两张表是我把五届题解逐题过了一遍之后压缩出来的，个人赛与团体赛分开列——很多人看题解时会漏掉这个区分，而它直接决定你该练什么。看的时候注意两件事：一是检材构成怎么膨胀的，二是新考点每年往哪个方向长。

个人赛（同时也是资格赛，先过这一关才能进团体赛）

| 届次／年份 | 案件主线 | 检材构成 | 当年的标志性考点 |
| — | — | — | — |
| 第七届 2021 | 工地主管遭远程入侵，被索要比特币赎金 | iPhone 12 Pro ＋ iPhone XR ＋ Windows 计算机镜像 ＋ 路由器日志 ＋ Linux（FTP／Docker）服务器 | 路由器日志回溯、BitLocker 修复密钥标识符、TeamViewer ID 跨终端关联、HEIC 与 Live Photo、FTP 服务器的 Docker 指令与 Linux 内核版本 |
| 第八届 2022 | 诈骗团伙与钓鱼网站（王晓琳、李大辉、林浚熙） | 安卓手机 ×3 ＋ Windows 计算机 ＋ 虚拟机 ＋ 假网站 ＋ Docker 内的 MySQL | App 数据库逐库翻表（MTR Mobile、KMB 1933）、图片 EXIF 拍摄时间篡改、钓鱼站 process.php 源码倒推密码、虚拟机＋Docker＋MySQL 环境取证 |
| 第九届 2023 | 多服务器、多终端混合案件 | 安卓 ＋ iOS ＋ macOS 虚拟磁盘 ＋ Windows 10／Windows 7 ＋ VPN 服务器 ＋ 流量包 | 大规模理论题登场（Nmap、DHCP、Web 安全、AWS 云、Linux 运维、内存取证、PowerShell）、MFT 簇分配、APFS 与 HFS+ 分区结构、符号链接 |
| 第十届 2024 | Emma 报案牵出 Clara 失踪，进而查出 David 账户内虚拟货币被盗 | iOS ＋ 安卓 ＋ Windows（E01）＋ U 盘（E01）＋ 内存（raw） | 链上资金流分析（BSC／IDFC）、恢复短语推导派生地址、内存取证提取 NTLM Hash／SID／PID、U 盘 NTFS DataRun 手工解析、x64dbg 改汇编绕过登录校验 |
| 第十一届 2025 | 伤人案 ＋ 虚拟货币投资诈骗，剧情与同年团体赛连贯 | iOS ×3 ＋ 安卓 ×1（交叉印证）＋ U 盘（WinPE）＋ 加密容器／加密文件 | iOS 备份伪加密绕过、AirDrop／相册／文件三个 App 交叉关联、WinPE 启动链与 U 盘可启动判定、邮件 MIME 结构与 pdfid、大模型服务器与 AI 对话记录取证 |

个人赛检材规模相对可控，但题目分布最广：手机、计算机、服务器、流量、理论题都可能出现，是最考验基本功的一关。

团体赛（3 人一队，检材按人物身份交叉发放）

| 届次／年份 | 案件主线 | 检材构成 | 当年的标志性考点 |
| — | — | — | — |
| 第七届 2021 | 同一勒索案向外扩展：两名工地职员被加密勒索，叠加网页服务器入侵、挖矿与无人机 | 多台 Windows 计算机 ＋ 网页服务器 ＋ 安卓手机 ＋ macOS 镜像 ＋ U 盘 ＋ 挖矿机（HiveOS）＋ 无人机 | 网页服务器 webshell 与密码哈希、恶意程序加壳方式与编译工具、Volatility 内存进程分析、无人机飞航记录 DAT、矿机 HiveOS 与钱包地址、APFS 偏移值、Kali 虚拟机取证 |
| 第八届 2022 | AGC 集团流媒体服务器被入侵，服务器存储池内藏儿童色情影像 | 多台手机 ＋ Linux 流媒体服务器 ＋ RAID 磁盘阵列 ＋ Docker／WordPress 站点 ＋ 网络流量 | Linux 服务器 ssh 成功与失败登录统计、RAID 级别判定、Docker 镜像与运行状态、WordPress 评论留痕、磁盘阵列中检索被隐藏的影像文件 |
| 第九届 2023 | 命案 ＋ 木马病毒 ＋ 图片隐写（李佩妍、李哲图、陈大昆等） | Windows 10 计算机 ＋ Kali 虚拟机 ＋ iOS／安卓手机 ＋ 航拍机 ＋ 加密压缩包 | Kali 虚拟机时区与攻击痕迹、Facebook 群组与登录记录、木马文件定位、key.bmp 图片隐写与隐写工具识别、智能家居 App 门铃通知记录 |
| 第十届 2024 | AI 换脸诈骗：Tom Victor 的秘书 Amy 被“视频会议”骗走 1000 万 IDFC | 多台手机 ＋ David 笔记本（E01）＋ Ben 笔记本 ＋ 加密文件 | WhatsApp msgstore.db 表结构与 message_type、恶意 APK 逆向（AhMyth：smali、C2 地址与端口、权限、图片压缩比）、加密文件解密链、AI 换脸与资金流交叉印证 |
| 第十一届 2025 | Manson 公司“IQ Coin”（BEP-20）投资诈骗，叠加 AI 换脸变声与内网入侵 | 邮件材料（EML）＋ 手机 ×5 ＋ 多台笔记本 ＋ NAS ＋ 邮件服务器 ＋ 网页服务器 ＋ 流量包（CEO_Traffic.pcapng）＋ 摄像头存储卡 ＋ Kali 虚拟机 | 邮件头溯源（ARC、Received 链、Message-ID 伪造、TLS 套件）、BEP-20 链上资金流、AhMyth 类恶意 APK、广告机信息发布系统、智能家居与 AirTag、OCR 使用痕迹、DeepFaceLive 换脸取证 |

题解站：forensics.xidian.edu.cn/writeups —— 2021 至 2025 五届美亚杯个人赛、团体赛题解齐全，是中文圈最完整的公开题解集合。

四、近三届资格赛拆解：检材 · 通讯软件 · 解题手法

个人赛就是资格赛——先过这一关，才有团体赛的资格。所以这一节把 2023、2024、2025 三届资格赛（100 / 100 / 98 题）全部拆开：题量压在哪些检材上、哪几个通讯软件年年出现、以及一个绕不开的问题——哪些题综合取证软件点几下就出答案，哪些题必须自己开数据库、翻表、写 SQL。

数据来源是西电 XD Forensics Wiki 三届个人赛题解的逐题复盘（含解题过程描述），不是猜的。

4.1　检材比重：手机从两成涨到近八成

先把三届的题量按检材类型摊平（括号内为占该届总题数比例）。

| 检材类型 | 2023（100 题） | 2024（100 题） | 2025（98 题） |
| — | — | — | — |
| 手机 iOS 检材 | 14（14%） | 24（24%） | 76（77.6%） |
| 手机 Android 检材 | 7（7%） | 34（34%） | 6（交叉印证） |
| 计算机镜像（Windows／macOS） | 30（30%） | 10（10%） | 0 |
| U 盘／移动存储 | 0 | 10（10%） | 15（15.3%） |
| 内存镜像 | 0 | 4（4%） | 0 |
| 服务器／网络设备 | 7（7%） | 0 | 0 |
| 流量包 | 2（2%） | 0 | 0 |
| 程序逆向／加密容器 | 0 | 8（8%） | 含在 U 盘部分 |
| 区块链／虚拟货币 | 0 | 10（10%） | 7（7.1%） |
| 理论题（网络／Web／运维／数据库） | 40（40%） | 0 | 0 |

一句话结论：2023 年还是「理论题＋多种检材平均撒开」的老打法，2024 年突然收拢到手机为主（58%），2025 年直接把近八成的分数堆在手机上——3 台 iPhone 备份撑起 76 道题，另有 6 道要靠陈民浩那台三星安卓机的数据交叉印证。手机取证的熟练度，基本决定了你能不能进团体赛。

一个最容易数错的细节：2025 年安卓检材并没有消失。
2025 个人赛题解按检材分了 5 个小节（3 台 iPhone ＋ 1 个 U 盘 ＋ 虚拟货币截图），只看小节标题会误以为「只剩 iOS」。但陈民浩名下还有一台三星安卓手机（Samsung SM-G930F，团体赛里的独立检材 blk0_sda.bin），个人赛至少 第 7、14—18 题要读它的数据来作答或印证：第 15 题的 Send Anywhere 设备 ID 要去安卓侧 /data/com.estmob.android.sendanywhere/databases/main.db 的 devices 表核对，第 16、17 题要靠安卓机里的截图目录确认「截图是从安卓机发给 iPhone 的」。
教训：检材数量不能只数题解的分节标题——题干点名的、甚至选项里出现的文件名，都要单独确认一次。

三届的具体模块与题号分布如下，可以直接拿去对照题解做专项练习。

| 2023 第九届 · 模块 | 题号 | 题量 |
| — | — | — |
| 手机（Android） | 1–7 | 7 |
| VPN 服务器 | 8–14 | 7 |
| 流量分析 | 15–16 | 2 |
| 理论题：计算机网络与 Nmap | 17–24 | 8 |
| 计算机（macOS 虚拟磁盘 .img） | 25–31 | 7 |
| 计算机（Windows） | 32–45 | 14 |
| 理论题：Web 安全 | 46–52 | 7 |
| 手机（iOS） | 53–66 | 14 |
| 理论题：运维／组网／Linux 基础 | 67–87 | 21 |
| 计算机（Windows 10） | 88–89 | 2 |
| 计算机（Windows 7） | 90–96 | 7 |
| 理论题：内存取证与数据库 | 97–100 | 4 |

| 2024 第十届 · 模块 | 题号 | 题量 |
| — | — | — |
| Emma 的手机（iOS，文件集合） | 1–24 | 24 |
| Clara 的手机（Android 镜像） | 25–48 | 24 |
| David 的手机（Android 文件集合） | 49–58 | 10 |
| 内存取证（RAM .raw） | 59–62 | 4 |
| David 的 U 盘（8GB E01） | 63–72 | 10 |
| 剧情 4：BitLocker.exe 程序逆向 | 73–80 | 8 |
| David 的笔记本电脑（64GB E01） | 81–90 | 10 |
| 案件综合分析（区块链交易追溯） | 91–100 | 10 |

| 2025 第十一届 · 模块 | 题号 | 题量 |
| — | — | — |
| 陈民浩的手机（iOS） | 01–24 | 24 |
| 陈民浩的手机（安卓，交叉印证） | 07、14—18 | 6 |
| 冯子超的手机（iOS） | 25–61 | 37 |
| 梁燕玲的手机（iOS） | 62–76 | 15 |
| 梁燕玲的 U 盘（WinPE／加密容器） | 77–91 | 15 |
| 虚拟货币截图 | 92–98 | 7 |

三条趋势，2026 大概率延续：
① 手机是主战场——占比 21% → 58% → 77.6%，投入产出比最高，先练这个。
② iOS 备份解析从「可选项」变成「必选项」——2025 三台主检材手机全是 iOS 备份，且都被人为设置了备份密码（伪加密），要么弱口令爆破、要么改 Manifest.plist 标志位绕过。但安卓并没有退出：陈民浩那台三星 SM-G930F 安卓机在个人赛要用于交叉印证，在团体赛里更是独立检材（第 218—234 题，另加智能家居第 169—177 题）。
③ 理论题归零——2023 有 40 道理论题，2024、2025 全部改成实操。别再背题库，练手。

4.2　常考的即时通讯软件：WhatsApp 与微信是双主力

三届真题里作为正式检材（不是背景道具）出现过的通讯类软件，按出现频率整理如下。

| 软件 | 出现届次 | 数据文件与典型路径 | 三届高频考点 |
| — | — | — | — |
| WhatsApp | 2023／2024／2025 三届全勤 | iOS： group.net.whatsapp.WhatsApp.shared/ ChatStorage.sqlite | 账号 ID（[email protected]）、群组与社群、管理员与群主、频道关注数、投票活动、通话记录（含未接）、位置消息经纬度、群组创建时间 |
| 微信 WeChat | 2023／2024／2025 三届全勤 | iOS：com.tencent.xin/…/ message_*.sqlite（消息）、 finder/db/finder_main.db（视频号） Android：com.tencent.mm/MicroMsg// | 消息 XML 原始数据与图片 aeskey、视频号关注数、最后登录的微信 ID、注册验证码、删除了哪些消息 |
| Telegram | 2024 | 短信验证码落在短信库／Contents.db 中 | 注册／登录验证码、本地缓存 |
| Instagram／Facebook | 2023／2025 | iOS：com.burbn.instagram.plist com.facebook.Facebook.plist | 应用版本号、安装时间 |
| QQ | 2024（工具支持） | 超级取证大师工具集内存镜像解析模块支持微信／QQ 密钥提取 | 密钥提取、聊天库定位 |
| 短信与通话记录 | 三届全勤 | sms.db / CallHistory.storedata Android：mmssms.db | 通话次数（按时间段）、短信验证码、联系人信息 |
| AI 聊天类 App（POE 等） | 2025 | iOS：com.quora.app.Experts/ Documents/apollo_db.sqlite | 提问原文与时间、使用的机器人、使用者名称 |

给你省点时间：钉钉、飞书、企业微信、Skype、Zoom、ToDesk 这些只出现在 2025 年选手复盘提到的「监考软件黑名单」里——那说明大家电脑上装着，但不代表它们会作为检材考你。备赛期把力气压在 WhatsApp 和微信的两个数据库上，收益最高。

4.3　哪些题工具能直接解，哪些必须人工解析

这是三届复盘里最容易被忽略、但影响临场节奏的一件事。先说总的经验比例（按 2024、2025 两届题解的解题叙述口径估算）：综合取证软件自动解析能直接出答案的约六成，必须打开数据库／配置文件人工解析的约三成，剩下约一成要靠脚本、专用工具或逆向。

一、工具直接解出（自动解析即可）

这类题的共同点是「答案已经被工具解析成结构化字段」，你要做的是找对位置、筛对条件。

• 设备与系统基本信息

  ：操作系统版本、IMEI／ICCID、Apple ID、序列号、时区、系统安装时间。

• 网络痕迹

  ：曾连接的 Wi-Fi 列表（SSID 与首次连接时间）、蓝牙配对设备、个人热点名称、DHCP 服务器地址。

• 应用层

  ：已安装应用列表与版本号、浏览器历史与书签、通讯录、通话记录、短信。

• 聊天软件的「列表级」信息

  ：账号 ID、会话／群组列表、群组名称、消息条数、频道关注数——火眼的「微信」「WhatsApp」分析结果里能直接看到。

• 文件层

  ：文件清单与路径、回收站内容、USB 设备连接记录、图片 EXIF 与拍摄参数、分区格式（火眼文件目录里能翻出 GPT Header）。

• 内存

  ：进程列表与 PID、进程导出、哈希值、SID。

代表题：2025 年第 1–9 题（设备基本信息一整组）、第 47／49 题（微信与 WhatsApp 账号直接可见）、2024 年第 7 题、2023 年第 3 题（超级取证大师按包名过滤非预装应用）。

二、必须人工解析（数据库／配置文件／底层结构）

工具给不出答案，或者给的是错的、半截的——这类题目才是拉开差距的地方。按三届出现过的形态分成六类：

| 类型 | 为什么工具不行 | 三届典型题 |
| — | — | — |
| 问数据库文件名／表名／字段名 | 工具界面不暴露表结构，只给你结果 | 2023-Q64 哪份表格显示通话记录 2024-Q41 哪个数据库文件存微信消息 2024-Q42 WhatsApp 消息存在哪个 .db |
| 需要按字段过滤或跨表关联 | 工具只做常规解析，不认业务字段 | 2025-Q58 投票活动（ZWAMESSAGE 与 ZWAMESSAGEINFO 联表＋Protobuf 解码） 2025-Q74 位置消息（ZWMEDIAITEM 表 Z_PK=504） 2024-Q22 实况照片（Photos.db 的 ZVIDEOCPDURATIONVALUE 字段） |
| 工具没有解析出来的库 | 格式特殊或缺 schema，解析直接跳过 | 2024-Q29 bigTopDataDB（火眼未解析，需 CyberChef 解码） |
| 工具忽略了关键字段 | 开发者按常规场景取舍了展示项 | 2024-Q8 蓝牙 UUID（火眼只给 MAC 地址） 2025-Q48 视频号关注数（需跳转源文件看 finder_main.db 的 followState 字段） 2025-Q74 火眼给出的 GPS 与库中原始值不一致 |
| 文件系统底层结构 | 自动解析只到文件级，不到簇／记录级 | 2024-Q63~72 簇大小、Run List、DataRun 的 Offset／Length（010 Editor 或 MFT Browser） 2025-Q77／78 分区表（FTK Imager、X-Ways 技术细节报告） |
| 加密容器与程序逆向 | 属于另一个工种 | 2025-Q84／91 VeraCrypt 加密容器（密钥文件挂载） 2024-Q73~80 BitLocker.exe 逆向（x64dbg／IDA／010 Editor 打补丁） |

三、按检材模块看倾向

| 检材模块 | 工具直出 | 人工解析 | 说明 |
| — | — | — | — |
| 手机 · 设备与系统信息 | 主 | — | 操作系统、IMEI／ICCID、Apple ID、Wi-Fi 列表、个人热点、蓝牙（UUID 字段除外） |
| 手机 · 应用与浏览器 | 主 | — | 已装应用列表与版本、浏览器历史与书签、搜索关键词 |
| 手机 · 通讯录／通话／短信 | 主 | — | 联系人字段、按时间段的通话次数、短信验证码 |
| 手机 · 聊天记录细节 | 部分 | 主 | 群组与社群、管理员、频道、投票、位置消息、被删除的消息——多数要落到库和字段 |
| 手机 · 图片与视频元数据 | 部分 | 全部 | 拍摄参数、GPS 工具能看；一旦问「多少张／多少段」就得用 SQL 过滤 |
| U 盘／磁盘镜像 · 文件级 | 主 | — | 文件清单与路径、回收站、删除的文件、分区格式 |
| U 盘／磁盘镜像 · 文件系统底层 | — | 全部 | 簇大小、DataRun、Run List、Offset／Length、分区表技术细节 |
| 内存镜像 | 主 | 部分 | 进程列表、进程导出、哈希、SID；账户哈希需指定插件 |
| 加密容器 | — | 全部 | VeraCrypt 容器识别与密钥文件挂载 |
| 程序逆向 | — | 全部 | x64dbg／IDA 定位校验逻辑、内存偏移、打补丁 |
| 区块链／虚拟货币 | — | 全部 | 链上浏览器查交易、助记词还原地址、交易次数与金额统计 |
| 服务器／流量包 | 部分 | 主 | 日志与配置文件、端口与服务、Nmap 扫描识别、协议分析 |

四、还要留一手：拿不到入口的题

2025 届的两个「毒点」值得单独记一下（当年不少选手卡在这里）：
① iOS 备份伪加密——检材其实是解密后的文件，但提取工具写了个假的加密标志，直接用软件挂载会问你要密码。解法：用 Plist Editor 把 Manifest.plist 的加密标志改成 false，或删掉 Manifest.db 再挂载；也可以 0000／1234 弱口令爆破。但现在超级取证大师的手机解析已经默认会跑常见的密码，即直接加载即可。2022团体赛的苹果备份文件也进行了加密，可以使用passwarekit对Manifest.plist文件进行爆破即可，就能得到密码2022
② 压缩包密码没给出——要把自己整理的重要信息（生日、纪念日、钱包地址、各题答案）随手记成一个 txt，爆破时当字典用，配合弱口令字典和 6 位以下数字掩码。

4.4　人工解析必练的四类操作

| 操作 | 工具 | 必须会做的事 |
| — | — | — |
| SQLite 数据库查询 | DB Browser for SQLite Navicat Premium Realm Studio | 打开库看表结构；按字段过滤；跨表 JOIN；时间戳转换（iOS 用 Cocoa Core Data 时间戳，2001-01-01 起算；Android 常用 Unix 时间戳）。Realm 用于发送文件类 App（如 Send Anywhere）。 |
| 配置文件与 plist | Plist Editor Pro VS Code（Plist 插件） | 读备份与系统配置；改 iOS 备份加密标志位；从 com.apple.wifi*.plist 里取 Wi-Fi 细节；从应用 plist 取版本号与账号。 |
| 编码与解码 | CyberChef 010 Editor | Protobuf 十六进制还原（WhatsApp 投票记录）、Base64、微信消息 XML 里的 aeskey；十六进制编辑器用于文件系统底层与程序补丁。 |
| 脚本化处理 | Python 3 HashMyFiles | 批量时间戳转换、批量哈希计算与比对、BIP-39 助记词校验、导出结果去重排序。三届里凡是「多少个」「第几条」的计数题，脚本都比手点靠谱。 |

4.5　按这个优先级练，性价比最高

• 第一优先：iOS 备份解析全流程

  ——解压、处理备份加密标志、挂载成文件集合、用自动分析先跑一遍。2025 年三台主检材手机全是 iOS 备份，这是门票；安卓侧的数据（如陈民浩的三星机）要随时能调出来交叉印证。

• 第二优先：WhatsApp 与微信的数据库

  ——ChatStorage.sqlite 的会话／消息／媒体三张主表，微信的 message_*.sqlite 与 finder_main.db。把表名和字段名抄在纸上，临场省时间。

• 第三优先：Photos.sqlite 与图片元数据

  ——三届都考，且极易出「按条件计数」题，必须用 SQL 过滤而不是肉眼翻。

• 第四优先：文件系统底层

  ——簇大小、DataRun、Run List、分区表。用 010 Editor 和 MFT Browser 各练一遍。

• 兜底技能：弱口令字典与爆破

  ——iOS 备份密码（0000／1234）、压缩包密码、VeraCrypt 容器。准备好自己的字典文件。

五、跨届重复考点：第十一届（2025年）考过、历届也考

把 2021—2025 五届个人赛（也就是资格赛）的题解逐题拆开、按知识点重新聚类，一共 424 道题。目的只有一个：找出哪些知识点是反复考的。结论很直接——有 15 类考点五届一场都没落下，另有 3 处几乎是原题照搬。

5.1 五届全勤榜：这些考点一届都没落过

下表按「跨届次数」排序。✓ 表示该届有题目命中这个知识点（题干或解法里出现）。排名靠前的，就是不管你练哪一届题都得会的东西。

| 考点 | 2021 | 2022 | 2023 | 2024 | 2025 | 跨届 |
| — | — | — | — | — | — | — |
| 隔空投送 AirDrop | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 蓝牙与蓝牙设备 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 地理位置与经纬度 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 相册与照片元数据 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 浏览器与上网记录 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 即时通讯软件 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 邮件与邮箱 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 密码、口令与爆破 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 数据库表与字段 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 时间戳与 UTC 时区换算 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 删除与数据恢复 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 哈希校验 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 系统痕迹与日志 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 隐写与多媒体元数据 | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| 应用安装信息（版本 / 包名） | ✓ | ✓ | ✓ | ✓ | ✓ | 5 届 |
| IMEI / ICCID 等设备标识 | ✓ | ✓ | — | ✓ | ✓ | 4 届 |
| 云备份与 iCloud | ✓ | ✓ | ✓ | — | ✓ | 4 届 |
| 虚拟货币与钱包 | ✓ | ✓ | — | ✓ | ✓ | 4 届 |
| 服务器与虚拟化 | ✓ | ✓ | ✓ | — | ✓ | 4 届 |
| 恶意程序与 APK | ✓ | — | ✓ | ✓ | ✓ | 4 届 |
| 转账与支付记录 | ✓ | ✓ | — | ✓ | ✓ | 4 届 |
| WiFi 连接记录 | ✓ | — | — | ✓ | ✓ | 3 届 |
| 内存取证 | — | — | ✓ | ✓ | ✓ | 3 届 |
| 通话与短信 | — | — | ✓ | ✓ | ✓ | 3 届 |
| 外接设备与 U 盘 | — | — | ✓ | ✓ | ✓ | 3 届 |

三点读法：

• 跨 5 届的 15 类里，AirDrop、蓝牙、地理位置、相册、浏览器、即时通讯这六类是手机检材的「必修课」，练熟它们等于稳拿手机部分的大半分数。

• 时间戳与 UTC 时区换算

  五届全勤，而且是纯送分题——只需要记得加 8 小时。但五届都有人错。

• 外接设备与 U 盘

  从 2023 年起连续三届出现，2025 一次出了十几题（分区表、WinPE、加密文件），明显是在加码。

5.2 三处「原题复现」：题干几乎照搬

这是本文最有价值的一节。把五届题干两两做相似度比对后，有三组题目的问法、选项结构、考的知识点几乎完全一致——只是换了年份和检材里的人名。这种题，背下解法就是白送分。

| | | 早期版本 |
| — | — | — |
| ① 照片源信息判断 重合度最高 | 2021 第七届 Q37 阿力士 iPhone XR 中相片档 IMG_0056.HEIC 提供了什么电子数据取证的信息？ A. 此相片由隔空投送得到　B. 此相片由 iPhone XR 拍摄　C. 拍摄时间为 2021-10-21 17:45:48(UTC+8)　D. 拍摄时间为 2021-09-08 17:35:00(UTC+8) | 2024 第十届 Q21 Emma 的 iPhone XR 中相片文件「IMG_0009.HEIC」提供了什么电子证据信息？ A. 此相片由隔空投送得到　B. 此相片由 iPhone XR 拍摄　C. 拍摄时间为 2024-08-05 13:38:15(UTC+8)　D. 拍摄时间为 2024-08-06 08:30:52(UTC+8) 答案 BC：机型看元数据，时间要转 UTC+8 |
| ② 装了哪些即时通讯软件 | 2022 第八届 Q2 王晓琳的手机安装了什么即时通讯软件？ A. WhatsApp　B. WeChat　C. LINE　D. Signal　E. QQ　答案 A | 2023 第九届 Q2 李大辉的手机安装了什么即时通讯软件？ A. WhatsApp　B. LINE　C. 微信　D. Signal　E. QQ　答案 A 题干、选项结构、答案位置完全一致 |
| ③ 蓝牙设备的 UUID | 2021 第七届 Q9 以下哪个蓝牙装置的 UUID 曾连接过工地主管的手机？（多选） 解法：跳转源文件数据库，看连接过的记录 | 2024 第十届 Q8 Emma 手机的蓝牙设备名称「ELK-BLEDOM」的通用唯一标识符（UUID）是什么？ 答案 8D13F23C-… 火眼界面只显示 MAC，UUID 要去 com.apple.MobileBluetooth.ledevices.other.db 里取 |

这三组题说明了出题逻辑：美亚杯的题库是有「母题」的。同一个母题隔两三届换个人名、换个检材就再考一次。所以刷题不要只记答案，要记住母题的解法路径——比如第 ① 组，只要看到「某张照片提供了什么取证信息」，就固定做三件事：查元数据看拍摄机型、查时间字段并转 UTC+8、查来源判断是否为 AirDrop／第三方 App 传入。

5.3 第十一届考点逐项对回历届

下面这张表以第十一届（2025）的考点为基准，逐项对回 2021—2024 出现过的地方，并标出数据位置和五届的考法变化。左列是 2025 的题号，可以直接拿去对题。

| 考点（第十一届题号） | 历届同考点题号 | 数据位置 / 手法 | 五届演进 |
| — | — | — | — |
| 空投传输记录 Q12、Q31—Q33 | 2021 Q2、Q37 2022 Q35 2023 Q65 2024 Q21 | com.apple.sharingd.plist（本机 AirDrop ID） CoreDuet/People/interactionC.db → ZINTERACTIONS.ZTARGETBUNDLEID Photos.sqlite → ZSHARE（分享次数） | 从「报 AirDrop ID」升级为「从传输记录反推传了哪些文件」 |
| 蓝牙 Q6 | 2021 Q9 2022 Q35（干扰项） 2023 Q79 2024 Q8 | iDevice_info.txt（蓝牙 MAC） DB/com.apple.MobileBluetooth. ledevices.other.db（UUID 字段） | 从「哪些 UUID 连过手机」到指定设备查 UUID，再到直接问 MAC |
| WiFi 与热点 Q7—Q9、Q26—Q28 | 2021 Q6、Q39 2024 Q51、Q88、Q89 | com.apple.wifi-private-mac- networks.plist com.apple.wifi.plist Preferences（热点密码） | 从「连过哪个、密码多少」升级为隐私 MAC、EAP、时间换算 |
| 即时通讯与登录 Q10、Q11、Q47—Q57、Q71 | 2022 Q2—Q5 2023 Q2、Q4、Q5 | Manifest.plist（版本号） ChatStorage.sqlite （会话、社群、投票、通话） message_*.sqlite、finder_main.db | 从「装了哪个软件」升级为登录 ID、认证短码、通话号码 |
| 相册与图片元数据 Q23、Q24、Q30—Q36、 Q38—Q41、Q63—Q65 | 2021 Q26—Q28、Q31、Q34、Q36—Q37 2022 Q8—Q9、Q13—Q14、Q17、Q23、Q27—Q28、Q33—Q36 2023 Q3、Q7、Q58—Q59 2024 Q15—Q24、Q37、Q43—Q46 | Media/PhotoData/Photos.sqlite ZASSET / ZSHARE / ZMEDIAANALYSISATTRIBUTES 三表 JOIN | 从「看一眼图片属性」升级为写 SQL 关联查询、按导入应用反查 |
| 浏览器与上网记录 Q20—Q22 | 2021 Q5、Q14、Q18、Q53 2022 Q12、Q44—Q46 2023 Q8、Q47、Q50、Q52 2024 Q9、Q14、Q32、Q86、Q91 | History.db（Safari / Chrome） 浏览器扩展存储目录 | 五届全勤；2024 起新增「浏览器装了哪些扩展」这类题 |
| 时间戳与 UTC+8 换算 Q27、Q33 | 2021 Q37、Q40 2024 Q21 | 各处数据库时间字段、plist 时间戳 | 五届全勤，也五届都有人在这里丢分。 给 UTC 时间必须自己加 8 小时 |
| 设备标识 IMEI Q2—Q4 | 2021 Q4 2022 Q1 2024 Q7（ICCID） | Info.plist（1 个 IMEI） iDevice_info.txt（2 个 IMEI） | 2025 加码：两个文件给出不同 IMEI，需自行判断哪个对 |
| iCloud 与 Apple 账号 Q62 | 2021 Q40 2022 Q10 | 设备信息中的备份记录 AppDomainGroup 备份目录 | 从「iCloud 最后备份时间」到「iCloud 注册邮箱」 |
| 虚拟货币与钱包 Q92—Q97 | 2022（2 题） 2024 Q13—Q18、Q56、Q58 | 钱包地址、助记词、链上转账记录 | 2024 起成为主线（盗币案），2025 进团体赛（IQ Coin） |
| 加密容器与压缩包 Q81、Q84、Q91 | 2024 Q79、Q80 | VeraCrypt 容器、BitLocker Key 内存偏移、加密压缩包 | 从「内存里找 BitLocker 密钥」到「识别 xcontainer 加密算法」 |
| U 盘与外接存储 Q77—Q80、Q89—Q91 | 2023 Q31、Q39 2024 Q63—Q72 | 分区表、簇大小、DataRun、WinPE 结构 | 2025 大幅加码：分区数量与类型、可否开机、WinPE 版本 |

5.4 从重复规律看 2026

把重复规律和 2025 的加码方向叠在一起，可以给出几个比较确定的判断：

• 手机基础题仍是最稳的分仓

  ：AirDrop、蓝牙、WiFi、相册、浏览器、即时通讯这六类连续五届出现，2026 基本不可能跳过。练法是固定动作——遇到照片就想元数据三件事，遇到蓝牙就去找 ledevices 数据库。

• 「多来源冲突」是新趋势

  ：2025 的 IMEI 题给了两个文件、两个不同值，让你判断哪个对。这类题在 2026 很可能扩散到其他信息上（WiFi 列表、设备名称、时间字段），要养成「交叉验证」的习惯而不是取第一个看到的值。

• U 盘／外接存储会继续加

  ：2023 只有 2 题，2024 扩到 10 题，2025 直接十几题，还上了分区表和 WinPE。用 010 Editor + MFT／分区工具各练一遍，性价比很高。

• 虚拟货币与加密容器已成常态

  ：2022 零星出现，2024 成为主线（窃取虚拟货币），2025 直接进团体赛。钱包地址、助记词、链上交易三件事至少要有一次完整实操经验。

• 反向提醒

  ：输入法／剪贴板类考点五届命中数为 0，别在这上面花时间；流量分析只在 2023 集中出现过一次，个人赛优先级也不高。

六、考点权重：把时间花在哪儿

| 模块 | 五年定位 | 2026 建议投入 |
| — | — | — |
| 手机取证（iOS / 安卓） | 年年是主力，题量最大，占总分三成以上 | 最优先。iOS 与安卓都要能脱离商业软件手翻数据库 |
| 服务器与组网取证 | 从 2021 的 FTP，到 Docker / 宝塔 / RAID / ESXi / NAS / 邮件服务器 / 大模型服务器 | 高。这是团体赛的主战场，也是历年冠军的强项 |
| 虚拟货币链上分析 | 2021 只是零星一问，2024 已成整块剧情，2025 贯穿两场 | 高。地址派生、交易图、浏览器查链要滚瓜烂熟（离线！） |
| 内存取证 | 2023 起以理论题＋实操题双形态稳定出现，2024 考 NTLM / SID | 中高。Volatility 命令要能背，注册表 hive 要会单独提 |
| 逆向与文件系统底层 | 2024 的 x64dbg 改汇编、DataRun 手工解析；2025 的 WinPE 启动链 | 中。这块是拉开差距的地方，中等水平选手普遍丢分 |
| 理论题（网络 / Web / Linux / 云 / 脚本） | 2023 一届就出了 50 多道，之后成为固定配额 | 性价比最高。不用检材、不烧机器，纯知识，白送的分 |
| 隐写 / 密码学 / 大模型取证 | 2025 案情明确把主角设定为“密码学与隐写术爱好者”，官方培训 2026 单列“AI 赋能电子数据取证” | 上升明显。这是 2026 最可能加码的方向，别当冷门 |

七、工具清单（2025 届选手实战版）

这份清单来自第十一届个人赛与团体赛的实战复盘，是赛场当天真正用过的工具，不是网上抄的“装备大全”。赛前务必把每一类都跑通一遍，尤其注意离线可用性。

| 类别 | 工具 |
| — | — |
| 介质取证 | 超级取证大师、X-Ways Forensics、FTK Imager、UFS Explorer Professional Recovery、iLEAPP、Autopsy |
| 数据库 / 数据格式 | DB Browser for SQLite、Navicat Premium、Realm Studio、Plist Editor Pro、Realm / plist 专用查询脚本 |
| 虚拟机 / 环境 | VMware Workstation Pro、WSL2（Arch / Debian） |
| 编辑器 / 十六进制 | VS Code（Plist 插件）、010 Editor、Plist Editor Pro、福昕高级 PDF 编辑器 |
| 逆向 / 隐写分析 | IDA Pro、JADX、Frida、x64dbg、DetectItEasy、pdfid、binwalk |
| 加密 / 密码 | VeraCrypt、TrueCrypt、HashCat、Passware、CyberChef、BIP-39 助记词工具 |
| 本地大模型 | Qwen3.6 35B A3B+ Workbuddy 等本地前端(见文章：AI取证实战第09期：利用本地离线大模型做题的优化实践) |
| 团队协作 | 局域网 + FTP Server（Windows 资源管理器自带即可）、HedgeDoc 协同笔记 |
| 杂项 | Python 3.13、HashMyFiles、IrfanView、Utools（二维码 / 翻译插件）、QR Research、Thunderbird、UmiOCR_Paddle、WhisperKit（离线字幕）、WindowsRegistryRecovery |

2025 届的两条“毒点”，2026 极可能复现：

① iOS 备份伪加密。提取工具导致所有 iOS 检材挂载时要求密码，但实际内容已是解密后的文件。多数检材密码是 4 位弱口令（0000 / 1234），用 Passware 或 HashCat 掩码爆破即可；也可以把带 _DEC 后缀的解密文件覆盖原始加密文件、或直接改 Manifest.plist 的加密标志位来绕过。团体赛有一台手机不是弱口令，爆破不出来。

② 压缩包密码未给出。虚拟货币截图检材的压缩包密码需要猜或结合已有信息爆破。所以——离线弱口令字典必须自备。

八、方法论：冠军和冠军战队怎么做

第十届个人赛冠军戴熙来：先统筹、再稳打、后深挖

• 开赛先扫一遍全部题目，

  摸清案子结构和关键线索，再分配时间。不然容易陷进一道题耽误全局。

• 先易后难、抓大放小。

  初期跳过复杂镜像分析，先吃掉简单题；简单题做完，整个案情的基本认知框架就搭起来了，后面分析才有方向。

• 准确比快更重要。

  漏一个细节，整道题白做。

• 由面到点。

  先理人物关系和案件脉络，再回头细挖具体文件。

• 提炼题目里的中英文关键词，用全局搜索定位。

  这是商业化软件解析不了时最有效的一招。

• 复盘时把每道题的分析步骤都记下来，

  尤其服务器重构这类高频考点——针对宝塔、Docker、K8s、ESXi 各自整理出专属取证流程，比赛时就能快速响应、迅速搭环境。

• 硬件是战斗力。

  全局关键词搜索、服务器集群环境、手机模拟器 APK 动态调试、密码暴力破解、海量数据 SQL 查询、本地大模型运行——电脑一卡顿，节奏就崩。

第十一届团体赛冠军西电战队：两条被组委会点赞的经验

• 自建局域网提协作效率。

  赛场队友之间拉一个本地局域网，FTP 互传检材与中间结果，避免各自重复解压几十上百 GB 的镜像。

• 依据案情信息预测题目。

  官方赛前会发布案情与背景资料，读完就能推断出题人想考什么——顺着人物关系和公司结构把考点列出来，命中率不低。

团队分工：先定框架，随案情动态调配

早期团体赛习惯按检材分（计算机 / 手机 / 服务器），但近两届题目的交叉度大幅提高，2025 届甚至按人员身份分块更合理。更实用的做法是：开局按熟悉的领域初步分工，案情清晰后立即重新分配。检材是死的，案子是活的。第十届冠军队总结得很直白：“一开始分好工只是起点，真正重要的是比赛中能根据新发现快速重新分配任务。”

还有一条血的教训：团体赛有大量题目直接复用个人赛检材。所以——个人赛打完，千万别删容器。

三轮解题法（适合个人赛）

第一轮快速扫过所有题目，把能直接答的、有把握的全部拿下；第二轮集中处理需要软件解析的中等题；第三轮再攻硬骨头。核心是先确保基础分拿稳，别在开头就死磕。

四个高发坑

• 字符编码。

  Windows 中文系统产出的文件常乱码，命令行工具前加 LANG=zh_CN.UTF-8。

• 时区。

  取证工具默认 UTC，题目通常要本地时间，注意显式指定时区（如 +8:00）。

• 哈希。

  算哈希要用取证工具自带的哈希功能，确保算的是原始镜像，不是挂载后的文件。

• 内存分析卡死。

  大内存镜像直接分析容易崩，先用 hivelist 缩小范围，只提关键注册表 hive。

九、2026 备考路线图（仅供参考）

| 阶段 | 任务 |
| — | — |
| 9月23日前 | 报名 2026 赛前培训；下载钉钉并进群；同步确认单位/学校的正式报名安排 |
| 9月28日 — 10月10日 | 跟完培训（内存取证 / 流量 / AI 赋能 + 2023—2025 六场解析），当天同步把对应届次的题解原文读一遍，培训讲的是思路，题解给的是细节 |
| 10月中旬 | 补 2021、2022 两届（老题但考点仍在考）；做专项：内存取证（Volatility）、服务器重构（Docker / 宝塔 / RAID / NAS）、虚拟货币地址派生与交易图、逆向（IDA / JADX / x64dbg）、文件系统底层（MFT / DataRun） |
| 10月下旬 | 理论题集中刷：Nmap、DHCP、Web 安全、AWS 云、Linux 运维与 LVM / RAID、PowerShell、数据库 SQL。这部分不需要检材，是投入产出比最高的分 |
| 11月上旬 | 全流程模拟：按正式时长做一整套旧赛题，训时间分配；压测机器（大镜像挂载、全局搜索、本地大模型）；团体赛队伍走一遍局域网协作与分工切换 |
| 赛前一周 | 下载检材并核对 SHA-256；提前解压（注意分卷压缩）；内置硬盘与移动硬盘各备一份；导出离线字典与脚本；确认监考软件兼容性 |

十、临场清单

赛前一天

• 参加赛前会议（指导老师与队长必须到场，规则与答疑都在这里）。

• 检材 SHA-256 与组委会提供的一致 → 容器密码公布后立刻解压验证。

• 检材双备份

  （内置硬盘 + 移动硬盘）。往年出现过比赛当天检材容器损坏无法挂载的情况。

• 确认监考软件版本与账号，提前把常用工具跑一遍——监考软件误杀是真实发生过的。

个人赛

• 开局 5—10 分钟通读题面，画出案情与检材地图，标记“送分题”。
• 先扫易题建立案情框架，再进复杂镜像；不要一上来就啃最大的那个容器。
• 卡住超过预定时间就跳过，最后回来。
• 留 10—15 分钟复核对齐（时间格式、大小写、单位）。

团体赛

• 开局 15 分钟内定分块，把个人赛留下的检材和结论摆到共享目录。
• 局域网 + FTP 互传；协同笔记（HedgeDoc 之类）实时记结论与编号，避免口头传递丢信息。
• 案情明朗后立即重分配任务，别守死最初的分工。
• 安排一人负责答案口径统一与提交，避免同一事实三种写法。

⚠️ 风险预案不是形式主义。第十一届开赛前 30 分钟，有队伍才发现团体赛镜像下的是分卷压缩、根本没解压。赛前把“检材损坏 / 未解压 / 密码未公布 / 监考软件冲突”四种情况各准备一个应对方案。

十一、资源清单

| 类型 | 入口 | 说明 |
| — | — | — |
| 官方 | meiyacup.sdic.com.cn | 唯一报名通道；竞赛概况-资料下载可拿邀请函；个人中心可查成绩与靶场账号 |
| 官方学习 | 美课平台（选手钉钉群内入口） | Windows 取证、iOS 取证、Linux 取证、内存取证、智能手机取证、数据恢复与分析 |
| 题解 | 西电 Forensics Wiki（forensics.xidian.edu.cn/writeups） | 2021—2025 五届个人赛 + 团体赛题解；另有盘古石杯、龙信杯、FIC、数证杯等他赛题解 |
| 练习平台 | 官方练习平台：取证云平台(包含靶场与答案和详细解题思路：团队赛高分密码公开！取证云平台上架第十一届美亚杯团体赛参考题解)、DIDCTF 电子数据取证综合平台（forensics.didctf.com） | 可刷题、看 Writeup、跟踪国内取证实战赛事日历 |
| 社区 | “DFIR蘇小沐”、“取证与溯源”、“电子取证 wiki” | 工具与前辈复盘，多元解题思路（冠军本人推荐的三个） |
| 往届检材 | 官方网盘分享（每年随赛程在选手钉钉群发布，链接会更新） | 只练题解不碰检材等于纸上谈兵，检材必须真挂载真翻库 |

十二、写在最后

把近五年的题摊开看，美亚杯的命题逻辑其实很稳定：用一个连贯的刑事案件串起一堆形态各异的电子设备，考你能不能在时间压力下把散落的数据重新拼成一条完整的证据链。它不考花活，考的是覆盖面和稳定性——你能不能在没有互联网、没有现成软件解析的角落里，靠基本功把分抠出来。

2026 年值得额外留意的两个方向：一是官方培训单列了“AI 赋能电子数据取证”，加上 2025 案情里已经把主角设定成“密码学与隐写术爱好者”、检材里出现了本地大模型服务器，AI 相关考点继续加码是大概率；二是服务器取证的口径在持续变宽，从 FTP、Docker 一路走到 NAS、邮件服务器、大模型服务器，会搭环境的人优势越来越明显。

最后借第十届冠军的那句话收尾——“放平心态，按自己的节奏来，平时一点一滴的积累，该用上的时候，自然就用上了。”

最后附上超级取证大师四个月免费授权官方链接：

2026下半年取证备赛利器！超级取证大师免费试用4个月

推荐阅读：AI取证实战第13期:2025美亚杯 · 第十一届中国电子数据取证大赛（个人赛）复盘-AI版

资料整理自：第十一届“美亚杯”官方赛事通报与大赛指南、国投智能（美亚柏科）2026 年赛前培训通知、第十届个人赛冠军专访、西电 Forensics Wiki 2021—2025 五届个人赛／团体赛题解及选手复盘。2026 年正式比赛时间以组委会官方公告为准。

敬请各位大佬关注：小谢取证

扫取二维码获取

更多精彩

小谢取证

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小谢取证 小谢
小谢《2026年“美亚杯”赛前备赛篇》