计算机取证复现

25、题型：填空题 分值：1.0

题目：该计算机的CPU型号是什么？（答案格式：i3-100A）
用户所填答案：未作答

火眼分析这里是直接就有的

26、题型：填空题 分值：1.0

题目：该计算机曾接入了一个移动硬盘，分配驱动器号为D盘，请问盘符名称为？（答案格式：以实际为准，如Tuo_Jie）
用户所填答案：未作答

这里查看usb设备可以看到有一个移动硬盘接入

但是并不确定这个是不是d盘，这里通过win10的通知可以确定这个是我们想要的

27、题型：填空题 分值：1.0

题目：该计算机的开机密码是多少？（答案格式：以实际为准，如123456）
用户所填答案：未作答

Windows 登录密码只以 NTLM 哈希形式保存在SAM 蜂巢里

提取哈希值

Set-Location -LiteralPath 'D:\Users\Lenovo\Desktop\misc学习\misc工具包\mimikatz-2.2.0-20220919\x64'

.\mimikatz.exe 'lsadump::sam /sam:"G:\警武杯\文件文档_20261015_193959\火眼-文件导出\SAM" /system:"G:\警武杯\文件文档_20261015_193959\火眼-文件导出\SYSTEM"' exit

用hashcat爆破哈希获得密码

Set-Location -LiteralPath 'G:\工具\hashcat'

.\hashcat.exe -m 1000 -a 3 bb552c1772ea2b18fcb8abd75fba66e5 '?d?d?d?d?d?d'

答案是260919

28、题型：填空题 分值：1.0

题目：该计算机曾经连接过的远程桌面地址是什么？（答案格式：192.168.1.1）
用户所填答案：未作答

火眼可以直接分析出来远程桌面

答案是103.87.9.67

29、题型：填空题 分值：1.0

题目：该计算机部署的WSL版本是多少？（答案格式：1.2.13.0）
用户所填答案：未作答

这里直接看版本号即可

30、题型：填空题 分值：1.0

题目：WSL中部署的大模型推理引擎名称和版本是什么？（答案格式：名称-版本，英文全小写，如llama.cpp-0.1.0）
用户所填答案：未作答

这里有个虚拟磁盘这个大小的话

在文件夹中打开即可

然后把这个当成镜像再次挂载上去

这可以通过这个交叉验证一下

这里我们通过翻找config配置文件确定的版本号

31、题型：填空题 分值：1.0

题目：接上题，其中部署的参数量为1.7B的模型设置的最大上下文长度（max-model-len）是多少？（答案格式：1234）
用户所填答案：未作答

我们这里可以选择历史命令

这里看历史命令是能够看到的

32、题型：填空题 分值：1.0

题目：接上题，安装使用的CUDA版本是多少？（答案格式：仅写主版本号与次版本号，如11.3）
用户所填答案：未作答

进入这个文件的lib目录里面去查找就行

33、题型：填空题 分值：1.0

题目：该计算机中部署的自动语音识别（ASR）模型共有几个？（答案格式：1）
用户所填答案：未作答

这里用系统的资源管理器可以看到，火眼搜不到，有点神奇

哦，搜到了，可能是刚刚全局搜索占用的资源太大的可能

里面有config.json文件，打开即可，这个资源管理器中看清晰不少

34、题型：填空题 分值：1.0

题目：请尝试运行嫌疑人部署的自动语音识别系统，该系统的服务器地址及端口号是什么？（答案格式：http://192.168.1.1:8080）
用户所填答案：未作答

上一道题目也有记载，服务地址是http://127.0.0.1:8765

35、题型：填空题 分值：1.0

题目：请在用于测试自动语音识别系统的文件中，找到的密码是什么？（答案格式：以实际为准，如1234）
用户所填答案：未作答

我们翻阅浏览器下载记录的时候恰好找到了这个，这个也恰好记载了这个文件的存储路径

这里有个压缩包文件存储了想要的信息

解压之后识别了一下文件格式看了看有没有不同的

之后找出来文件头有异常的拖进语音识别里面

20260915

36、题型：填空题 分值：1.0

题目：经分析，该密码可能为嫌疑人某加密盘的密码，请找到该加密盘，写出加密盘原始文件的名称。（答案格式：123.abc）
用户所填答案：未作答

哎呦，我这个fw电脑，今天才可以仿真起来

图片.vhd

37、题型：填空题 分值：1.0

题目：接上题，加密盘中AI生成的图片共有多少张？（答案格式：1）
用户所填答案：未作答

解密之后即可查看图片数量

30

38、题型：填空题 分值：1.0

题目：在上述AI生成的图片中哪个图片是通过腾讯混元大模型生成的？（答案格式：123.jpg）
用户所填答案：未作答

其实我有点后悔，还不如用自己的电脑挂载方便，这个给自己磁盘挂载上去也行，看起来更方便

这里搜索Hunyuan即可

这里可以确定是S06.png

39、题型：填空题 分值：1.0

题目：接上题，有一张图片中有隐藏的信息，隐藏的密码是什么？（答案格式：仅写密码，如1234）
用户所填答案：未作答

这里翻找了邮箱，这里可以看到邮箱里面的问候的这个文件是给出了提示的，提示是

这里我们把这个图片拖入随波逐流里面

可以看到照片的下面隐藏了内容，因此答案是南京

40、题型：填空题 分值：1.0

题目：该计算机中是否安装过其他本地大模型部署工具，如果有请写出其软件名称及版本号。（答案格式：名称-版本，英文全小写，如vllm-0.1.0）
用户所填答案：未作答

这里有ollama的文件

这里用仿真的虚拟机进行快捷的确认

可以看到ollama是真实存在的

41、题型：填空题 分值：1.0

题目：接上题，上述工具部署的模型ID是什么？（答案格式：以实际为准，如123abc）
用户所填答案：未作答

这里ollama会自动给我显示对应的ID

这里对应的ID是

2091ee8c8d8f

42、题型：填空题 分值：1.0

题目：该计算机中嫌疑人使用邮箱软件登录的邮箱账号是什么？（答案格式：jelly@tuojieinfo.com）
用户所填答案：未作答

火眼可以直接看账号

somebadthings2026@163.com

43、题型：填空题 分值：1.0

题目：接上题，上述邮箱账号登录邮箱客户端使用的授权码是什么？（答案格式：以实际为准）
用户所填答案：未作答

上面图片中的账户密码是JUgd5cjHGXvSzMN3

跳转过去看Account.rec0这个文件也可以

44、题型：填空题 分值：1.0

题目：嫌疑人在计算机中安装的以太坊钱包是什么？请写出钱包应用名称。（答案格式：以实际为准）
用户所填答案：未作答

这个可以从扩展文件上找到以太网钱包

MetaMask

45、题型：填空题 分值：1.0

题目：请找到上述钱包的助记词，并写出第一个单词。（答案格式：以实际为准）
用户所填答案：未作答

这里是手机上的图，里面有助记词

palace

或者是把这个导出来仿真

结合有个逍遥模拟器，也可以确定是palace

46、题型：填空题 分值：1.0

题目：嫌疑人的Ethereum地址后四位是多少？（答案格式：以实际为准）

我们仍旧导出来之后全局搜account是去找

这里可以看到是0x6621286464078fca60185de860eaaa706370d816

47、题型：填空题 分值：1.0

题目：该计算机中部署的Deepseek Harness使用的工作区文件夹名称是什么？（答案格式：以dsh界面为准）
用户所填答案：未作答

这里桌面上有dsh，我们直接打开，没必要去逆向这个dsh的软件组成

可以看到是Documents

48、题型：填空题 分值：1.0

题目：该计算机中部署的Deepseek Harness配置的API Key是什么？（答案格式：以实际为准）
用户所填答案：未作答

这个在页面中没有直接找到

我们需要翻阅配置文件

从可以可以得出key是sk-47e986fb09b34d74a33a76d376658409

49、题型：填空题 分值：1.0

题目：嫌疑人曾提问“虚拟货币一般用于洗钱都是怎么操作的”，请问该问题的rpcID是什么？（答案格式：以实际为准）
用户所填答案：未作答

这个打开dsh可以看到

132fb7ca-b49f-42f5-9fdc-751072190bd5

50、题型：填空题 分值：1.0

题目：接上题，该轮对话的推理输出token是多少？（答案格式：123）
用户所填答案：未作答

可以看到是296

51、题型：填空题 分值：1.0

题目：嫌疑人在计算机中部署的OpenCode的版本号是什么？（答案格式：1.2.3）
用户所填答案：未作答

仿真直接输出1.18.51

52、题型：填空题 分值：1.0

题目：嫌疑人在计算机中部署的OpenCode配置连接了几个模型？（答案格式：5）
用户所填答案：未作答

查看配置文件

可以看到是2个

53、题型：填空题 分值：1.0

题目：嫌疑人在OpenCode中手动添加了一个自己的Skill，请写出Skill的名称。（答案格式：tuojie-forensics）
用户所填答案：未作答

进入skill目录之后把文件导出查看就行

这里可以看到是fraud-domain-ip-trace

54、题型：填空题 分值：1.0

题目：嫌疑人曾经使用上述Skill尝试对某涉赌网站进行信息获取，请写出该网站的网址。（答案格式：无需填写www，如baidu.com）
用户所填答案：未作答

这里依然是可以通过翻阅md，这个是演示

这里可以看到实际记录分析

因此答案是bctop10.com

55、题型：填空题 分值：1.0

题目：截至到对象使用上述Skill的时间，该网站的域名注册时间为多少天？（答案格式：123）
用户所填答案：未作答

这里注意是相对的变更时间

这里算一下是563天

56、题型：填空题 分值：1.0

题目：尝试找出该计算机中一份用于日后给其他项目加密的密码字典，请写出打开该密码字典的密码。（答案格式：以实际为准）
用户所填答案：未作答

这个找到一个密码词典，但是是加密的

这里有个有一个密码有关的它提示

这里我们提取出来哈希值之后再使用hashcat爆破出来

cmd /c "py -3.11 office2john.py word.docx > word.hash"

提取完之后再爆破密码就行

nanjing

57、题型：填空题 分值：1.0

题目：计算机中曾传输过一个敏感APK，请写出该APK的包名。（答案格式：abc.def）
用户所填答案：未作答

前面一直在提到vc，这里我们把vc容器挂上去，这个没有后缀名

打开后这里看到有个apk文件

用火眼打开可以直接查看包名

com.leedbcje

58、题型：填空题 分值：1.0

题目：该笔记本电脑中存在一份人员名单信息，请尝试找出该名单，并写出编号为1的人员住址信息。（提示：相关文件密码为纯小写字母，答案格式：以实际为准）
用户所填答案：未作答

这里搜索可以找到名单

关闭只读之后把这个从工作目录中复制出来

仿真起来之后，可以看到这里有名单

回复之后可以看到一个pdf文件，修好文件头，输入之前标记的密码rizhaoxianglushengziyan

之后打开pdf可以看到地址是北京市朝阳区建国路88号