44.该计算机硬盘镜像中包含几个分区(包括保留分区及恢复分区等)？

按照题目说法，分区+恢复分区+保留分区，一共是6个（4、6、7、8、9、保留分区，卷影副本不算）

45.该计算机的设备名称（Computer Name）是什么？

46.该计算机的默认网页浏览器程序的可执行文件名是什么？【参考格式：abcde.exe】

仿真后新建一个aaaa.html，发现显示图标跟边上的zenbroswer相同，然后看属性确认程序名称，为zen.exe

或者直接在火眼的默认打开方式当中读取网页文件对应默认打开程序

47.接上题，在计算机的默认浏览器中登录了一个邮箱服务，登录的邮箱地址是什么?【参考格式：xxx@xxx.xxx】

寻找登录留下的痕迹，在侧边栏处打开Passwords，读取到邮箱地址为wang_0528@proton.me

48.通过浏览器下载了一个 Linux 发行版的镜像文件，该发行版的名称是什么？

因为文件比较特殊所以很容易初步定位，应该是电脑中唯一的Linux镜像，即tails-amd64-7.9.1。后续在obisidian的笔记当中也可以进一步得到确认

49.Mega 网盘的恢复密钥保存在计算机中安装的某个软件中，该恢复密钥是什么？请使用该问题的答案解压检材“WHQ_MegaDrive.7z”。

obisidian打开后可以直接读取为TTsJzb6V8XK_no6gKfh4jw

50.接上题，该软件开启了自动备份功能，备份功能连接的远程数据库的 URL 是什么？【参考格式：xxx.xxx.xxx.xxx:xxx/?xx=xxx】

通过左下角小按钮进入设置界面，没有直接与备份相关的内容，于是注意到存在可疑的第三方插件self-hosted livesync

点击设置小按钮之后可以跟进看到具体的配置，读取到远程服务器url为http://47.89.230.121:5984/?db=obsidian

51.接上题，该软件备份功能连接远程数据库时使用的密码是什么？

接上题，打开configure后即可读取为Wang@0528@obsidian

52.计算机中最常使用的远程终端工具是什么?

提到远程连接，想到刚刚见过一面的vshell了，再回去看看

奇怪的命令，但是没有找到私钥

重新去翻应用目录，发现可疑应用WindTerm。在会话-日志-设置中打开设置页面，但是当前会话对应的ssh的验证中的身份认证文件为空

于是切换到其他的会话当中，读取到对应的身份验证文件名称为id_ed25519。但是对应的目录中没有该文件，于是到火眼当中全盘搜索该文件

用大写SHA1值65D28E19A0FC1B790493B04D175D63391D0F9F95解压缩成功

法二：在C:/User/Wang当中发现存在.ssh文件夹，里面就有公私钥文件

53.接上题，该工具连接的远程服务器使用的身份认证密钥（私钥）文件的 SHA1 哈希值是什么？请使用该问题的答案（字母大写）解压检材“WHQ_Server.7z”。

见上题

54.计算机中有一个加密分区，该分区的盘符是什么？【参考格式：A】

显然是D

55.接上题，综合分析王昊天的其他检材，该分区的解密密钥是什么？【区分大小写】

复盘后补充：在手机检材当中。在应用列表里发现一个包名为com.opennotes的可疑应用，看起来很像一款笔记软件。在/data/user/0当中通过包名定位指定文件夹（对应手机部分助记词附近题目）

在其中的数据库即/databases/notes_db当中发现格式与vc容器密码高度类似的字符串vE6w3re^URcXccrg

仿真后用自带的veracrypt尝试挂载D盘这个设备，用刚刚得到的字符串，发现解密成功

56.计算机上安装有一个虚拟局域网工具，该工具的版本号是什么？【参考格式：x.x.x】

需要找虚拟局域网工具，仍然是翻找应用目录，发现可疑的zerotier应用

从C:/User/Wang/scoop/apps文件夹里面可以读取到版本号，为1.16.2

57.接上题，通过该工具加入的虚拟局域网的名称是什么？

在右下角的图标中可以看到该工具已经在运行了。只需要单击该图标即可读取对应信息

可以读取到网络ID为d5e5fb6537eede5c，名称为Wang's Zt Network。

58.接上题，为该虚拟局域网添加的中继服务器的 id 是什么？

之前看Obisidian的时候有一篇未命名笔记，就是关于用zerotier配置和连接moon服务器的。所以直接回去重读

里面提到了两个关键信息，即moon.json以及moons.d文件夹。全盘搜索，前者不含有用信息，后者含有一个跟笔记描述相同类型的.moon后缀文件

其实这里000000后面的字符串后面的内容就是id，但是笔记里面没有提，所以就先继续往下读文件。按照最后的检测命令zerotier-cli listpeers

根据笔记描述，这里的6f570afe46即为moon服务器即题目所求中继服务器的id

59.计算机中安装了一个启动介质（Bootable Media）制作工具。该工具第一次运行时，删除的分区中容量最大的分区的大小是多少字节？

这两道题目我是留到最后才做的，因为不好确定具体的应用。一开始我怀疑是Diskgenius，但是缺失操作的日志等记录文件。在scoop的app目录下进行排查，未使用过的，brave是浏览器类工具可以排除嫌疑，剩下的就是ventoy和vcredist，后者经过检验后发现为Visual C++相关文件，于是也排除

而ventoy的应用程序当中有disk字段，且有明确的log.txt，非常可疑而且非常便于分析。而且经过分析后分析能完美解答这两道题，所以这就是要找的应用

很容易定位到删除部分对应的日志，从中可以读取到删除的最大的size值为499775438848

60.接上题，该工具最后一次制作启动介质结束的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】

日志是根据时间记录的，所以看后面的日志即可。在一次行动结束之后会有OK作为标志。在完成分区删除、格式化、写入引导镜像等一系列操作后，最后的OK对应的时间2026/07/10 15:21:13即为本题答案

61.计算机中安装了一个局域网文件传输工具，使用该工具接收了几个文件？

局域网文件传输工具，app目录中除去浏览器，所剩应用很有限，不难猜出题目要求的是localsend应用。而且应用功能也符合

看传输历史即知总共只接收过一个文件Research.tar（1）

62.接上题，使用该工具最后一次接收数据的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】

很诡异，记录里的时间只显示到分钟即2026-07-10 14:38，而题目答案格式示例却精确到了秒。全盘搜Research.tar能够找到两个快捷方式，其中最早的甚至时间在2026-07-10 14:34:31。包括后面解密D盘之后得到的源文件，其创建时间是2026-07-09也在07-10之前

然后又注意到来源是wang phone，于是到手机当中进行localsend相关内容的查找，得到的最接近的是这个文件。里面有很多传输的文件的文件名类型大小以及时间戳等信息，但没有需要找的Research.tar（1）（难道是专门在手机上删除了这条记录？）

后续：发现是自己想复杂了，在C:\Users\Wang\scoop\apps\localsend\1.17.0\settings.json（跟刚刚手机里找到的属于同类型文件）当中直接搜索Research即可得到准确时间戳。所以答案为2026-07-10 14:38:03。注意这里要进行时区的转换

63.计算机中保存有一个 C2 服务端工具，该工具的可执行文件的文件名是什么？

解密D盘之后发现一个奇怪的文件夹，名称为v_windows_amd64，通过简要分析其行为特征，发现很符合C2服务端工具的特征

对应的可执行文件的文件名即为v_windows_amd64.exe

64.接上题，该 C2 服务端连接了一个 Linux 客户端，其客户端 ID 是什么？

在上述文件夹中有一个名为db的子文件夹，将其中的数据库文件导出

在clients表中找到题目所说的Linux客户端，对应的Id一列值为5

法二：在该工具的conf文件夹下有web ui里的账号和密码，或者前面在浏览器查找password时所见，能够得知登陆的账号和密码，只需要双击运行v_windows_amd64.exe程序，即可登入管理平台

可以读取到对应的B411NAS主机的id为5

65.接上题，目前存储了几个使用该工具下载的文件？

仍然是该文件夹当中，有名为download的子文件夹，里面总共有5个文件

66.接上题，综合其他检材分析，计算机本地的哪个端口与上述 Linux 客户端通信？

通过hostname的值可以读取到该Linux主机为b411的NAS。在/root/frpc.toml可以读取到相关配置（对应NAS 30-33题），所以对应的外连IP即为47.89.230.121，在平台的监听管理页面或数据库的listeners表中即可读取到对应的本地端口为8085

67.计算机上安装有一个 FRP 的图形化管理工具，分析该工具的数据，创建的内网穿透代理隧道的名称是什么？

FRP的图形化管理工具，这个很明显，直接win+s搜索frp就知道了

内网穿透代理隧道的名称即为vshell-2

68.接上题，使用该工具最后一次成功连接 FRP 服务的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】

翻阅日志标签页底部，可以注意到最后一次成功连接的全过程，2026-07-10 15:19:48尝试连接、登录成功、代理规则添加，然后在49秒的时候代理服务开启成功。题目问的是成功连接FRP服务，应该是按照登录成功开始计算，即48秒