FIC25初赛 WriteUP

Team: OOQO

总分: 410

排名: 35 (与 36SkyMirror同分)

正确率: 91.11%

最后慌了第四部分乱交导致正确率炸了，要不然应该是只交错一道的(

网站快照

1.请分析检材一，该取证录像文件的 SHA256 值为

2753da22fe23cadaadc14fe4c1d5096a153360d9f91097ea376846431f5c1567

image-20250426132132243

2.请分析检材一，远程取证所使用的 OBS 工具版本号为

29.1.3

image-20250426132725582

3.请分析检材一，该检材所使用的远程取证的工具名称为

A

image-20250426132855873

4.请分析检材一，在该检材中，远程取证过程中校验的北京时间为

D

image-20250426133308186

5.请分析检材一，远程取证的网站 IP 地址为

172.16.10.200

image-20250426133458633

6. 请分析检材一，在该检材中，远程取证的网站密码为

admin123

image-20250426133556451

7. 请分析检材一，在已固定的“订单列表”中发现有一页缺失。请找出缺失页面的具体页码为

12

视频里面一共给到13页，猜测缺失数据在前13页

数了数没数错的话就是12

8. 请分析检材一，补充“订单列表”中缺失页面的数据后，统计订单的总数为

4000

从视频里面看的

虽然有截图中有200页404的页面，但是也有一个不是404的页面

按照视频里算，答案4000

9. 请分析检材一，补充“订单列表”中缺失页面的数据后，统计已完成订单中“老李监控批发”的订单数为

未出

10. 请分析检材一，补充“订单列表”中缺失页面的数据后，统计已完成订单中“老李监控批发”的订单数为

未出

11. 请分析检材一，补充“订单列表”中缺失页面的数据后，统计已完成订单中“老李监控批发”产品在上海区域的订单数为

未出

12. 请分析检材一，补充“订单列表”中缺失页面的数据后，统计已完成订单中“老李监控批发”的销售情况，并计算“赵磊（13967346658）”优惠后的总金额为（例如，优惠率为10%时按原单价的90%计算）

未出

13. 请分析检材一，补充“代理列表”中缺失页面的数据后，统计代理人的最大层级数为（其中顶级代理的用户定义为第1层）

5

代理列表缺1，而视频中正好展示的就是第一页

所有层数:

ID1总代理为第一层

第二层 2-28

第三层 30-38

第四层 39-70

第五层 71-100

14. 请分析检材一，补充“代理列表”中缺失页面的数据后，统计每位代理的直接下游人数，并确定直接下游人数排名第一的代理人为

李玲娟

用阿里云进行OCR识别

生成一个数据表格

image-20250426145830130

使用ai给我生成一段python脚本用来转excel

import pandas as pd

input_file = 'data.txt'    # 输入文件路径（例如：data.txt）
output_file = 'output.xlsx'     # 输出Excel文件路径
delimiter = ' '                # 分隔符（制表符用'\t'，逗号用','）
has_header = False              # 文件是否有标题行？True=有，False=没有
uppercase_columns = True        # 是否强制列名大写（用于处理中文列名不匹配的情况）
ignore_first_line = False       # 是否忽略第一行（仅在确认是无效数据时使用）

columns = [
    '代理人ID', '姓名', '联系电话', '上级代理ID', '收货地址', '创建时间'
]

try:
    # 根据是否包含标题行选择读取方式
    if has_header:
        # 假设文件第一行是标题行，跳过并指定正确的列名
        df = pd.read_csv(
            input_file,
            sep=delimiter,
            header=0,             # 使用第一行作为标题
            names=columns if uppercase_columns else None,  # 强制列名大写时需手动指定
            encoding='utf-8'
        )
    
    else:
        # 文件无标题行，直接读取数据并指定列名
        df = pd.read_csv(
            input_file,
            sep=delimiter,
            header=None,
            names=columns,
            encoding='utf-8'
        )

    # 额外处理：如果需要忽略第一行数据（如无效数据）
    if ignore_first_line:
        df = df.iloc[1:, :]      # 跳过第一行

except UnicodeDecodeError:
    # 如果编码错误，尝试用gbk编码
    df = pd.read_csv(
        input_file,
        sep=delimiter,
        header=(0 if has_header else None),
        names=columns if (not has_header) else None,
        encoding='gbk'
    )

# 保存到Excel
df.to_excel(
    output_file,
    index=False,
    engine='openpyxl'
    )
print(f"文件已成功保存至：{output_file}")

使用excel生成计数表格

image-20250426152417360

15.请分析检材一，补充“代理列表”中缺失页面的数据后，根据地址信息统计各区域的代理人数，并确定上海区域的代理人数为

5

image-20250426145557628

编写python脚本，转换成excel文件

手机部分

9. 请分析检材二，请分析”手机”检材，并回答，嫌疑人“欠条.rar”的解压密码是多少？

3170010703

8fbb6ee5aadcc41568fd75aeaa554217

扫描这个照片中的二维码就可以得到一个信息 +1 3170010703
明显3170010703是密码

11. 请分析检材二，请分析”手机”检材，并回答，嫌疑人提供的“欠条.rar”解压后，其中”1.png”图上显示的VeraCrypt容器密码是多少？

#!@KE2sax@!da0h5hghg34&@

打开1.png发现是明文

直接放到GIMP里面调整色温读取内容即可

image-20250426154422698

#!@KE2sax@!da0h5hghg34&@

12. 请分析检材二，请分析”手机”检材，并回答，嫌疑人李某全名是什么？

李安弘

用上面的密码进入检材

检材中有一张图片，直接读取即可

image-20250426160451281

13. 请分析检材二，请分析”手机”检材，并回答，嫌疑人欠款金额是多少？

80000

图里面有

计算机部分

12.请分析检材三（“我的测试机”）中的音频内容，并回答，嫌疑人现任妻子毕业的大学是？

北京大学

根据音频听，嫌疑人首先是有一个上海大学的

但是注意后面内容，这两个分了

后面找了一个利益一致的，是北京大学的

14.请分析检材三（“我的测试机”）中的音频内容，并回答，嫌疑人所说的香格里拉大酒店实则是？

棋牌室

根据录音内容

实质是一个棋牌室，并不是酒店

互联网部分

2.请分析陈某宣传所用域名，该域名的顶级域名在以下那个区块链注册

B

访问第一个域名，可以来到blog.chen.foren6

查询A记录即可发现chewhaoN.github.io

找到陈某的github:https://github.com/chewhaoN

image-20250427222406994

这个明显是他的博客，我们进去看看

https://chewhaon.github.io/

进入博客后，猜测这个是chen的新博客

在最下面有一个分享的hns建站教程

image-20250427222603806

这里结合第一题可以知道，这个题答案就是HNS

8.请分析陈某宣传所用域名，该博客域名最终DNS解析指向的github仓库名为

chewhaoN.github.io

前面我们找到了github，这里的答案也就出来了

9.请分析陈某github账号，陈某对jkroepke/2Moons项目增改了几个文件

2

最后有点慌交了个1

下载源仓库和这个仓库的文件

image-20250427223203634

简单对比下是多了一个文件的(这就是为什么交了个1)

然后使用WinMerge进行详细对比

image-20250427223445139

这怎么会有这么多不同呢，显然不可能，我们比较一下

image-20250427223517784

这里WinMerge就提示我们了，很多换行符不同，我们去调整一下

image-20250427223632965

然后你就会发现有两处不同

image-20250427223742672

image-20250427223751980

所以是2个

以下貌似比赛时没出/没交上？？？？(就…最后这搞得挺抽象的，一直在乱)

12.请访问陈某当前博客，陈某课程的扫码报名地址的域名为

fic.forensix.cn

扫码看下结果

image-20250427224002037

fic.forensix.cn

13.请分析陈某当前博客，通过互联网找到陈某的旧博客网站标题为

柳如烟大战霸天虎

image-20250427224143368

这里有一个老博客

分析下源码

<a class="main-nav-link" href="http://forensix2025.work.gd">老博客</a>

http://forensix2025.work.gd就是老博客地址

来到互联网档案馆

image-20250427224350020

发现有两个结果，第一个是可以进去的
image-20250427224420252

明显可以看到标题是柳如烟大战霸天虎

14.请分析陈某旧博客，陈某的姓名为

陈浩北

上面的图片直接就能看到了

15.请分析陈某旧博客，陈某的邮箱地址为

mailme@chen.foren6

查看网页源码

image-20250427224706068

CONNECT这里果然有东西

mailme@chen.foren6

16.请分析陈某旧博客，陈某的11位手机号为

13170010703

上图也有

17.请分析陈某旧博客，陈某最爱的dota英雄为

D

image-20250427224941466

搜下看看？

image-20250427225008327

很明显了，邪影芳灵

image-20250427225049601