【比赛】拔尖人才选拔班考试（取证部分）

检材密码: @#@20251210@#@KAOshiXuanBa%%&&@#@                                            
检材链接: https://pan.baidu.com/s/10PLPNBZlezoXluwDsgJfLA?pwd=es26 提取码: es26

部分题目和 26 e 证个人一样，题目一样的会进行标注，解析中提到 wp 指 e 证提供 wp 因此部分题目存疑无官方解析仅为公众号文章说法

1. 嫌疑人在2025-12-03 17:15下载过一个文件，请找到该文件，计算器 SHA1值，写出其后6位（答案格式：字母大写）【26e 证个人】

EA2FC53AEFBC71EDAFF35C15F4E529A015E56252
E56252

2. 嫌疑人加密磁盘的 BitLocker 恢复密钥后6位是多少？【26e 证个人】

655930-061281-378136-142109-145530-498135-596057-692560
692560

3. 请问考试时间是哪一天？（答案格式：1990.10.10）【26e 证个人】

知识点：npbk 夜神模拟器的备份, 实际上是一个 PKZIP 压缩包, 导出并解压即可得到虚拟机的虚拟磁盘文件，使用 FTK Imager 打开虚拟磁盘—— npbk

嵌套 npbk 文件改后缀后得到虚拟磁盘文件导入火眼

2025.12.06

4. 嫌疑人知乎账号的密码是多少？（答案格式：按实际值填写）【26e 证个人】

lee@456123

这道题需要解密开机密码才可以做，然而在考核中明令禁止不能连接互联网，所以火眼梭不了，只能考虑 nthash 爆破，然而比赛中，提供给我们的电脑没有安装 hashcat 等，所以出不来，赛后也是感慨万分。

5. 接上题，该考生的座位号是多少？（答案格式：纯数字）【待】

最近项目发现屏幕截图↑，考场安排.rar 的密码：苗老师这是你要的上午考场安排表
得知习惯：密码是文件后一句话

按习惯，密码为：这是周六的座位安排有几个人你到时候搞一下

疑似密码：haohaokanyixia

得到重点对象文件：

这次帮助的重点对象：
赵兵
高帆
邓博
刘龙

？为什么这里直接认定嫌疑人叫邓博了【应该是题目顺序错了】

6. 请找到考试培训视频，写出其培训内容（答案格式：按实际值填写）【26e 证个人】

用 xways 及火眼打开后没发现有视频，于是在 xways 里面对其进行磁盘快照（胡佬教（一）中的两个是和数据恢复有关的，并且胡佬推荐做数据恢复用 ufs，尤其涉及*nix 文件系统的话 ufs 更好）

一般使用X-ways司法分析软件案件加载证据文件或磁盘以后，首先要对磁盘进行磁盘快照，经过磁盘快照以后，它会把案件中的压缩文件、电子邮件以及附件解开，删除的数据恢复出来。经过磁盘快照的数据会比未经过磁盘快照时的文件数量更多，此时进行搜索得到的结果也会更准确

原有20.0 xwf 无法加载资料.vhd 通过20.5成功加载

使用 potplayer 或者 mplayer 打开

朗读与表达能力训练

7. 嫌疑人电脑曾经被哪个 IP 远程连接过？（答案格式：192.168.1.1）

58.220.67.210

8. 请计算检材源盘的 SHA1值后6位（答案格式：字母大写）

F98790BD49A2EDE6DF3EE16D4533F0AADE7BDBBF
7BDBBF

9. 请找到嫌疑人电脑上的学习资料，写出其一共有多少份？（答案格式：纯数字）

添加为新检材

18 #第一个没有算入???

10. 嫌疑人安装在考试机上的远控软件的默认密码是多少？【26e 证个人】

lee@202512031500

仿真看到 foxmail 邮件

vc 挂载疑似容器的现场工具.exe，密码是lee@202512031500，密匙文件是 key.txt，得到：

admin@8099

11. 嫌疑人考试作弊帮助的重点考生中，第三个考生的身份证号是多少？（答案格式：按实际值填写）【26e 证个人】【待】

邓博+考生信息

652701198512112035

12. 嫌疑人在2025-12-03 17:15使用 AI 智能工作台开启了什么标题内容的话题？（答案格式：按实际值填写）26e 证个人

仿真可以简单发现 ai 智能工作台是 ima

考试作弊的案例

法2：定位到ima软件，查看其历史数据文件Users/lee/AppData/Local/ima.copilot/User Data/Default/History。查看数据库，找到对应记录，转换时间戳，找到对应的标题。

13. 请问考试当天上午开放了几个考场？（答案格式：纯数字）【26e 证个人】

官方 wp 答案是 6，就是考场信息.zip 的内容而不是考场信息_完整.zip 的内容
原因应该是：苗老师这是你要的上午考场安排表
问的是上午而不是完整的

14. 请找到考生“萧淑英”的手机号（答案格式：11位数字）【26e 证个人】

18101386948