彩蛋 | 第七届“美亚杯”取证小程序解题复盘回顾第一期！

（点击查看详情）

已圆满落幕

取证大神们尽显风采

比赛过程精彩纷呈

恭喜获奖的选手们~

本届“美亚杯”竞技过程中，许多参赛选手在解题时使用了取证小程序。在赛后复盘环节，团体赛职业组亚军江苏盐城市公安局“瓢城三少”的技术专家朱鸣众便在分享中提到，使用“office文档元数据解析” 取证小程序进行解题，快速获取到文档作者属性信息。这也说明取证小程序的简单便利和灵活拓展等优势特点得到了取证从业者的青睐与认可。

（点击查看大图）

本次资格赛、团体赛的题量、检材数均为历届之最。其中，资格赛中涉及到“路由器日志”，团体赛中涉及“内存镜像”、“Office文档”等相关题目，相关取证小程序在神机小程序共享平台上均有上线，说明取证小程序在这次比赛中已被广泛应用。

“学习无止境，探索出真知”

美亚柏科神机小程序研发团队

为大家梳理选手们在比赛中

使用小程序解题的案例

如何利用取证小程序快速解题的答题过程

敲黑板！记笔记啦~

👇👇👇

让我们一起跟上神机小程序团队的思路

开始解题吧！

01

路由器日志解析

资格赛中出现“路由器日志”相关题目，推断可以使用 “路由器日志解析”小程序进行快速解题。

△利用的小程序：

△解题：

为了更加快速精准地解析赛题中给出的日志，在“本地”进入路由器日志解析小程序详情页面，如图所示进入开发模式：

（点击查看大图）

在开发模式中修改第133行代码为图示：

（点击查看大图）

点击右上角运行，等待结果出现。

运行“路由器日志解析”小程序后可以直接得到此份路由器日志中涉及的IP列表；在IP详细列表中执行题目选项所需的过滤：

（点击查看大图）

命中文本字段发现过滤到的结果显示流向此IP的流量是通过21端口，而21端口为常用的FTP端口，因此AD可以作为备选项。通过进一步排查BCDE选项组合并不符合FTP特征。

因此，在比赛过程中通过取证小程序得出的答案为AD

02

内存镜像解析工具

团体赛中出现“内存”相关题目，推断可以使用 “内存镜像解析工具”小程序进行快速解题。

△利用的小程序：

（点击查看大图）

△解题：

（点击查看大图）

可以直接在解析结果对应的进程名称中查看到进程ID：

（点击查看大图）

因此，在比赛过程中通过取证小程序得出的答案为6136。

（点击查看大图）

可以直接在解析结果对应的进程名称中查看进程的执行日期及时间：

（点击查看大图）

因此，在比赛过程中通过取证小程序得出的答案为CE。

03Office文档元数据解析

团体赛中出现“office文档”相关题目，推断可以使用 “Office文档元数据解析”小程序进行快速解题。

△题目：

（点击查看大图）

△利用的小程序：

（点击查看大图）

△解题：

使用“Office文档元数据解析”小程序进行解题：

（点击查看大图）

因此，在比赛过程中通过取证小程序得出的答案为AC。

看到这里

你有没有发现取证小程序的“神通广大”

许多难题通过小程序都能迎刃而解

取证小程序不仅可以用于参加取证相关比赛，还能在日常工作中、生活中发挥作用。

除了应用程序数据提取，还可利用取证小程序在取证过程中常用的实用小工具，扩展取证软件本身的功能；也可使用已有的数据获取接口，读取已提取到的数据进行研判分析，实现数据分析功能。

未来取证小程序将会持续扩展新接口，以便用户能快速实现完全自定义的取证功能和取证流程。在此，欢迎广大用户参与进来，共同建设取证小程序生态圈！

同时，“第三届”中国电子数据取证小程序大赛（点击下划线了解大赛详情）也正在如火如荼的进行中，对于取证行业感兴趣的朋友们抓紧时间报名！

（点击了解报名详情）

对于美亚杯小程序解题和取证小程序大赛若还有疑问，欢迎至神机小程序共享平台交流区进行提问。

【方法一】

通过取证软件入口进入【神机小程序共享平台】-点击【交流区】-进行提问

（点击查看大图）

【方法二】

通过钉钉入口进入【神机小程序共享平台】-点击【交流区】-进行提问

（点击查看大图）

作者：美亚柏科神机小程序团队

编辑：蓝雅琦校对：李银河 林阳艳——— 相关阅读 ———

热文

干货！第七届“美亚杯”赛前指导：取证小程序助力快速解题！

热文

解锁下一站！“创享杯”第三届中国电子数据取证小程序大赛新赛道等你来战！

热文

“创享杯”赛题揭秘！酒店惊现网络摄像头，偷拍行为如何溯源？

热文

“秘籍”在手，得奖有我！“创享杯”第三届中国电子数据取证小程序大赛攻略来啦！