2026长安杯计算机部分wp
本文最后更新于 2026年11月8日 下午
前言
从今年六月聚合獬豸杯之后就一直没做取证，最近快打美亚杯了，做了一下精武杯和长安杯练手，探索一下最新的lovelycarve、qiko取证智能体。
之前就没好好学加上好久没做，有的地方写的比较糖，各位师傅见谅。
特别鸣谢：ZLSk4ever
题目
计算机部分
该计算机硬盘镜像中包含几个分区(包括保留分区及恢复分区等)？
6个
该计算机的设备名称（Computer Name）是什么？
DESKTOP-DHCM8KM
该计算机的默认网页浏览器程序的可执行文件名是什么？【参考格式：abcde.exe】
zen.exe
接上题，在计算机的默认浏览器中登录了一个邮箱服务，登录的邮箱地址是什么?【参考格式：xxx@xxx.xxx】
浏览器历史记录能找到 wang_0528@proton.me
通过浏览器下载了一个 Linux 发行版的镜像文件，该发行版的名称是什么？
还是在历史记录能找到 Tail
Mega 网盘的恢复密钥保存在计算机中安装的某个软件中，该恢复密钥是什么？请使用该问题的答案解压检材“WHQ_MegaDrive.7z”。
桌面有一个Obsidian笔记，打开看看
接上题，该软件开启了自动备份功能，备份功能连接的远程数据库的 URL 是什么？【参考格式：xxx.xxx.xxx.xxx:xxx/?xx=xxx】
接上题，该软件备份功能连接远程数据库时使用的密码是什么？
Obsidian的设置里面有
计算机中最常使用的远程终端工具是什么?
桌面上有个windterm，打开发现有使用痕迹
接上题，该工具连接的远程服务器使用的身份认证密钥（私钥）文件的 SHA1 哈希值是什么？请使用该问题的答案（字母大写）解压检材“WHQ_Server.7z”。
在windterm中找到密钥文件计算哈希即可
65D28E19A0FC1B790493B04D175D63391D0F9F95
计算机中有一个加密分区，该分区的盘符是什么？【参考格式：A】
D
接上题，综合分析王昊天的其他检材，该分区的解密密钥是什么？【区分大小写】
在手机检材的备忘录中找到一串看起来像密码的东西
解密成功
ps：lovelycarve能显示完整的澎湃os的文件系统，并且能直接解密加密盘而火眼不行
计算机上安装有一个虚拟局域网工具，该工具的版本号是什么？【参考格式：x.x.x】
在开始菜单找到这样一个工具，查找一下功能发现确实是虚拟局域网工具
接上题，通过该工具加入的虚拟局域网的名称是什么？
接上题，为该虚拟局域网添加的中继服务器的 id 是什么？
启动这个软件就能看见
计算机中安装了一个启动介质（Bootable Media）制作工具。该工具第一次运行时，删除的分区中容量最大的分区的大小是多少字节？
首先在开始菜单找到这个工具是Ventoy2Disk，找到日志就能看见
接上题，该工具最后一次制作启动介质结束的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】
还是日志
2026-07-10 15:21:13
计算机中安装了一个局域网文件传输工具，使用该工具接收了几个文件？
桌面有一个localsend
应该是3个啊为什么答案是1呢
接上题，使用该工具最后一次接收数据的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】
依旧找配置文件
2026-07-10 14:38:03
计算机中保存有一个 C2 服务端工具，该工具的可执行文件的文件名是什么？
笔记中提到过vshell上线，猜测应该就是这个工具，在文件里找一下
在加密盘中可以找到
v_windows_amd64
接上题，该 C2 服务端连接了一个 Linux 客户端，其客户端 ID 是什么？
数据库里面可以看到
5
接上题，目前存储了几个使用该工具下载的文件？
download文件夹
5
接上题，综合其他检材分析，计算机本地的哪个端口与上述 Linux 客户端通信？
linux客户端的id是3，监听端口是8085
计算机上安装有一个 FRP 的图形化管理工具，分析该工具的数据，创建的内网穿透代理隧道的名称是什么？
打开FRP工具就能看到
vshell-2
接上题，使用该工具最后一次成功连接 FRP 服务的时间是什么？【以检材原始时区回答，参考格式：yyyy-MM-dd HH:mm:ss】
依旧找日志，分割线下面全是error
2026-07-10 14:26:34
结合 Mega 网盘云取证数据分析，王昊天可能曾拥有另外一台云服务器，该服务器的 IP 地址是什么？
结合 Mega 网盘云取证数据和 B411_FileHash_BlackList.csv 分析，网盘中的文件中，包含多少个不重复且在哈希清单中的文件？
计算核对即可（痛苦）
11