第F部份 (第 96 至 120 题) : 关于手机取证的问题
根据一个“三星SM-N9005 Galaxy Note 3＂的手机镜像文件"DumpData.bin" 的内容，回答下述手机取证问题。
(该文件是由CellebritePhysical Extraction采集而来的。)
96 检测“三星SM-N9005 Galaxy Note 3＂的手机镜像文件并找出系统分区。请问系统分区(system partition)的大小是多少？
A. 1.2 GB
B. 2.2 GB
C. 4.6 GB
D. 12.2 GB
E. 15 GB
97 接上题，在手机镜像文件中，系统分区(system partition)的文件系统类型是什么？
A. YAFFS
B. YAFFS2
C. Ext3
D. Ext4
E. 以上皆不是
98 检测手机镜像文件并找出用户数据的分区。请问用户数据分区(userdata partition)的大小是多少？
A. 3.1 GB
B. 2.9 GB
C. 4.6 GB
D. 12.2 GB
E. 11.9 GB
99 接上题，在手机镜像文件中，请问该用户数据分区(userdata partition)的文件系统类型是什么？
A. YAFFS
B. YAFFS2
C. Ext3
D. Ext4
E. FAT
100 如果手机安装了应用程序，你会在哪个位置找寻该应用程序的“apk＂文件？
A. /root/app/
B. /system/apps/
C. /system/media/apk/
D. /system/application/
E. 以上皆不是
常识题，在/data/app里
101 该手机显示设备的时区是什么？
A. Europe/London
B. Europe/Amsterdam
C. Asia/Hong_Kong
D. Asia/Bangkok
E. 以上皆不是
102 在手机镜像文件中，找出“com.android.email＂文件夹，数据库中设置的电子邮件地址是什么？
A. digitalrongke@gmail.com
B. victorlam@gmail.com
C. rongkedigital@mail.com
D. kedigital@hotmail.com
E. 以上皆不是
com.android.email是系统自带邮箱。
103 接上题，上述数据库共有多少条电子邮件记录？
A. 9
B. 10
C. 21
D. 50
E. 5
104 接上题，谁是首个电子邮件的接收者？
A. kedigital@hotmail.com
B. jc266575@gmail.com
C. rongkedigital@mail.com
D. digitalrongke@gmail.com
E. 以上皆不是
最早的记录在收件箱里，是第一个。
105 接上题，服务器的时间戳显示的第一个电子邮件的发送日期／时间是什么？
（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC）
A. 2018-10-29 21:30:18 UTC
B. 2018-10-26 06:21:02 UTC
C. 2018-10-29 21:33:54 UTC
D. 2018-10-31 07:26:51 UTC
E. 2018-10-31 08:26:11 UTC
UTC+0为现时区-8小时。
106 在手机镜像文件中，哪一个文件包含日历记录？
A. calendar.base.db
B. database_calendar.db
C. calendar_record.db
D. calendar.db
E. ddcalendar.db
选定分析，跳转源文件。
107 在手机镜像文件的下载文件夹中，该手机用户下载了哪个“apk＂文件？
A. Evernote.apk
B. kodi.apk
C. CloudAgent.apk
D. channel_71067978_1005035_1539597843180.apk
E. 以上皆不是
user/download为手机浏览器下载默认位置
选D
108 在手机镜像文件中，哪个文件用于存储“微信”记录？
A. chatmessages.db
B. msgstore.db
C. mm.sqlite
D. chatstorage.db
E. EnMicroMsg.db
常识题
109 接上题，检查“微信＂数据库，请问Leo和Jason在2018年10月31(UTC+8)日共有多少条通讯记录？
A. 7
B. 20
C. 30
D. 5
E. 9
最后两条一致，总计11条。但被删除的信息不存在于EnMicroMsg.db数据库。因此为11-4=7条。
110 在手机镜像文件中，用户在2018-10-31(UTC+8)截取了多少个截图？
A. 5
B. 20
C. 7
D. 2
E. 8
目测两张。
111 接上题，该截图的文件名是什么，请选择最早的一个档案？
A. Screenshot_2018-10-31-16-08-57.png
B. Screenshot_2018-10-31-12-08-12.png
C. Screenshot_2018-10-31-17-02-51.png
D. Screenshot_2018-10-28-15-00-10.png
E. Screenshot_2018-10-30-09-08-17.png
112 在手机镜像文件中，安装了哪种黑客软件？
A. Hack-it
B. Ethicalhacking
C. I Hack You
D. LUCKY HACK PATCHER
E. 以上皆不是
113 接上题，该应用程序是什么时候安装的？
（答案格式 －“世界协调时间＂：YYYY-MM-DD HH:MM:SS UTC）
A. 2018-10-31 09:05:26 UTC
B. 2018-11-01 22:21:08 UTC
C. 2018-10-26 23:37:34 UTC
D. 2018-10-31 17:05:26 UTC
E. 2018-10-31 09:21:01 UTC
114 在手机镜像文件的用户媒体文件夹中，有涉及枪支的照片／图片，档案的名称是什么？
A. 20181101_160634.jpg
B. 20181031_153537.jpg
C. 20181031_170633.jpg
D. 20181031_091635.jpg
E. 20181031_070813.jpg
115 在手机镜像文件中，哪个文件记录了联系人（电话簿）？
A. contact1.db
B. database.contacts.db
C. contacts1.db
D. contacts2.db
E. contact.db
116 接上题，有多少个现有联系人记录？
A. 7
B. 13
C. 9
D. 15
E. 8
现有7个，1个被删除。
117 在手机镜像文件中的联系人数据库中，共有多少个电子邮件帐户？
A. 1
B. 6
C. 7
D. 3
E. 2
118 接上题，在联系人数据库的已删除记录中，以+852 6__________开头的电话号码是什么？请填写空格.
A. +852 66253737
B. +852 67486468
C. +852 63873984
D. +852 61810641
E. +852 67645745
119 在手机镜像文件中，曾使用过的无线网络名称(SSID)是？
A. WPA-PSK
B. RKD-WPA
C. RKD_guest
D. PSK-RKD
E. 以上皆不是
120 该手机存有苹果手机备份密码，这个密码是？
A. Sgydgd
B. 6152jHD
C. Os156871
D. $RFV5tgb
E. Trey123$%^