BMZCTF：内存取证三项

2023-12-26 19:52| 来源: 网络整理| 查看: 265

http://bmzclub.cn/challenges#%E5%86%85%E5%AD%98%E5%8F%96%E8%AF%81%E4%B8%89%E9%A1%B9

文章目录第一项：小黑写的啥，据说是flag？第二项：那么问题来了，小白的密码是啥？第三项：小黑发送的机密文件里面到底是什么

在这里插入图片描述

内存取证三项.txt

一天下午小白出去吃饭，临走之前还不忘锁了电脑，这时同寝室的小黑想搞点事情，懂点黑客和社工知识的小黑经过多次尝试获得了密码成功进入电脑，于是便悄悄在电脑上动起手脚了，便在桌面上写着什么，想给小白一个惊喜，同时还传送着小白的机密文件，正巧这时小白刚好回来，两人都吓了一跳，小黑也不管自己在电脑上留下的操作急忙离开电脑，故作淡定的说：“我就是随便看看”。 1.小黑写的啥，据说是flag？ 2.那么问题来了，小白的密码是啥？ 3.小黑发送的机密文件里面到底是什么

在这里插入图片描述将内存镜像文件解压出来，改名为memory.raw

volatility -f memory.raw imageinfo

在这里插入图片描述

volatility -f memory.raw --profile=WinXPSP2x86 pslist

在这里插入图片描述

第一项：小黑写的啥，据说是flag？

pslist发现可疑进程notepad.exe，尝试加载notepad模板显示写了些啥

PS D:\Tools\Misc\volatility_2.6_win64_standalone> .\volatility.exe -f .\L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86 notepad Volatility Foundation Volatility Framework 2.6 Process: 280 Text: ? Text: d Text: Text: ? Text: 666C61677B57336C6563306D655F376F5F466F72336E356963737D PS D:\Tools\Misc\volatility_2.6_win64_standalone> >>> from binascii import * >>> unhexlify('666C61677B57336C6563306D655F376F5F466F72336E356963737D') b'flag{W3lec0me_7o_For3n5ics}' >>> 第二项：那么问题来了，小白的密码是啥？

在这里插入图片描述