内存取证——ABC包

1、获取数据包的镜像信息

2、获取主机名字

3、 列出文件中曾使用的进程信息

题目要求我们去查看管理员的信息 使用命令查找列出有关管理员的信息继续操作（这里发现管理员注册表）

这个文件里存放着管理员的一些基本信息 已发现此的虚拟地址 打开查看

4、获取管理员用户密码

这里可以看到是这条注册表记录 接下来指定查看信息

可以看到这里面有三个用户 但admin和guest是默认的有权限的用户 所以这里只能是okra是给予的超级用户权限 接下来获取这个用户的hash值

我们要求的是okra这个用户的信息，所以将hash值解压明文

这里检测到字符串被识别为NT 让我们使用-format=NT命令破解转换

发现这里还是破解不了 可能是缓存没有删除 删除缓存尝试破解

获得密码justice4