MISCdomainhackerdomainhacker2电子取证手机取证1手机取证2计算机取证1计算机取证2计算机取证3计算机取证4程序分析1程序分析2程序分析3程序分析4网站取证1网站取证2网站取证3
MISC
domainhacker
过滤http
文件->导出对象http
然后有
或者直接
转存储原始数据到010编辑器得到rar压缩包
推测解密密码在这个流前面不远 第14个流
密码 SecretsPassw0rds
domainhacker2
步骤同上一样,不同的是ntds.rar 题目已经有了 密码:FakePassword123$
然后百度搜了一下怎么去解析ntds,找到github上一个脚本
python secretsdump.py -ntds C:\Users\86181\Desktop\蓝帽杯\ntds\new\ActiveDirectory\ntds.dit -system C:\Users\86181\Desktop\蓝帽杯\ntds\new\registry\system -security C:\Users\86181\Desktop\蓝帽杯\ntds\new\registry\security -history local
电子取证
手机取证1
打开苹果测试 查看exe
盘古石阅读器
直接搜
导出,查看分辨率 360x360
手机取证2
先查找了快递无果,查姜总查看聊天记录发现
计算机取证1
python vol.py -f ../1.dmp --profile=Win7SP1x64 mimikatz
计算机取证2
python vol.py -f ../1.dmp --profile=Win7SP1x64 pslist
计算机取证3
E01用取证大师,发现有bitlocker,但是没有恢复秘钥,因此passware梭
368346-029557-428142-651420-492261-552431-515438-338239
得到的密钥 用取证大师Bitlocker解密打开 或者直接打开passware解密后的镜像
得到四个文件
把pass.txt 导入 tool->Dictionary Manager
自定义攻击
计算机取证4
直接梭
没梭到密码,但是文件已经被解密。
foremost 文件 得到zip 然后暴力解
程序分析1
jadx 打开
程序分析2
minmtta.hemjcbm.ahibyws.MainActivity
程序分析3![](https://i-blog.csdnimg.cn/blog_migrate/2061e165095893b9ec4b66ca22819744.png)
程序分析4
危险千万条,root第一条
安全检测,猜测在检测root
答案 : a
网站取证1![](https://i-blog.csdnimg.cn/blog_migrate/7f81486bfcac6e08abad11112f3d28fd.png)
网站取证2
找sql连接页面的,可以全局查找 localhost或者(127.0.0.1) 发现
网站取证3
先找数据存放的数据库名字,全局查找