buuctf-misc writeup (持续更新)

内存取证三项

文件下载解压，有几个提示信息。

volatility直接梭。

查看镜像信息imageinfo。此命令用于查看镜像的大概系统，便于执行对应的命令。

查看执行过的cmd命令cmdscan。

从这里可以到小黑在小白的电脑执行了nc，并传送一个zip文件。应该就是题目的机密文件。而且猜测压缩包有密码，对应题目的小白的密码。

还有一个信息就是小黑在小白的桌面写了点什么，以为在桌面会有txt文件。文件扫描filescan。

并不是，桌面啥也没有，txt也没有。没思路的时候就看看进程信息pslist。

特殊进程除了nc就是ie和notepad，查看notepad里面写了什么。

原来在这里，并不是在桌面，而是在桌面的notepad里面。这串是16进制，转换成字符串。

但是不是flag，是假的。这条路断了。

回到刚刚的zip文件。先下载下来dumpfiles。

注意到文件名是小白的生日，生日只有数字，可以爆破。

密码是19950101，里面就是flag，真flag。