BUUCTF [RoarCTF2019]forensic

打开
下载mem.raw
把mem.raw放入kali
volatility查看镜像

volatility -f mem.raw imageinfo

建议用profile, 后面用Win7SP1x86
查看内存进程：

volatility -f men.raw pslist --profile Win7SP1x86

发现有几个进程

了解发现：
TrueCrypt.exe是一款磁盘加密工具，所有虚拟磁盘上的文件都被自动加密，需要通过密码来进行访问。
notepad.exe windows自带记事本
mspaint.exe win7自带画图工具
DumpIt.exe 内存镜像读取

查看提取内存进程中的数据

volatility -f mem.raw --profile=Win7SP1x86 userassist

看到mspaint.exe和NOTEPAD.EXE都无数据
继续扫描文件

volatility -f mem.raw --profile=Win7SP1x86 filescan |grep -E 'png|jpg|gif|zip|rar|7z|pdf|txt|doc'

可以看到在0x000000001efb29f8处有个无标题.png文件，了解到无标题.png是windows画图工具的默认文件名，把图片dump下来

volatility -f mem.raw --profile=Win7SP1x86 dumpfiles -Q 0x000000001efb29f8 --dump-dir=./

得到一张图片
再扫描桌面文件

volatility -f mem.raw --profile=Win7SP1x86 filescan | grep "Desktop"

通过了解Dumpit.exe默认生成文件是 {hash}.raw, 默认保存路径是dumpit.exe所在的路径
把生成的文件dump下来

volatility -f mem.raw --profile=Win7SP1x86 dumpfiles -Q 0x000000001fca1130 --dump-dir=./

发现没有数据

判断取证的时候dumpit.exe还在运行中 ，把dumpit.exe的内存镜像dump下来

dump进程内存:memdump -p 进程PID -D 路径

找到进程pid

volatility -f mem.raw --profile=Win7SP1x86 memdump -p 3380 -D ./

发现有个3380.dmp内存镜像
foremost分离

发现flag.txt加密了，联想到之前扫描到的png文件上的内容，猜测应该是flag.txt的密码

解压，拿到flag