CTF-蓝帽杯 2022 初赛Misc计算机取证题目详解

使用工具：Volatility、Passware Kit、Arsenal Image Mounter、DiskGenius

题目文件如下：

首先要知道这些文件是什么：

dmp后缀指Dump文件，是windows系统中的错误转储文件。包含计算机程序运行时的内存信息的文件。通常操作系统或应用程序在遇到系统崩溃、死机或其他严重错误时，会自动将程序运行环境的所有信息导出到一个.dmp文件中。所以可以利用该文件帮助程序员诊断程序运行过程中的错误，还可以获取账户、密码等敏感信息。因此，为了保护计算机安全和隐私，应该限制程序访问和存储.dmp文件。E01后缀是电子数据取证分析工具EnCase的一种证据文件格式。国内外的取证软件基本都支持E01镜像的制作。

所有工具和实验文件下载链接

https://download.csdn.net/download/m0_62574258/89471204

目录

小题1

小题2

小题3

小题4

答案

---

小题1

题目描述：现对一个windows计算机进行取证，请从内存镜像中获得taqi7的开机密码，得到的flag请使用NSSCTF{}形式提交。

题目相关文件保存到/root/test目录下，如下图

用两种解法

解法一：使用Volatility工具

(1)先用imageinfo判断当前的镜像信息，分析出是哪个操作系统

python2 vol.py -f /root/test/1.dmp imageinfo

可以看到推荐Profile为Win7SP1x64

(2)然后查看用户密码的hash值，profile指定为Win7SP1x64，然后指定hashdump

python2 vol.py -f /root/test/1.dmp --profile=Win7SP1x64 hashdump

(3)得到taqi7用户的密码哈希值为7f21caca5685f10d9e849cc84c340528，在线解密得密码明文为anxinqi

(4)也直接破解哈希值(需要安装mimikatz插件)，它是一种用于提取Windows用户名和密码的工具。

python2 vol.py -f /root/test/1.dmp --profile=Win7SP1x64 mimikatz

直接得到taqi7密码明文为anxinqi

解法二：使用Passware Kit工具

(1)打开Passware Kit工具，选择Memory Analysis内存分析

(2)选择1.dmp文件

(3)得到结果为anxinqi

小题2

题目描述：现对一个windows计算机进行取证，制作该内存镜像的进程Pid号是多少？得到的flag请使用NSSCTF{}形式提交。

使用Volatility 工具的pslist指令列出所有进程，然后找制作该内存镜像的进程MagnetRAMCaptu.exe

python2 vol.py -f /root/test/1.dmp --profile=Win7SP1x64 pslist

MagnetRAMCaptu.exe进程的PID为2192

小题3

题目描述：现对一个windows计算机进行取证，bitlokcer分区某office文件中存在的flag值为？得到的flag请使用NSSCTF{}形式提交。

(1)把G.E01和1.dmp都使用Arsenal Image Mounter工具挂载到电脑上

可以看到电脑上多了个E盘

但是该磁盘使用了BitLocker加密，所以无法打开

(2)选择passware kit的Full Disk Encryption功能然后选择BitLocker，由于我们有内存镜像，所以选择I have a memory image，这样就可以不用暴力破解，因为内存中通常会有恢复密钥。加密的镜像文件选择G.E01，内存镜像选择1.dmp

破解结果如下

破解恢复密钥为：368346-029557-428142-651420-492261-552431-515438-338239

而且还得到解密后的镜像G-decrypted.dd

(3)在DiskGenius中使用刚刚破解的恢复密码解锁磁盘

(4)恢复结果如下，有一个word、一个ppt、一个密码本、加密后的txt

(5)打开ppt和word都需要密码

(6)将得到的密码本添加到password kit工具中，选择添加字典文件

(7)选择得到的pass.txt，然后勾选保持原始的数据顺序

(8)然后选择添加的字典进行字典攻击

(9)ppt破解结果如下，得到ppt的密码为287fuweiuhfiute

word破解结果如下，得到word的密码为688561

(10)使用密码打开word发现没有flag，打开ppt结果如下

小题4

题目描述：现对一个windows计算机进行取证，TrueCrypt加密中存在的flag值为？得到的flag请使用NSSCTF{}形式提交

(1)小题3还得到一个名为新建文本文档的txt文件，该文件大小很大，且内容是乱码，推测是加密后的镜像

(2)由于题目说明了是TrueCrypt加密，然后选择passware kit的Full Disk Encryption功能然后选择TrueCrypt，选择I have memory image

要解密的文件选择新建文本文档.txt，内存镜像选择1.dmp

(3)得到解密后的镜像新建文本文档-unprotected.txt

(4)将新建文本文档-unprotected.txt改名为新建文本文档-unprotected.dmp，然后使用Arsenal Image Mounter将其挂载到电脑上

(5)然后打开DiskGenius，点击恢复文件，得到一个名为哈哈哈的压缩包

(6)打开该压缩包，发现需要密码

(7)使用passware kit导入该文件，发现写着可以快速解密，所以尝试用1到6位数字组合暴力破解，结果如下

(8)使用密码解压压缩包，得到一个txt文件，内容如下

答案

(1)NSSCTF{anxinqi}

(2)NSSCTF{2192}

(3)NSSCTF{b27867b66866866686866883bb43536}

(4)NSSCTF{1349934913913991394cacacacacacc}