CTF内存取证（window）

事件描述：您的任务是使用 Redline 和 Volatility 工具分析内存转储。您的目标是跟踪攻击者在受感染计算机上采取的步骤，并确定他们如何设法绕过网络入侵检测系统“NIDS”。您的调查将涉及识别攻击中使用的特定恶意软件系列及其特征。此外，您的任务是识别和缓解攻击者留下的任何痕迹或足迹。

1.目标可疑进程的名称是什么？

先查看一下imageinfo信息

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.psscan

凭此进程的话是没有办法去判断哪个是可疑的，然后我们使用其他的插件去排除一下，以下命令为扫描恶意代码。

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.malfind  

 oneetx.exe 这么就吻合了，就是这个名称了

2.查看一下可疑进程的子进程名称是什么？

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.pstree

抓取到子进程的可以名称：rundll32.exe

3.请查看应用于可疑进程内存区域的内存保护是什么？

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.vadinfo | grep oneetx.exe 

  按照进程来转储一下文件

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.vadinfo  --pid 5896

4.负责VPN连接的进程的名称是什么？

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.psscan

  

 查看到了这个Outline.exe进程，我去网上查了些资料确定了这个就是vpn的进程

5.请查看出攻击者的 IP 地址是什么？

python3 vol.py -f '/home/yyy/Desktop/sever2023.mem' windows.netscan | grep -10  oneetx.exe

跑出了这个ip地址后，我判断了一下，这个就是攻击者的ip地址

6.查看你恶意软件家族的名称是什么？ 

strings '/home/yyy/Desktop/sever2023.mem'| grep Redline

 7.查看攻击者访问的PHP文件的完整URL是什么？

strings '/home/yyy/Desktop/sever2023.mem'| grep 77.91.124.20 -10 

 8.查看恶意可执行文件的完整路径是什么？

strings '/home/yyy/Desktop/sever2023.mem'| grep oneetx.exe