2023第二届陇剑杯网络安全大赛 预选赛Writeup

最新推荐文章于 2024-04-15 00:19:21 发布
最新推荐文章于 2024-04-15 00:19:21 发布
阅读量6k 收藏 25
点赞数 14
分类专栏： Game Writeups 文章标签： 第二届陇剑杯 2023陇剑杯 陇剑杯Writeup
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mochu7777777/article/details/132517971
版权

题目附件

链接：https://pan.baidu.com/s/1J20VusdMjit4coWAi5lnnQ 
提取码：6emq

文章目录

HW

hard_web_1

在这里插入图片描述

这题其实可以参考这篇文章：从一道题分析Nmap SYN/半连接/半开放扫描流量
TCP扫描确认端口开放的标志就是返回SYN+ACK的包，所以只需要过滤SYN、ACK状态都为1的包即可

tcp.flags.syn==1 and tcp.flags.ack==1

在这里插入图片描述

答案

80,888,8888

hard_web_2

在这里插入图片描述

过滤http发现这里有个shell.jsp

在这里插入图片描述

右键追踪HTTP流，可以看到shell.jsp的内容，哥斯拉AES加密的shell
PS：选择HTTP流是因为经过gzip解码的，如果是追踪TCP流还需要解码gzip

在这里插入图片描述

那么经过shell.jsp的流量就是AES加密过的，密钥已知：748007e861908c03

在这里插入图片描述

选择原始数据，以0d0a0d0a为请求体/响应体和请求头/响应头的界限

在这里插入图片描述

然后直接丢 CyberChef 梭哈

在这里插入图片描述
在这里插入图片描述

能解密流量了，就慢慢看过找flag即可，读取flag在tcp.stream eq 20053

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

flag{9236b29d-5488-41e6-a04b-53b0d8276542}

hard_web_3

在这里插入图片描述
webshell连接密码就是：748007e861908c03

cmd5撞一下即可得知是（不过这条收费）：14mk3y

PS C:\Users\Administrator> php -r "var_dump(md5('14mk3y'));"
Command line code:1:
string(32) "748007e861908c03ba0830d5c47fd282"

SS

sevrer save_1

在这里插入图片描述

过滤http，前面都是爆破的干扰流量，直接看到后面

在这里插入图片描述

从这个/helloworld/greeting开始追踪TCP流，直接搜索引擎检索Payload关键字即可锁定CVE编号

在这里插入图片描述

CVE-2022-22965

sevrer save_2

在这里插入图片描述

继续追踪TCP流，在tcp.stream eq 106，即可发现反弹shell的IP和端口

在这里插入图片描述

192.168.43.128:2333

sevrer save_3

在这里插入图片描述

/home/guests/下发现一个main文件，是ELF可执行文件

在这里插入图片描述

main

sevrer save_4

在这里插入图片描述

生成的用户名和密码，直接查看/etc/passwd以及/etc/shadow

在这里插入图片描述
在这里插入图片描述

新创建的用户名和密码：ll:123456

sevrer save_5

在这里插入图片描述

/home/guests/.log.txt中有一个外网IP：172.105.202.239

在这里插入图片描述

sevrer save_6

在这里插入图片描述

从main文件的修改时间来看，以及.idea中两个看着很像挖矿程序的修改时间完全相同来猜测，lolMiner、mine_doge.sh是病毒运行后释放的文件

在这里插入图片描述
在这里插入图片描述

lolMiner,mine_doge.sh

sevrer save_7

在这里插入图片描述

打开mine_doge.sh

在这里插入图片描述

很明显，矿池地址：doge.millpools.cc:5567

sevrer save_8

在这里插入图片描述

钱包地址：DOGE:DRXz1q6ys8Ao2KnPbtb7jQhPjDSqtwmNN9

WS

Wireshark1_1

在这里插入图片描述

就两个IP，很明显被TELNET登陆的IP是：192.168.246.28

在这里插入图片描述

Wireshark1_2

在这里插入图片描述

直接追踪TCP流即可发现口令为：youcannevergetthis

在这里插入图片描述

Wireshark1_3

在这里插入图片描述
在这里插入图片描述

Downloads

Wireshark1_4

在这里插入图片描述
在这里插入图片描述

mysql

IR

IncidentResponse_1

在这里插入图片描述

VMware打开irTest.ova，中间有一些报错，问题不大，继续即可。查看一下root用户最新更新过的记录文件: .bash_history、.viminfo

在这里插入图片描述

.bash_history看了有一些修改操作，但是看了看这些文件内容貌似也没发现挖矿痕迹

在这里插入图片描述

.viminfo发现了大量修改redis相关配置

在这里插入图片描述
在这里插入图片描述

查看redis.conf，这里YOUR_WALLET_ADDRESS就很可疑了

在这里插入图片描述

URL地址一查

在这里插入图片描述
那么挖矿程序应该就是redis

└─# echo -n '/etc/redis/redis-server'|md5sum|cut -d '' -f1
6f72038a870f05cbf923633066e48881

IncidentResponse_2

在这里插入图片描述

└─# echo -n 'donate.v2.xmrig.com'|md5sum|cut -d '' -f1
3fca20bb92d0ed67714e68704a0a4503

IncidentResponse_3

在这里插入图片描述

直接查看jar包运行启动后的日志文件nohup.log

在这里插入图片描述

在这里插入图片描述

Shiro反序列化

echo -n 'shirodeserialization'|md5sum|cut -d '' -f1
3ee726cb32f87a15d22fe55fa04c4dcd

IncidentResponse_4

在这里插入图片描述
攻击者都植入挖矿程序了，肯定登陆过服务器，直接last查看登录记录

在这里插入图片描述

也可以查看Nginx中的访问日志，tail /var/log/nginx/access.log

在这里插入图片描述

PS C:\Users\Administrator> php -r "var_dump(md5('81.70.166.3'));"
Command line code:1:
string(32) "c76b4b1a5e8c9e7751af4684c6a8b2c9"

IncidentResponse_5

在这里插入图片描述

就是最后访问时带的 UserAgent

在这里插入图片描述

PS C:\Users\Administrator> php -r "var_dump(md5('mozilla/5.0(compatible;baiduspider/2.0;+http://www.baidu.com/search/spider.html)'));"
Command line code:1:
string(32) "6ba8458f11f4044cce7a621c085bb3c6"

IncidentResponse_6

在这里插入图片描述

authorized_keys不为空，推测攻击者开启了root的SSH私钥登录

在这里插入图片描述

PS C:\Users\Administrator> php -r "var_dump(md5('/root/.ssh/authorized_keys'));"
Command line code:1:
string(32) "a1fa1b5aeb1f97340032971c342c4258"

IncidentResponse_7

在这里插入图片描述

/lib/systemd/system/redis.service这个配置很可疑，一直在重启redis，也是在不断维持植入的矿机程序

在这里插入图片描述

PS C:\Users\Administrator> php -r "var_dump(md5('/lib/systemd/system/redis.service'));"
Command line code:1:
string(32) "b2c5af8ce08753894540331e5a947d35"

SSW

SmallSword_1

在这里插入图片描述

直接过滤：tcp contains "$_POST"

在这里插入图片描述

6ea280898e404bfabd0ebb702327b18f

SmallSword_2

在这里插入图片描述

过滤http，从最后往前看，因为前面大多是扫描流量，没啥关键的。蚁剑的base64传输，直接解码一条一条看即可

在tcp.stream eq 142发现写入的内容

在这里插入图片描述
在这里插入图片描述

ad6269b7-3ce2-4ae8-b97f-f259515e7a91

SmallSword_3

在这里插入图片描述

tcp.stream eq 130有一个exe，很大

在这里插入图片描述

选择为原始数据全部复制出来，去掉第一行的HTTP请求包的内容，另存为hexdata.txt

在这里插入图片描述
Python简单处理即可

with open('hexdata.txt', 'r') as f:
	with open('1.exe', 'wb') as f1:
		lines = f.readlines()
		for line in lines:
			line = line.strip()
			f1.write(bytes.fromhex(line))

将HTTP响应包的头以及多余数据去掉，保存

在这里插入图片描述
在这里插入图片描述
是一个Python打包的exe文件，运行得到一个test.jpg

在这里插入图片描述

查看文件头，是一个PNG图片，修改后缀为.PNG，打开后CRC校验报错，推测修改了图片高度

在这里插入图片描述

修改高度即可

在这里插入图片描述

flag3{8f0dffac-5801-44a9-bd49-e66192ce4f57}

EW

ez_web_1

在这里插入图片描述

一开始以为是这个d00r.php，试了发现不对

在这里插入图片描述

然后在检索d00r.php时发现了一个名为ViewMore.php的文件

在这里插入图片描述

右键追踪TCP流发现是ViewMore.php写入的d00r.php

在这里插入图片描述

所以答案为：ViewMore.php

ez_web_2

在这里插入图片描述

追踪TCP流发现执行了ifconfig，响应内容格式是Gzip，问题不大

在这里插入图片描述

对当前流选择右键，追踪HTTP就可以看到明文了

在这里插入图片描述
在这里插入图片描述

192.168.101.132

ez_web_3

在这里插入图片描述
还是这个流：tcp.stream eq 100098

这里写入了一个k3y_file

在这里插入图片描述

是一个压缩包，直接转化

from base64 import *

base64_data = 'UEsDBBQAAQAAANgDvlTRoSUSMAAAACQAAAAHAAAAa2V5LnR4dGYJZVtgRzdJtOnW1ycl/O/AJ0rmzwNXxqbCRUq2LQid0gO2yXaPBcc9baLIAwnQ71BLAQI/ABQAAQAAANgDvlTRoSUSMAAAACQAAAAHACQAAAAAAAAAIAAAAAAAAABrZXkudHh0CgAgAAAAAAABABgAOg7Zcnlz2AE6DtlyeXPYAfldXhh5c9gBUEsFBgAAAAABAAEAWQAAAFUAAAAAAA=='
with open('k3y_file.zip', 'wb') as f:
	f.write(b64decode(base64_data))

在这里插入图片描述

有密码，往回找找线索，还是这个流，找到疑似密码：7e03864b0db7e6f9

在这里插入图片描述

解压得到答案：7d9ddff2-2d67-4eba-9e48-b91c26c42337

BF

baby_forensics_1

在这里插入图片描述
在这里插入图片描述

给了两个文件，一个磁盘镜像，另一个猜测是内存镜像，DiskGenius打开.vmdk

在这里插入图片描述

发现是BitLocker加密的磁盘，但是给了内存镜像，直接尝试EFDD提取恢复密钥，先使用ArsenalImageMounter将BitLocker加密磁盘挂载起来

在这里插入图片描述

然后EFDD操作如下：

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

成功获取恢复密钥

560604-255013-655633-128854-663223-316063-484946-476498

输入恢复密钥

在这里插入图片描述

打开得到key.txt

在这里插入图片描述

最扯的来了，虽然知道后觉得确实有点像rot47，但是还是觉得很脑洞。。。。

在这里插入图片描述

the key is 2e80307085fd2b5c49c968c323ee25d5

或者R-studio直接梭哈

在这里插入图片描述

baby_forensics_2

在这里插入图片描述
在这里插入图片描述

直接将calc.exe的内存映射导出来

在这里插入图片描述

然后将2844.dmp修改后缀为GIMP可加载的.data格式，使用GIMP打开，然后就是不断地调整位移、宽度。先不断调整位移使之有图像的阴影等，然后宽度适当即可，如下：

在这里插入图片描述

或者使用这是 Volatility 3 工具的插件命令windows，用于执行与 Windows 相关的分析。通过运行此命令，您将获取有关内存转储中运行的 Windows 进程、模块、文件和注册表等信息

在这里插入图片描述

然后在其中寻找calc.exe和PID，找到这个Windows Handler的句柄名

在这里插入图片描述

7598632541

baby_forensics_3

在这里插入图片描述

pslist之前一眼便签，肯定有东西，参考我之前的文章：西湖论剑2021中国杭州网络安全技能大赛部分Writeup

直接寻找.snt结尾的文件，导出

在这里插入图片描述

替换便签原来的存储位置，然后打开便签，得到密文

在这里插入图片描述

U2FsdGVkX195MCsw0ANs6/Vkjibq89YlmnDdY/dCNKRkixvAP6+B5ImXr2VIqBSp94qfIcjQhDxPgr9G4u++pA==

密钥找了好久，用R-Studio翻，最后在C:/Users/admin/Music下找到个i4ak3y

PS：R-Studio是个神器，好好利用

在这里插入图片描述

直接尝试AES解密

在这里插入图片描述

TP

tcpdump_1

在这里插入图片描述

当爆破登录失败返回如下：

在这里插入图片描述

当请求正确，返回如下：

在这里插入图片描述

根据返回特征，直接尝试检索：tcp contains "{\"errCode\":200}"

在这里插入图片描述

在这里插入图片描述

TMjpxFGQwD:123457

tcpdump_2

在这里插入图片描述
在这里插入图片描述

PS C:\Users\Administrator> php -r "var_dump(md5('accessToken=f412d3a0378d42439ee016b06ef3330c; zyplayertoken=f412d3a0378d42439ee016b06ef3330cQzw=; userid=1'));"
Command line code:1:
string(32) "383c74db4e32513daaa1eeb1726d7255"

tcpdump_3

在这里插入图片描述

直接过滤关键字：tcp contains "jdbc" and tcp contains "username" and tcp contains "password"

在这里插入图片描述

zyplayer:1234567

tcpdump_4

在这里插入图片描述

直接检索jdbc的payload：tcp contains "jdbc:"
EXP应该是这个：custom.dtd.xml

在这里插入图片描述

CVE编号直接将利用的包名和关键字贴上搜索引擎找就行

在这里插入图片描述

CVE-2022-21724:custom.dtd.xml

tcpdump_5

在这里插入图片描述

过滤http，从后往前追踪TCP流即可发现

在这里插入图片描述

fscan

HD

hacked_1

在这里插入图片描述

登录有AES加密，密钥、iv都已知

在这里插入图片描述

接下来只需要找登录成功的用户名和密码

在这里插入图片描述

在这里插入图片描述

直接AES解密

在这里插入图片描述

flag{WelC0m5_TO_H3re}

hacked_2

在这里插入图片描述
直接关键字检索：tcp contains "SECRET"

在这里插入图片描述

ssti_flask_hsfvaldb

hacked_3

在这里插入图片描述

有SECRET_KEY，直接解密JWT即可，找到执行命令的包

在这里插入图片描述

请求包：

PS D:\Tools\Web\CTF\flask-session-cookie-manager> python .\flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c ".eJwdx1EKwyAMANCrDEGiPz1Ar1KGZBi7gBpplH2Idy_d-3vTDKWrYiGzm2k5vZRUWeo2WsRObkLKeMKeuekoB4RwZvlg1hDg_S917lSeOhAFf0CTRvXp7ytYGPx2EUbnl7drWqqRk11m3cGmKw0.YpIQcw.J5vs8t8bAr0xDIxF6EqUAH2kkLE"
{'username': "{%if session.update({'flag':lipsum['__globals__']['__getitem__']('os')['popen']('whoami').read()})%}{%endif%}"}

返回包：

PS D:\Tools\Web\CTF\flask-session-cookie-manager> python .\flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c ".eJwdylsKAyEMQNGtFEGiUGYBs5VpkRQz04AvjNIPce-t_TyXO9QZ8FK7quQfSd1VF6oJI_3S0HzehEQ4p60Xj43MgPXDHrhIjwc4d4X8wiDOwfNPatwoLhrIAvaAkgulxc87Y2SwWyX0xk6r59CUPJ96qvkFHeUvmg.YpIQkg.65xf8l2g9fXAImkfyihId46KkY4"
{'flag': 'red\n', 'username': "{%if session.update({'flag':lipsum['__globals__']['__getitem__']('os')['popen']('whoami').read()})%}{%endif%}"}

答案：red

hacked_4

在这里插入图片描述

在这里插入图片描述

PS D:\Tools\Web\CTF\flask-session-cookie-manager> python .\flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c ".eJx1jUsOgkAQBa-Cs2lJCEbdcQI9A0w6DdMaYjPgfAwJmbsLC1fq7r2kKrWo6NlZGlhValmiE7yNrkS8y9iSeMQaENvYS-jt-kDXwC8S0PtG0TSVZAxulovCezhcreEZigw-Q2hoDWUVXFhk3GXH0xnyRhULoONnZB-wCzP6QN0Dqt_9b1AXsMb_8F10jm3AjdApT0mlNx2uUsY.YpIRHQ.qS_PWmxt4i4cjHYBzDz-rUdTZns"
{'username': '{{url_for.__globals__[\'__builtins__\'][\'eval\']("app.add_url_rule(\'/Index\', \'Index\', lambda :\'Hello! 123\')",{\'_request_ctx_stack\':url_for.__globals__[\'_request_ctx_stack\'],\'app\':url_for.__globals__[\'current_app\']})}}'}

答案：Index

末 初
关注
  • 14
    点赞
  • 踩
  • 25
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 9
    评论
专栏目录
2023陇剑杯线上&线下赛数据分析
大博的博客
12-14 1442
好久没打过比赛了，对于这种偏蓝方的比赛我还是很喜欢 本文首发于：先知社区：https://xz.aliyun.com/t/13177more。
陇剑杯 2021 write up整理
weixin_43234021的博客
10-09 6978
竞赛 write up 收集和整理一 羊城杯 2021 write up收集和整理1 web2 Misc1 签到题3 Crypto4 Reverse4.1 Ez_android5 PWN 一 羊城杯 2021 write up收集和整理 1 web 2 Misc 1 签到题 <?php echo("SangFor{".md5("28-08-30-07-04-20-02-17-23-01-12-19")."}"); ?> 图1是二八定律（28），图2是八卦（8），图3是三十而立（30），图4是北
陇剑杯Writeup（部分）
s1mplelife的博客
09-15 2219
1、签到 http协议网络攻击 2 JWT 2.1 该网站使用了_ JWT_认证方式。 2.2 黑客绕过验证使用的jwt中，id和username是_10087#admin _。 2.3 黑客获取webshell之后，权限是_ root_？ 2.4 黑客上传的恶意文件文件名是/tem/1.c___。 2.5 黑客在服务器上编译的恶意so文件，文件名是looter.so___。 2.6 黑客在服务器上修改...
第二届“陇剑杯”网络安全大赛线上赛write up2023
m0_52484587的博客
09-01 3582
题目内容：服务器开放了哪些端口，请按照端口大小顺序提交答案，并以英文逗号隔开(如服务器开放了80 81 82 83端口，则答案为80,81,82,83)过滤器:ip.dst == 192.168.162.188 and tcp.connection.synack。
[2021首届“陇剑杯”网络安全大赛 决赛]内存取证writeup
ShenZ的博客
11-24 4948
内存取证 附件：mem_sec.vmem 1.一日运维人员针对被入侵主机进行了一次内存分析，请根据内存镜像进行分析并回答下述问题。请根据u盘里的mem_sec.zip文件进行分析。取证人员首先对主机信息进行核实，该内存主机的产品密钥是__K3KHX-TCQKF-WGFXC-7T3BJ-9TPJC__。（答案格式字符全部大写） 2.经过入侵分析发现该主机的使用人员曾经访问过匿名邮箱的网址是__________。(答案包含http://或者https://，答案最后没有/) 1https://mail.td?
陇剑杯部分wp（参赛总结与反思）
cuddlylm的博客
10-17 585
1.签到 网管小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答：（本题仅1小问） 此时正在进行的可能是___http___协议的网络攻击。（如有字母请全部使用小写，填写样例：http、dns、ftp） 看请求包，协议为http，版本为1.1 2.jwt 昨天，单位流量系统捕获了黑客攻击流量，请您分析流量后进行回答： 这题要先了解什么是jwt JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JS
第四届红帽杯网络安全大赛-线上赛Writeup1
08-03
第四届红帽杯络安全赛-线上赛Writeup 第四届红帽杯络安全赛 - 线上赛 Writeup 第四届红帽杯络安全赛-线上赛Writeup 第四届红帽杯络安全赛-
智能网联汽车 天融信杯 信息安全攻防赛 2023 CTF真题
07-14
智能网联汽车 天融信杯 信息安全攻防赛 2023 CTF真题
山东省大学生网络安全技能大赛决赛Writeup.pdf
09-30
本文档总结了山东省大学生网络安全技能大赛决赛的Writeup，涵盖了Crypto0x00 RSA1、RSA2和仿射加密三个部分的知识点。 Crypto0x00 RSA1 在Crypto0x00 RSA1部分中，我们需要使用Python脚本或者OpenSSL来解出RSA加密...
陇剑杯总结
m0_55185160的博客
09-20 1223
对于陇剑杯这次比赛，我觉得比赛形式比较有创新，考核的内容更容易上手，多以日志的形式考核，包括SQL注入，我可以做的题目就是日志分析题和SQL注入题，这次比赛的流量分析太难了，没有了tcp/ip协议而是udp协议 无法入手，还有关于取证领域的还没学习涉及到，所以没有做。还有一个只是点不会的，就是在日志中得知SQL注入的payload，把数据库里的flag导出来。 ...
MISC之常用编码总结
Love&Share
10-24 4727
常见编码 下面以加密下方flag为例 flag{QLNU_yyds!} base家族 工具：base全家桶http://wiki.qlnuctf.cn/course/13/task/684/show base16(十六进制) 666C61677B514C4E555F79796473217D base32 MZWGCZ33KFGE4VK7PF4WI4ZBPU====== base58 base62 http://decode-base62.nichabi.com/?input base64 ZmxhZ3
陇剑杯2023WriteUp学习笔记【初赛】
L120305q的博客
09-04 1595
陇剑杯2023初赛wp学习笔记
2023陇剑杯
qq_64201116的博客
09-18 1120
​首先判断哪个是服务器地址​从响应包看，给客户端返回数据包的就是服务器所以确定服务器地址是​再从开放端口来看，长期开放的端口​所以就是80、888、8888。
2024陇剑杯答题笔记（更新中），2024年最新网络安全权限处理
最新发布
2401_83946044的博客
04-15 829
检查Nginx日志（/var/log/nginx/access.log）中查看访问信息，可以在最后找到ua信息为Mozilla/5.0 (compatible;可能是开机自启，所以检查/root/lib/systemd/system/和/etc/systemd/system/，在/root/lib/systemd/system/中找到了redis.service文件。值得注意的是%27为。所以答案为/lib/systemd/system/redis.service，转换格式为。所以真正的后门文件为。
2023陇剑杯答题笔记（更新中），2024年网络安全开发实战
04-07 736
题目：该webshell的连接密码是多少？连接密码在md5后，他的前16个作为数据包加密密钥。所以此处需要寻找md5后为748007e861908c03的值，使用cmd5解密得14mk3y。
2023陇剑杯线上赛Server save
FRANXX_02的博客
10-29 122
跳过干扰流量直接过滤http，过滤后发现攻击者对web网站进行了爆破，直接往下翻发现有一个POST请求，直接追踪流，发现payload关键字。看main的修改时间，找到.idea的一个ELF的可执行文件和一个sh文件。题目要求找到反弹shell的ip和端口，直接搜索/bin/sh。直接把payload关键字放到百度上搜索，得出CVE编号。打开shadow文件直接可以看到用户密码。外网ip直接看home下log文件。找的一个ELF可执行文件Main。挖矿地址下面哪一个就是钱包地址。打开上一题找到的sh文件。
2021陇剑杯网络安全大赛-签到
qq_43264813的博客
09-14 1633
2021陇剑杯网络安全大赛-签到 题目描述：网管小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答：（本题仅1小问） 此时正在进行的可能是_____http_____协议的网络攻击。（如有字母请全部使用小写，填写样例：http、dns、ftp） 无脑分析题！！！ ...
陇剑杯writeup
07-28
根据提供的引用内容，我了解到以下信息： - 引用\[1\]提到了关于虚拟机内存文件（vmem）和解析工具vol3的内容。 - 引用\[2\]提到了嫌疑人下载过无影无踪扫描文件，并导出了ntfs元文件和使用了内存镜像进行分析的命令。 - 引用\[3\]提到了一次内存分析的情况，并给出了内存主机的产品密钥。 然而，你的问题是关于"陇剑杯writeup"，但是在提供的引用内容中并没有提到这个问题的相关信息。请提供更多的上下文或明确你的问题，以便我能够为你提供更准确的答案。 #### 引用[.reference_title] - *1* *2* *3* [[2021首届“陇剑杯”网络安全大赛 决赛]内存取证writeup](https://blog.csdn.net/weixin_46081055/article/details/120527685)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insert_down1,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 9
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

末 初

谢谢老板！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值