BuuCTF难题详解| Misc | [HDCTF2019]你能发现什么蛛丝马迹吗

最新推荐文章于 2024-03-08 15:24:51 发布
最新推荐文章于 2024-03-08 15:24:51 发布
阅读量1.7k 收藏 2
点赞数
分类专栏： BUUCTF Misc CTF 文章标签： 网络安全 信息安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/pone2233/article/details/111220815
版权
Misc 同时被 3 个专栏收录
22 篇文章 2 订阅
订阅专栏
BUUCTF
21 篇文章 4 订阅
订阅专栏
CTF
20 篇文章 2 订阅
订阅专栏

题目介绍

这道题目，是一道非常典型的内存取证的题目，相信会了这道题目，大家会对内存取证更加喜欢。

[HDCTF2019]你能发现什么蛛丝马迹吗

下载文件一看就是一个内存取证的题目，我们先看看版本

:volatility.exe -f memory.img imageinfo
Volatility Foundation Volatility Framework 2.6
INFO : volatility.debug : Determining profile based on KDBG search…
Suggested Profile(s) : Win2003SP0x86, Win2003SP1x86, Win2003SP2x86
AS Layer1 : IA32PagedMemoryPae (Kernel AS)
AS Layer2 : FileAddressSpace (E:\桌面\CTF工具包[内存取证]volatility\memory.img)
PAE type : PAE
DTB : 0xe02000L
KDBG : 0x8088e3e0L
Number of Processors : 1
Image Type (Service Pack) : 1
KPCR for CPU 0 : 0xffdff000L
KUSER_SHARED_DATA : 0xffdf0000L
Image date and time : 2019-04-25 08:43:06 UTC+0000
Image local date and time : 2019-04-25 16:43:06 +0800

知道了他是2003sp系统

:volatility.exe -f memory.img --profile=Win2003SP2x86 pslist
Volatility Foundation Volatility Framework 2.6
Offset(V) Name PID PPID Thds Hnds Sess Wow64 Start Exit 0x81f8f020 System 4 0 56 319 ------ 0
0xfe2f8448 smss.exe 380 4 3 18 ------ 0 2018-12-07 16:20:54 UTC+0000
0xfe2caa60 csrss.exe 516 380 12 509 0 0 2018-12-07 16:21:00 UTC+0000
0xfe304298 winlogon.exe 580 380 25 504 0 0 2018-12-07 16:21:04 UTC+0000
0xfe2fdd88 services.exe 648 580 16 303 0 0 2018-12-07 16:21:05 UTC+0000
0xfe2e5530 lsass.exe 660 580 38 458 0 0 2018-12-07 16:21:05 UTC+0000
0xfe2f9290 vmacthlp.exe 880 648 1 26 0 0 2018-12-07 16:21:06 UTC+0000
0xfe34d658 svchost.exe 932 648 6 93 0 0 2018-12-07 16:21:07 UTC+0000
0xfde05020 svchost.exe 984 648 10 268 0 0 2018-12-07 16:21:07 UTC+0000
0xfddf4c08 svchost.exe 1040 648 10 138 0 0 2018-12-07 16:21:08 UTC+0000
0xfddeb020 svchost.exe 1072 648 15 168 0 0 2018-12-07 16:21:08 UTC+0000
0xfdde9a70 svchost.exe 1096 648 79 1271 0 0 2018-12-07 16:21:08 UTC+0000
0x81e5a7d0 spoolsv.exe 1668 648 14 151 0 0 2018-12-07 16:21:26 UTC+0000
0xfe7385e8 msdtc.exe 1700 648 16 166 0 0 2018-12-07 16:21:26 UTC+0000
0xfddb7b18 svchost.exe 1800 648 2 54 0 0 2018-12-07 16:21:27 UTC+0000
0xfddb1020 svchost.exe 1848 648 2 37 0 0 2018-12-07 16:21:27 UTC+0000
0xfdda8020 VGAuthService.e 1920 648 2 65 0 0 2018-12-07 16:21:28 UTC+0000
0xfdc6eb18 vmtoolsd.exe 300 648 8 244 0 0 2018-12-07 16:21:36 UTC+0000
0xfe3d5600 svchost.exe 484 648 16 135 0 0 2018-12-07 16:21:40 UTC+0000
0xfe3d4cb0 dllhost.exe 736 648 22 239 0 0 2018-12-07 16:21:41 UTC+0000
0xfe30ed88 dllhost.exe 1052 648 22 236 0 0 2018-12-07 16:21:42 UTC+0000
0xfdc40638 wmiprvse.exe 1368 932 9 215 0 0 2018-12-07 16:21:44 UTC+0000
0xfdc1bb18 explorer.exe 1992 1664 16 386 0 0 2018-12-07 16:21:50 UTC+0000
0xfdc1ad88 vssvc.exe 2040 648 7 112 0 0 2018-12-07 16:21:51 UTC+0000
0xfdbd3418 vmtoolsd.exe 1596 1992 6 166 0 0 2018-12-07 16:22:01 UTC+0000
0xfdbd2110 ctfmon.exe 1840 1992 1 69 0 0 2018-12-07 16:22:01 UTC+0000
0xfdbbc330 conime.exe 1792 1636 1 32 0 0 2018-12-07 16:22:16 UTC+0000
0xfdba5320 wmiprvse.exe 1128 932 8 165 0 0 2018-12-07 16:22:24 UTC+0000
0xfdb90930 wuauclt.exe 2224 1096 5 116 0 0 2018-12-07 16:22:44 UTC+0000
0xfdb6a638 DumpIt.exe 3660 1992 1 26 0 0 2019-04-25 08:43:04 UTC+0000

当中能看到可疑的

0xfdbd2110 ctfmon.exe 1840 1992 1 69 0 0 2018-12-07 16:22:01 UTC+0000

不过创建时间有的久远，我们看看别的，最新的是

0xfdb6a638 DumpIt.exe 3660 1992 1 26 0 0 2019-04-25 08:43:04 UTC+0000

这个东西是一个内存取证的软件

在看看截图

volatility.exe -f memory.img --profile=Win2003SP2x86 screenshot --dump-dir=./

在这里插入图片描述

再截图看见，他曾经打开过一个图片叫flag.png

在通过全盘搜索，导出图片

volatility -f memory.img --profile=Win2003SP2x86 filescan|grep flag
这一条是在内存文件中寻找带有flag的文件

volatility -f memory.img --profile=Win2003SP2x86 dumpfiles -Q 0x000000000484f900 -D ./ -u
根据内存地址取出文件

在这里插入图片描述

jfXvUoypb8p3zvmPks8kJ5Kt0vmEw0xUZyRGOicraY4=

这是扫描出来的东西

我们来看一下这期间，打开过什么软件

volatility -f memory.img --profile=Win2003SP2x86 windows

在这里插入图片描述

找到一个关于flag的他当时使用了explorer软件这是一个文件资源器，然后我们看懂了PID：1992 下载一下

volatility -f memory.img --profile=Win2003SP2x86 memdump -p 1992 -D ./

在这里插入图片描述

我们分离一下发现了，
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

密文：jfXvUoypb8p3zvmPks8kJ5Kt0vmEw0xUZyRGOicraY4=

key: Th1s_1s_K3y00000

iv: 1234567890123456

到这里为止我们得到了这个，我们知道了是aes

[外链图片转存中...(img-ODBNbLz0-1608018449945)]

flag{F0uNd_s0m3th1ng_1n_M3mory}

水星Sur
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
BUUCTF [HDCTF2019]你能发现什么蛛丝马迹
qq_51447967的博客
04-28 603
题目分析 下载到一个.img后缀的文件，其实就是一个软盘的镜像文件，和ISO的镜像差不多，一看这种类型的就是取证了。这里应该是内存取证，使用Volatility工具镜像内存的分析。 首先查看镜像的系统版本 vol.py -f ./memory.img imageinfo 得到 主要看Profile属性，这里显示了三个可能的操作系统版本，都可以试试。 在指定了版本之后查看进程 vol.py -f memory.img --profile=Win2003SP1x86 pslist 得
BUUCTF-MISC-[watevrCTF 2019]Unspaellablle
zippo1234的博客
10-23 813
BUUCTF-MISC-[watevrCTF 2019]Unspaellablle[watevrCTF 2019]Unspaellablle题目分析开始1.题目2.分析3.找原文4.比较5. get flag结语 每天一题，只能多不能少 [watevrCTF 2019]Unspaellablle 题目分析 国外的比赛比较常见这种，需要你去古狗一下。个人比较常见的还是词频字频分析 开始 1.题目 给了一个txt。里面是。。诗歌？反正诗歌英语的文章。 百度之后是什么星际之子。之类的。 2.分析 一开始觉得可能
BUUCTF：[HDCTF2019]你能发现什么蛛丝马迹吗
末初的CSDN博客
11-20 2496
https://buuoj.cn/challenges#[HDCTF2019]%E4%BD%A0%E8%83%BD%E5%8F%91%E7%8E%B0%E4%BB%80%E4%B9%88%E8%9B%9B%E4%B8%9D%E9%A9%AC%E8%BF%B9%E5%90%97 memory.img Volatility分析 查看文件的Profile volatility -f memory.img imageinfo 猜测为：Win2003SP1x86 查看进程 volatility -f mem
BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗
yzl_007的博客
11-14 1167
BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗 打开一个镜像文件 分析镜像，看一下文件的profile值，确定内存镜像的版本 volatility -f memory.img imageinfo 接下来搜索一下进程，看看出题人做了些什么操作 仔细看一眼时间，试试最后那个，时间最近的操作 因为是win2003，查看一下这个操作从cmd命令 volatility -f memory.img --profile=Win2003SP1x86 cmdscan dump下来，pid是
你能发现什么蛛丝马迹吗
wangjin7356的博客
03-10 277
题目链接 https://buuoj.cn/challenges#[HDCTF2019]%E4%BD%A0%E8%83%BD%E5%8F%91%E7%8E%B0%E4%BB%80%E4%B9%88%E8%9B%9B%E4%B8%9D%E9%A9%AC%E8%BF%B9%E5%90%97 解题过程 打开题目是个镜像文件：memory.img 考虑使用volatility取证工具。将memory.img复制到kali中，用volatility分析： volatility imageinfo -f memory
CTF-综合测试(高难度)【超详细】
m0_61101264的博客
08-30 273
随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网英语越来越广泛，企业信息化的过程中各种英语都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更严重的则是在网页中植入恶意代码，使得网站访问者收到侵害。
BUUCTF-MISC-[BSidesSF2019]diskimage
zippo1234的博客
10-23 1220
BUUCTF-MISC-[BSidesSF2019]diskimage[BSidesSF2019]diskimage题目分析开始1.题目2.png三件套3.磁盘数据恢复get flag结语 每天一题，只能多不能少 [BSidesSF2019]diskimage 题目分析 1.png隐写 2.软盘文件恢复 开始 1.题目 得到一张图片 很猥琐（帅？）的一个男的拿着软盘然后贴在一张软盘上。图片上半部是花的，应该是有LSB。 2.png三件套 丢进kali三件套开始走起。 files、binwalk、zsteg
BUUCTF-MISC-[INSHack2019]Passthru
zippo1234的博客
10-30 988
BUUCTF-MISC-[INSHack2019]Passthru[INSHack2019]Passthru题目分析开始1.题目2.流量包3.分析http流量4.tshark导出数据5.提取数据6.get flag结语 每天一题，只能多不能少 [INSHack2019]Passthru 题目分析 pre master secret解密ssl传输 网页访问流量分析 tshark提取流量数据 开始 1.题目 题目给了1个介绍、一个流量包和1个sslkey.log。 You're part of a comp
BUUCTF-MISC-[GWCTF2019]math
zippo1234的博客
10-30 1109
BUUCTF-MISC-[GWCTF2019]math[GWCTF2019]math题目分析开始1.题目2.源程序分析（1）查壳（2）IDA分析3.pwntools4.脚本5.get flag结语 每天一题，只能多不能少 [GWCTF2019]math 题目分析 pwntools交互 recvuntil方法 开始 1.题目 给出一个环境。 环境连接后提示： 给出一个算式，要成功计算150次，每次几秒内没给出结果就退出。 和这个环境的源程序。gwctf_2019_math 2.源程序分析 （1）查壳
CTF题之BUUCTF系列：BUUCTF Misc 你竟然赶我走
一只小蜜蜂的博客
07-31 3402
一、名称 BUUCTF Misc 你竟然赶我走 二、题目链接：https://buuoj.cn/challenges 解压缩后是一个jpg文件 打开图片如下： 三、解题步骤1、方法一： 使用winhex工具打开biubiu.jpg文件，查看一下内部结构 文档最后面显示出了flag值为 flag{stego_is_s0_bor1ing} 2、方法二： 使用StegSolve工具打开，Analyse--File Format--获得右图结果 文档左下角显示出flag值为...
7-3CTF夺旗入门教程--综合测试（高难度内核提权）
高冷的宅先生
05-18 799
1. 信息探测 #扫描主机服务信息以及服务版本 nmap -sV 192.168.2.114 #快速扫描主机全部信息 nmap -T4 -A -v 192.168.2.114 #探测敏感信息 nikto -host http://192.168.2.114 dirb http://192.168.2.114
BUUCTF-MISC-[HDCTF2019]信号分析1
最新发布
苏生要努力
03-08 445
百度得知：PT2242信号：前面4bit表示同步码，中间的20bit表示地址码，后面的4bit表示功能码，最后一位是停止码。下载附件是一个WAV的文件，题目又叫做信号分析，用Adobe Audition 打开分析了。01 代表 F，00 代表 0,11 代表 1，最后的0是结束符。发现有很多长短不一样的信号，只需要分析一段。得到最后flag：FFFFFFFF0001。猜测长的是一短的为0。
[HDCTF2019]信号分析
paidx0
11-12 1097
前言 一道有意思的Misc的题，记录一下，用于区别之前做过的一道类似的题，这次好像是什么汽车遥控杆的信号 [SCTF2019]电单车 题目给了个 .wav 文件，又因为题目叫做信号分析，所以直接用Adobe Audition 打开分析了 适当缩放，会发现是一段一段重复的信号，所以只需要分析一段 根据之前做过的电单车的信号分析，先把它们转化成0和1 长的是1，短的是0 最后得到 0101010101010101000000110 PT2242信号：前面4bit表示同步码，中间的20bit表示地址码，后面
CTF题目难度等级划分
m0_51193993的博客
11-18 3918
CTF题目难度等级(1-10)： 难度等级 描述 用途 例子 最大分值 1 赛题的考点是非常常见的，选手们对于此类赛题可以直接进行解题步骤，并且在较短的时间内得到正确答案。该难度下通常不需要利用额外的工具，依靠通常电脑上有的程序便能够解题。 1. 通常用于ctf线上比赛的签到题；2. 对安全方向感兴趣但是没有去学习、或者刚刚接触安全方向的人员，此类主要是为了培养做题人的兴趣。 web: get/post请求、修改head头信息、cookie修改reverse:程序中直接明文包含flag，记事
HDCTF 2023-省外赛道|MISC
zerorzeror的博客
04-23 997
HDCTF 2023-省外赛道|MISC
7月31日CTF文件漏洞训练
slc3315的博客
07-31 1331
题记 今天主要是文件上传及下载，高难度第三题 一、文件包含 题目： 思路： 文件包含，右键源代码，利用data、filte等伪协议传参 步骤一：发现注入点 右键源代码发现php链接 新页面点击后快速结束，需要抓包 步骤二：伪协议 分析上述代码发现传参file，同时屏蔽了tp、input、data等协议。同时增加了一个flag.php(直接打开可不行) 本页面上编辑伪协议 file=php://filter/read=convert.base64-encode/resource=flag.php bas
buu的几道misc题
qq_44640313的博客
04-20 288
VeraCrypt挂载和内存分析和AES解密，TLS协议
BuuCTF难题详解| Misc | V&N 2020 公开赛 内存取证
pone2233的博客
10-29 3364
题目介绍 这道题目，我们要在Buu上面做需要的步骤需要调整，先下载链接内容，然后在下载附加。 BuuCTF难题详解| Misc | V&N 2020 公开赛 内存取证 P1 我们使用volatility，进行镜像分析 volatility -f mem.raw imageinfo Volatility Foundation Volatility Framework 2.6 INFO : volatility.debug : Determining profile based on
内存取证习题复现
m0_50911938的博客
01-10 1521
内存取证 取证文件后缀 .raw、.vmem、.img 常用命令(imageinfo，pslist，dumpfiles，memdump) 可疑的进程（notepad，cmd） 和磁盘取证结合起来考察 了解部分操作系统原理 常见文件后缀dmg，img volatility基础命令 可以使用 -h 参数获取使用方法和插件介绍，列举几个常用到的命令 imageinfo：显示目标镜像的摘要信息，这常常是第一步，获取内存的操作系统类型及版本，之后可以在 –profile 中带上对应的操作系统，后续操作都要带上这一
buuctf misc
09-28
buuctf misc是一个CTF比赛中的一个题目，其中涉及到了压缩包解密和二维码分析等内容。根据引用内容，压缩包是用四位数字加密的，需要尝试不同的组合来解密。同时，二维码文件中可能含有pk字母，还可能包含一个zip压缩包。你可以使用Winhex来查看文件的内容，并使用binwalk来分析文件并提取zip压缩包。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值