Misc取证学习

最新推荐文章于 2024-06-13 09:01:52 发布
最新推荐文章于 2024-06-13 09:01:52 发布
阅读量467 收藏
点赞数
分类专栏： misc 文章标签： web安全 安全 misc ctf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61839115/article/details/132137259
版权

文章目录

Misc取证学习

磁盘取证工具

veracryto挂载fat文件

挂载磁盘文件

https://sourceforge.net/projects/veracrypt/

DiskGenius

DiskGenius是一款硬盘分区及数据恢复软件

磁盘取证例题

[RCTF2019]disk

image-20230806173612658

一个vmdk文件，我们在010打开：

image-20230806174046577

发现了一半的flag

我们用7z打开vmdk文件，发现了一个FAT文件

image-20230806173718236

磁盘

常见的磁盘分区格式有以下几种

  • Windows: FAT12 -> FAT16 -> FAT32 -> NTFS

  • Linux: EXT2 -> EXT3 -> EXT4

  • FAT 主磁盘结构

    img

  • 删除文件：目录表中文件名第一字节 e5。

FAT（File Allocation Table）文件是win下面的磁盘分区文件

我们使用veracryto挂载fat文件，盲猜密码：rctf

image-20230806174452603

获得一张没用的照片和密码：RCTF2019

这里就有个盲区知识点，在挂载输入密码的时候，不同的密码可以进入不同的文件系统

使用新密码挂载：

image-20230806174753897

但是隐藏分区无法直接访问，DiskGenius可以打开

image-20230806175031986

使用该磁盘分区软件，查看到了磁盘分区B的内容，即另一半flag

内存取证工具

volatility

Volatility是一款非常强大的内存取证工具,它是由来自全世界的数百位知名安全专家合作开发的一套工具, 可以用于windows,linux,mac osx,android等系统内存取证。Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。

Volatility Foundation Volatility Framework 2.6
用法： Volatility - 内存取证分析平台
 
Options:
  -h, --help            列出所有可用选项及其默认值
                        默认值可以在配置文件中设置
                        (/etc/volatilityrc)
  --conf-file=/home/kali/.volatilityrc
                        基于用户的配置文件
  -d, --debug           调试Volatility
  --plugins=PLUGINS     要使用的其他插件目录（冒号分隔）
  --info                打印所有注册对象的信息
  --cache-directory=/home/kali/.cache/volatility
                        存放缓存文件的目录
  --cache               使用缓存
  --tz=TZ               设置 (Olson) 时区以使用 pytz（如果已安装）或 tzset 显示时间戳
  -f FILENAME, --filename=FILENAME
                        打开图像时使用的文件名
  --profile=WinXPSP2x86
                        要加载的配置文件的名称（使用 --info 查看支持的配置文件列表）
  -l LOCATION, --location=LOCATION
                        从中加载地址空间的 URN 位置
  -w, --write           启用写支持
  --dtb=DTB             DTB 地址
  --shift=SHIFT         Mac KASLR 移位地址
  --output=text         以这种格式输出（支持特定于模块，请参阅下面的模块输出选项）
  --output-file=OUTPUT_FILE
                        在此文件中写入输出
  -v, --verbose         详细信息
  -g KDBG, --kdbg=KDBG  指定一个 KDBG 虚拟地址（注意：对于 64 位 Windows 8 及更高版本，这是 KdCopyDataBlock 的地址）
  --force               强制使用可疑配置文件
  -k KPCR, --kpcr=KPCR  指定特定的 KPCR 地址
  --cookie=COOKIE       指定 nt!ObHeaderCookie 的地址（仅适用于 Windows 10）
 
	支持的插件命令:
 
		amcache        	查看AmCache应用程序痕迹信息
		apihooks       	检测内核及进程的内存空间中的API hook
		atoms          	列出会话及窗口站atom表
		atomscan       	Atom表的池扫描(Pool scanner)
		auditpol       	列出注册表HKLMSECURITYPolicyPolAdtEv的审计策略信息
		bigpools       	使用BigPagePoolScanner转储大分页池(big page pools)
		bioskbd        	从实时模式内存中读取键盘缓冲数据(早期电脑可以读取出BIOS开机密码)
		cachedump      	获取内存中缓存的域帐号的密码哈希
		callbacks      	打印全系统通知例程
		clipboard      	提取Windows剪贴板中的内容
		cmdline        	显示进程命令行参数
		cmdscan        	提取执行的命令行历史记录（扫描_COMMAND_HISTORY信息）
		connections    	打印系统打开的网络连接(仅支持Windows XP 和2003)
		connscan       	打印TCP连接信息
		consoles       	提取执行的命令行历史记录（扫描_CONSOLE_INFORMATION信息）
		crashinfo      	提取崩溃转储信息
		deskscan       	tagDESKTOP池扫描(Poolscaner)
		devicetree     	显示设备树信息
		dlldump        	从进程地址空间转储动态链接库
		dlllist        	打印每个进程加载的动态链接库列表
		driverirp      	IRP hook驱动检测
		drivermodule   	关联驱动对象至内核模块
		driverscan     	驱动对象池扫描
		dumpcerts      	提取RAS私钥及SSL公钥
		dumpfiles      	提取内存中映射或缓存的文件
		dumpregistry   	转储内存中注册表信息至磁盘
		editbox        	查看Edit编辑控件信息 (Listbox正在实验中)
		envars         	显示进程的环境变量
		eventhooks     	打印Windows事件hook详细信息
		evtlogs        	提取Windows事件日志（仅支持XP/2003)
		filescan       	提取文件对象（file objects）池信息
		gahti          	转储用户句柄（handle）类型信息
		gditimers      	打印已安装的GDI计时器(timers)及回调(callbacks)
		gdt            	显示全局描述符表(Global Deor Table)
		getservicesids 	获取注册表中的服务名称并返回SID信息
		getsids        	打印每个进程的SID信息
		handles        	打印每个进程打开的句柄的列表
		hashdump       	转储内存中的Windows帐户密码哈希(LM/NTLM)
		hibinfo        	转储休眠文件信息
		hivedump       	打印注册表配置单元信息
		hivelist       	打印注册表配置单元列表
		hivescan       	注册表配置单元池扫描
		hpakextract    	从HPAK文件（Fast Dump格式）提取物理内存数据
		hpakinfo       	查看HPAK文件属性及相关信息
		idt            	显示中断描述符表(Interrupt Deor Table)
		iehistory      	重建IE缓存及访问历史记录
		imagecopy      	将物理地址空间导出原生DD镜像文件
		imageinfo      	查看/识别镜像信息
		impscan        	扫描对导入函数的调用
		joblinks       	打印进程任务链接信息
		kdbgscan       	搜索和转储潜在KDBG值
		kpcrscan       	搜索和转储潜在KPCR值
		ldrmodules     	检测未链接的动态链接DLL
		lsadump        	从注册表中提取LSA密钥信息（已解密）
		machoinfo      	转储Mach-O 文件格式信息
		malfind        	查找隐藏的和插入的代码
		mbrparser      	扫描并解析潜在的主引导记录(MBR)
		memdump        	转储进程的可寻址内存
		memmap         	打印内存映射
		messagehooks   	桌面和窗口消息钩子的线程列表
		mftparser      	扫描并解析潜在的MFT条目
		moddump        	转储内核驱动程序到可执行文件的示例
		modscan        	内核模块池扫描
		modules        	打印加载模块的列表
		multiscan      	批量扫描各种对象
		mutantscan     	对互斥对象池扫描
		notepad        	查看记事本当前显示的文本
		objtypescan    	扫描窗口对象类型对象
		patcher        	基于页面扫描的补丁程序内存
		poolpeek       	可配置的池扫描器插件
		printkey       	打印注册表项及其子项和值
		privs          	显示进程权限
		procdump       	进程转储到一个可执行文件示例
		pslist         	按照EPROCESS列表打印所有正在运行的进程
		psscan         	进程对象池扫描
		pstree         	以树型方式打印进程列表
		psxview        	查找带有隐藏进程的所有进程列表
		qemuinfo       	转储 Qemu 信息
		raw2dmp        	将物理内存原生数据转换为windbg崩溃转储格式
		screenshot     	基于GDI Windows的虚拟屏幕截图保存
		servicediff    	Windows服务列表(ala Plugx)
		sessions       	_MM_SESSION_SPACE的详细信息列表(用户登录会话)
		shellbags      	打印Shellbags信息
		shimcache      	解析应用程序兼容性Shim缓存注册表项
		shutdowntime   	从内存中的注册表信息获取机器关机时间
		sockets        	打印已打开套接字列表
		sockscan       	TCP套接字对象池扫描
		ssdt           	显示SSDT条目
		strings        	物理到虚拟地址的偏移匹配(需要一些时间，带详细信息)
		svcscan        	Windows服务列表扫描
		symlinkscan    	符号链接对象池扫描
		thrdscan       	线程对象池扫描
		threads        	调查_ETHREAD 和_KTHREADs
		timeliner      	创建内存中的各种痕迹信息的时间线
		timers         	打印内核计时器及关联模块的DPC
		truecryptmaster	Recover 	恢复TrueCrypt 7.1a主密钥
		truecryptpassphrase		查找并提取TrueCrypt密码
		truecryptsummary	TrueCrypt摘要信息
		unloadedmodules	打印卸载的模块信息列表
		userassist     	打印注册表中UserAssist相关信息
		userhandles    	转储用户句柄表
		vaddump        	转储VAD数据为文件
		vadinfo        	转储VAD信息
		vadtree        	以树形方式显示VAD树信息
		vadwalk        	显示遍历VAD树
		vboxinfo       	转储Virtualbox信息（虚拟机）
		verinfo        	打印PE镜像中的版本信息
		vmwareinfo     	转储VMware VMSS/VMSN 信息
		volshell       	内存镜像中的shell
		windows        	打印桌面窗口(详细信息)
		wintree        	Z顺序打印桌面窗口树
		wndscan        	池扫描窗口站
		yarascan       	以Yara签名扫描进程或内核内存

内存取证-volatility工具的使用 （史上更全教程，更全命令）_路baby的博客-CSDN博客

内存取证例题

数字取证赛题

是46届世界技能大赛湖北省选拔赛 也是今年金砖比赛的样题

链接：https://pan.baidu.com/s/1tYgIicCqJExmaMLYa3YeSA
提取码：lulu

你作为 A 公司的应急响应人员，请分析提供的内存文件按照下面的要求找到 相关关键信息，完成应急响应事件。

1、从内存中获取到用户admin的密码并且破解密码，以Flag{admin,password} 形式提交(密码为 6 位)；

2、获取当前系统 ip 地址及主机名，以 Flag{ip:主机名}形式提交；

3、获取当前系统浏览器搜索过的关键词，作为 Flag 提交；

4、当前系统中存在挖矿进程，请获取指向的矿池地址，以 Flag{ip:端口}形式 提交；

5、恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。

0x01.从内存中获取到用户admin的密码并且破解密码

首先我们拿到镜像的题目的第一步是需要判断当前的镜像信息，分析是哪个操作系统

imageinfo：查看识别镜像信息

python2 vol.py -f worldskills3.vmem imageinfo

image-20230806203102005

操作系统我们一般取第一个就可以了,分析出系统为：Win7SP1x64

接下来我们查看内存镜像中的用户，

  • --profile去指定操作系统
  • printkey，打印注册表项及其子项和值 -K指定键

我们可以这样列出 内存镜像中的用户

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "SAM\Domains\Account\Users\Names"

image-20230806203848518

接下来尝试获得win账户密码

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 hashdump

hashdump：查看用户名密码信息，密码是哈希值，需要john爆破

查看当前操作系统中的 password hash，例如 Windows 的 SAM 文件内容(mimikatz插件可以获取系统明文密码)

image-20230806204130774

不过这个hash密码破解不出来，应该用了强密码

lsadump从注册表中提取LSA密钥信息（已解密）

如果john爆破不出来，就使用查看强密码lsadump

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 lsadump

image-20230806204825632

md5解密一下：

image-20230806204843033

0x02.获取当前系统 ip 地址及主机名

通过netscan可以查询到ip地址

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 netscan

image-20230806205317196

192.168.85.129

hivelist：打印注册表配置单元列表

查主机名需要通过查询注册表，先用hivelist

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 hivelist

image-20230806210228998

然后我们需要一步一步去找键名

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey

image-20230806210417546

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K ControlSet001

image-20230806210609226

继续找键：

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K 'ControlSet001\Control'
python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K 'ControlSet001\Control\ComputerName'
python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K 'ControlSet001\Control\ComputerName\ComputerName'

image-20230806210740787

0x03.获取当前系统浏览器搜索过的关键词

iehistory：重建IE缓存及访问历史记录

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 iehistory

image-20230806211039608

0x04.当前系统中存在挖矿进程，请获取指向的矿池地址

netscan:扫描网络情况

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 netscan

image-20230806211303810

这里只有一个进程的状态为：ESTABLISHED

flag{54.36.109.161:2222}

0x05.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交

上一题中已经知道了进程号为2588

pslist：按照EPROCESS列表打印所有正在运行的进程

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 pslist

image-20230806211801390

这里 PPID就是Parent PID

所以2588的父进程是3036

查询服务名称svcscan，扫描 Windows 的服务

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 svcscan

image-20230806212203350

参考

内存取证-volatility工具的使用 （史上更全教程，更全命令）_路baby的博客-CSDN博客

内存取证-volatility工具的使用_baynk的博客-CSDN博客

volatility 各个选项的详解-腾讯云开发者社区-腾讯云 (tencent.com)

Leekos
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
REVERSE-PRACTICE-JarvisOJ-2
P1umH0的博客
02-26 218
REVERSE-PRACTICE-JarvisOJ-2DD - HelloAPK_500DebugMeFindPass DD - Hello macos文件，无壳，ida分析 start函数和sub_100000C90函数没什么作用 主要的逻辑在sub_100000CE0函数，反调试检测和byte_100001040数组的循环变换，最后打印flag 按sub_100000CE0函数的逻辑写脚本，即可得到flag byte_100001040=[0x41, 0x10, 0x11, 0x11, 0x1B, 0
jarvisoj misc
weixin_46578840的博客
09-23 1499
上帝之音
CTF刷题笔记 - misc方向 - 电子取证 内存分析_ctf 镜像恶意进程分析
2401_84164546的博客
04-09 1023
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
JarvisOJ Misc webshell分析
weixin_30362801的博客
02-03 305
分析压缩包中的数据包文件并获取flag。flag为32位大写md5。 神仙们还是强啊，webshell主要看http流，再过滤只剩下post请求 可以使用 http.request.method == POST 然后挨个看，发现一个带着flag字样的，只提交了很少的信息，猜测是base64加密，解码得到一个url，扫图片中的二维码得到flag 转载于:https://www.c...
【搬运于原博客】JarvisOj平台做题总结-2
qq_38352420的博客
06-30 235
title: date: 2018-07-28 13:59:35 1. api调用 [题目writerup链接: ] (http://grassgrass.top/2017/12/14/XXE%E6%BC%8F%E6%B4%9E%E5%AD%A6%E4%B9%A0%E5%8F%8A%E5%AE%9E%E9%99%85%E5%BA%94%E7%94%A8/#more) 2. babyphp 题目链接: http://web.jarvisoj.com:32798/ 当前大量开发人员使用git进行版.
记一次高校豌豆杯——Misc（后续题目持续更新）
jiuyongpinyin的博客
11-29 3455
一个img文件 把题目给出的文件解压，是一个img的文件，使用diskgenius来恢复文件 选择磁盘–>打开虚拟磁盘文件–>选择data.img 选在恢复文件 选择复制到指定文件夹，将这两个文件复制出来 使用aeskeyfind获取秘钥 如果没有，可以直接在kali中自行安装 aeskeyfind data.img 得到了三个秘钥，使用在线AES解密网站解密：http://aes.online-domain-tools.com/ 这里还需要先把之前保存的那个文件解压，里面有一个dat
信息安全Misc学习资料
07-18
信息安全Misc学习资料：测试题目；入门指导；学习资料；经典密码学与现代密码学。
misc.xml
03-09
misc.xml
ctf之misc所需要工具
06-05
基本包含了所有misc所需要的工具，还有很多在线工具，自行百度即可 (绝对不吃亏，如果还觉得少了请联系我)
攻防世界reverseMe杂项misc
10-31
攻防世界reverseMe，杂项misc。 此题详细解题博客：https://blog.csdn.net/m0_59188912/article/details/127624151
misc1.pcapng解析.docx
01-13
数据分析取证；流量分析
CTF Misc(2)内存取证基础以及原理，覆盖了大部分题型
Ba1_Ma0的博客
03-16 4751
本篇文章演示的插件已经可以做绝大部分题目了，之后就多在buuctf或者ctfshow等线上ctf平台刷题，积累经验。
MISC总结
醉等佳人归
08-31 2267
文章目录1.CTF中的压缩包1.1.练习11.2.练习21.3.练习31.4.练习41.5.练习51.6.练习61.7.练习71.8.练习81.9.练习91.10.练习10 1.CTF中的压缩包 CTF中常见的压缩包套路（这些套路也不一定是单独出现，大多数情况都是组合出现的） （1） 利用进制转换隐藏信息 （2） 作为冗余信息或隐藏信息藏在其他文件中，一般是图片 （3） 简单密码爆破 （4） 字典爆破/掩码攻击 （5） 伪加密 （6） 明文攻击 （7） CRC32碰撞 （8） 文件修复 （9） 冗余信息拼接
实验吧-ctf-misc
zhang14916的博客
07-22 6131
1.欢迎来到地狱 用winhex对第一个jpg文件补头，获取网址https://pan.baidu.com/s/1i49Jhlj，打开得到音乐文件,用Audacity打开获取摩斯电码，破解，获得密码KEYLETUSGO，打开word文档，查看隐藏字符获得image steganography提示，用网页版image steganography解密文档中的哈士奇图片，获得key{you are i...
Truecrypt 破解工具
11-21 2158
TrueCrypt破解工具-TCHead H3lvin@工具2012-11-12 共27614人围观，发现15个不明物体收藏该文 TrueCrypt，是一款免费开源的加密软件，同时支持Windows Vista,7/XP, Mac OS X, Linux 等操作系统。Tru...
网络安全管理组织架构复习
LongL_GuYu的博客
06-12 314
网络安全管理组织架构复习
网络安全练气篇——OWASP TOP 10
weixin_55762309的博客
06-13 499
OWASP（开放式Web应用程序安全项目）是一个开放的社区，由非营利组织 OWASP基金会支持的项目。对所有致力于改进应用程序安全的人士开放，旨在提高对应用程序安全性的认识。其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结并更新Web应用程序中最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。最重要的版本应用程序中最严重的十大风险。
网络安全 - ARP 欺骗原理+实验
最新发布
z339521的博客
06-13 978
APRAPR（Address Resolution Protocol）即地址解析协议，负责将某个 IP 地址解析成对应的 MAC 地址。在网络通信过程中会使用到这两种地址，逻辑 IP 地址和物理 MAC 地址，一般情况下，正常通信需要这两种地址协同工作。一个主机要和另一个主机进行直接通信，必须要知道目标主机的 MAC 地址。但这个目标 MAC 地址是如何获得的呢？就是需要通过 ARP 协议获得的。
CTF的misc方向怎么学习
03-08
CTF的misc方向可以通过学习密码学、编码、网络协议、操作系统等相关知识来提高。可以参加CTF比赛，多做题，多思考，多总结，不断提升自己的技能和能力。同时，也可以参加相关的培训课程和讲座，获取更多的知识和经验。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值