OtterCTF

目录

OtterCTF-Memory Forensics

1.What the password?

2.General Info

---

后边的关卡在陆续发

OtterCTF-Memory Forensics

最近在学取证将自己的解题过程记录一下

1.What the password?

• you got a sample of rick’s PC’s memory. can you get his user password?（你得到了瑞克电脑内存的样本，你能得到他的用户密码吗？
• 使用

  volatility -f qz.vmem imageinfo 

  获取基本信息 profile为Win7SP1x64

  

• volatility -f qz.vmem --profile=Win7SP1x64 hashdump

  用hashdump查看一下密码 发现全是MD5加密过的

  

• volatility -f qz.vmem --profile=Win7SP1x64 lsadump

  用lsadump获取一下明文的密码

  

• 得到 CTF{MortyIsReallyAnOtter}

2.General Info

• Let’s start easy - whats the PC’s name and IP address?（让我们从简单的开始–电脑的名称和IP地址是什么？）

• volatility -f qz.vmem --profile=Win7SP1x64 netscan 

  使用netscan查看IP地址 得到IP地址：192.168.202.131

  

• volatility -f qz.vmem --profile=Win7SP1x64 hivelist

  使用hivelist查看注册表

  

• volatility -f qz.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey

  使用printkey查看注册表system值

  

• 接下来在表里进行翻找

  • volatility -f qz.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001"

    

  • volatility -f qz.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\Control"

    翻到这里时发现了一个名为ComputerName的值

    

  • volatility -f qz.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\Control\ComputerName"

    一直不停的解析

    

  • volatility -f qz.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\Control\ComputerName\ComputerName"

    

• 电脑名称： WIN-LO6FAF3DTFE IP地址:192.168.202.131