[巅峰极客 2022]easy_Forensic

1.使用vol对磁盘先进行简单取证

volatility imageinfo -f secreet.raw

 返回

 2.再次使用vol的filescan参数进行文件遍历，查询有用的文件

volatility -f secret.raw --profile= Win7SP1x64 filescan

查看桌面文件，发现有gift.jpg、secret.zip、wechat.txt，hint下不下来

然后查看gift.jpg，发现左下角有明显的隐藏字样，是高度问题，调整高度

得到密码Nothing_is_more_important_than_your_life!

3.得到压缩包里的内容

 4.至此大致可以知道，wechat.txt为微信聊天记录的加密数据库，gift.txt为密码

使用GitHub上的脚本进行解密，脚本如下GitHub - x1hy9/WeChatUserDB: GetWeChat DBPassword&&UserInfo(获取PC数据库密码以及相关微信用户信息支持多系统数据库解密)

将wechat.txt重命名为wechat.db，然后放到WIN_WECHAT_DB文件夹中，运行python脚本

 5.使用数据库查看工具查看数据库中的内容，得到flag

flag:NSSCTF{The_Is_Y0ur_prize}