2021陇剑杯网络安全大赛wp-内存取证（详细题解）

最新推荐文章于 2024-09-20 20:46:25 发布
最新推荐文章于 2024-09-20 20:46:25 发布
阅读量2.3k 收藏 2
点赞数
分类专栏： 2021陇剑杯网络安全大赛 CTF 文章标签： 网络安全
本文为博主原创文章，未经博主允许不得转载，否则追究法律责任。
本文链接：https://blog.csdn.net/yiqiushi4748/article/details/120307882
版权
本文详细介绍了如何使用volatility配合mimikatz工具在内存中寻找并解密华为设备备份文件HUAWEIP40_2021-aa-bbxx.yy.zz.exe的过程，包括文件扫描、解密工具kobackupdec的应用，以及关键步骤的技巧调整。
摘要由CSDN通过智能技术生成

6.1


使用volatility对内存进行分析，配合mimikatz插件跑密码

IMG_256

6.2


根据提示，使用filescan命令在内存中查找文件，发现华为备份文件

HUAWEI P40_2021xxxxxx，搜索后发现多个相关文件，最后发现HUAWEI P40_2021-aa-bb xx.yy.zz.exe 为一自解压文件，解压后即为备份

img

找到解密工具kobackupdec，根据上一步提示，根据提示将空格替换为_，解密成功

偷一个月亮
关注
专栏目录
2021年网络安全国赛内存取证题目
panda.
03-30 2903
进入服务器的桌面后打开文件夹volatilityxxxx，工具就位于此目录下 使用命令volatility -f ../1.vmem imageinfo查看内存文件的基本信息 猜测目标操作系统为Win7x64或Win2008x64，由于该系列操作系统中的登录密码加密方式相同，所以下面使用命令volatility -f ../1.vmem --profile hashdump导出密码的hash值 导出至Kali 2.0中使用命令hashcat -a 3 -m 1000 acf4a59b219
2022全国职业技能大赛-网络安全赛题解析总结①（超详细）
热门推荐
Aluxian_的博客
05-11 1万+
2022全国职业技能大赛-网络安全赛题解析总结（自己得思路）模块A 基础设施设置与安全加固（20分）模块B 网络安全事件响应、数字取证调查和应用安全（40分）模块C CTF夺旗-攻击（20分）模块D CTF夺旗-防御（20分） 模块A 基础设施设置与安全加固（20分） 一、项目和任务描述： 假定你是某企业的网络安全工程师，对于企业的服务器系统，根据任务要求确保各服务正常运行，并通过综合运用登录安全加固、数据库安全策略、流量完整性策略、事件监控策略、防火墙策略、IP协议安全配置等多种安全策略来提升服务器系
2021陇剑杯网络安全大赛-内存分析
qq_43264813的博客
09-14 2270
2021陇剑杯网络安全大赛-内存分析 题目描述： 网管小王制作了一个虚拟机文件，让您来分析后作答： 解题思路： 6.1虚拟机的密码是_flag{W31C0M3 T0 THiS 34SY F0R3NSiCX}_。（密码中为flag{xxxx}，含有空格，提交时不要去掉） vol.py -f Target.vmem --profile=Win7SP1x64 hivelist vol.py -f Target.vmem --profile=Win7SP1x64 hashdump -y 0xfffff8a0000
2024年电子数据取证“獬豸杯”比赛解析WP：深入解析与实战指南
最新发布
gitblog_06525的博客
09-20 476
2024年电子数据取证“獬豸杯”比赛解析WP：深入解析与实战指南 2024年电子数据取证獬豸杯比赛解析WP 项目地址: https://gitcode.com/Resource-Bundle-Collection/89bef ...
【CTF大赛】陇剑杯-机密内存-解题过程分析
HBohan的博客
09-27 3375
前言 机密内存这道题是陇剑杯中的压轴题，题目中涉及到使用VMware加密功能进行加密的内存镜像，难度极大。我在这里详细的记录一下解题思路和过程，如有错误或疏漏的地方还请大佬们在评论区指出。 题目初探 拿到题目，为三个文件，其中mem_secret-963a4663.vmem为常见内存镜像文件，另外两个文件格式未知。 使用volatility进行分析无法识别profile。 接着分析分析Encryption.bin01和Encryption.bin02文件，初步分析Encryption.bin01文件，无.
[陇剑杯 2021]内存分析
J_linnb的博客
04-29 846
解压完成后发现多了一个HUAWEI P40_2021-aa-bb xx.yy.zz文件夹，并且在里面发现一个images0.tar.enc文件，此文件为华为加密文件，我们需要在网上下载解密脚本，解压密码题目中已经提示为上一题的flag,也就是。本题的格式也是flag{xxx}，含有空格，提交时不要去掉）（密码中为flag{xxxx}，含有空格，提交时不要去掉）虚拟机中有一个某品牌手机的备份文件，文件里的图片里的字符串为（，注意，运行脚本时密码的空格要改为'_'也就是。提取结束后会发现有两个文件。
2021陇剑杯线上——机密内存取证
m0_46296905的博客
06-29 2317
给了我们三个文件，有一个vmem文件，vmem即虚拟机的内存文件，首先尝试直接用volatility分析使用volatility进行直接分析发现无法识别profile另外两个文件的文件类型不明，需要我们自行判断，但可以肯定的是其它类型的虚拟机文件查阅了相关资料了解了一下虚拟机文件类型及其作用下面是vmware官方文档中给出的虚拟机文件类型说明再观察一下两个文件的内容，有个很明显的特征就是这个文件一半是可打印字符，一半是乱码，注意到乱码区域开头部分有个显眼的标识码——bin01就是一个二进制文件我们将一个虚拟
OtterCTF—内存取证wp
m0_66638011的博客
05-09 5686
前几天有幸参加了本市的选拔赛，其中有内存取证的题，当时就愣住了，考完后赶紧找题目学习一下，学长介绍的这个OtterCTF靶场个人认为非常好，很适合像我这样的初学者。这个靶场的题目我觉得特别好，主要就是学习volatility工具和取证思维方式。以下是volatility工具的使用方法，可供参考。用法： Volatility - 内存取证分析平台Options:-h, --help 列出所有可用选项及其默认值默认值可以在配置文件中设置基于用户的配置文件。
CTF-陇剑杯之内存分析-虚拟机内存取证1
08-03
易于扩展：通过插件来扩展 Volatility 的分析能安装分为三步：下载安装必要的 python 依赖件安装本体你可以在 Release 中找到对应你系统（M
2021陇剑杯网络安全大赛wp-webshell部分（详细题解）
偷一个月亮
09-15 6816
3.1 3.2 其中web根目录可以再system命令中看到 3.3 3.4 3.5 写frpc配置文件，推测为frpc，正确 实际上传动作为 L3Zhci93d3cvaHRtbC9mcnBj解码base64即为/var/www/html/frpc 3.6 3.5中写配置动作，hex转字符后，如下 3.7 同上 ...
2021-鹏城实验室网络安全技能大赛-pwn-babyheap 题解
lifanxin的博客
09-28 2521
Write Up文件信息漏洞定位利用分析WP总结 文件信息   本题来自于2021年的鹏程杯比赛的pwn题，题目链接如下：2021-鹏程杯-pwn-babyheap。   该题目主要考查了libc-2.29.so及以上版本的off-by-null利用方式，本题目使用的是libc-2.31.so，知识点学习推荐博客glibc2.29下的off-by-null。同时作为堆题，保护全开，没有可用的show功能函数，必须使用IO_FILE来leak libc，知识点学习推荐博客pwn题堆利用的一些姿势 – IO_F
2021陇剑杯部分wp
hezhing
11-03 1287
2021陇剑杯 全是流量分析。麻了。只做了一部分。 参考链接 陇剑杯 个人 ’WriteUp‘-魔法少女雪殇 (snowywar.top) 陇剑杯Writeup（部分） - 惊觉 (leheavengame.com) 1.签到 题目描述： 网关小王在上网途中发现自己的网络访问异常缓慢，于是对网络出口捕获了流量，请您分析流量后进行回答： 1.1：     #### 题目：     此时正在进行的可能是http 协议的网络攻击。
陇剑杯 2021 write up整理
weixin_43234021的博客
10-09 9005
竞赛 write up 收集和整理一 羊城杯 2021 write up收集和整理1 web2 Misc1 签到题3 Crypto4 Reverse4.1 Ez_android5 PWN 一 羊城杯 2021 write up收集和整理 1 web 2 Misc 1 签到题 <?php echo("SangFor{".md5("28-08-30-07-04-20-02-17-23-01-12-19")."}"); ?> 图1是二八定律（28），图2是八卦（8），图3是三十而立（30），图4是北
✿第一届陇剑杯✿内存取证1WP以及2部分思路
Tokeii想躺平
09-14 1900
内存取证1 因为题目要求求密码，所以直接使用Passware Kit Forensic 2021 内存分析功能进行一把梭 第二问提示有手机备份文件 使用各类取证工具，甚至使用foremost可以轻易地知道型号为HUAWEI 使用volatility来分离相关文件 因为我试用的是windows下的，所以用到的是find命令 vol -f Target.vmem --profile=Win7SP1x64 filescan|find "HUAWEI" 直接提取第一个即可 vol -f Target.vmem
[ctf misc][wp]一些内存取证的wp（含[2021蓝帽杯北部赛区分区赛]博人的文件）
ShenZ的博客
07-20 5151
wp 1.[V&N2020 公开赛]内存取证 1.找策略 volatility.exe -f C:\Users\shen\Downloads\mem.raw imageinfo 2.看进程 volatility.exe -f C:\Users\shen\Downloads\mem.raw --profile=Win7SP1x86_23418 pslist > pslist.txt 从后向前看，最后是内存镜像固定用的dumpit软件和windows运行后台的exe，再上面有三个进程值得注意
内存取证_VolatilityGUI做CTF内存取证题
weixin_32924159的博客
01-12 1949
Volatility，内存取证工具，一直以来都很“清高”地以命令行方式“行走江湖”，完全不顾自己“参数众多”这个“爆炸”形象，有种“任我行”的味道，直接影响“我等小白”的用户体验。自2018年作者根据用户需求开发了GUI界面以来，受到了热烈地、广泛地欢迎，最近抽空升级改造，形成了目前的2.0版本。现结合一个CTF的内存取证题来做个功能讲解。一、程序界面 一眼看去，界面上功能...
[2021首届“陇剑杯”网络安全大赛 决赛]内存取证writeup
ShenZ的博客
11-24 5187
内存取证 附件：mem_sec.vmem 1.一日运维人员针对被入侵主机进行了一次内存分析，请根据内存镜像进行分析并回答下述问题。请根据u盘里的mem_sec.zip文件进行分析。取证人员首先对主机信息进行核实，该内存主机的产品密钥是__K3KHX-TCQKF-WGFXC-7T3BJ-9TPJC__。（答案格式字符全部大写） 2.经过入侵分析发现该主机的使用人员曾经访问过匿名邮箱的网址是__________。(答案包含http://或者https://，答案最后没有/) 1https://mail.td?
2022年安徽省赛赛题——B-1任务一：内存取证
panda.
09-23 1184
2022年安徽省赛赛题——B-1任务一：内存取证
数字取证学习之内存取证CTF解题实例
一位热爱网安的年轻人的博客
11-19 1961
数字取证之内存取证CTF解题案例
工控靶场题解与网络安全技术深度解析
资源摘要信息:"纵横靶场工控题解.zip" 在信息安全领域，靶场是一种特殊的环境，主要用于对安全人员进行实战演练、渗透测试以及攻防对抗训练，对于提高安全专业人员的技能水平具有不可或缺的作用。靶场的设计允许...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值