BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗

最新推荐文章于 2023-04-20 15:45:42 发布

yyyyzzzllll

最新推荐文章于 2023-04-20 15:45:42 发布

阅读量1.1k

点赞数 2

分类专栏： # misc CTF系列问题文章标签：内存取证 volatility

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/yzl_007/article/details/121313885

版权

CTF系列问题同时被 2 个专栏收录

36 篇文章 3 订阅

订阅专栏

3 篇文章 0 订阅

订阅专栏

BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗

打开一个镜像文件

在这里插入图片描述

分析镜像，看一下文件的profile值，确定内存镜像的版本

volatility -f memory.img imageinfo

在这里插入图片描述

接下来搜索一下进程，看看出题人做了些什么操作

在这里插入图片描述

仔细看一眼时间，试试最后那个，时间最近的操作

在这里插入图片描述

因为是win2003，查看一下这个操作从cmd命令

volatility -f memory.img --profile=Win2003SP1x86 cmdscan

在这里插入图片描述

dump下来，pid是1992

在这里插入图片描述

binwalk查看一下，里面有很多的东西

在这里插入图片描述

foremost分离出来

在这里插入图片描述

png里面找到可疑的文件

在这里插入图片描述

扫描二维码

在这里插入图片描述

jfXvUoypb8p3zvmPks8kJ5Kt0vmEw0xUZyRGOicraY4=

在这里插入图片描述

得到一串字符串，第二张图片提示了key和vi AES解密得到flag

flag{F0uNd_s0m3th1ng_1n_M3mory}

关注

2
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗

BUUCTF - misc [HDCTF2019]你能发现什么蛛丝马迹吗打开一个镜像文件分析镜像，看一下文件的profile值，确定内存镜像的版本volatility -f memory.img imageinfo接下来搜索一下进程，看看出题人做了些什么操作仔细看一眼时间，试试最后那个，时间最近的操作因为是win2003，查看一下这个操作从cmd命令volatility -f memory.img --profile=Win2003SP1x86 cmdscandump下来，pid是
复制链接

扫一扫

专栏目录

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。