【misc】[网刃杯 2022]玩坏的winxp --磁盘取证初探

附件下载时vmdk文件

首先尝试了vm虚拟机挂载，但是失败了，后面了解到winhex也可以挂载vmdk文件，这里我是使用DG进行磁盘分析

挂载后，根据这个路径\Documents and Settings\Administrator\桌面\10个t的学习资料查找，可以看到有五张图片

导出五张图片，binwalk看一下，在第五张图片中分离得到压缩包

打开这个flag.png

接着对这个flag.png进行binwalk分离的话还可以得到一个加密的压缩包

这里有个提示，戴围脖的软件，初步判断是qq，然后没找到qq，但是有个firefox文件夹

判断应该是要找有关qq的历史记录，记录存在于下面这sqlite文件

sqlite文件这里使用SQLiteStudio进行打开

找到了qq号，查看其qq空间

解密这段md5

即可得到压缩密码，打开压缩包，里面的png就是flag