easy_dump from 2018护网杯
最近偶然接触到misc方向下的电子取证,然后找到一道2018护网杯的电子取证题目,然后把它重新做了一次
0x00 序言
何为电子取证?在做题过程中查询查找,没有找到太好的中文解释,于是直接上外网翻查
Computer forensics (also known as computer forensic science[1]) is a branch of digital forensic science pertaining to evidence found in computers and digital storage media. The goal of computer forensics is to examine digital media in a forensically sound manner with the aim of identifying, preserving, recovering, analyzing and presenting facts and opinions about the digital information. --来自https://en.wikipedia.org/wiki/Computer_forensics
取证目的包含身份鉴定,维护保存数据,恢复被删除数据,分析数据,以及把电子信息里面内含的一些信息挖出来
电子取证在这个高速发展的网络环境下,显得尤为重要,尤其是现在网络犯罪经常有,又难以追踪,此时便体现出电子取证的重要性
扯远了,还是看回这题
题目给了一个img镜像文件,名为easy_dump
0x01 对题目所给文件的分析
此处涉及到电子取证常用的一个工具:volatility
这个工具功能广泛得一批,但是今天我们只用到内存取证的功能
先用imageinfo查看镜像信息,我们需要知道这个镜像所用的系统是啥
python2 vol.py -f easy_dump.img imageinfo
为了写得方便我把路径省略了,重新做的时候需要加上路径
可以看到在分析过后,出现了一些镜像基本信息,我们需要关注的是,它所用的系统,一般来说分析出来有很多结果,第一或第二个是概率最大的系统,此处我们取第一个Win7SP1x64
后面的指令我们需要用 --profile=Win7SPx64来指定,这样才能继续下面的步骤
然后我们扫描其进程,用psscan指令,看看里面有什么进程
进程有很多,逐一看看,发现有个notepad.exe记事本,里面也许有我们需要的信息,于是把它内存信息导出
可以看到我们目录下多了一个2616.dmp文件,这个就是我们导出来的玩意儿~
然后我们直接点,检索flag有关字段
strings -e l 2616.dmp | grep "flag"
出来了很多很多关于flag的字段估计是用来迷惑我们的,但是我们最需要的却就在前三行,本以为满心欢喜就到此结束,结果里面是提示下一步的信息草
也就是说放了个奇怪的jpg文件,ok我们继续找这个jpg文件
找到,导出,查看,结果没法看,图片被拉伸得根本看不了
0x02 binwalk分析图片及其后续
于是拿出今天第二个工具 binwalk,这个就很常规,基本misc基础题也会用到
我们主要是分析这个图片里是否藏了文件
binwalk (对应文件名)
可以看见藏了一个zip文件
用-e把它分离出来
得到分离的文件夹,里面有个message.img我忘记截图了草
然后继续binwalk分析message.img,然后再分离得到还有个文件夹
内部有一个hint.txt,拖回本机打开,是一大堆数字,形似坐标
然后
然后我不会写脚本转换,卒,享年18
0x03 恢复被删除文件
经过一番折腾反正还是不会,之后再补坑,先继续下去草
此处得到重要信息:flag被维吉尼亚加密,密钥为aeolus,但是包含flag的文件直接被删了
此处我们需要恢复被删除的文件
也就是说message.img内有文件被删除
这时候用到我们的第三个工具testdisk
直接输入testdisk message.img,会直接进入这个应用的操作界面
选中文件,proceed进入
默认选None
然后我们就可以看到里面有个ext2分区
我们之间选Lists,这个是用来列出所有文件的
我们可以看到有个文件显示为红色,这个就是被删除的文件,我们选中它,然后小写c
指定要把这个文件复制到哪个目录,这里我们直接默认,然后大写C开始复制
复制完会提示成功,忘记截图了
复制完事
然后我们直接string查看这个被删除文件内的内容
0x04 维吉尼亚解密,得到flag
看到最后一行,就你懂我意思吧
这题主要难点在于对三个工具的运用
还有tmd写脚本转换
明天就去学python
本文参考:https://blog.csdn.net/weixin_42742658/article/details/106819187