volatility内存取证
最近参加了45届世界技能大赛的山东选拔赛,样题里有一个题如下:
师傅好不容易拿到了压缩包的密码,刚准备输入,电脑蓝屏 了。。。
= =",题意简单明了,易于理解。一看就是内存取证的题并且已经有了内存转储文件了。
废话不多说,拿到hint就开始动手吧,先把文件下载下来,发现是一个7z的压缩包,放进kali解压
解压以后得到一个flag,看样子这个就是内存转储文件了,直接用volatility分析一下
volatility -f flag imageinfo
系统信息为WinXPSP2x86
获得系统信息就开始查师傅的压缩包密码,题意说刚准备输入,说明这个passwd当前已经打开过了,或者已经在剪切板里存放
先看一下剪切板中有没有数据
volatility -f flag --profile=WinXPSP2x86 clipboard
结果得到了一串数据,分析以后发现有一条数据疑似passwd,copy下来
现在有了密码,但是没有压缩文件,再查一下内存中缓存的文件
volatility -f flag --profile=WinXPSP2x86 filescan
直接被数据刷屏了= =
过滤一下
volatility -f flag --profile=WinXPSP2x86 filescan | grep rar
得到了flag.rar
进行解压缩,输入密码,得到flag
sg