记一道内存取证

给了一个raw文件,求flag和用户密码

先查看镜像信息,profile为Win7SP1x86_23418

因为求密码,hashdump一下

试一下mad5直接解

之后就是找flag

pslist看一下进程

有一个smss.exe有点眼熟,dump下来

直接搜flag

 

有点像,但不是

突然看到这个

也dump下来

看来不是

后来也找了好多地方,没找着

还是朋友提醒在剪切板才找到

转一下

flag{welcome_to_misc}

posted @ 2022-06-28 13:39  B0mbax  阅读(47)  评论(0编辑  收藏  举报