码迷,mamicode.com
首页 > 其他好文 > 详细

内存取证三项CTF学习

时间:2020-03-26 13:56:22      阅读:201      评论:0      收藏:0      [点我收藏+]

标签:pass   esc   pre   用户   下载地址   发送   pslist   guest   小白   

题目附件:

链接:https://pan.baidu.com/s/1fH4Zdd-snG047boRwWAGYQ
提取码:8t96

题目描述

一天下午小白出去吃饭,临走之前还不忘锁了电脑,这时同寝室的小黑想搞点事情,懂点黑客和社工知识的小黑经过多次尝试获得了密码成功进入电脑,于是便悄悄在电脑上动起手脚了,便在桌面上写着什么,想给小白一个惊喜,同时还传送着小白的机密文件,正巧这时小白刚好回来,两人都吓了一跳,小黑也不管自己在电脑上留下的操作急忙离开电脑,故作淡定的说:“我就是随便看看”。 
1.小黑写的啥,据说是flag?
2.那么问题来了,小白的密码是啥?
3.小黑发送的机密文件里面到底是什么

1、分析镜像:

volatility -f L-12A6C33F43D74-20161114-125252.raw imageinfo

2、查看进程:

volatility -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86 pslist

列出可疑进程:

  • explorer.exe 1416
  • notepad.exe 280
  • cmd.exe 1568
  • nc.exe 120
  • DumpIt.exe 392

3、用notepad插件列出记事本的内容:

volatility notepad -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86

技术图片
hex转ascii。
4、用cmdscan提取cmd历史记录:

volatility cmdscan -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86

技术图片
看到小黑用nc命令向192.168.57.14 2333发送了一个zip压缩包
提取zip压缩包:

volatility -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86 filescan | grep "P@ssW0rd_is_y0ur_bir7hd4y.zip"
volatility -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86 dumpfiles -Q 0x0000000002c61318 --dump-dir=./

发现压缩包需要密码
5、要获取用户的账户密码的话,学到用hashdump插件把hash值提取出来:
volatility hashdump -f L-12A6C33F43D74-20161114-125252.raw --profile=WinXPSP2x86
得到:

Administrator:500:1e27e87bd14ec8af43714428b303e3e4:1e581aafa474dfadfdf83fc31e4fd4ea:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
HelpAssistant:1000:687255e91a0f559b6d75553dbd51f785:b6125736bdd2d5f154fdce59f52e39f1:::
SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:fb41f8d1334fba131974c39bfab09512:::

彩虹表下载地址(https://ophcrack.sourceforge.io/tables.php)

技术图片

试了几个表,都没跑出来,还好XP special跑出了最后关键的部分。

最后小白的出生日期就是zip的解压密码。

参考链接:
https://www.freebuf.com/news/145262.html
https://www.cnblogs.com/p20050001/p/11892766.html
https://blog.csdn.net/dmbjzhh/article/details/79425483

内存取证三项CTF学习

标签:pass   esc   pre   用户   下载地址   发送   pslist   guest   小白   

原文地址:https://www.cnblogs.com/wrnan/p/12572263.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!