单身杯DSBCTF MISC 取证题解
单身杯DSBCTF MISC 取证题解 单身杯取证使用的内存镜像windows版本较新 vol2无法处理 这里我们使用AXIOM和lovelymem分析 easy_mem_1 第一题需要 计算机名 ip地址 build版本号 计算机名很简单 AXIOM分析完成后 标识符-设备 中列举了所有计算机名 windows事件日志中也可以按照创建时间排序 可以看到最新的事件是由ZhuYun_s_PC执行
单身杯DSBCTF MISC 取证题解
单身杯取证使用的内存镜像windows版本较新 vol2无法处理
这里我们使用AXIOM和lovelymem分析
easy_mem_1
第一题需要 计算机名 ip地址 build版本号
计算机名很简单 AXIOM分析完成后 标识符-设备 中列举了所有计算机名
windows事件日志中也可以按照创建时间排序 可以看到最新的事件是由ZhuYun_s_PC执行的
windows主机名全大写 flag第一部分为ZHUYUN_S_PC
第二部分本机IP地址
在网络信息模块中也能很容易找到
或是vol3 netscan 这里用lovelymem
第三部分build版本号
vol3 windows.info 或是 找到内存中的ntdll.dll 或是 kernel32.dll
虽然看不懂 但是姑且能看出来版本是10.0.22621.3958
故flag为ctfshow{ZHUYUN_S_PC_192.168.26.129_22621}
easy_mem_2
第二题需要QQ号 以及两个网页视频信息
登录的QQ会在本地留下以QQ号命名的文件夹 用来储存文件
所以只要找到QQ相关文件 就能在路径中看到QQ号
直接文件检索nt_qq发现大量文件 路径中包含QQ号
第二三部分回到AXIOM浏览器历史记录秒了
ctfshow{54297198_穿成魔尊后我一心求死_BV1ZU4y1G7AP}
easy_mem_3
第三题要找到镜像中隐藏的恶意程序、隐藏的程序目录名称、程序对应域名信息
同样在浏览器历史记录中看出 该镜像可能下载了 腾讯会议 todesk
vol3分析一下进程树发现在todesk的路径下有一个Hmohgnsyc.exe的进程
这不是一眼恶意程序了
回到filescan导出一下 恶意程序没跑了 同时找到了版权：jieba.net
ctfshow{Hmohgnsyc.exe_todesk_jieba.net}