das2023-11的取证题

163天前 · CTF · 74次阅读

DASCTF 11月的这道取证题ez_forensics还是比较简单的。题目文件在mega

分析文件

首先用volatility分析一下镜像系统。

volatility_2.6_win64_standalone.exe -f mem.vmem imageinfo

扫描结果得到如下:
扫描结果

可以看到,Win7SP1x64这是一个Windows镜像。那么我们扫一下内存看看:

volatility_2.6_win64_standalone.exe -f mem.vmem --profile=Win7SP1x64 pslist

注意到里面有这个进程

0xfffffa80023ee060 TrueCrypt.exe 2820 2464 4 212 1 1 2023-09-19 14:09:32 UTC+0000

开始提取

truecrypt是一款可以加密磁盘数据的软件。既然内存里面有这个软件,也给了一个附件(2),可以猜测这个附件应该是磁盘加密后的文件。在dump内存的时候如果发现加密容器是挂载状态的,或者刚刚卸载并且没有设置强制擦除密钥缓存,那么加密容器的密钥应该还存留在内存中。尝试用volatility找一下密钥。(truecryptsummary表示对truecrypt的密码的查找与提取)

volatility_2.6_win64_standalone.exe -f mem.vmem  --profile=Win7SP1x64 truecryptsummary

结果如下:
密码扫描结果

这其中的CZYWS_s4zyd_User就是我们要的密码。由于truecrypt已经被veracrypt取代,我们可以用veracrypt来加载加密卷(ps:这软件拿来加密色图盘or黄油盘非常的方便)

注:veracrypto从1.26.7之后不再支持truecrypt的解密,所以需要使用1.25.9以及之前的版本

解密卷

选择一个盘符,密码写CZYWS_s4zyd_User,选择truecrypt模式,加载。坐和放宽,就能看到多了一个盘。打开发现里面只有一个ecb文件,大小是惊人的1kb。既然是ECB,不妨试着用aes-ecb解密一下这个文件。打开赛博厨师,解密得到如下:
解密结果
有点意思,提示说hidden volume,这涉及到truecrypt加密卷两种分区,常规与隐藏。具体不多赘述,根据提示,说是根据这个decrypted文件解密出隐藏分区,不妨把output导出成一个文件,默认文件名download.dat即可。
好了之后,同理,密钥选择你保存的文件,其他与之前相同,加载完就得到了一个专家名单.xlsx,直接取md5,就得到了flag

DASCTF{c2c68e18fa4f01a4877a586104e7c721}
👍 5

none

最后修改于40天前

评论

贴吧 狗头 原神 小黄脸
收起

贴吧

  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡

狗头

  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头

原神

  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神

小黄脸

  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸

目录

avatar

玲奈月

世界所能给予你的爱,比你想象的要庞大的多。

5

文章数

1

评论数

4

分类

你好~

猫猫可爱捏~

11