【CTF大赛】陇剑杯-机密内存-解题过程分析

最新推荐文章于 2026-06-18 12:15:05 发布

原创

最新推荐文章于 2026-06-18 12:15:05 发布 · 3.7k 阅读

标签

#网络安全 #计算机网络 #信息安全

在这里插入图片描述

前言

机密内存这道题是陇剑杯中的压轴题，题目中涉及到使用VMware加密功能进行加密的内存镜像，难度极大。我在这里详细的记录一下解题思路和过程，如有错误或疏漏的地方还请大佬们在评论区指出。

题目初探

拿到题目，为三个文件，其中mem_secret-963a4663.vmem为常见内存镜像文件，另外两个文件格式未知。

使用volatility进行分析无法识别profile。
在这里插入图片描述
接着分析分析Encryption.bin01和Encryption.bin02文件，初步分析Encryption.bin01文件，无法发现任何端倪。

Encryption.bin02内可见字符较多，通过strings命令可以判断出Encryption.bin02是使用Vmware加密后的vmx虚拟机配置文件

在这里插入图片描述
这里介绍一下虚拟机的配置文件vmx，改文件位于虚拟机实例的主目录下，用于记录虚拟机的配置——如虚拟机的内存、硬盘型号等，可以通过打开这个虚拟机文件以启动虚拟机的操作系统，我们也通过编辑该文件实现某种对虚拟机的配置需求。

对于同一虚拟机，在使用虚拟机加密操作前的vmx文件与加密后vmx文件是有所不同的：
在这里插入图片描述
未加密的vmx文件是明文显示的，显示了这个虚拟机的显示名称，cpu配置，内存配置等等。下图是为未加密的vmx文件。

在虚拟机——设置——选项——访问控制处可以配置虚拟机加密，加密后的vmx内容如下图所示，可以看到：之前以明文形式呈现的配置内容全部加密显示，无法获取这个虚拟机的配置详细信息了，并且多了keySafe内容，就存在这里。如下图：
在这里插入图片描述
加密后的配置只需要.encoding、displayName、encryption.keySafe和encryption.data字段的内容，.encoding为虚拟机配置文件的编码，displayName为虚拟机的名称，encryption.keySafe字段存储了虚拟机密码，格式为vmware:key/list/xxxxxxxxx ，encryption.data是原来明文数据加密过后的结果。