Memory Forensics——————内存取证

原创已于 2023-11-30 10:31:35 修改 · 735 阅读

9 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

于 2023-11-30 10:27:54 首次发布

文章讲述了如何使用Volatility工具在内存样本中提取用户密码、电脑名称、IP地址、游戏信息以及账户名称，展示了在CTF挑战中分析Windows系统内存的技巧。

一 - What the password?

you got a sample of rick’s PC’s memory. can you get his user password?
你得到了rick电脑内存的样本。你能得到他的用户密码吗？

1.拿到内存样本，首先就是获取镜像信息

volatility.exe -f OtterCTF.vmem imageinfo

2.我们可以看到镜像版本，题目让我们拿用户密码，想到hashdump这个插件。

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 hashdump

在这里插入图片描述 hash值破解不出来，想到lsadump也可以出password
CTF{MortyIsReallyAnOtter}

二.- General Info

Let’s start easy - whats the PC’s name and IP address?
电脑的昵称和IP地址

1.IP地址我们可以通过netscan插件查看

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 netscan

在这里插入图片描述 2.名称我们需要到注册表中查看

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 hivelist
查看注册表

在这里插入图片描述

0xfffff8a000024010这是system的内存地址

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey
相当于进入system目录中，里面有ControlSet001.....等目录

在这里插入图片描述然后我们进入ControlSet001目录

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 -K "ControlSet001" printkey

在这里插入图片描述一直找到computename目录，这里我们就不过多的演示了

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 -K "ControlSet001\Control" printkey

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 -K "ControlSet001\Control\ComputerName" printkey

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 -K "ControlSet001\Control\ComputerName\ComputerName" printkey

在这里插入图片描述

CTF{WIN-LO6FAF3DTFE}  CTF{192.168.202.131}

三- Play Time

Rick just loves to play some good old videogames. can you tell which game is he playing? whats the IP address of the server?
找出rick玩的游戏和游戏服务器IP地址

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 pslist
查看内存进程

在这里插入图片描述找游戏的名称，找到之后要IP地址，就找LunarMS.exe对应的IP地址就行了

在这里插入图片描述

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 netscan

在这里插入图片描述

CTF{77.102.199.102}    CTF{LunarMS.exe}

4 - Name Game

We know that the account was logged in to a channel called Lunar-3. what is the account name?
我们知道该帐户已登录到一个名为 Lunar-3 的频道。帐户名称是什么？

将游戏dump下来，用strings命令查看游戏中lunar-3的位置

volatility.exe -f OtterCTF.vmem --profile=Win7SP1x64 memdump -p 708 -D "绝对地址" 
-p是pid

strings 708.dmp|grep "Lunar-3" -C 5
-C 5是关键字的上下5行

在这里插入图片描述 CTF{0tt3r8r33z3}

标签

#内容运营