2018 护网杯 easy_dump题目复现

题目链接

链接: https://www.php.cn/link/2de40b50ab20fd64a1f091f8ccaff681 提取码: g9mk

所需工具：Kali虚拟机、easy_dump.img内存镜像、Volatility内存取证工具、DiskGenius数据恢复工具

实验准备：旧版Kali自带Volatility工具，但新版中未找到。Volatility下载链接：https://www.php.cn/link/73c0551eb9d9731879220abc605cb9b3 2环境和所需的库。

可以使用python2 vol.py查看缺少的库，并自行安装。

Volatility使用：常用插件：

复现时首先使用python2 vol.py -f easy_dump.img imageinfo命令，查看此img镜像信息。

根据Suggested Profile(s)的值（第一个和第二个是概率最大的系统），推测可能是Win7SP1x64，因此之后需要使用--profile=Win7SPx64。然后查看img中的所有进程，使用python2 vol.py -f easy_dump.img --profile=Win7SP1x64 psscan。

根据题目，推测DumpIt.exe是个可疑进程，进程号为2256。首先分离出这个进程，使用python2 vol.py -f easy_dump.img --profile=Win7SP1x64 memdump -p 2256 -D ./。分离后在当前目录下生成一个2256.dmp文件。使用binwalk 2256.dmp命令查看隐藏文件，发现内容太多，直接使用foremost 2256.dmp命令进行分离。进入output文件夹，执行ls。

接着进入zip文件夹解压，得到另一个img文件。这里开始使用DiskGenius工具打开。

在files文件夹下发现.message.swp文件，打开后在最底部找到一串字符。直接用文本编辑器打开message.img，发现有一大串坐标数据。将格式转换后，使用gnuplot生成二维码。

扫描得到维吉尼亚密码。

维吉尼亚密码加密的字符串就是.message.swp文件最后的，直接在线网站解密，得到flag。

以上就是2018 护网杯 easy_dump题目复现的详细内容，更多请关注php中文网其它相关文章！