ctf杂项-easy_dump.img

最新推荐文章于 2025-03-27 16:13:47 发布

ctf小杂鱼

最新推荐文章于 2025-03-27 16:13:47 发布

阅读量3.3k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： ctf杂项例题文章标签：安全经验分享其他

本文链接：https://blog.csdn.net/dongluliang/article/details/118869253

ctf杂项例题专栏收录该内容

5 篇文章

订阅专栏

本文介绍了一次内存取证的实战过程，从获取镜像开始，利用多种工具和技术手段，包括volatility进行内存分析，foremost进行文件恢复，以及利用testdisk进行数据恢复等，最终解密并找到了关键线索。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

原题某大赛的真题，之前培训老师给讲过一次，但是重点讲的是内存取证，后续套路没有展开讲，题给了，索性就从头解了一遍。

例题一 easy_dump.img

1、拿到镜像先放到diskgenies里进行分区和文件恢复，无果。

2、在/tmp目录下挂载此镜像，无果。

root@kali:/tmp# mkdir 1

root@kali:/tmp# mount easy_dump.img ./1

使用file命令查看easy_dump.img显示为data数据文件。

3、使用root@kali:/tmp# volatility -f easy_dump.img imageinfo分析img文件，通过Suggersted Profile可以看出此镜像为win7SP1x64内存镜像。

4、使用volatility -f easy_dump.img --profile=Win7SP1x64 psscan 查看内存镜像中的进程清单。

发现可疑进程“DumpIt.exe"

5、使用root@kali:/tmp# volatility -f easy_dump.img --profile Win7SP1x64 memdump -p 2500 -D /tmp 把此进程dump至/tmp目录

6、使用foremost 2500.dmp分离此文件得到一些文件，其中有一个zip压缩文件较为可疑，内部压缩着一个message.img文件（可以用binwalk或file命令前期先对2500.dmp进行分析，确定文件类型）

7、使用root@kali:/tmp/output/zip# file message.img命令分析为：message.img: Linux rev 1.0 ext2 filesystem data, UUID=c12b8ec9-5ef5-4b91-8b4d-f827e81f83cf (large files），一个标准的linux磁盘系统镜像。

8、创建临时目录，使用mount命令把磁盘镜像挂到当前的test目录里，进入test目录。

9、进入目录后发现hint.txt文件，查看后发现是一组座标值。

10、把hint.txt放到windows下使用gunplot(已经加入系统变量可以直接在命令行调用）输入plot "hint.txt"得到座标，使用扫码软件得到一提示“Here is the vigenere key: aeolus, but i deleted the encrypted message。”简直是老母猪带胸罩。。。。