2024年春秋杯misc方向--ez forensics题解（使用lovelymemv版）

最近在做春秋杯时，有一道取证题手搓有点难，便想到了lovelymemv这个工具，接下来一起看看怎么做的吧

详细操作

首先拿到的一个raw文件，加载到lovelymemv中

使用快速检查看一下，发现有一个压缩包和txt文件有点可疑（在这里给这个功能点赞，一把梭确实厉害）

有目标后我们可以使用vol2的文件扫描（目的是将这两个文件导出来），得到output_vol2_filescan.csv并打开

然后在0ffost列右键进行导出（导出一定要用vol3，vol2导出来是空的）（不要忘记搜索一下，要不然找起来太麻烦）

文件导出来是单独作为一个磁盘存在，其中压缩包和txt文件在M:\forensic\ntfs\0\Users\Flu0r1n3\Desktop（一开始我也纳闷，怎么没在根目录下，后来想到这是一个windows系统，有点尴尬了）

我们先来看hint.txt文件，问60 = ( ) + ( )，想到ROT13+ROT47

那就使用在线网站CyberChef进行一下解码，解密得到hint内容，告诉我们hashdump得到的用户密码就是7z压缩包的密码

使用LovelyMem Vol2-拓展功能-Mimikatz得到密码

解压一下：strawberries，得到了两个文件：

MobaXterm的配置文件，整个文件里能看到的地方都没有flag，那很有可能flag在密文里了。

在这里使用了python的pycryptodome库，这是详细使用手册

1. https://github.com/HyperSine/how-does-MobaXterm-encrypt-password

工具解密命令

python .\MobaXtermCipher.py dec -p flag_is_here DLulatnJIPtEF/EMGfysL2F58R4dfQIbQhzwuNqL
flag{eW91X2FyZV9hX2cwMGRfZ3V5}

最后在进行base64转码

以上就是我的解题过程，如有不懂，可以看这篇2024春秋杯冬季赛 ez forensics题解 使用LovelyMem-CSDN博客（我就是看的这篇的过程做的）