内存取证练习6

原创

内存余响
内存余响

内存余响

2026年10月10日 23:42
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

题目描述：

我姐姐的电脑崩溃了。我们非常幸运地恢复了这个内存转储。您的工作是从系统中获取她的所有重要文件。根据我们的记忆，我们突然看到一个黑色窗口弹出，上面正在执行一些事情。灾祸发生时，她正试图画什么。这就是我们灾祸发生时起所记得的一切。

此挑战由 3 个flag组成。

通过网盘分享的文件：题目资源链接: https://pan.baidu.com/s/1nLAPhA\_A3m0L60w0wUVmJw?pwd=jk3q 提取码: jk3q

flag1

首先查看镜像信息决定应该用vol2还是vol3

还是vol2

查看操作系统信息

vol.py -f MemoryDump\_Lab1.raw imageinfo

得到profile=Win7SP1x64

查看进程列表

vol.py -f MemoryDump\_Lab1.raw pslist

发现cmd.exe在运行，查看历史命令

vol.py -f MemoryDump\_Lab1.raw consoles

得到一串base64

解码得到flag1

flag2

查看cmd相关信息

vol.py -f MemoryDump\_Lab1.raw cmdline

发现在winrar里面有一个重要的压缩包

先文件搜索一下，找到地址

vol.py -f MemoryDump\_Lab1.raw --profile=Win7SP1x64 filescan |grep -iE \"Important.rar\"

下载下来

vol.py -f MemoryDump\_Lab1.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000003fa3ebc0 -D dump

cat查看乱码但是里面有一张照片

360zip打开发现密码提示

密码是Alissa的NTLM hash

vol.py -f MemoryDump\_Lab1.raw --profile=Win7SP1x64 hashdump

得到密码：f4ff64c8baac57d22f22edc681055ba6但是这里需要大写F4FF64C8BAAC57D22F22EDC681055BA6

得到flag2

flag3

这个要从题目描述的里面“她正试图画什么”给出了提示

我们在查看进程的时候可以发现有一个正在运行的画图软件

把这个进程导出来，这里需要转格式data，再用gimp工具打开

GIMP 是一款图像处理软件，打开2424.data即可得到flag