内存取证-练习

原创

内存余响
内存余响

内存余响

2026年10月20日 22:39
江西

去阅读

挑战描述

我们从情报局部门收到了这个内存转储。他们说，这些证据可能隐藏着黑社会黑帮大卫·本杰明的一些秘密。这个内存转储是从他的一名员工那里拿走的，本周早些时候被 FBI 逮捕了。您的工作是检查内存转储，看看是否能找出一些东西。FBI 还表示，David 通过互联网与他的员工进行了交流，因此这可能是一个不错的起点。

注意：本次挑战赛由 1 个flag组成，分为 2 个部分。

根据题目提示通过互联网进行交流

首先查看操作系统

vol.py -f MemoryDump\_Lab6.raw imageinfo

得到profile

查看网络连接，发现开了很多浏览器

vol.py -f MemoryDump\_Lab6.raw --profile=Win7SP1x64 netscan

查看浏览器历史记录

vol.py -f MemoryDump\_Lab6.raw --profile=Win7SP1x64 iehistory

发现桌面上有一些flag这种压缩包之类

vol.py -f MemoryDump\_Lab6.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000005fcfc4b0 -D dump

下载下来里面有一张图片但是需要密码

在查看环境变量，可以发现

vol.py -f MemoryDump\_Lab6.raw --profile=Win7SP1x64 envars

找到rar的密码

得到后半部分flag

查看chrome浏览器的历史记录，我们可以发现

vol.py -f MemoryDump\_Lab6.raw --profile=Win7SP1x64 chromehistory

有一个可疑的网站

我们要找到这个key，还在里面找到一个网址http://mega.nz

在镜像里面搜索一下

找到key，填入key之后得到一张照片但是打开不了

010查看一下发现iHDR应该是IHDR修改之后即可得到前半部分flag