问答
发起
提问
文章
攻防
活动
Toggle navigation
首页
(current)
问答
商城
实战攻防技术
漏洞分析与复现
NEW
活动
摸鱼办
搜索
登录
注册
inctf Forensic复现 | Memlabs（下）
CTF
接上次复现
**MemLabs Lab 4 | Obsession** ============================= 下载链接：[MemLabs\_Lab4](https://mega.nz/#!Tx41jC5K!ifdu9DUair0sHncj5QWImJovfxixcAY-gt72mCXmYrE) Challenge Descryption --------------------- My system was recently compromised. The Hacker stole a lot of information but he also deleted a very important file of mine. I have no idea on how to recover it. The only evidence we have, at this point of time is this memory dump. Please help me. **Note** : This challenge is composed of only 1 flag. The flag format for this lab is: **inctf{s0me\_l33t\_Str1ng}** > 我的系统最近遭到入侵。黑客窃取了很多信息，但他还删除了我的一个非常重要的文件。我不知道如何恢复它。目前我们拥有的唯一证据就是这个内存转储。请帮我。 Progress -------- ### Flag 不多谈了好吧：   嗨嗨嗨，运气~  结合描述，文件被删除了，尝试恢复一下。  说一下 MFT表： > - **NTFS**文件系统包含一个叫**主文件表**（**Master File Table**）的文件，简称为**MFT**。对于在 **NTFS** 文件系统卷上的每个文件，在 **MFT** 中都至少会有一个条目。 **MFT** 条目会存储文件所有的信息，包括名称、大小、时间、时间戳、权限和数据内容，或者会存储在 **MFT** 条目所描述的 **MFT** 之外的空间。 > - 随着文件被添加到 **NTFS** 文件系统卷，会有更多的条目添加到 **MFT** ，并且 **MFT** 大小也会随之增加。但是当从 NTFS 卷中删除文件时，它们的 MFT 条目会被重新标记为空闲状态，并且可以重复使用。但是已为这些条目分配的磁盘空间是不会再重新分配的，并且 **MFT** 的空间不会减小。 > - 文件大小 **小于等于** **1024字节**的文件，会直接存储在 **MFT** 表中（称为 驻留文件），如果超过**1024字节**，**MFT** 表就会包含其位置信息，不会存储文件。（称为 非驻留文件） 在`volatility`中提供了`mftparser`插件来查看系统的 MFT表：   字符串分散开了：**inctf{1\_is\_n0t\_EQu4l\_7o\_2\_bUt\_th1s\_d0s3nt\_m4ke\_s3ns3}** **MemLabs Lab 5** | **Black Tuesday** ===================================== 下载链接：[MemLabs Lab 5](https://mega.nz/file/Ps5ViIqZ#UQtKmUuKUcqqtt6elP_9OJtnAbpwwMD7lVKN1iWGoec) Challenge Description --------------------- We received this memory dump from our client recently. Someone accessed his system when he was not there and he found some rather strange files being accessed. Find those files and they might be useful. I quote his exact statement, ```plaintext The names were not readable. They were composed of alphabets and numbers but I wasn't able to make out what exactly it was. ``` Also, he noticed his most loved application that he always used crashed every time he ran it. Was it a virus? **Note-1** : This challenge is composed of 3 flags. If you think 2nd flag is the end, it isn't!! :P **Note-2** : There was a small mistake when making this challenge. If you find any string which has the string " ***L4B\_3\_D0n3* !!** " in it, please change it to " ***L4B\_5\_D0n3* !!** " and then proceed. **Note-3** : You'll get the stage 2 flag only when you have the stage 1 flag. > 最近我们从客户那里收到了这个内存转储。有人趁他不在时访问了他的系统，客户发现一些相当奇怪的文件正在被访问。找到这些文件，它们可能很有用。客户的原话是这样： > > 名字不可读。它们由字母和数字组成，但我不清楚它到底是什么。 > > **注 1** ：此挑战由 3 个flag组成。如果您认为第二个标志是结束，它不是！:P、 > > **注** **2**：挑战时有一个小错误。如果您发现任何包含字符串“ ***L4B\_3\_D0n3* !!** ”的字符串，请将其更改为“ ***L4B\_5\_D0n3* !!** ”然后继续。 > > **注意 3** ：只有当您拥有flag1时，您才会获得flag2。 Progress -------- ### Flag 1 不想说了：  `pslist`  看到了特殊的进程，查看了命令行历史：  确实不可读?，提取出来：   emm，**Stage2.png** 看来是第二部分了，还得去找第一部分。 这个地方用到了`iehistory`（想不到吧:P） > `iehistory`插件可以恢复IE浏览器的历史 index.dat 缓存文件的片段。`iehistory`可以提取基本的访问协议（如http、ftp等）链接、重定向链接（-REDR）和已删除条目（-LEAK）。此外，不仅仅是IE浏览器，它适用于任何加载和使用的 **winnet.dll库** 的进程，通常包括 **Windows** 资源管理器 甚至恶意软件样本。  运气不错，熟悉的base64：  **flag{!!\_w3LL\_d0n3\_St4g3-1\_0f\_L4B\_5*D0n3*!!}** ### Flag 2 有了第一个flag，去解密压缩包：  直接出了 **flag{W1th*th1s*$taGe\_2\_1s*c0mPL3T3*!!}** ### Flag 3 前面看到了 `notepad.exe`，提取文件，转储可执行文件，丢入IDA：    **flag3：bi0s{M3m\_l4b5*OVeR*!}** MemLabs Lab 6 | The Reckoning ============================= 下载链接：[MemLabs Lab 6 ](https://mega.nz/#!C0pjUKxI!LnedePAfsJvFgD-Uaa4-f1Tu0kl5bFDzW6Mn2Ng6pnM) Challenge Description --------------------- We received this memory dump from the Intelligence Bureau Department. They say this evidence might hold some secrets of the underworld gangster David Benjamin. This memory dump was taken from one of his workers whom the FBI busted earlier this week. Your job is to go through the memory dump and see if you can figure something out. FBI also says that David communicated with his workers via the internet so that might be a good place to start. **Note** : This challenge is composed of 1 flag split into 2 parts. The flag format for this lab is: **inctf{s0me\_l33t\_Str1ng}** > 我们从情报局收到了这个内存转储。他们说这个证据可能包含黑帮 大卫**·**本杰明 的一些秘密。这个内存转储是从本周早些时候被 **FBI** 逮捕的他的一名手下那里获取的。你的工作是通过内存转储，看看你是否能找出一些东西。联邦调查局还表示，大卫通过互联网与他的手下交流，因此这个内存可能是一个很好的案件突破口。 > > **注意** ：此挑战由 1 个flag 组成，分为 2 个部分。 > > 本实验的**flag**格式为：**inctf{s0me\_l33t\_Str1ng}** Progress -------- ### The first part of flag 。。。  排查一下可疑进程：  先看`WinRAR.exe`吧   提取一下：   经典，又是加密。。。  ?emmm，有点生硬：   **First Part：aN*Am4zINg*!\_i*gU3Ss???*}** ### The second part of flag 还有浏览器历史，之前安装过了插件：<https://github.com/superponible/volatility-plugins>  向下翻，有这么一条：  有一条回收站：  看一下回收站的链接： [Important - Google 文档](https://docs.google.com/document/d/1lptcksPt1l_w7Y29V4o6vkEnHToAPqiCkgNNZfS9rCk/edit)，google文档 额，全是拉丁语，不过幸好，有Google 翻译  有个网盘链接：[Mega网盘](https://mega.nz/#!SrxQxYTQ)  emm又有加密  靠运气找Key果然还是行不通吗呜呜呜 直接 **strings** 全局搜： ```bash strings Lab6.raw | grep "Mega Drive Key" ```   直接看是打不开的，拖进Winhex看看  这个地方要大写的`IHDR`，修复一下，16进制从`69`改成`49`   **Second part：inctf{thi5*cH4LL3Ng3*!s\_g0nn4*b3*?\_** 综上，**flag为：inctf{thi5*cH4LL3Ng3*!s\_g0nn4*b3*?\_aN*Am4zINg*!\_i*gU3Ss???*}** MemLabs Lab 6 | The Reckoning ============================= 下载链接：[MemLabs Lab 6 ](https://mega.nz/#!C0pjUKxI!LnedePAfsJvFgD-Uaa4-f1Tu0kl5bFDzW6Mn2Ng6pnM) Challenge Description --------------------- We received this memory dump from the Intelligence Bureau Department. They say this evidence might hold some secrets of the underworld gangster David Benjamin. This memory dump was taken from one of his workers whom the FBI busted earlier this week. Your job is to go through the memory dump and see if you can figure something out. FBI also says that David communicated with his workers via the internet so that might be a good place to start. **Note** : This challenge is composed of 1 flag split into 2 parts. The flag format for this lab is: **inctf{s0me\_l33t\_Str1ng}** > 我们从情报局收到了这个内存转储。他们说这个证据可能包含黑帮 大卫**·**本杰明 的一些秘密。这个内存转储是从本周早些时候被 **FBI** 逮捕的他的一名手下那里获取的。你的工作是通过内存转储，看看你是否能找出一些东西。联邦调查局还表示，大卫通过互联网与他的手下交流，因此这个内存可能是一个很好的案件突破口。 > > **注意** ：此挑战由 1 个flag 组成，分为 2 个部分。 > > 本实验的**flag**格式为：**inctf{s0me\_l33t\_Str1ng}** Progress -------- ### The first part of flag 。。。  排查一下可疑进程：  先看`WinRAR.exe`吧   提取一下：   经典，又是加密。。。  ?emmm，有点生硬：   **First Part：aN*Am4zINg*!\_i*gU3Ss???*}** ### The second part of flag 还有浏览器历史，之前安装过了插件：<https://github.com/superponible/volatility-plugins>  向下翻，有这么一条：  有一条回收站：  看一下回收站的链接： [Important - Google 文档](https://docs.google.com/document/d/1lptcksPt1l_w7Y29V4o6vkEnHToAPqiCkgNNZfS9rCk/edit)，google文档 额，全是拉丁语，不过幸好，有Google 翻译  有个网盘链接：[Mega网盘](https://mega.nz/#!SrxQxYTQ)  emm又有加密  靠运气找Key果然还是行不通吗呜呜呜 直接 **strings** 全局搜： ```bash strings Lab6.raw | grep "Mega Drive Key" ```   直接看是打不开的，拖进Winhex看看  这个地方要大写的`IHDR`，修复一下，16进制从`69`改成`49`   **Second part：inctf{thi5*cH4LL3Ng3*!s\_g0nn4*b3*?\_** 综上，**flag为：inctf{thi5*cH4LL3Ng3*!s\_g0nn4*b3*?\_aN*Am4zINg*!\_i*gU3Ss???*}**
发表于 2022-10-25 09:30:00
阅读 ( 5329 )
分类：
其他
0 推荐
收藏
0 条评论
请先
登录
后评论
AndyNoel
2 篇文章
×
发送私信
请先
登录
后发送私信
×
举报此文章
垃圾广告信息：
广告、推广、测试等内容
违规内容：
色情、暴力、血腥、敏感信息等内容
不友善内容：
人身攻击、挑衅辱骂、恶意行为
其他原因：
请补充说明
举报原因:
×
如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！
