2022蓝帽杯取证部分复盘学习

目录

手机取证

手机取证_1

在这里插入图片描述
使用其文件自带盘古石查看器打开搜索该图片查看其分辨率即可
在这里插入图片描述

手机取证_2

在这里插入图片描述
搜索关键字“单号”在Skype群聊中即可得到flag

计算机取证

计算机取证_1

在这里插入图片描述
使用volatility先查进程号
在这里插入图片描述
再找出 system和SAM 的 virtual 地址
在这里插入图片描述
使用 hashdump -y SYSTEM_virtual -x SAM_virtual.
在这里插入图片描述
看到taqi7的哈希加密后的开机密码了，拿到在线解密网站解
在这里插入图片描述
解密后即为flag

计算机取证_2

在这里插入图片描述
使用volatility,pslist查看进程，看到MagnetRamCaptu
进程Pid:2192

计算机取证_3

在这里插入图片描述
取证大师打开，提示存在BitLocker加密
使用EFDD破解密钥（当然也可以使用取证大师自带的内存镜像解析工具
在这里插入图片描述
该盘中内容如下：
在这里插入图片描述
中间两个office文件进行了加密，但给了字典，使用passware爆破（Bitlocker的密钥也可以用passware爆破，但个人感觉EFDD要更快些
在这里插入图片描述
在这里插入图片描述
得到密码，分别打开
在这里插入图片描述
在这里插入图片描述

得到flag

计算机取证_4

在这里插入图片描述
打开取证大师，使用其工具集中的内存解析软件
在这里插入图片描述
找到密钥
结合上一题容器中最后一个没有利用上的文档，可能就是这一题的容器，导出并用取证大师打开
在这里插入图片描述
在这里插入图片描述
发现哈哈哈.zip,文件存在加密，使用ARCHPR
在这里插入图片描述
打开后得到flag
在这里插入图片描述

程序分析

程序分析_1

在这里插入图片描述
使用雷电智能分析
在这里插入图片描述
看到包名

程序分析_2

在这里插入图片描述
在这里插入图片描述
jadx-gui中查看AndroidManifest.xml,发现入口

程序分析_3

在这里插入图片描述
结合上一题，全局搜索MainActivity
在这里插入图片描述
找到网站服务器地址密文
在这里插入图片描述

程序分析_4

在这里插入图片描述
这个题，不是很懂，答案就是类名a
在这里插入图片描述

网站取证

网站取证_1

在这里插入图片描述
D盾扫描www文件
在这里插入图片描述
找到马了
在这里插入图片描述

网站取证_2

在这里插入图片描述
在这里插入图片描述

跟进my_encrypt（）函数，小修一下运行即可
在这里插入图片描述

网站取证_3

在这里插入图片描述
全局搜索关键字money

在这里插入图片描述
发现有个对money加密的encrypt函数，点进去
在这里插入图片描述
发现上面的encrypt（）函数及盐值

网站取证_4

在这里插入图片描述
呃呃，我还在研究爬虫怎么写TAT

posted @ 2022-10-20 19:02  齐天大圣8799  阅读(730)  评论(0)    收藏  举报