内存取证练习7

原创

内存余响
内存余响

内存余响

2026年10月11日 22:46
江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

挑战描述 我们公司的一个客户由于未知错误而失去了对其系统的访问权限。据说他是一位非常受欢迎的“环保”活动家。作为调查的一部分，他告诉我们，他常用的应用程序是浏览器、密码管理器等。我们希望你能深入挖掘这个记忆转储，找到他的重要东西并还给我们。 注意：此挑战由 3 个flag组成。

题目附件在上一个内存取证练习6

首先我们看这个题目，“环保”可能和环境有关，浏览器历史记录和密码应该关注一下

flag1

首先看一下操作系统信息

vol.py -f MemoryDump\_Lab2.raw imageinfo

找到了这个图片，其没有

把这个图片下载下来

发现密码P4SSw0rd\_123

还有Hidden.kdbx这个也下载下来看看，但是这个后缀我还没有见过，我还不知道这是什么东西

查阅资料之后知道这个是一个由 KeePass 密码管理器创建的加密数据库文件，需要密码才可以打开，之前我们已经得到密码了

这里我们需要在kali下载keepassxc这个工具，安装好了之后打开Hidden.kdbx这个数据库输入我们刚刚得到的密码就可以（要先把dumpfiles之后得到的文件重命名）

flag{w0w\th1s\_1s\_Th3\_SeC0nD\_ST4g3\!!}

flag3

查看历史命令，发现除了ie浏览器还用过chrome浏览器

同样的查看chrome浏览器历史，这里需要自己插入插件

vol.py -f MemoryDump\_Lab2.raw --profile=Win7SP1x64 chromehistory

找到一个网盘地址

打开发现了Important.rar，需要密码，提示memlabs第三部分flag的hash值且为小写

Lab-1第三阶段Flag为：flag{w3ll\_3rd\_stage\_was\_easy}，对其加密为SHA1，密码为：6045dd90029719a039fd2d2ebcca718439dd100a

打开得到flag3