2022CISCN(西北区赛)-The shinning

一道取证题目，学习一下如何解出这种套娃题目

vol2做法

当时开着kali虚拟机做的(Volatility 2.6)，以下图片来自当时交给赛事方的wp

1	`volatility` `-f USER-PC-20220606-064535.raw` `--profile=Win7SP1x64 filescan \| grep` `"Desktop"`

发现有7z和rar各一个，用volatility工具提取出文件

1 2	`volatility` `-f USER-PC-20220606-064535.raw` `--profile=Win7SP1x64 dumpfiles` `-Q` `0x000000007f66b700` `--dump-dir=./` `-u` `volatility` `-f USER-PC-20220606-064535.raw` `--profile=Win7SP1x64 dumpfiles` `-Q` `0x000000007e2260f0` `--dump-dir=./` `-u`

修改提取出来的dat为rar和7z后缀，无密码，直接解压

7z解压里的图片（2.jpeg）里面藏了密码（little_pigs），放大后的效果

得到little_pigs

另外的一个WAV

输入之前的little_pigs密码

用DeepSound去解

就能得到md5串

md5爆破得到

U_f1nd_Johnny

再拿着这个密码，结合hint里的Andriod备份解密，使用了下好的kobackupdec仓库

在storage\MediaTar\images\images0\wallpaper这个路径下，有一个3.jpeg

里面的大字是用小字构成的，小字就是flag（跟前面的2.jpeg一样费眼睛）

flag{3aab36aa-1de8-4059-ba09-dc0e27dff7ed}

有点手痒，换成Arch Linux的Volatility 3 重新复现,网上的介绍更多的都停留在Volatility 2.6版本，3的资料还很少见

使用参考的是CSDN上的做法

1	`vol` `-f USER-PC-20220606-064535.raw` `windows.info`

查看windows信息，win7sp1

1 2	`vol` `-f USER-PC-20220606-064535.raw` `dumpfiles` `--physaddr` `0x7f66b700` `vol` `-f USER-PC-20220606-064535.raw` `dumpfiles` `--physaddr` `0x7e2260f0`