NCSA2022 : forensic-challenge05 (Digital Forensic)

สวัสดีครับ ก็สำหรับ forensic-challenge05 ตอนไปเเข่งผมเจอ flag เเค่ครึ่งเแรกครับ เสียดายมากๆ เเต่ก็ไม่เป็นไรครับ สู้ต่อไป~~~ เป็นประสบการณ์ต่อยอดขึ้นๆไปครับ

flag format : tctt2022{xxxxxxxxxxxxxxxxxxxxxxxxx}

Solution

Ar3mus : ตอนเเรกเราจะได้ไฟล์ .vmem มาครับ

Ar3mus : สำหรับในเรื่องของการวิเคราะห์ไฟล์ Image RAM ถ้าเป็นไฟล์ประเภท .mem หรือ .vmem เราจะใช้เครื่องมือในการสืบสวน คือ Volatility , Autopsy เเละ FTK Imager ครับ โดยสำหรับโจทย์ข้อนี้ผมใช้ Volatility ครับ

Analyzing Memory Dumps With Volatility — CYBERVIE

Ar3mus : โดยเครื่องมือสามารถดาวน์โหลดได้ที่ LINK

Ar3mus : ขั้นแรกเราจะเช็คว่าไฟล์ .vmem มี profile อะไรบ้าง

vol.py -f challenge.vmem imageinfo

Ar3mus : ผมจะไล่ค้นหา profile จาก ซ้ายไปขวา

vol.py -f challenge.vmem --profile=Win7SP1x64 pslist

Ar3mus : จะเห็นว่ามี process ที่น่าสนใจ คือ cmd.exe

Get Ar3mus’s stories in your inbox

Join Medium for free to get updates from this writer.

Remember me for faster sign in

Ar3mus : ต่อมาผมจะใช้คำสั่ง consolesในการค้นหาประวัติการใช้ command

Ar3mus : จะเห็นว่ามี ไฟล์ important.txt ที่น่าสนใจ

Ar3mus : ผมเลยทำการ memdump cmd.exe ออกมา

vol.py -f challenge.vmem --profile=Win7SP1x64 memdump -p 3064 --dump-dir .

Ar3mus : จากนั้นผมจึงใช้ strings ตามด้วย format flag เพื่อหาข้อมูลที่ใกล้เคียง

strings -n 7 -t x 3064.dmp | grep tctt

Ar3mus : จะเห็นว่าในบรรทัดที่ 9eac1 จะมีข้อมูลที่เหมือนการเข้ารหัส

Ar3mus : แต่ดูเหมือนว่าเราจะได้ flag มาเเค่ครึ่งเดียว