问题:一天下午小白出去吃饭,临走之前还不忘锁了电脑,这时同寝室的小黑想搞点事情,懂点黑客和社工知识的小黑经过多次尝试获得了密码成功进入电脑,于是便悄悄在电脑上动起手脚了,便在桌面上写着什么,想给小白一个惊喜,同时还传送着小白的机密文件,正巧这时小白刚好回来,两人都吓了一跳,小黑也不管自己在电脑上留下的操作急忙离开电脑,故作淡定的说:“我就是随便看看”。

1.小黑写的啥,据说是flag?

2.那么问题来了,小白的密码是啥?

3. 小黑发送的机密文件里面到底是什么

1、利用命令查看notepad写入的内容

内存取证三项_应急响应

发现是个加密的尝试爆破,使用python进行解码

内存取证三项_应急响应_02

Flag出来了

2、然后利用命令hashdump查看用户密码hash,然后通过john爆破即可

内存取证三项_应急响应_03

3、利用cmdscan扫描命令发现存在一个nc的传输

内存取证三项_应急响应_04

再利用filescan查找这个文件的位置

内存取证三项_应急响应_05

查找到这个文件的虚拟地址然后我们利用dumpfiles导出

内存取证三项_应急响应_06

导出到当前目录后解压发现需要密码

然后利用administrator爆破出来的密码(19950101)测试发现一致,就获得了flag

内存取证三项_应急响应_07