强网杯2021 BlueTeaming (内存取证)

翻译:Powershell脚本由恶意程序执行。包含power shellscript内容的注册表项是什么？

题目要求找到powershell执行的脚本储存的注册表地址

使用到工具 volatility、Windows Registry Recovery

解题过程

使用工具volatility。 volatility工具的安装文章我也写了,不了解的可以看看

首先查看镜像的系统信息，得到版本是Win7SP1x64

volatility_2.6_win64_standalone.exe -f .\memory.dmp imageinfo

根据题目的文字说明，涉及修改的注册表，于是将镜像的注册表项导出进行查看。

 volatility_2.6_win64_standalone.exe -f memory.dmp --profile=Win7SP1x64 dumpregistry --dump-dir ./

对于注册表，使用工具Windows Registry Recovery进行查看。

翻看 SOFTWARE 的敏感目录 \Microsoft\Windows ，在communication处发现恶意注册表
最终flag： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Communication

强网杯2021 BlueTeaming (内存取证)相关推荐

强网杯2021 CipherMan (内存取证分析)
一个磁盘镜像,一个内存镜像攻击者恶意访问用户的PC和加密的特定卷.如何解密卷? 使用工具volatility.首先查看镜像的系统信息,得到版本 python vol.py -f memory ima ...
强网杯2021 ctf线上赛ezmath wp（#超详细，带逆向新手走过一个又一个小坑）
文章目录引言一.分析文件类型二.初步分析 1 运行情况 2 IDA初步分析三.详细分析 1 sub_13F3函数分析 2 查找蛛丝马迹 (1)mprotect (2)重写unk_2010 3 ...
强网杯2021 misc 复现
对强网杯BlueTeaming.ISO1995.CipherMan.Threebody的复现 (纯萌新学步) 可以参考mumuzi大佬的wp https://blog.csdn.net/qq_4288 ...
[强网杯2021]XBUUCTF[QWB2021 Quals]popmaster复现记录
给自动化代码审计的大佬跪了. 出题人写的WP在这里:强网杯[pop_master]与[陀那多]赛题的出题记录复现可以到BUUCTF,启动[QWB2021 Quals]popmaster这道题就ok. ...
强网杯2021 pwn部分wp
baby_diary: 本题考查2.31的off by one, 漏洞处如下: 在sub_146e中会将输入数据的ASCII码相加再相加相加-直到变成一个byte的数字, 然后加到输入数据的后一位上, ...
强网杯2021 [强网先锋]orw
orw就是指你的系统调用被禁止了,不能通过子进程去获得权限和flag,只能在该进程通过 open , read ,write来得到flag 因为不是FULL RELRO所以就考虑改got表为shell ...
[ctf misc][wp]一些内存取证的wp（含[2021蓝帽杯北部赛区分区赛]博人的文件）
wp 1.[V&N2020 公开赛]内存取证 1.找策略 volatility.exe -f C:\Users\shen\Downloads\mem.raw imageinfo 2.看进程 v ...
[2021首届“陇剑杯”网络安全大赛决赛]内存取证writeup
决赛不能联网-手上有只有vol2.6,这道题完全死了文章目录 [2021首届"陇剑杯"网络安全大赛决赛]内存取证 writeup 产品密钥匿名邮箱远控后门数据清除时间 [ ...
2021第五届强网杯部分writewp
第五届强网杯部分题解 web-最后两道是师弟做得 pwn-by-RGDZ 菜鸡简单记录一下本次比赛.持续更新文章目录第五届强网杯部分题解前言一.Web 1.1Web1 [强网先锋]寻宝操作过 ...

强网杯2021 BlueTeaming (内存取证)

解题过程

强网杯2021 BlueTeaming (内存取证)相关推荐

最新文章

热门文章