XCTF 3rd-HITB CTF-2017 arrdeepee 复现

题目说明

我们某一个box被pwn了。在检查过程中，我们发现了一个叫mimikatz的东西，我们以前没有安装过，所以我们清除了，并且重新安装了box。但是，我们忘记备份我们的flag文件了。幸运的是，我们有一个攻击者网络流量捕获。你可以帮我们恢复出flag文件吗？

得到的是一个pcap包
有大量的tcp和udp流

查看udp流有以下的关键字
“ TSSecKeySet1”和“ Microsoft Strong Cryptographic Provider”
保存下来进行分析
有一些证书和私钥尝试openssl进行读取
命令：openssl asn1parse -inform DER -in

有大量的hex，深入分析嵌套的数据，进行解码尝试
命令加一个-strparse

继续解码
有可能是密钥
提取出来
提取需要密码结合题目的 mimikatz （https://github.com/FreeRDP/FreeRDP/wiki/Mimikatz）尝试做密码
成功提取
回过头看pcap包
有RDP和TPKT包（如果没有就右键decode解码）

其中的RDP 可以通过rdp_replay来重播RDP会话

命令
replay/rdp_replay -r 1.pcap -o recording.avi -p ./private.key --save_clipboard --show_keys > output

https://download.csdn.net/download/m0_46580995/12579907

通过视频（视频等上传通过）可以知道攻击者，他的工作是使用未显示给用户的密码压缩和加密标志文件，然后将base64编码并复制到剪贴板。
上一步已经把键位和剪切板下载下来
以及粘贴板上的base64解码并写入文件发现一个7z压缩包
需要密码就是键盘键入的
RDP SSL MODE Requested by server!!
SSL private key found.
1024x756x8
REALLY DELICIOUS PANCAKESREALLY DELICIOUS PANCAKES

得到flag

XCTF 3rd-HITB CTF-2017 arrdeepee 复现相关推荐

DEFCON CTF 2017圆满收关，三支中国战队闯入全球前五
作为CTF界最知名影响范围最广的比赛,为期三天的DefCon CTF 2017在热闹喧嚣中落下了帷幕,经过整整三天两夜52个小时不停歇的比赛,比赛结果最终揭晓,美国PPP战队再次夺冠!这已经是PPP战 ...
逆向迷宫题总结（持续更新） 2020华南师大CTF新生赛maze，攻防世界新手区：NJUPT CTF 2017，BUUCTF：不一样的flag
CTF逆向入门:迷宫题学习记录(持续更新) ** 目录 **CTF逆向入门:迷宫题学习记录(持续更新)** (前言) 一. 逆向迷宫题概述二. 具体题目分析 1. 2019华南师大CTF新生赛maz ...
[XCTF] [NJUPT CTF 2017] maze
下载附件,运行一下丢进IDA看伪代码 __int64 __fastcall main(int a1, char **a2, char **a3) {__int64 v3; // rbxint v4; ...
[CTF]-HECTF2021部分复现
HECTF2021部分复现 MISC 快来公众号ya JamesHarden 捉迷藏迷途的狗狗 snake CRYPTO 签到 encode RSA_e_n re_rsa LittleRSA Web ...
[CTF]SCTF2021 WEB复现（详细版）
前言认真复现还是收获挺多的,做这些就算看wp也会卡很久的题目才容易提高.最后感谢下NSSCTF平台提供的靶机,虽然flag只有一半 Loginme 下载附件得到源码,题目让我们本地访问,也就是要伪造 ...
由看雪.Wifi万能钥匙 CTF 2017 第4题分析linux double free及unlinking漏洞
相关程序可以在这里下载: http://ctf.pediy.com/game-fight-34.htm 我是在ubuntu16 64位调试的先说下知识点吧,简单的请参考我的上一篇文章: http:/ ...
2019某行业CTF大赛题目复现——图片隐写
0x01上题目附件: 百度网盘地址提取码 https://pan.baidu.com/s/13hDSgmW4cn9gEWqHjJrWIw 20ra 0x02WP复现: 1.打开图片:发现宽和高好像没 ...
2019某行业CTF大赛题目复现——音频隐写+图片隐写
0x01:上附件百度网盘链接地址提取码 https://pan.baidu.com/s/1OIh8ef5sopI8hoqkX3TJ9g qwky 0x02:WP复现过程 1.打开压缩的附件: ①发 ...
CTF 2017强网杯
1.Base64特征如果这个字符串仅有64个字符(A~Z a~z + / )以及后缀=组成,一般就可以判断是经过base64编码过的字符串字符串的字节数(不包括等号并且去掉4-等号个数个字节数)一 ...
ctf安全竞赛入门|漏洞利用、实战练习平台、CTF比赛资源库
一.漏洞利用.实战练习平台 1.WebGoat漏洞练习环境 https://github.com/WebGoat/WebGoat https://github.com/WebGoat/WebGoat- ...

XCTF 3rd-HITB CTF-2017 arrdeepee 复现

题目说明

XCTF 3rd-HITB CTF-2017 arrdeepee 复现相关推荐

最新文章

热门文章