Изображение кота / Forensics

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Этичный хакинг или пентестинг > Задания/Квесты/CTF/Конкурсы
Изображение кота / Forensics

Опции темы

Поиск в этой теме

Опции просмотра

15.11.2023, 13:40

Exited3n

Постоянный

Регистрация: 28.05.2022

Сообщений: 800

С нами: 2086530

Репутация: 0

Задача из форензиики.
Дан файл memdump, это образ памяти

Описание таска:

Цитата:

Подозреваемый любит рисовать котиков, найдешь его последнюю работу?

Оно же является небольшой подсказкой. Надо искать графические редакторы, просмотрщики картинок и тому подобное.
Приступим, для работы с памятью нам поможет замечательный инструмент - volatility2/3

GitHub - volatilityfoundation/volatility: An advanced memory forensics framework

An advanced memory forensics framework. Contribute to volatilityfoundation/volatility development by creating an account on GitHub.

github.comКонкретно в данном таске я использовал вторую версию.
Смотрим информацию об образе -

Код:

python2 vol.py -f task.mem imageinfo

Видим что используется Win7SP1x86, подключаем данный профиль и смотрим список процессов

Bash:

Код:

python2 vol.py -f task.mem --profile
=
Win7SP1x86 pstree

Меня заинтересовал процесс mspaint.exe с PID'ом - 3600

Сделаем дамп данного процесса:

Bash:

Код:

python2 vol.py -f task.mem --profile
=
Win7SP1x86 memdump -p
3600
--dump-dir
=
output

На выходе получим RAW (сырой слепок процесса из памяти) данные.
Т.к. в описание сказано про картинку, нам понадобится GIMP - GIMP
Открываем как RAW image data

Нам придется поиграться с разрешением изображения, а также смещением (offset)
Находим нашего котика и флаг

До новых встреч!

𝕏 Twitter Reddit Telegram Копировать ссылку

15.11.2023, 22:13

yetiraki

Новичок

Регистрация: 07.02.2023

Сообщений: 0

С нами: 1719376

Репутация: 0

Ух я помучался с разрешением и оффсетом =)))

13.12.2023, 20:44

Kevgen

Новичок

Регистрация: 11.05.2023

Сообщений: 0

С нами: 1585741

Репутация: 0

Классный райтап!
От себя скажу, что я обычно использую тип отображения RGBA вместо RGB, так (по крайней мере для меня) легче подобрать правильное расширение и оффсет.

« Предыдущая тема | Следующая тема »

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход