BMZCTF：2018 護網杯 easy_dump

http://bmzclub.cn/challenges#2018%20%E6%8A%A4%E7%BD%91%E6%9D%AF%20easy_dump

題目描述

the flag format:flag{}

easy_dump.img

volatility -f easy_dump.img imageinfo

volatility -f easy_dump.img --profile=Win7SP1x64 pslist

有幾個可疑程式：

• notepad.exe
• DumpIt.exe
• explorer.exe

把notepad.exe的記憶體資料dump出來

volatility -f easy_dump.img --profile=Win7SP1x64 memdump -p 2952 -D ./

查詢下相關字樣，因為notepad使用的是16位little-endian儲存文字，所以引數加上-e l才能成功編碼

strings -e l ./2952.dmp | grep "flag{"

filescan直接找記憶體中的jpg檔案

volatility -f easy_dump.img --profile=Win7SP1x64 filescan | grep ".jpg"

dump出來

volatility -f easy_dump.img --profile=Win7SP1x64 dumpfiles -Q 0x00000000235c8770 -D ./

phos.jpg

看不出來什麼，binwalk分析發現圖片隱寫了zip，使用foremost提取出來

解壓得到一個message.img

ext2檔案系統，直接掛載

hint.txt的內容是座標資料，直接使用gnuplot繪製出來

繪製出來是一張二維碼，掃描得到如下資訊

Here is the vigenere key: aeolus, but i deleted the encrypted message。

得到一個維吉尼亞密碼的key：aeolus，得接著尋找密文

在/mnt的掛載目錄中有隱藏資料夾，/mnt/.Trash-0/file/.message.swp找到vim的臨時檔案

在這個.swp中使用vim恢復

vim -r message

得到密文

yispn!buwh_qcfd_ebo_mglzs

維吉尼亞解密即可

flag{yeeet!just_find_and_solve}