下载附件是一个.raw文件
使用工具Volatility 2
这里用的免安装版
下载地址
https://github.com/NUDTTAN91/volatility_2.6_lin64_standalone
下载好就可以直接用
接下来解题
看内存映像的基本信息
./volatility_2.6_lin64_standalone -f '/root/Desktop/yang.raw' imageinfo
imageinfo用于识别该内存镜像的基本信息
两个可能的 Profile： WinXPSP2x86 和 WinXPSP3x86
从内存结构来看WinXPSP2x86更匹配
查看进程
./volatility_2.6_lin64_standalone -f '/root/Desktop/yang.raw' --profile=WinXPSP2x86 pslist
pslist用于列出系统中运行的进程列表
发现一个cmd命令的进程信息
看命令历史记录
./volatility_2.6_lin64_standalone -f '/root/Desktop/yang.raw' --profile=WinXPSP2x86 cmdscan
cmdscan 扫描内存中用户在 cmd.exe 命令行中输入过的命令历史记录
Cmd #0 @ 0x3689ed8: git push -u origin master
Cmd #2: then delete .git and flagfile
把.git和flagfile文件给删除了
攻击者使用 git push 上传数据，很可能需要通过 SSH 访问 Git 仓库
寻找ssh文件
./volatility_2.6_lin64_standalone -f '/root/Desktop/yang.raw' --profile=WinXPSP2x86 filescan | grep ssh
提取文件
./volatility_2.6_lin64_standalone -f '/root/Desktop/yang.raw' --profile=WinXPSP2x86 dumpfiles -Q 0x00000000020bf6a0 -D ./N
dumpfiles 将内存中的文件恢复（导出）到磁盘上
-Q 0x00000000020bf6a0 指定要恢复的文件的虚拟偏移地址
./N 指定导出目录，dump 下来的文件会保存到当前目录下的N
提取后查看这个文件
base64解码（使用赛博厨子）
发现关键信息
song552085107@qq.com
在github上搜索
下载 记事本打开发现一个base64
base64解码得到flag
SangFor{S0_3azy_2_crack_noob_player}