SwBack的博客

题目描述跳板机疑似被遗留后门,请排查1、找到可疑进程完整路径2、找到被横向的服务器IP3、连接被横向服务器flag格式为 flag{base64{完整路径}|服务器IP|服务器中flag文本}连接服务器.ss看到恶意IP. 根据进程找到绝对路径查看进程连接,获取flag。

提交攻击者使用的攻击ip地址1 flag格式为：palu{xxxx}看拓扑肯定是webserver先被攻击，目标为webserver上面相关的服务日志，查看系统网络状态，发现大量疑似反弹shell的链接查看系统的nginx服务日志发现31网段访问a.php记录，查看a.php内容确定攻击者ip。

由于volatility2.6 和3.0 版本之间略有差异,所以特写本文档用来学习参考。在vol3 中不需要指定profile,而是在命令中指定系统。如windows.info、Windows.pslist。

发现ie浏览器,WinRAR,cmd.exe,chrome.exe,firefox.exe,通过匹配firefox chrome数据 环境变量 文件等,都未找到密码。本次做题收获:收获总是会有的,比如markDown 用的越来越熟练。此挑战由 1 个标志组成，分为 2 个部分。

Volatility命令参考地址此外，他注意到他最喜欢的应用程序每次运行时都会崩溃。是病毒吗？Note-1: 此挑战由 3 个flag组成。如果您认为第二个flag是结束，它不是！Note-2: 挑战时有一个小错误。如果您发现任何包含字符串的字符串，请将其更改为然后继续。Note-3: 只有当您拥有flag1 时，您才会获得flag2 。

实际上看到Important应该先看这个文件的,但实际做的时候,一开始并未匹配目录,再复习的时候才直接在匹配中添加了目录。想要读取一个被删出的文件内容，volatility 本身是具备这么个功能,虽然有点限制,但是在这里明显够用。简述 文件被删除后,如果MFT的数据没有被擦除,基本上都可以恢复。直接匹配该文件,通过MFT的$DATA区可以看到被删除的txt文本内容就是flag。重点在于被删除了,首先我们要确定被删除的文件是什么.时间:2022-5-6 20:16。对图片进行分析过后,发现并无异常。

steghide 工具隐写/提取 均需要密码 flag前部分应该为密码。提取题目信息: 恶意脚本、steghide(图像/音频隐写工具)

内存取证，volatility练习,职业技能大赛

2018护网杯内存取证

关于世界技能大赛解题技巧

My sister's computer crashed. We were very fortunate to recover this memory dump. Your job is get all her important files from the system. From what we remember, we suddenly saw a black window pop up with some thing being executed. When the crash happened,

题目描述内存取证是一种比较主观性的题目My friend John is an “environmental” activist and a humanitarian. He hated the ideology of Thanos from the Avengers: Infinity War. He sucks at programming. He used too many variables while writing any program. One day, John gave me