[蓝帽杯 2022 初赛]计算机取证

[蓝帽杯 2022 初赛]计算机取证_1

现对一个windows计算机进行取证，请您对以下问题进行分析解答。
从内存镜像中获得taqi7的开机密码是多少？

F:\QZBS\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone.exe -f F:\QZBS\题目\计算机取证\1.dmp --profile=Win7SP1x64 hashdump

解密得到MD5

flag{anxinqi}

[蓝帽杯 2022 初赛]计算机取证_2

现对一个windows计算机进行取证，请您对以下问题进行分析解答。
制作该内存镜像的进程Pid号是多少？

F:\QZBS\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone.exe -f F:\QZBS\题目\计算机取证\1.dmp --profile=Win7SP1x64 pslist

找到MagnetRAMCaptu进程

flag{2192}

[蓝帽杯 2022 初赛]计算机取证_3

现对一个windows计算机进行取证，请您对以下问题进行分析解答。
bitlokcer分区某office文件中存在的flag值为？（答案参考格式：NSSCTF{abcABC123}）

再使用解密中的BitLocker解密来解密，导入我们刚才获取的文件

368346-029557-428142-651420-492261-552431-515438-338239

发现了一个密码本pass.txt，尝试用密码本爆破，通过爆破从渗透看取证.pptx得到密码为287fuweiuhfiute，打开后，找到flag

成功获取flag

[蓝帽杯 2022 初赛]计算机取证_4

题目描述

现对一个windows计算机进行取证，请您对以下问题进行分析解答。
TrueCrypt加密中存在的flag值为？（答案参考格式：flag{abcABC123}）

还有一个新建文本文档

需要使用TrueCrypt的文件解密

这里有一个加密文件

直接爆破

成功获取flag