ICode9

精准搜索请尝试: 精确搜索
首页 > 其他分享> 文章详细

一波取证题

2022-07-25 21:04:13  阅读:34  来源: 互联网

标签:一波 取证 文件 一下 然后 key 磁盘 txt


Get-the-key.txt

这是一道磁盘取证
磁盘取证的第1步是确定磁盘的类型
image
磁盘类型是ext2,然后通过fdisk -l可查看磁盘中的卷信息,大小,偏移量等。
image
然后就行挂载,可以先创建一个目录,然后mount -o loop 文件名 路径
image
image
然后去那个文件夹看一下可以发现有很多压缩包,搜一下key.txt
image
然后file一下这个二进制文件,看看具体是什么文件
image
解压gzip gunzip<1
image
其实这道题binwalk分解掉然后查一下也能成功。


mount 命令

image


记一道磁盘取证 [安洵杯 2020]王牌特工

给了一个findme的不知名文件,用虚拟机file看一下是什么文件
image
是一个磁盘文件,挂载一波
image
然后可以看到里面有个不知名文件和一个txt,看下txt
image
这是提示要用veracrypt,用这个key加载一下会得到一个假的flag。
这里就有新知识点了,很有可能是有文件被删掉了所以才没加载出来的,恢复文件的工具extundelete,直接打就能安装
然后看一下有哪些文件被删除了、
image
image
image
然后恢复出来
image
然后进到RECOVERED_FILES这个文件夹里,strings一下那个文件(虽然看不到)
image
最后那串base一下就是正确的key,然后拿去加载就行了
image

标签:一波,取证,文件,一下,然后,key,磁盘,txt
来源: https://www.cnblogs.com/fengyuxuan/p/16499999.html

专注分享技术,共同学习,共同进步。侵权联系[81616952@qq.com]

Copyright (C)ICode9.com, All Rights Reserved.

ICode9版权所有