信安大赛-内存取证

某省赛题

1.请提交内存中恶意进程的名称

用pslist插件查看进程

 

看到有两个powershe11

powershe11.exe

2.请提交恶意进程写入的文件名称(不含路径)

用memdump提取出恶意程序

 

strings

 

hilyary.txt

 

3.请提交 admin 账户的登录密码

mimikatz梭了

 

要是没有这个插件，hashdump这个插件也可以

 

 

123456

 

4.请提交攻击者创建的账户名称

查看注册表，之后一级一级查看

 

找到所有用户，但不知道哪个是攻击者创建的用户，

也是一级一级查看，找到Price

 

5.请提交在桌面某文件中隐藏的 flag 信息，格式:flag{....}

filescan查看文件

 

找到一个skills

提取出来

 

010看到flag

 

 

2024山东省赛题

事件描述：您的任务是使用 Redline 和 Volatility 工具分析内存转储。您的目标是跟踪攻击者在受感染计算机上采取的步骤，并确定他们如何设法绕过网络入侵检测系统“NIDS”。您的调查将涉及识别攻击中使用的特定恶意软件系列及其特征。此外，您的任务是识别和缓解攻击者留下的任何痕迹或足迹。

1.目标可疑进程的名称是什么？

2.提交可疑进程的子进程名称

3.可疑进程内存区域的内存地址

4.负责VPN连接的进程的名称是什么？

5.攻击者的 IP 地址是什么？

6.查看你恶意软件家族的名称是什么？

7.攻击者访问的PHP文件的完整URL是什么？

8.恶意可执行文件的完整路径是什么？

1.目标可疑进程的名称是什么？

vol.py -f 1.mem --profile=Win10x64_19041 malfind

oneetx.exe

2.提交可疑进程的子进程名称

python3 vol.py -f 1.mem windows.pstree

rundll32.exe

 

#vol2下是这个命令

vol.py -f 1.mem --profile=Win10x64_19041 pstree

3.可疑进程内存区域的内存地址

vol.py -f 1.mem --profile=Win10x64_19041 malfind

 

0x400000

4.负责VPN连接的进程的名称是什么？

python3 vol.py -f 1.mem windows.psscan

Outline.exe

5.攻击者的 IP 地址是什么？

python3 vol.py -f 1.mem windows.netscan | grep oneetx.exe

77.91.124.20

6.查看你恶意软件家族的名称是什么？

strings 1.mem | grep Redline

Redlinestealer

7.攻击者访问的PHP文件的完整URL是什么？

strings 1.mem | grep 77.91.124.20

http://77.91.124.20/store/games/index.php

8.恶意可执行文件的完整路径是什么？

strings 1.mem | grep oneetx.exe

C:\Users\Tammam\AppData\Local\Temp\c3912af058\oneetx.exe