../../../../../../../

解压出来是一个虚拟内存文件，当时想的应该就是内存取证了先分析一下内存镜像的基本信息volatility -f 隐藏的秘密.vmem imageinfo可以看到主机使用的操作系统版本，这里我们使用Win2003SP1x86看一下运行过的进程，如果进程已经结束，会在Exit列显示日期和时间，表明进程已经结束volatility -f 隐藏的秘密.vmem --profile Win2003SP1x86 pslist这里注意到有两个进程regedit.exe：是Windows注册表编辑器n

MiscMisc1 颜文字之谜提示说颜文字夺走了flag，Wireshark打开流量包，发现了一串base64隐写编码导出转换(｡･∀･)ﾉﾞ嗨Hi~ (＠_＠;)(＠_＠;)(＠_＠;)(+_+)?(。>︿<)_θ(。>︿<)_θo(*￣▽￣*)ブ゜＜（＾－＾）＞(╯▽╰ )好香~~ヽ(✿ﾟ▽ﾟ)ノ(＠＾０＾)(^^ゞΨ(￣∀￣)Ψ*★,°*:.☆(￣▽￣)/$:*.°★* 。~\(≧▽≦)/~o(^▽^)o(¬‿¬)(*≧︶≦))(￣▽￣* )ゞ┳━┳(╯‵