第46届金砖国家世界技能大赛 内存取证样题一

第46届金砖国家世界技能大赛 内存取证样题一

题目：

1. 从内存中获取到用户admin的密码并且破解密码，以Flag{admin,password} 形式提交(密码为 6 位)；
2. 获取当前系统 ip 地址及主机名，以 Flag{ip:主机名}形式提交；
3. 获取当前系统浏览器搜索过的关键词，作为 Flag 提交；
4. 当前系统中存在挖矿进程，请获取指向的矿池地址，以 Flag{ip:端口}形式 提交；
5. 恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。（上题已经看到进程）
6. 获取桌面上的flag.txt文件的内容是什么？
7. 病毒在自我删除时执行的命令是什么？

题一

题目：

从内存中获取到用户admin的密码并且破解密码，以Flag{admin,password} 形式提交(密码为 6 位)；

思路：

直接使用插件 mimikatz 获取用户名和密码，或者使用 lsadump 查看强密码

python2 vol.py  --plugins=/mnt/e/CTFtoos/取证分析/volatility2.6/plugins/ -f '/mnt/c/Users/11714/Desktop/1/worldskills3.vmem' --profile=Win7SP1x64 mimikatz

​​

​​

在将密码进行 md5 解密

​