2024西湖论剑 | Qetx Blog

type

Post

status

Published

date

slug

summary

misc

直接上脚本

img

最后整合一下，再去计算md5

flag：271b1ffebf7a76080c7a6e134ae4c929

附件得到一个加密的zip文件和一个raw镜像文件

先用vol2分析raw镜像文件，发现可疑进程

img

发现了两个可疑进程，因为是rar压缩包解密，所以把第二个进程提取出来

然后用strings的命令查看可见字符

img

发现了一段可疑的话，告诉了我们rar压缩文件的密码，和文件类型是磁盘，再结合之前的可疑进程VeraCrypt，估计磁盘是一个加密盘，先去解压rar，得到mysecretfile磁盘文件，但是没有密码文件，就再去镜像分析

img

发现了可以的pass.zip文件，提取出来

提取出来之后放到本地解压缩，发现里面是一张图片，用010打开，在末尾提取出一个压缩包，发现压缩包加密了，用archpr爆破出纯数字密码，得到里面的pass.txt，这个文件应该就是磁盘的密钥文件，我们打开VeraCrypt去挂载

img

添加密钥文件

img

可以看到挂载成功，我们再去真实机看一下磁盘里有什么

img

发现有一个xlsx文件，但是又是加密的，我们先把它拷贝到主机，再去镜像文件里找密码，最后发现是镜像文件的登录密码

img

发现密码das123admin321，拿去解密xlsx文件，发现成功，最后找到文件里隐藏的那一行（第十行）

img

得到flag

DASCTF{5476d4c4ade0918c151aa6dcac12d130}