2022蓝帽杯计算机取证
[蓝帽杯 2022 初赛]计算机取证
[蓝帽杯 2022 初赛]计算机取证_1
现对一个windows计算机进行取证，请您对以下问题进行分析解答。
从内存镜像中获得taqi7的开机密码是多少？
F:\QZBS\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone.exe -f F:\QZBS\题目\计算机取证\1.dmp --profile=Win7SP1x64 hashdump解密得到MD5
flag{anxinqi}
[蓝帽杯 2022 初赛]计算机取证_2
现对一个windows计算机进行取证，请您对以下问题进行分析解答。
制作该内存镜像的进程Pid号是多少？
F:\QZBS\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone\volatility_2.6_win64_standalone.exe -f F:\QZBS\题目\计算机取证\1.dmp --profile=Win7SP1x64 pslist找到MagnetRAMCaptu进程
flag{2192}
[蓝帽杯 2022 初赛]计算机取证_3
现对一个windows计算机进行取证，请您对以下问题进行分析解答。
bitlokcer分区某office文件中存在的flag值为？（答案参考格式：NSSCTF{abcABC123}）
再使用解密中的BitLocker解密来解密，导入我们刚才获取的文件
368346-029557-428142-651420-492261-552431-515438-338239
发现了一个密码本pass.txt，尝试用密码本爆破，通过爆破从渗透看取证.pptx得到密码为287fuweiuhfiute，打开后，找到flag
成功获取flag
[蓝帽杯 2022 初赛]计算机取证_4
题目描述
现对一个windows计算机进行取证，请您对以下问题进行分析解答。
TrueCrypt加密中存在的flag值为？（答案参考格式：flag{abcABC123}）
还有一个新建文本文档
需要使用TrueCrypt的文件解密
这里有一个加密文件
直接爆破
成功获取flag