【CTF】利用volatility与Gimp实现Windows内存取证

0x01 题目要求
题目提供了一个大小为256MB的内存镜像，显然我们需要从当中找到一些有趣的东西。

0x02 分析过程
既然是内存取证，首先就想到一个强大的取证工具——volatility
该工具在kali当中已集成，位于应用程序->数字取证->volatility。
下面就针对该镜像，记录一下使用该工具进行内存取证的过程。
1. volatility
volatility命令手册：https://github.com/volatility…我这里只列举一些常用的命令

1. 镜像基本信息
volatility -f mem.data imageinfo

关键看Suggested Profile(s)项，这里是工具判断该镜像的架构，同时也会提供相应架构的命令用于分析该镜像，本题中可能性最大的架构是Win7SP1x64，然后在调用命令时加上–profile=Win7SP1x64就可以了，继续往下看。
2. 列举可使用的命令
volatility -f mem.data –profile=Win7SP1x64 –help

常用的命令如下：

命令
功能

cmdline/cmdscan
列出历史cmd命令

filescan
扫描文件，可配合grep使用

netscan
扫描建立的连接和套接字，类似于netstat

pslist/psscan
列出进程列表

svcscan
扫描windows服务列表

screenshot
显示GDI样式的截屏

memdump
从内存dump进程的内存

dumpfiles
从内存dump文件

3. 搜索进程
首先我们要看一下出题人在镜像里干了什么。
volatility -f mem.data –profile=Win7SP1x64 pslist

可以看到这里有3个应用程序进程，分别是：wordpad写字板 MineSweeper扫雷 mspaint画图，而且再看看启动时间，mspaint相隔之后的进程有长达10分钟时间，emmm，出题人应该是就在这段时间写的flag。接下来我们就看一下有没有什么可疑的文件留存。
4. 查看可疑文件
查看文档
volatility -f mem.data –profile=Win7SP1x64 filescan | grep “doc\|docx\|rtf”
没有。。。

查看图片
volatility -f mem.data –profile=Win7SP1x64 filescan | grep “jpg\|jpeg\|png\|tif\|gif\|bmp”
也没有。。。

查看桌面
volatility -f mem.data –profile=Win7SP1x64 filescan | grep “Desktop”

难道出题人还用扫雷来做个图？？？（开个玩笑）
看来flag并没有保存为文件，看看有没有其他突破口。
5. 查看截图
volatility -f mem.data –profile=Win7SP1x64 screenshot –dump-dir=./
导出的图片如下

说实话我根本看不出来这是个什么界面。。。
6. 其他调查
查看命令行输入
volatility -f mem.data –profile=Win7SP1x64 cmdline
查看系统用户名
volatility -f mem.data –profile=Win7SP1x64 printkey -K “SAM\Domains\Account\Users\Names”
查看网络连接
volatility -f mem.data –profile=Win7SP1x64 netscan
在做了很多无用功之后，只能去求助Google了，结果搜出来2篇文章，比较有参考价值：
google-ctf-2016-forensic1：https://www.rootusers.com/goo…从内存导出raw图片：https://w00tsec.blogspot.com/…

上述文章介绍了一种方法，通过利用volatility将进程内存dump下来，然后利用Gimp打开内存数据，查看镜像中的系统界面，于是我们开始实施。
2.Gimp

使用volatility dump内存：（2768是mspaint的pid）
volatility -f mem.data –profile=Win7SP1x64 memdump -p 2768 –dump-dir=./

将2768.dmp重命名为2768.data，使用Gimp打开，打开方式选择”原始图像数据”

出现这样一个界面，做如下操作：

图像类型：RGB Alpha

调整三个属性：高度调整到合适值就不用变了，我的最大是733。确定一个宽度，通常是常见的显示器分辨率，然后不断调整位移，使之出现可见的图像，也就是镜像中的系统界面。
（接下来就是我不断测试的过程，测试了2小时。。。）
分辨率是1920时：可以看见3个程序，之前的GDI纯白色框线界面就是扫雷的结算界面，写字板里写的也不是flag，看来就只有画图里有flag了。

分辨率是1024时：扫雷界面。证明在不同分辨率下，会显示不同的界面。

分辨率是1568时：部分画图界面，可能离成功不远了。

分辨率是1457时：getFlag！

事后发现，微调位移为图像的左右方向平移，大幅调节位移则是图像的上下方向平移。而宽度不变时，始终显示的都是同一幅图像。

0x03 小结一下
为了凑够3点，就写一下小结吧

谷哥大法好，樯外确实有很多好的题解
熟悉使用各类取证分析工具，是快速解出此题的关键
可以参透出题人心理，猜测可能的flag位置