2024春秋杯冬季赛 ez_forensics

使用工具

  1. LovelyMem V0.9
  2. how-does-MobaXterm-encrypt-password

详细操作

使用LovelyMem快速检查，发现桌面上有hint和f14g.7z，导出文件

image-20250117194037084

image-20250117194146663

image-20250117200111680

image-20250117200123806

hint提示60=？+？，想到ROT47+ROT13

解密得到hint内容，告诉我们hashdump得到的用户密码就是7z压缩包的密码

image-20250117200246695

使用LovelyMem Vol2-拓展功能-Mimikatz得到密码strawberries

image-20250117200517300

解压压缩包，发现是MobaXterm的配置文件

接下来直接套了原题，使用flag_is_here作为MobaXterm的主密钥去对root用户密码进行解密

HyperSine/how-does-MobaXterm-encrypt-password: This repo offers a tool to reveal password encrypted by MobaXterm. (github.com)

EN~MCTSZ0EJJX4188KN6SVI_tmb

1
2
python .\MobaXtermCipher.py dec -p flag_is_here DLulatnJIPtEF/EMGfysL2F58R4dfQIbQhzwuNqL
flag{eW91X2FyZV9hX2cwMGRfZ3V5}

最后base64得到flag

image-20250117201206554

#CTF #Misc #取证
2024春秋杯冬季赛 ez_forensics
https://more678.github.io/2025/01/17/2024春秋杯冬季赛ez_forensics/
作者
tenstrings
发布于
2025年1月17日
许可协议