SECCON CTF 2013 online予選 : Eleclog.

感想：難しかった

解けたのはforensics100と300だけ、あとはcrypt100の法則に気がついた(ソルバー書いたのは後輩)のとforensics200の仕様を発見した(スクリプト書いて回したのは後輩)くらいしか貢献できませんでした...

とりあえずforensics300だけメモしておきます。（追記：最下部にWriteUpへのリンクをまとめました）

問題：ログインパスワードを解明せよ

調査対象パソコンのユーザー名Forensicsのパスワードが不明な状態です。システムの電源を落とす前に、win32ddにより、メモリ全体のイメージファイル（RAW形式)が取得されています。このイメージファイルを解析し、ユーザー Forensics のWindowsへのログオンパスワードが何かを特定してください。
メモリをダンプした対象システムは Windows 7, x86(32bit)です。
Memorydump2.rar

参考にしたのは
http://cyberarms.wordpress.com/2011/11/04/memory-forensics-how-to-pull-passwords-from-a-memory-dump/

Volatility 2.3.1 Standaloneを使いました。
https://code.google.com/p/volatility/downloads/list

Windows 7 x86とのことなので、

C:\Users\keiichiro\Desktop>volatility hivelist -f Memorydump2.bin --profile=Win7SP0x86
Volatility Foundation Volatility Framework 2.3.1
Virtual    Physical   Name
---------- ---------- ----
0x9ff5a3c0 0x37fbb3c0 \SystemRoot\System32\Config\SECURITY
0x9ffc03a0 0x30e243a0 \SystemRoot\System32\Config\SAM
0x8f60c568 0x04bbc568 [no name]
0x8f61c008 0x005d2008 \REGISTRY\MACHINE\SYSTEM
0x8f6448d8 0x04b3c8d8 \REGISTRY\MACHINE\HARDWARE
0x90659650 0x199c0650 \??\C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT
0x906d8008 0x13200008 \??\C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT
0x93cf5008 0x38814008 \Device\HarddiskVolume1\Boot\BCD
0x93d479d0 0x388c19d0 \SystemRoot\System32\Config\SOFTWARE
0x989bc008 0x37920008 \SystemRoot\System32\Config\DEFAULT
0x9e6e69d0 0x005469d0 \??\C:\Users\forensics\ntuser.dat
0x9efe5650 0x028aa650 \??\C:\Users\forensics\AppData\Local\Microsoft\Windows\UsrClass.dat

SAMとSYSTEMの番地が分かったので、これを使って

C:\Users\keiichiro\Desktop>volatility hashdump -f Memorydump2.bin --profile=Win7SP0x86 -y 0x8f61c008 -s 0x9ffc03a0 > passhashs.txt

Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
forensics:1000:aad3b435b51404eeaad3b435b51404ee:98ffdb1b29e7c88954326cd4011141d8:::

ophcrackにrainbow table(vista_free)を読ませてpasshashs.txtを投入すると3秒くらいで出ました。

Caution

記事の内容は保証しません。(工作系の常套句)
ここに記載した事を実行して発生した事故などにつきましては一切責任を負いかねます。

引用などは常識の範囲内でご自由にどうぞ。
写真なども特に何も併記してない限り引用OKです。(著作権は放棄していません)
※記事やコードの大部分をコピーして、自身のコンテンツにする行為は引用ではなく剽窃です。

質問・指摘などがありましたら各記事へのコメント又はtwitter@9SQへお願いします。
ここおかしいよ！という点はバンバン指摘してもらえると嬉しいです。

わりと幼稚なコードを書きますので、あまり参考にならないかもしれません。

このブログ内(Gistの埋め込み含む)に記載したコードのライセンスはCC0です。
※別に指定する場合を除く
(GitHubなどの外部に置いてるものはLicenseを見てください)
気に入らない箇所を修正利用したり、一部だけ利用したり、自由にしてください。

Eleclog.

Pages

2014年1月26日

SECCON CTF 2013 online予選

0 件のコメント:

コメントを投稿