JiaJia-CP-1,2,3的WP(3)

使用userassist插件打印注册表中UserAssist相关信息 :

vol -f JiaJia_Co.raw --profile=Win7SP1x64 userassist

 这样跑出来的结果还是比较难找，我们还可以这样：

vol -f JiaJia_Co.raw --profile=Win7SP1x64 timeliner | grep "chrome"

 这样第一问就出来了（别忘了东八区时间+8）

第二问就是要找到下载之后的文件配置到环境变量，直接使用 envars 插件，显示所有进程的环境变量。

vol -f JiaJia_Co.raw --profile=Win7SP1x64 envars 

到此为止，全部题都解出来了flag： ctfshow{md5(2021-12-10_20:28:43_Th1s_i5_Ur_P5wd)} -> ctfshow{6430ef3578f7e1206506995cae3d2c24}