第一届-帕鲁杯应急响应-wp-下部分

这一篇文章主要记录了帕鲁杯应急响应中的取证部分内容

1.请对办公区留存的镜像取证并指出内存中，疑似恶意进程

这个把PC01的vmdk放到winhex里，然后导出，放到kali里面，使用vol工具取证

在分区4的users--administrator--desktop中找到了raw文件，右键复制出来

先查看镜像的系统信息

然后找恶意进程

在末尾看到了一的.hack.ex是恶意进程

flag{.hack.ex}

2.请指出该员工使用的公司的OA平台的密码

这个题目和2023年的信息安全管理与评估国赛的一个题目差不多，百度搜了一下

这里只给了答案，没有步骤，所以还是要自己搞，先iehistory一下看看

这里往后看有一个password.txt

我们filescan一下看看

然后我们把password给get下来看看

然后cat password.txt看到了用户名和密码