2024第一届VCTF纳新赛WP

MISC

f0rensicmaster

“我想做个好人。”

用x-ways 打开发现里面有hint.zip和logo.png

image-20240321105221595

分区2为bitlocker加密分区

image-20240321105827549

将那两个文件导出，对比二者的CRC值

image-20240321105930460

相等，使用明文攻击

image-20240321002151957

1
2
3
4
5
6
7
8
9
BitLocker 驱动器加密恢复密钥
恢复密钥用于恢复 BitLocker 保护的驱动器上的数据。
若要验证该密码是否为正确的恢复密码，请将这些标记与恢复屏幕上显示的标记进行比较。

恢复密钥标记: E7405E9F-CA3B-4C
完整恢复密钥标记: E7405E9F-CA3B-4CE7-934B-D7B31C264B68

BitLocker 恢复密钥:
428560-250679-278762-263923-677336-652740-614834-399795

得到bitlocker恢复密钥，挂载后使用DiskGenius解密分区

image-20240321111438017

1
2d2e2d2e2f2d2d2d2f2e2d2d2f2d2f2e2d2e2f2e2d2f2d2e2f2e2e2e2f2e2e2d2e2f2e2f2e2d2e2f2e2d2e2d2e2d2f2d2e2d2e2f2d2d2d2f2d2d2f2d2e2e2d2e2f2e2e2e2f2d2e2e2d2e2f2e2e2d2d2d2f2d2e2e2f2d2d2d2d2d2f2e2d2d2d2d2f2e2d2d2d2d2f2d2d2e2e2e2f2d2d2d2d2e2f2d2e2e2e2f2e2e2e2e2d2f2e2e2e2d2d2f2d2e2e2e2f2d2d2d2e2e2f2e2e2e2e2d2f2e2e2e2e2d

image-20240321111625321

1
-.-./---/.--/-/.-./.-/-./.../..-././.-./.-.-.-/-.-./---/--/-..-./.../-..-./..---/-../-----/.----/.----/--.../----./-.../....-/...--/-.../---../....-/....-

摩斯解密

1
COWTRANSFER.COM/S/2D01179B43B844

一个网址，奶牛快传

image-20240321111742725

下载后无法正常打开，

观察文件大小刚好为3mb 既然和取证搭边，猜测是vc加载卷，结合提示的key挂载

image-20240321112446504

1
- 关键信息 RtTNZ&n*$GKaKuehKO3+

image-20240321112514807

image-20240321112707424

在media里找到四个图片，看看属性找找灵感吧

image-20240321112735079

1
2
3
hint_for_Passwd_2_is_base-family

Passwd_1_is_1a!2b@3c#

image-20240321113416618

1
4B5644554D365444474E5347575744324A4A54474357434F4D5A455647524C49

image-20240321113439086

在图片opposite.png中，

查看其十六进制，在png结束后又有一段且结尾为4030B405

正好为504B0304的倒序，猜测为一zip压缩包的倒序

1
50 4B 03 04 14 00 09 00 08 00 2B BC 19 55 E9 08 F2 7D 34 00 00 00 26 00 00 00 08 00 00 00 66 6C 61 67 2E 74 78 74 34 72 08 A6 CE 48 15 57 D9 BF 41 6E 57 E1 82 EA CC 8D 3B 45 DE C3 FB 56 B3 02 0C 9D 91 C5 EC 25 F8 9A 2F 25 83 90 97 83 E1 6A 9C 3E 80 1D 0C 58 27 B4 F6 A8 50 4B 01 02 14 00 14 00 09 00 08 00 2B BC 19 55 E9 08 F2 7D 34 00 00 00 26 00 00 00 08 00 24 00 00 00 00 00 00 00 20 00 00 00 00 00 00 00 66 6C 61 67 2E 74 78 74 0A 00 20 00 00 00 00 00 01 00 18 00 F6 5B 60 01 98 B8 D8 01 81 AE 2B 42 76 A7 D9 01 E7 BE E5 BE 75 A7 D9 01 50 4B 05 06 00 00 00 00 01 00 01 00 5A 00 00 00 5A 00 00 00 38 00 68 69 6E 74 A3 BA C3 DC C2 EB CE AA A1 B0 D7 A8 D5 FE B9 A4 BE DF CB FE CD E5 D6 C6 D4 EC B3 A7 A1 B1 37 35 D6 DC C4 EA D0 A3 C7 EC C8 D5 A3 A8 CA B1 BC E4 B4 C1 A3 A9

image-20240321114126439

看到提示为某一日期的时间戳，

直接爆破长度即可（时间戳长度为10或13）

image-20240321142048652

flag{ba93d8e998e5522c7d800f94125907dc}