…

流量分析是一血，感觉还不错，有些题目有些比较抖机灵的部分吧。

RGB

附件code.txt，打开是图片的RGB值，稍微修改一下数据令其为R,G,B形式的格式，看了一下有28864行，分解一下，第一次试的是164*176，出来一个乱图，那么换一下xy，脚本如下

from PIL import Image

x = 176    
y = 164    

im = Image.new("RGB", (x, y))   
file = open('code.txt')    



for i in range(0, x):
    for j in range(0, y):
        line = file.readline()  
        rgb = line.split(",")  
        im.putpixel((i, j), (int(rgb[0]), int(rgb[1]), int(rgb[2])))  

im.show()

得到的flag保存为图片，扔进imagemagick里flop一下

flag{c1d836d1db9d42dd}

zip

爆破，一开始没做出来，先后采用了1-8位纯数字和1-8位大写字母和数字组合，没有尝试小写字母数字组合，后来再试得到密码ff123，解压得到txt文件和加密的文档，txt文件内容得知考点应该是0宽和培根，培根解得文档密码xyj，打开文档复制全部内容解密，发现并不是0宽，在文档里全选修改字体颜色为红色发现flag。flag{cbfacb9df0c7caf9a2b8a8ffbd72d1a0}

Memory_1

附件val.vmem，在volatility里查看信息

vol.py -f val.vmem imageinfo

Win7SP1x64系统，先看一下pslist，发现一个cscript.exe比较可疑，猜测是文件名，拿去md5提交错误，那么查看cmdline，发现Command line : cscript "C:\Windows\TEMP\UEAOGWBdwyydm.vbs"

那么病毒文件应该就是UEAOGWBdwyydm.vbs了

flag{24060da3d327991115a96e7099da25c3}

Memory_2

hashdump查看用户列表，有一个test$，带$的就是隐藏用户，作为flag的md5的前半段，另一个是来源进程，那么就需要知道什么进程使其添加账号。使用psscan查看隐藏起来的进程，多了比较可疑的net1.exe、

KiiKCuSco.exe，分别尝试，发现前者正确。

flag{45321c07f425d915c55424957353dd07}

Slowloris

流量分析，wireshark打开，搜索http和POST字符串，寻找POST请求包追踪HTTP，导出对象为HTTP，没发现什么，搜索题目Slowloris得知为slowloris拒绝服务攻击，看到许多GET包头只有一个CRLF，证实了这一点,并且GET包的destination都是195.8.178.227。那么攻击方式就是slowloris了，这里运气比较不错，s取了小写，slowloris/195.8.178.227的md5值就是flag

flag{3fc9d4a929cb690728d2b76c76483abe}

pack!pack!pack!

exe文件，双击打开提示缺少dll，到网上下了一个dll，打开没什么东西。扔进exeinfope发现有upx壳，在kali下脱壳报错，搜索错误信息，获得upxf工具修复文件后再次脱壳，成功，在kali下直接打开脱壳后的exe归档文件，结合题目的resource描述，进入.rsrc文件夹发现string.txt，拖出来得到flag的前半部分flag{0bed66d154ccbdd0，其他文件夹再浏览一下发现一个比较可疑的138.bmp，扔进winhex发现最后面有base64串N2E2MzQyYWJmOTdhNWNmY30=，解得7a6342abf97a5cfc}组合起来得到完整的flag

flag{0bed66d154ccbdd07a6342abf97a5cfc}