Junior.Crypt.2024 CTF - Forensics
部分题目复现参考：
https://blog.jacki.cn/2024/07/05/Junior_Crypt_2024_CTF/#SAMBO-wrestler
https://yocchin.hatenablog.com/entry/2024/07/08/124230
标注“#”表示未复现，日后有机会补上吧
题目地址：https://ctf-spcs.mf.grsu.by/challenges
Admin rights
帮我找出哪个 ACTIVE 帐户具有管理员权限 像 user_xxxx 这样的帐户
格式为 grodno{user_xxxx} 的标志
附件：SAM MD5: 6F3372C2E0F2FE14C007D04C9554723F
导入 RegRipper3.0
RegRipper3.0 是一个功能强大且易于使用的注册表解析工具
项目地址：https://github.com/keydet89/RegRipper3.0
运行后会生成对应结果，搜索关键词Admin即可
Username : user_7565 [1302]
SID : S-1-5-21-3540531501-39330331-37505187-1302
Full Name :
User Comment :
Account Type : Default Admin User
Account Created : Fri Jun 28 12:59:04 2024 Z
Name :
Last Login Date : Never
Pwd Reset Date : Fri Jun 28 12:59:04 2024 Z
Pwd Fail Date : Never
Login Count : 0--> Normal user account
grodno{user_7565}
#Banishment
哪些员工被解雇了？我记得的最后一件事是，他的帐户被删除了。表格user_x帐户
格式为 grodno{user_x} 的标志
附件：SAM MD5: 6F3372C2E0F2FE14C007D04C9554723F
Series SAM
您的任务是提取 Tilen2000 用户的密码
标志格式： grodno{password_plain_text}
例如，grodno
附件：Tilen.rar
解压是SYSTEM以及ntds.dit
在渗透测试的过程中，当我们已经是域管权限时就可以实现提取所有域内用户的密码哈希以进行离线破解和分析，这是非常常见的一个操作，这些哈希值存储在域控制器(NTDS.DIT)中的数据库文件中，并带有一些其他信息，例如:用户名、散列值、组、GPP、OU等于活动目录相关的信息
impacket-secretsdump -system /root/桌面/SYSTEM -ntds /root/桌面/ntds.dit LOCAL -history
搜索用户名Tilen2000，得到hash
Tilen2000:2649:aad3b435b51404eeaad3b435b51404ee:c0720d115b8b326aca0d9b95f0eca86e:::
md5解密
grodno{password_Hello123}
RDP
来自哪个国家/地区的用户通过 RDP 连接？
旗帜格式： grodno
附件：Logs.zip
参考：https://blog.csdn.net/travelnight/article/details/122854895
对于RDP日志溯源，一般重点关注security.evtx、setup.evtx、system.evtx这三个日志
还有Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
https://search.censys.io/hosts/103.109.92.4
grodno{Bangladesh}
Videomaker
关键在其中一个视频中
附件：Video.rar
直接分离即可
foremost -T 2.mp4
grodno{video_recovery}
SAMBO wrestler
从哪个 IP 获得对网络文件夹的访问？
格式为 grodno{xxx.xxx.xxx.xxx} 的标志
附件：shar.zip
参考：https://www.cnblogs.com/hetianlab/p/15061694.html
查看Security.evtx
grodno{103.109.92.5}
FTP
查找您的 FTP 密码。
标志格式：grodno
附件：FTP_connection.rar
是dll文件，使用dnSpy反编译查看代码，发现password
grodno{12345_ftp_ctf}
Image
密钥隐藏在 Image 中。探索图像以查找密钥。必须在 Image 中搜索密钥
格式为 grodno{name} 的标志
附件：Image.rar
发现在Images文件夹中图片0被删了，但是有Thumbs.db。
Thumbs.db是一个用于MicrosoftWindows XP 或mac os x缓存Windows Explorer的缩略图的文件。把他恢复出来
工具：https://thumbsviewer.github.io/
grodno{image_in_thumbnail}
Admin
我自己也是一名数据库管理员。
格式为 grodno{key_to_database} 的标志
附件：Disk_G.rar
数据库文件
dd if=Disk_G bs=552960 skip=1 of=Disk_G.db
关于这个命令，分享一篇文章：https://cloud.tencent.com/developer/article/2142280
但为什么是这个bs=552960值还是不太懂。。有佬会的话教教
grodno{DataBase_key}
Confusion
有必要将文件存档，反之亦然
格式为 grodno{text} 的标志
附件：Doc1.docx
docx改zip
rar有密码，rar2john6+john
rar2john download.rar > hash
john --incremental:digits hash
grodno{ctf_zip_key}
#Key
有了这个exe，一切都那么简单吗？
格式为 grodno{text} 的标志
附件：
#Lost
我丢失了存储标志的手机，请帮我找到它。
附件：__ctf_key.exe
