[ctf-d] GrrCON 2015 #2

문제

1번 문제 파일을 쓰면 된다.

 

풀이

▶userassist

최근에 실행한 프로그램 목록, 실행 날짜, 실행 횟수, 실행한 사용자 정보 등을 저장하는 플러그인이다.

volatility_2.6_win64_standalone.exe -f "Target1-1dd8701f.vmss" --profile=Win7SP1x86 userassist

*profile은 imageinfo 플러그인으로 확인 가능하다.

 

Key 포맷이 .exe 파일이라서 실행파일 위주로 봤는데 그 중 \frontdesk\Download 폴더에 있는 파일을 발견했다.

문제에서 프런트 데스크 직원들의 이메일로 첨부해서 보냈다고 했기 때문에 이메일로 온 것을 다운 받았으면 이 폴더에 있는 게 맞지 않을까 싶었다. 

 

정답