what the password?

그림 1-1 1번 문제

OtterCTF.vem 메모리 덤프 파일을 imageinfo 플러그인을 사용했다.

그림 1-1 imageinfo

profile은 Win7SP1x64를 사용하고 password를 사용하기 위해 hivelist 파일의 가상 주소를 찾았다.

그림 1-2 hivelist

계정의 Password가 존재할 것 같은 SAM 파일과 SYSTEM파일을 Rick 사용자의 NTLM 크랙 했지만  아무것도 나오지 않았다.

그림 1-3 Rick

Password를 시스템 LSA 암호에 저장할 수도 있기 때문에 lsadump 플러그인을 이용해 조회했다.

그림 1-4 LSA 덤프

윈도우 계정의 Password를 알아낼 수 있는 mimikatz를 이용해도 Password가 동일한 것을 알 수 있다.

그림 1-5 mimikatz