MemLabs Lab1 で Volatility3 を勉強した

Volatility3 を勉強した記録
題材 stuxnet999/MemLabs

問題配付サイト

プロセス列挙

# python3 vol.py -f MemoryDump_Lab1.raw windows.pstree

（略）
2504	3000	explorer.exe	0xfa800104a780	34	825	2	False	2019-12-11 14:37:14.000000 	N/A
* 2304	2504	VBoxTray.exe	0xfa800104a780	14	144	2	False	2019-12-11 14:37:14.000000 	N/A
* 1512	2504	WinRAR.exe	0xfa800104a780	6	207	2	False	2019-12-11 14:37:23.000000 	N/A

WinRAR.exeが不審

WinRAR.exeのコマンドラインから使っているファイルを調べる

# python3 vol.py -f MemoryDump_Lab1.raw windows.cmdline

（略）
1512	WinRAR.exe	"C:\Program Files\WinRAR\WinRAR.exe" "C:\Users\Alissa Simpson\Documents\Important.rar"

ファイル「Important.rar」をダンプ

# python3 vol.py -f MemoryDump_Lab1.raw windows.filescan | grep Important.rar

0x3fa3ebc0 100.0\Users\Alissa Simpson\Documents\Important.rar	216
0x3fac3bc0	\Users\Alissa Simpson\Documents\Important.rar	216
0x3fb48bc0	\Users\Alissa Simpson\Documents\Important.rar	216

# python3 vol.py -f MemoryDump_Lab1.raw windows.dumpfiles --physaddr 0x3fa3ebc0

パスワードがかかってる

プロセス「WinRAR.exe」をダンプ

＃python3 vol.py -f MemoryDump_Lab1.raw windows.pslist --pid 1512 --dump

# strings -a pid.1512.0x13f710000.dmp > ascii.txt
# strings -a -el pid.1512.0x13f710000.dmp > unicode.txt

手がかり無し。ここで終了

だと，WinRAR.exeのダンプからPassword is NTLM hash of Alissa's acount passwdと表示されるらしいが，Volatility3では何も出ない。