[Memory] GrrCON 2015 #6

3번 문제를 통해 알게된 iexplorer.exe의 pid는 2996

 

python vol.py -f Target1-1dd8701f.vmss --profile="Win7SP1x86_23418" memdump -p 2996 -D ./

 

여기서 앞서 구한 자동실행 레지스트리 키 값을 검색해본다.

왜냐하면 자동실행 프로그램이 실행된 다음에 로그인할 것으로 판단되기 때문이다. 

패스워드 포맷에 맞는 것은 GrrCon2015이다.

---

이 문제는 억지같다.

플래그값을 구하는데 논리적이지 못하다.