[Memory] GrrCON 2015 #21

 

윈도우니까 예약 작업을 .bat 파일로 만들었을 가능성이 크다.

python vol.py -f target2-6186fe9f.vmss --profile="Win7SP1x86" filescan | grep ".bat"

 

python vol.py -f target2-6186fe9f.vmss --profile="Win7SP1x86" dumpfiles -Q 0x000000003f427e50 -D ./ 

 

 

 

열어보니까 w.tmp 파일을 만든 배치 프로그램이 맞다. 

 

1.bat